Wenn Ihr Unternehmen KI in der Personalauswahl, bei der Kreditwürdigkeitsprüfung, in kritischer Infrastruktur oder im Grenz- und Strafverfolgungskontext entwickelt, einsetzt oder nutzt, haben Sie den Großteil des Jahres 2026 auf den 2. August 2026 hingearbeitet. Diese Frist ist verstrichen, ohne dass die Hochrisiko-Pflichten wirksam geworden wären. Sie haben nun Zeit bis zum 2. Dezember 2027 — eine Verlängerung um 16 Monate, im Wesentlichen deshalb, weil die harmonisierten technischen Normen, die die Umsetzung praktikabel machen sollten, zu spät kamen.
Das ist eine echte Entlastung, und sie ist enger gefasst, als es klingt. Die Verschiebung betraf einen Pflichtenkreis. Sie betraf nicht die DSGVO, nicht das Sanktionsgefüge der KI-Verordnung und nicht zwei neue Verbote, die bereits im Dezember dieses Jahres ohne jede Übergangsfrist greifen. Die Überschneidung der beiden Gesetze — dort, wo sie kollidieren und wo ein und derselbe Sachverhalt nach zwei verschiedenen Maßstäben beurteilt werden kann — ist genau dort, wo sie vorher war.
Was sich tatsächlich verschoben hat — und was nicht
Die KI-Omnibus-Verordnung hat den Zeitplan neu geordnet, nicht die Substanz. Maßgeblich sind jetzt diese Daten:
Was sich nicht verschoben hat. Die Transparenzpflichten nach Artikel 50 gelten wie geplant seit dem 2. August 2026 — wenn Ihr Chatbot mit Kundinnen und Kunden spricht, müssen diese darüber informiert werden, und keine Verlängerung deckt das ab. Die bestehenden Verbote nach Artikel 5 gelten seit Februar 2025. Und zwei neue Verbote nach Artikel 5 treten am 2. Dezember 2026 in Kraft: KI-Systeme, die Darstellungen sexuellen Kindesmissbrauchs erzeugen oder verändern, sowie Systeme, die realistische intime Abbildungen einer identifizierbaren Person ohne deren ausdrückliche Einwilligung erzeugen. Das zweite Verbot reicht über eigens gebaute „Nudifier"-Apps hinaus bis zu Anbietern universell einsetzbarer generativer Modelle, bei denen ein solches Ergebnis nach vernünftigem Ermessen vorhersehbar ist und keine angemessenen Schutzmaßnahmen bestehen.
Wofür der gewonnene Zeitraum da ist. Hochrisiko-KI-Systeme nach Anhang III — Personalgewinnung und Beschäftigtenmanagement, Kreditwürdigkeitsprüfung, Zugang zu grundlegenden Diensten, biometrische Kategorisierung, Bewertung im Bildungswesen — brauchen bis Dezember 2027 weiterhin all dies:
- Ein Risikomanagementsystem über den gesamten Lebenszyklus des Systems hinweg
- Daten-Governance-Standards für Trainings- und Validierungsdatensätze, einschließlich Bias-Erkennung
- Technische Dokumentation, die einer aufsichtsbehördlichen Prüfung standhält
- Automatische Protokollierung der Systemvorgänge
- Transparenzvorgaben, die Betreibern und betroffenen Personen verständlich machen, was das System tut
- Mechanismen menschlicher Aufsicht, die ein Eingreifen oder Anhalten des Systems jederzeit ermöglichen
- Genauigkeits-, Robustheits- und Cybersicherheitsstandards, die dem Zweck des Systems angemessen sind
Anbieter müssen bis zu diesem Datum Konformitätsbewertungen abgeschlossen, die technische Dokumentation finalisiert, die CE-Kennzeichnung angebracht und die Registrierung in der EU-Datenbank vorgenommen haben. Die Omnibus-Verordnung hat zudem die Definition der „Sicherheitskomponente" enger gefasst — eine Komponente zieht ein System nur dann in den Hochrisiko-Bereich, wenn ihr Zweck darin besteht, Risiken für Gesundheit und Sicherheit zu verhindern oder zu mindern, sodass KI, die allein der Optimierung, der Nutzerunterstützung oder dem Komfort dient, nun herausfällt — und sie hat die KI-Kompetenz nach Artikel 4 von der Pflicht, ein bestimmtes Kompetenzniveau der Beschäftigten sicherzustellen, zu der Pflicht abgeschwächt, dessen Entwicklung zu unterstützen.
