KI-Inventur in zwei Wochen: die Aufgabe, die der Omnibus nicht verschoben hat

Der Digital Omnibus on AI, die Verordnung (EU) 2026/1744 vom 8. Juli 2026, die am 27. Juli 2026 in Kraft tritt, verschiebt die meistzitierte Frist: Hochrisiko-Systeme nach Anhang III der KI-Verordnung (Verordnung (EU) 2024/1689) bekommen Zeit bis zum 2. Dezember 2027 statt bis zum 2. August 2026. Viele Geschäftsleitungen lesen das als Erlaubnis, das Tempo zu drosseln. Eine Aufgabe bleibt auf dem alten Zeitplan: die Inventur der tatsächlich genutzten KI-Systeme, denn ohne sie kann niemand sagen, welche der Fristen das Unternehmen überhaupt betrifft.

Die Liste entscheidet, welche Regeln gelten

Die KI-Verordnung verteilt Pflichten nach Rolle und Risikoklasse. Ein Anbieter eines Hochrisiko-Systems trägt das schwerste Paket, ein Betreiber ein leichteres, und ein Unternehmen mit einem Chatbot schuldet vor allem die Transparenzpflichten aus Art. 50. Keines dieser Etiketten lässt sich abstrakt vergeben; jedes haftet an einem konkreten System mit konkretem Zweck und konkreten Daten. Stellen Sie sich die Sitzung vor, in der die Frage fällt: Wie viele KI-Systeme nutzen wir? Der CIO sagt vier. Die Personalleiterin ergänzt, die Recruiting-Plattform „bewertet die Kandidaten irgendwie”. Das Marketing generiert seit einem Quartal Texte in seiner Planungssuite. Dann öffnet jemand die Ausgabenübersicht und findet Dutzende SaaS-Abonnements, von denen ein guter Teil im letzten Jahr KI-Funktionen erhalten hat, ohne dass ein neuer Vertrag unterschrieben wurde. Der Abstand zwischen der offiziellen Antwort und der echten Liste ist die tatsächliche Exposition des Unternehmens unter der KI-Verordnung, und diese Lücke gehört der Geschäftsleitung, weil sie Verantwortliche und Budget zuweist.

Was der Omnibus verschiebt und was er stehen lässt

Der Omnibus verlegt die Pflichten für Hochrisiko-Systeme nach Anhang III auf den 2. Dezember 2027 und für Hochrisiko-Systeme in regulierten Produkten nach Anhang I auf den 2. August 2028. Systeme, die vor dem 2. August 2026 in Verkehr gebracht wurden, erhalten für Art. 50 Zeit bis zum 2. Dezember 2026. Der Rest bleibt unverändert. Verbotene Praktiken gelten seit dem 2. Februar 2025. Die Pflichten für KI-Modelle mit allgemeinem Verwendungszweck gelten seit dem 2. August 2025. Systeme, die ab dem 2. August 2026 in Verkehr gebracht werden, müssen Art. 50 vom ersten Tag an erfüllen: Nutzer erfahren, dass sie mit einer Maschine sprechen, synthetische Inhalte werden maschinenlesbar gekennzeichnet, Deepfakes werden markiert. Für ein Unternehmen mit Kunden-Chatbot oder Content-Generator liegen die maßgeblichen Termine wenige Tage entfernt, gleich, was mit Anhang III geschieht.

Eine brauchbare Inventur dauert zwei Wochen

Woche eins ist Sammeln. Vier Quellen erfassen fast alles: Einkaufs- und Ausgabendaten, das IT-Asset-Register, der Ordner mit SaaS-Verträgen und eine kurze Umfrage an die Teamleiter, welche Tools bewerten, sortieren, generieren, prognostizieren oder entscheiden. Jeder Treffer kommt in einen Minimaldatensatz: Zweck, Daten ein und aus, Rolle des Unternehmens (Anbieter oder Betreiber), Lieferant, Nutzer, interner Verantwortlicher. Woche zwei ist Triage: die Liste aufteilen in Prüfungen auf verbotene Praktiken, Anhang-III-Kandidaten, Systeme mit Pflichten aus Art. 50 und den Rest, dazu jedes Tool markieren, das auf einem Modell mit allgemeinem Verwendungszweck aufsetzt. Das Ergebnis: ein Register und eine Seite offener Fragen. Wer diesen Schritt auslässt, kann mit dem Datum 2027 nichts anfangen, weil er nicht weiß, ob es sein Datum ist.

Was wir jetzt empfehlen

Alle fünf Schritte passen in das Zwei-Wochen-Fenster:

Benennen Sie diese Woche einen Verantwortlichen für das KI-Register, mit dem Mandat, jedes Team zu befragen, auch HR und Marketing.
Ziehen Sie die vier Quelllisten innerhalb weniger Tage: Ausgaben, IT-Assets, SaaS-Verträge, Team-Umfrage.
Erfassen Sie jedes System im Minimaldatensatz; für den Anfang genügt eine Tabelle.
Nehmen Sie eine erste Klassifizierung vor und markieren Sie alles, was Art. 50 berührt: Chatbots, Content-Generierung, synthetische Medien, dazu Tools auf Basis von Modellen mit allgemeinem Verwendungszweck.
Setzen Sie das Register auf die Tagesordnung der nächsten Sitzung, mit einer Frist je System, und vereinbaren Sie eine vierteljährliche Aktualisierung.

Quellen: Verordnung (EU) 2026/1744 (EUR-Lex) · Europäische Kommission: Regulierungsrahmen für KI

Dieses Material dient der allgemeinen Information und stellt keine Rechts-, Anlage-, Steuer-, Prüfungs- oder sonstige regulierte Fachberatung dar. Die Anwendbarkeit hängt vom Einzelfall, der Rechtsordnung und der aktuellen Rechtslage ab. Vor einer Entscheidung sind die Aktualität der genannten Quellen zu prüfen und geeignete Fachberater einzubeziehen.