Der Digital Omnibus zum EU AI Act: Was die Verschiebung für Banken wirklich ändert — und was nicht

Am 29. Juni 2026 hat der Rat der Europäischen Union den Digital Omnibus zu KI endgültig gebilligt — die erste substanzielle Änderung des AI Act seit seiner Verabschiedung im Jahr 2024. Die Schlagzeilen danach klangen fast überall gleich: Der AI Act wurde verschoben. Für Banken ist diese Kurzform riskant, denn sie erzählt nur die halbe Geschichte. Wer sein Compliance-Programm jetzt pausiert, riskiert, eine Pflicht zu übersehen, die unverändert am 2. August 2026 wirksam wird.

Was sich tatsächlich verschiebt

Der Digital Omnibus ändert vor allem den Zeitplan für Hochrisiko-KI-Systeme, nicht deren inhaltliche Anforderungen. Die wichtigsten neuen Daten im Überblick:

Für Banken besonders relevant: Bonitätsprüfung und Credit Scoring bleiben Hochrisiko-Anwendungsfälle nach Anhang III. Der Omnibus ändert nicht, wie Systeme klassifiziert werden — sondern nur, ab wann die Pflichten greifen. Dokumentation, Risikomanagement, Datenqualität, menschliche Aufsicht und Konformitätsbewertung bleiben inhaltlich bestehen und werden ab Dezember 2027 verbindlich.

Der Weg zur Verabschiedung war kurz: Die Kommission legte den Omnibus im November 2025 vor, Rat und Parlament erzielten am 7. Mai 2026 eine Trilog-Einigung, das Parlament stimmte am 16. Juni ab, der Rat folgte am 29. Juni. Die Änderungen treten am dritten Tag nach Veröffentlichung im Amtsblatt in Kraft.

Was sich nicht verschiebt

Die wichtigste Ausnahme ist Artikel 50 — die Transparenzpflichten. Sie gelten unverändert ab dem 2. August 2026. Praktisch bedeutet das:

• Chatbots und Voicebots müssen offenlegen, dass Kundinnen und Kunden mit einem KI-System interagieren, sofern dies nicht aus den Umständen offensichtlich ist.

• KI-generierte Inhalte müssen als solche erkennbar sein. Das umfasst Texte, Bilder und Videos, die mit generativen Tools erstellt und in Marketing oder Kundenkommunikation eingesetzt werden.

• Deepfakes und bestimmte KI-generierte Veröffentlichungen müssen gekennzeichnet werden.

Nur ein Element wurde angepasst: Die Pflicht zur maschinenlesbaren Kennzeichnung synthetischer Inhalte gilt für bereits am Markt befindliche Systeme ab dem 2. Dezember 2026. Für neue Systeme und für Offenlegungspflichten gegenüber Endkundinnen und Endkunden bleibt der August-Termin bestehen. Verstöße gegen Artikel 50 können Bußgelder von bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes nach sich ziehen.

Ebenfalls unverändert: Die Regeln für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck gelten bereits seit August 2025. Die Pflicht zur KI-Kompetenz (Artikel 4) wurde im Omnibus abgeschwächt — von „sicherstellen“ hin zu „Maßnahmen zur Unterstützung ergreifen“ — aber nicht gestrichen. Neu ist ein Verbot von KI-Systemen, die nicht einvernehmlich intime Inhalte erzeugen; dieses gilt ab dem 2. Dezember 2026.

Warum die Verschiebung kein Freibrief ist

Aus Sicht von Aufsicht und Compliance gibt es drei Gründe, die zusätzlichen 16 Monate nicht als Pause zu verstehen:

• Die Klassifizierung steht fest. Jedes Credit-Scoring-Modell, das heute als Hochrisiko gilt, wird auch morgen als Hochrisiko gelten. Wer KI-Inventar, Modelldokumentation und Data Governance jetzt treiben lässt, baut denselben Berg 2027 unter größerem Zeitdruck wieder auf.

• Artikel 50 kommt in wenigen Wochen. Marketing- und CRM-Teams sind direkt betroffen: Wer generative KI für Kundenbriefe, Produkttexte oder Kampagnenvisuals nutzt, braucht bis August einen Kennzeichnungs- und Offenlegungsprozess. Das ist keine Aufgabe allein für die Rechtsabteilung, sondern für die operativen Teams, die Inhalte erstellen und ausspielen.

• Andere Aufsichtsstränge laufen weiter. DORA gilt seit Januar 2025, und die europäischen Aufsichtsbehörden erhöhen den Druck bei KI-gestützten Cyberrisiken. Der AI Act ist ein Baustein in einem immer dichteren Regelwerk.

Was Banken jetzt tun sollten

Die zusätzliche Zeit ist wertvoll — wenn sie genutzt wird. Vier Arbeitsstränge stechen heraus:

1. KI-Inventar konsolidieren. Welche Systeme sind im Einsatz, welche fallen unter Anhang III, welche unter Artikel 50? Ohne vollständiges Inventar lassen sich weder Prioritäten setzen noch Berichtspflichten erfüllen.

2. Artikel-50-Prozesse aufsetzen. Offenlegungstexte für Chatbots, Kennzeichnungsregeln für KI-generierte Inhalte, klare Verantwortlichkeiten zwischen Marketing, IT und Compliance — vor dem 2. August 2026.

3. Datenqualität und Nachvollziehbarkeit stärken. Die Hochrisiko-Pflichten ab Dezember 2027 verlangen robuste Data Governance. Banken, die Kundendaten für Scoring, Segmentierung und Personalisierung nutzen, profitieren doppelt: bessere Modelle heute, weniger Compliance-Aufwand morgen.

4. Anbieter einbinden. Viele KI-Fähigkeiten kommen über Drittanbieter in die Bank. Verträge, Prüfungsrechte und Transparenzzusagen sollten jetzt verhandelt werden, nicht erst 2027.

Fazit

Der Digital Omnibus verschafft Banken Luft bei den Hochrisiko-Pflichten — nicht mehr. Die Transparenzpflichten aus Artikel 50 gelten ab dem 2. August 2026, Credit Scoring bleibt ein Hochrisiko-Anwendungsfall, und Aufsichtsbehörden erhöhen an anderer Stelle bereits das Tempo. Institute, die die kommenden Monate für Inventarisierung, Kennzeichnungsprozesse und Data Governance nutzen, machen aus der Verschiebung einen echten Vorsprung. Institute, die sie als Entwarnung lesen, werden 2027 unter Druck Arbeit nachholen, die heute gut planbar ist.