Wenn Ihnen mehrere dieser Pflichten bekannt vorkommen, dann zu Recht. Die DSGVO verlangte bereits Datenschutz-Folgenabschätzungen, dokumentierte Risikoanalysen, Transparenz gegenüber betroffenen Personen und Schutzvorkehrungen bei automatisierten Entscheidungen. Die KI-Verordnung ersetzt nichts davon — sie kommt obendrauf, mit eigener Rechtsgrundlage, eigenen Dokumentationsanforderungen und eigenen Bußgeldern. Nichts davon wurde aufgeschoben, denn die DSGVO war nie Teil der Verschiebung.
Wo sich die beiden Gesetze tatsächlich überschneiden
Das ist der Teil, an dem die Verschiebung nichts ändert. Die Überschneidung ist struktureller Natur und nicht vom Kalender abhängig: Die DSGVO gilt schon heute für die personenbezogenen Daten in Ihrem KI-System, und die Pflichten der KI-Verordnung treffen im Dezember 2027 dieselben Systeme. Die deutlichsten Kollisionspunkte:
Daten-Governance. Artikel 10 der KI-Verordnung verlangt Governance über Trainings- und Validierungsdatensätze — Relevanz, Repräsentativität, Bias-Erkennung. Die Grundsätze der Datenminimierung und Richtigkeit der DSGVO (Artikel 5) regeln bereits die personenbezogenen Daten in genau diesen Datensätzen. Ab Dezember 2027 kann ein fehlerhafter Trainingsdatensatz gleichzeitig gegen beide Rahmenwerke verstoßen und nach zwei verschiedenen Maßstäben beurteilt werden — und allein nach der DSGVO kann er das schon heute.
Folgenabschätzungen. Die DSGVO verlangt eine Datenschutz-Folgenabschätzung (DSFA) für Verarbeitungen mit hohem Risiko. Die KI-Verordnung verlangt eine Grundrechte-Folgenabschätzung (FRIA) für bestimmte Hochrisiko-Einsätze, insbesondere durch öffentliche Stellen und in sensiblen Sektoren. Das sind nicht dieselben Dokumente, aber sie stützen sich weitgehend auf dieselbe zugrunde liegende Risikoanalyse — und genau deshalb lohnt es sich, den gewonnenen Zeitraum in das DSFA-Fundament zu investieren, auf dem die FRIA aufbauen muss.
Transparenz. Die Artikel 12–14 DSGVO verlangen klare Informationen an betroffene Personen über die Verarbeitung. Die KI-Verordnung verlangt davon getrennt, dass Anbieter den Betreibern Anweisungen für den sicheren Gebrauch sowie Angaben zu Genauigkeit und Grenzen des Systems bereitstellen, und dass Menschen darüber informiert werden, wenn sie mit einem KI-System interagieren. Zwei Transparenzregime, zwei Adressatenkreise, zwei Sätze von Offenlegungspflichten.
Menschliche Aufsicht und automatisierte Entscheidungen. Artikel 22 DSGVO beschränkt ausschließlich automatisierte Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung. Die Anforderung menschlicher Aufsicht in der KI-Verordnung ist weiter gefasst und gilt unabhängig davon, ob eine Entscheidung „ausschließlich" automatisiert ergeht — das heißt, ein System, das die Hürde des Artikels 22 DSGVO nimmt, weil formal ein Mensch die Ergebnisse prüft, kann an der höheren Messlatte der KI-Verordnung dafür, was wirksame Aufsicht ausmacht, dennoch scheitern.
Die Bußgeld-Rechnung
Die Omnibus-Verordnung hat Fristen verschoben. Artikel 99 hat sie nicht angetastet; er sieht weiterhin eine dreistufige Struktur vor — und beachten Sie, welche Stufe bereits gilt: die oberste, die die seit Februar 2025 geltenden verbotenen Praktiken und die zwei neuen ab Dezember 2026 erfasst.
