EU AI Act: Was der Digital Omnibus für Banken wirklich ändert — und was nicht

Am 29. Juni 2026 hat der Rat der Europäischen Union dem „Digital Omnibus on AI" endgültig zugestimmt — der ersten substanziellen Änderung des AI Act seit seiner Verabschiedung 2024. Die Schlagzeilen danach klangen fast überall gleich: Der AI Act sei verschoben. Für Banken ist diese Verkürzung gefährlich, denn sie ist nur die halbe Wahrheit. Wer jetzt Compliance-Programme pausiert, riskiert, eine Pflicht zu übersehen, die unverändert am 2. August 2026 in Kraft tritt.

Was sich tatsächlich verschiebt

Der Digital Omnibus ändert vor allem den Zeitplan für Hochrisiko-KI-Systeme, nicht deren inhaltliche Anforderungen. Die wichtigsten neuen Daten im Überblick:

Für Banken besonders relevant: Kreditwürdigkeitsprüfung und Kreditscoring gehören weiterhin zu den Hochrisiko-Anwendungen nach Anhang III. Die Einstufung der Systeme hat sich durch den Omnibus nicht geändert — nur der Zeitpunkt, ab dem die Pflichten greifen. Dokumentation, Risikomanagement, Datenqualität, menschliche Aufsicht und Konformitätsbewertung bleiben inhaltlich bestehen und werden ab Dezember 2027 verbindlich.

Der Weg zur Verabschiedung war kurz: Die Kommission hatte den Omnibus im November 2025 vorgeschlagen, am 7. Mai 2026 einigten sich Rat und Parlament im Trilog, am 16. Juni stimmte das Parlament zu, am 29. Juni folgte der Rat. Die Änderungen treten am dritten Tag nach Veröffentlichung im Amtsblatt in Kraft.

Was nicht verschoben wurde

Die wichtigste Ausnahme ist Artikel 50 — die Transparenzpflichten. Sie gelten unverändert ab dem 2. August 2026. Konkret bedeutet das:

• Chatbots und Voicebots müssen offenlegen, dass Kundinnen und Kunden mit einem KI-System interagieren — es sei denn, das ist aus den Umständen offensichtlich.

• KI-generierte Inhalte müssen als solche erkennbar gemacht werden. Das betrifft auch Texte, Bilder und Videos aus generativen Werkzeugen, die im Marketing oder in der Kundenkommunikation eingesetzt werden.

• Deepfakes und bestimmte KI-generierte Veröffentlichungen müssen gekennzeichnet werden.

Nur ein Teilaspekt wurde angepasst: Die Pflicht zur maschinenlesbaren Markierung synthetischer Inhalte für Systeme, die bereits auf dem Markt sind, greift erst am 2. Dezember 2026. Für neue Systeme und für die Offenlegungspflichten gegenüber Endkunden bleibt es beim August-Termin. Verstöße gegen Artikel 50 können mit Geldbußen von bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes geahndet werden.

Ebenfalls unverändert: Die Regeln für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck gelten bereits seit August 2025. Die Pflicht zur KI-Kompetenz (Artikel 4) wurde im Omnibus abgeschwächt — aus „sicherstellen" wird „Maßnahmen zur Unterstützung" — aber nicht gestrichen. Neu hinzu kommt ein Verbot von KI-Systemen zur Erzeugung nicht einvernehmlicher intimer Inhalte, das ab dem 2. Dezember 2026 gilt.

Warum die Verschiebung kein Grund zur Entwarnung ist

Aus Sicht der Bankenaufsicht und der Compliance-Praxis sprechen drei Gründe dagegen, die gewonnenen 16 Monate als Pause zu verstehen:

• Die Klassifizierung steht fest. Jedes Kreditscoring-Modell, das heute als hochriskant gilt, gilt auch morgen als hochriskant. Wer sein KI-Inventar, seine Modell-Dokumentation und seine Data-Governance jetzt schleifen lässt, baut denselben Berg 2027 erneut auf — unter größerem Zeitdruck.

• Artikel 50 kommt in wenigen Wochen. Gerade Marketing- und CRM-Teams sind betroffen: Wer generative KI für Kundenanschreiben, Produkttexte oder Kampagnenbilder nutzt, braucht bis August einen Prozess für Kennzeichnung und Offenlegung. Das ist keine Aufgabe der Rechtsabteilung allein, sondern der operativen Teams, die Inhalte erstellen und ausspielen.

• Andere Aufsichtsimpulse laufen weiter. DORA ist seit Januar 2025 anwendbar, und die europäischen Aufsichtsbehörden erhöhen den Druck beim Thema KI-gestützte Cyberrisiken. Der AI Act ist nur ein Baustein eines dichter werdenden Regelwerks.

Was Banken jetzt konkret tun sollten

Die zusätzliche Zeit ist wertvoll — wenn sie genutzt wird. Vier Arbeitspakete bieten sich an:

1. KI-Inventar konsolidieren. Welche Systeme sind im Einsatz, welche fallen unter Anhang III, welche unter Artikel 50? Ohne vollständiges Inventar lässt sich weder priorisieren noch berichten.

2. Artikel-50-Prozesse aufsetzen. Offenlegungstexte für Chatbots, Kennzeichnungsregeln für KI-generierte Inhalte, Verantwortlichkeiten zwischen Marketing, IT und Compliance klären — vor dem 2. August 2026.

3. Datenqualität und Nachvollziehbarkeit ausbauen. Die Hochrisiko-Pflichten ab Dezember 2027 verlangen belastbare Daten-Governance. Wer Kundendaten für Scoring, Segmentierung und Personalisierung nutzt, profitiert doppelt: bessere Modelle heute, geringerer Compliance-Aufwand morgen.

4. Lieferanten einbinden. Viele KI-Funktionen kommen über Drittanbieter in die Bank. Verträge, Auditrechte und Transparenzzusagen sollten jetzt verhandelt werden, nicht erst 2027.

Fazit

Der Digital Omnibus verschafft Banken Luft bei den Hochrisiko-Pflichten — mehr nicht. Die Transparenzpflichten des Artikels 50 gelten ab dem 2. August 2026, die Einstufung von Kreditscoring als Hochrisiko-Anwendung bleibt bestehen, und die Aufsicht erhöht an anderer Stelle bereits den Takt. Institute, die die kommenden Monate für Inventar, Kennzeichnungsprozesse und Daten-Governance nutzen, verwandeln die Verschiebung in einen echten Vorsprung. Institute, die sie als Entwarnung lesen, holen 2027 unter Zeitdruck nach, was heute planbar wäre.