Im November 2025 war absehbar, dass die Umsetzung des EU AI Act nicht im geplanten Takt läuft: zu viele technische Standards und delegierte Rechtsakte fehlten, an denen die Hochrisiko-Regeln hängen. Die Kommission legte den Digital Omnibus vor, ein Paket, das mehrere Digitalgesetze zugleich nachjustiert. Für den AI Act heißt das vor allem eins: Die schärfsten Pflichten kommen später.
Wer die Risiko-Klassen schon kennt, steigt direkt bei KI-Readiness und Daten-Strategie ein. Wer neu einsteigt, bekommt unten die Kurzfassung.
Was sich geändert hat
Der ursprüngliche Plan sah die Hochrisiko-Pflichten ab dem 2. August 2026 vor (Anhang III) und ab dem 2. August 2027 für in regulierte Produkte eingebettete KI (Anhang I). Der Omnibus ersetzt den vorher diskutierten bedingten Auslöse-Mechanismus durch feste Fristen und schiebt beide nach hinten:
- Anhang III (eigenständige Hochrisiko-Systeme): ab dem 2. Dezember 2027.
- Anhang I (Hochrisiko-KI in regulierten Produkten): ab dem 2. August 2028.
Dazu kommt eine inhaltliche Ergänzung: ein neues Verbot in Artikel 5 für KI-generierte, nicht einvernehmliche intime Darstellungen und Missbrauchsmaterial. Das betrifft Marketing-Analytics nicht direkt, gehört aber der Vollständigkeit halber dazu.
Was unverändert bleibt
Verschoben wurde der Hochrisiko-Teil. Der Rest steht.
- Verbotene Praktiken sind seit Februar 2025 untersagt. Social Scoring, manipulative Subliminal-Techniken, Echtzeit-Biometrie im öffentlichen Raum. Strafrahmen bis 35 Mio. € oder 7 Prozent des weltweiten Jahresumsatzes.
- General-Purpose-AI unterliegt seit August 2025 eigenen Pflichten. Die Pflichten für Modellanbieter sind von denen der Anbieter und Betreiber eines konkreten Systems zu unterscheiden. Die bloße Nutzung eines fremden Modells macht ein Marketing-Team nicht automatisch zum Modellanbieter.
- Transparenzpflichten nach Artikel 50 gelten seit dem 2. August 2026. Chatbots, KI-Texte und synthetische Medien müssen für Nutzer erkennbar sein. Aufsicht in Deutschland ist die Bundesnetzagentur, der Bußgeldrahmen liegt bei 15 Mio. € oder 3 Prozent. Für Systeme, die vorher schon liefen, greift die maschinenlesbare Kennzeichnung KI-erzeugter Inhalte ab dem 2. Dezember 2026. Das ist die nächste echte Frist, und sie trifft jeden GenAI-Content-Workflow, der vor August live war.
Die neue Zeitleiste auf einen Blick
Der Digital Omnibus verschiebt nur den Hochrisiko-Teil. Verbote, GPAI- und Transparenzpflichten bleiben in Kraft.
- Feb 2025In Kraft
Verbotene Praktiken
In Kraft. Social Scoring, manipulative Techniken, Echtzeit-Biometrie. Strafen bis 35 Mio. € oder 7 %.
- Aug 2025In Kraft
General-Purpose-AI
In Kraft. GPT, Claude, Gemini in Tools oder Produkten fallen unter die GPAI-Pflichten.
- Aug 2026In Kraft
Transparenzpflichten, Artikel 50
In Kraft seit dem 2. August 2026. Chatbots, KI-Texte und synthetische Medien müssen erkennbar sein. Aufsicht in Deutschland: Bundesnetzagentur. Bußgeld bis 15 Mio. € oder 3 %.
- Dez 2026Frist läuft
Kennzeichnung für Bestandssysteme
Ab dem 2. Dezember 2026 gilt die maschinenlesbare Kennzeichnung KI-erzeugter Inhalte auch für Systeme, die vor dem 2. August 2026 liefen.
- Dez 2027vorher Aug 2026Verschoben
Hochrisiko, Anhang III
Verschoben. Eigenständige Hochrisiko-Systeme: Pflichtdokumentation, Konformitätsbewertung, EU-Registrierung.
- Aug 2028vorher Aug 2027Verschoben
Hochrisiko, Anhang I
Verschoben. Hochrisiko-KI, eingebettet in regulierte Produkte.
Stand August 2026. Verordnung (EU) 2026/1744, veröffentlicht im Amtsblatt am 24. Juli, in Kraft seit dem 27. Juli 2026.
Was das für Marketing-Teams heißt
Aufgeschoben, nicht aufgehoben. Die zusätzliche Zeit ist Vorlauf, kein Anlass, das Thema zu vertagen. Wer Smart Bidding, Predictive Audiences, Lookalike-Audiences oder Attribution-Modelle nutzt, betreibt KI-Systeme im Sinne des AI Act. Die Risiko-Klassifizierung entscheidet, welche Pflichten greifen, und die ändert sich durch die Verschiebung nicht.
Klick oder Tab durch die Stufen für Marketing-Beispiele und Pflichten.
Begrenztes Risiko
Pflicht
Transparenzpflicht: User müssen erkennen, dass sie mit AI interagieren. Kennzeichnung von AI-Inhalten.
Marketing-Beispiele
- AI-Chatbot auf der Website
- GenAI-Blog- oder Ad-Texte
- AI-generierte Bilder / Deepfakes
Stand 2026
Transparenzpflichten in Kraft seit dem 2. August 2026, für Bestandssysteme greift die Kennzeichnung ab dem 2. Dezember 2026. Aufsicht in Deutschland: Bundesnetzagentur.
Drei Dinge lohnen sich jetzt, unabhängig von den verschobenen Fristen:
- AI-Inventory. Welche KI-Komponenten stecken im Marketing-Stack, auch die unsichtbaren wie Smart Bidding oder HubSpot AI?
- Risiko-Klassifizierung pro Use-Case. Die meisten Marketing-Setups landen in Minimal oder Limited Risk. Das festzustellen kostet wenig und beendet die Spekulation.
- Transparenz- und Dokumentationspflichten. Die gelten schon heute und sind der häufigste blinde Fleck im Audit.
Der Vorteil der Verschiebung liegt im Tempo, nicht im Umfang. Statt einer Last-Minute-Übung bis August 2026 bleibt Zeit für eine saubere First-Party-Daten-Architektur als Fundament. Genau die braucht jeder KI-Anwendungsfall, der über ein Compliance-Häkchen hinausgeht.
Welche Marketing-Anwendungsfälle geprüft werden sollten, erklärt der AI-Act-Leitfaden für Marketing-Analytics.