- Bis zu 35 Mio. € oder 7 % des weltweiten Jahresumsatzes bei Verstößen gegen verbotene Praktiken (Artikel 5)
- Bis zu 15 Mio. € oder 3 % des Umsatzes bei Verstößen im Zusammenhang mit Hochrisiko-Systemen
- Bis zu 7,5 Mio. € oder 1 % des Umsatzes für unrichtige oder irreführende Angaben gegenüber Behörden
Die oberste Stufe übersteigt damit das Höchstmaß der DSGVO von 20 Mio. € oder 4 % des weltweiten Umsatzes, womit die KI-Verordnung an ihrer Obergrenze das schärfere der beiden Regime ist.
Entscheidend ist: Artikel 99 Absatz 8 enthält eine Regel „ein Verhalten, eine Sanktion". Verstößt ein einzelner Sachverhalt sowohl gegen die KI-Verordnung als auch gegen ein anderes EU-Recht wie die DSGVO, verhängen die Behörden nur das höhere der beiden anwendbaren Bußgelder. Dieser Schutz ist jedoch enger, als er klingt. Verstößt ein KI-System durch einen verzerrten Trainingsdatensatz gegen die Daten-Governance-Regeln der KI-Verordnung und daneben durch die Art der Erhebung oder Speicherung derselben Daten gegen die Grundsätze der Richtigkeit oder Datenminimierung der DSGVO, gelten das als getrennte Verstöße — und sie können getrennt sanktioniert werden.
Juristisch ist das kein „Doppelbestrafungsverbot" in dem Sinne, den viele Compliance-Teams unterstellen. Es ist eine Beurteilung Verstoß für Verstoß — und je stärker die Datenpraxis Ihres KI-Systems mit DSGVO-regulierten personenbezogenen Daten verflochten ist, desto mehr Angriffsfläche bieten Sie dafür, dass diese Trennung gegen Sie wirkt.
Was Sie mit 16 zusätzlichen Monaten tun sollten
Eine verschobene Frist ist kein verschobenes Risiko, und schon gar keine sechzehn Monate Nichtstun. Der Reflex, KI-Verordnung und DSGVO als zwei nacheinander abzuarbeitende Checklisten zu behandeln, bleibt der teuerste verfügbare Fehler. Ein paar Dinge, die stattdessen lohnen:
- Tragen Sie zuerst die Dezember-2026-Termine in den Kalender ein. Die zwei neuen Verbote nach Artikel 5 und die Kennzeichnungspflichten für synthetische Medien nach Artikel 50 Absatz 2 kommen ganz ohne Vorlauf. Wenn Sie Bilder, Video oder Audio in irgendeiner kundenseitigen Form erzeugen oder verändern, ist das eine Frage für dieses Quartal — nicht für 2027.
- Klassifizieren Sie Ihre Systeme jetzt und dokumentieren Sie die Begründung, auch wenn das Ergebnis „nicht hochriskant" lautet. Die enger gefasste Definition der Sicherheitskomponente führt dazu, dass manche Systeme, die 2025 noch im Anwendungsbereich schienen, herausgefallen sind — halten Sie fest, warum. Die Klassifizierung selbst müssen Sie belegen können, und sie wird nicht leichter, wenn Sie sie bis 2027 aufschieben.
- Führen Sie DSFA und FRIA aufeinander zurück, statt sie getrennt zu beauftragen. Braucht ein System beide, sollte die zugrunde liegende Risikoanalyse ein gemeinsames Fundament sein und nicht zwei unverbundene Übungen, die einander stillschweigend widersprechen. Wenn Sie noch gar keinen DSFA-Prozess haben, fangen Sie dort an — die FRIA lässt sich auf dem Nichts deutlich schwerer aufbauen.
