EU AI Act verschoben: was der Digital Omnibus für Marketing-Teams ändert

Im November 2025 war absehbar, dass die Umsetzung des EU AI Act nicht im geplanten Takt läuft: zu viele technische Standards und delegierte Rechtsakte fehlten, an denen die Hochrisiko-Regeln hängen. Die Kommission legte den Digital Omnibus vor, ein Paket, das mehrere Digitalgesetze zugleich nachjustiert. Für den AI Act heißt das vor allem eins. Die schärfsten Pflichten kommen später.

Wer die Risiko-Klassen schon kennt, findet den Einstieg in KI-Readiness und Daten-Strategie hier wieder. Wer neu einsteigt, bekommt unten die Kurzfassung.

Was sich geändert hat

Der ursprüngliche Plan sah die Hochrisiko-Pflichten ab dem 2. August 2026 vor (Annex III) und ab dem 2. August 2027 für in regulierte Produkte eingebettete KI (Annex I). Der Omnibus ersetzt den vorher diskutierten bedingten Auslöse-Mechanismus durch feste Daten und schiebt beide nach hinten:

• Annex III (eigenständige Hochrisiko-Systeme): ab dem 2. Dezember 2027.
• Annex I (Hochrisiko-KI in regulierten Produkten): ab dem 2. August 2028.

Dazu kommt eine inhaltliche Ergänzung: ein neues Verbot in Artikel 5 für KI-generierte, nicht einvernehmliche intime Darstellungen und Missbrauchsmaterial. Das betrifft Marketing-Analytics nicht direkt, gehört aber zur Vollständigkeit.

Was unverändert bleibt

Verschoben wurde der Hochrisiko-Teil. Der Rest steht.

• Verbotene Praktiken sind seit Februar 2025 untersagt. Social Scoring, manipulative Subliminal-Techniken, Echtzeit-Biometrie im öffentlichen Raum. Strafrahmen bis 35 Mio. € oder 7 Prozent des weltweiten Jahresumsatzes.
• General-Purpose-AI unterliegt seit August 2025 eigenen Pflichten. Wer GPT, Claude oder Gemini in Tools oder Produkten einsetzt, fällt darunter.
• Transparenzpflichten für die meisten Marketing-Anwendungen bleiben das praktisch relevante Thema. Chatbots, KI-Texte und synthetische Medien müssen für Nutzer erkennbar sein.

Die neue Zeitleiste auf einen Blick

Was das für Marketing-Teams heißt

Aufgeschoben, nicht aufgehoben. Die zusätzliche Zeit ist Vorlauf, kein Anlass, das Thema zu vertagen. Wer Smart Bidding, Predictive Audiences, Lookalike-Audiences oder Attribution-Modelle nutzt, betreibt KI-Systeme im Sinne des Acts. Die Risiko-Klassifizierung entscheidet, welche Pflichten greifen, und die ändert sich durch die Verschiebung nicht.

Drei Dinge lohnen sich jetzt, unabhängig von den verschobenen Fristen:

• AI-Inventory. Welche KI-Komponenten stecken im Marketing-Stack, auch die unsichtbaren wie Smart Bidding oder HubSpot AI?
• Risiko-Klassifizierung pro Use-Case. Die meisten Marketing-Setups landen in Minimal oder Limited Risk. Das festzustellen kostet wenig und beendet die Spekulation.
• Transparenz- und Dokumentationspflichten. Die gelten schon heute und sind der häufigste blinde Fleck im Audit.

Der Vorteil der Verschiebung liegt im Tempo, nicht im Umfang. Statt einer Last-Minute-Übung bis August 2026 bleibt Zeit für eine saubere First-Party-Daten-Architektur als Fundament. Genau die braucht jeder KI-Anwendungsfall, der über ein Compliance-Häkchen hinausgeht.