- Prüfen Sie Ihre bestehenden DSGVO-Transparenzhinweise gegen die Offenlegungsanforderungen der KI-Verordnung. Sie decken unterschiedliche Informationen ab, aber ein Hinweis, der nur für die DSGVO gebaut wurde, lässt vermutlich aus, was die KI-Verordnung zusätzlich verlangt — und die Pflichten nach Artikel 50 für kundenseitige KI wurden nie verschoben. Das fällt zeitlich mit der koordinierten Durchsetzungspriorität des EDSA für 2026 zusammen, die auf die Transparenz nach den Artikeln 12–14 zielt. Beide Aufsichten schauen dieses Jahr auf dieselben Hinweise, aus unterschiedlichen Gründen.
- Behandeln Sie menschliche Aufsicht als Konstruktionsanforderung, nicht als Absichtserklärung. Aufsichtsbehörden beider Regime werden Nachweise dafür verlangen, dass ein Mensch tatsächlich sinnvoll eingreifen kann, und nicht bloß nominell in der Schleife steht. Unsere Checkliste zur KI-Aufsicht zeigt, wie dieser Nachweis in der Praxis aussieht.
- Bringen Sie Rechtsabteilung und technische Dokumentation jetzt miteinander ins Gespräch. Die Anforderungen der KI-Verordnung an technische Dokumentation und Protokollierung werden zunehmend auch die Beweisgrundlage sein, auf der Behörden die DSGVO-Konformität beurteilen, denn beide hängen daran, zeigen — nicht bloß behaupten — zu können, wie ein System personenbezogene Daten tatsächlich verarbeitet.
Warum die Verschiebung Ihnen kein ruhiges Jahr verschafft
Die Verlängerung gilt für einen Pflichtenkreis der KI-Verordnung. Sie gilt nicht für das Vollzugsumfeld, in dem diese Pflichten landen — und dieses Umfeld ist nicht ruhiger geworden.
Die DSGVO-Bußgelder haben kumuliert bereits 7,1 Milliarden € überschritten, allein im ersten Halbjahr 2026 wurden mehr als 600 Millionen € verhängt. Die täglichen Meldungen von Datenschutzverletzungen sind im Jahresvergleich um 22 % auf 443 pro Tag gestiegen — zum ersten Mal seit Inkrafttreten der DSGVO 2018 liegt dieser Wert über 400. Und der Vollzug hat sich klar über die großen Tech-Konzerne hinausbewegt: Seit Januar 2023 wurden mehr Bußgelder gegen kleine und mittlere Unternehmen verhängt als in den fünf Jahren davor zusammen.
Legt man ein zweites Sanktionsregime mit höherer Obergrenze über diese Entwicklung — ab Dezember 2027, mit zwei Verboten ein volles Jahr früher —, ist die Botschaft für Compliance-Teams klar: Die KI-Verordnung hat nicht nur ein weiteres Gesetz hinzugefügt, das man verfolgen muss. Sie hat eine zweite Aufsicht hinzugefügt, mit einer eigenen Vorstellung davon, was Ihr KI-System den Menschen schuldet, deren Daten es berührt — und diese wird zeitgleich, an denselben Systemen und oft auf derselben Tatsachengrundlage arbeiten. Die Verschiebung hat geändert, wann das beginnt. Daran, was Unvorbereitetsein kostet, hat sie nichts geändert.
Wenn Sie nicht sicher sind, auf welcher Seite der Hochrisiko-Grenze Ihre Systeme liegen, ist das die zuerst zu beantwortende Frage — die oben genannten Pflichten greifen erst innerhalb von Anhang III, aber die Einordnung selbst müssen Sie dokumentiert haben. Kostenlose Beratung bei GDPRGard buchen →
Quellen
- EU-KI-Verordnung — Artikel 99, Sanktionen
- EU-KI-Verordnung — Anhang III, Hochrisiko-KI-Systeme
- Europäische Kommission — Zeitplan zur Umsetzung der KI-Verordnung
- CMS GDPR Enforcement Tracker
- Europäischer Datenschutzausschuss — koordinierter Rahmen für die Durchsetzung
Ebenfalls lesenswert:
- Der Digital-Omnibus der EU: Was sich bei der DSGVO wirklich ändert
- Die Verschiebung der KI-Verordnung gilt nicht für Ihren Chatbot
- Warum jedes SaaS-Unternehmen vor dem Launch von KI-Funktionen eine DSFA braucht