Das Digital Omnibus zur KI hat die Fristen verschoben, die Schlagzeilen machten, und die Frist unangetastet gelassen, die tatsächlich Ihr Projekt betrifft. Die Hochrisiko-Pflichten rutschten um mehr als ein Jahr. Die Transparenzpflicht aus Artikel 50 rutschte nicht. Sie gilt ab 2. August 2026, was etwa drei Wochen entfernt liegt, und sie ist die Vorschrift, die gewöhnliche Teams bei gewöhnlichen Dingen erwischt: Text, Bilder oder Audio mit einem Modell erzeugen und die Ausgabe einer Person vorlegen.

Die Entlastung war real, und ich verstehe, warum Teams die Berichterstattung gelesen und sich entspannt haben. Es war nur Entlastung für ein anderes Problem als das, das die meisten von uns haben. Wenn Sie einen Summarizer, einen Support-Assistenten oder eine Content-Pipeline auf Amazon Bedrock betreiben, hätte Sie fast nichts von dem, was verschoben wurde, je gebunden. Was Sie bindet, ist das, was geblieben ist.

Was tatsächlich passiert ist

Das Europäische Parlament billigte das Digital Omnibus zur KI am 16. Juni 2026, und der Rat verabschiedete es am 29. Juni 2026 formell, womit das Gesetzgebungsverfahren abgeschlossen ist. Es tritt diesen Monat mit der Veröffentlichung im Amtsblatt in Kraft. Das ist also geltendes Recht, kein Vorschlag, den man verfolgen müsste.

Was sich geändert hat:

  • Hochrisikosysteme nach Anhang III (eigenständig) verschieben sich vom 2. August 2026 auf den 2. Dezember 2027.
  • Hochrisikosysteme nach Anhang I (eingebettet in regulierte Produkte) verschieben sich vom 2. August 2027 auf den 2. August 2028.
  • Ein neues Verbot für Systeme, die nicht einvernehmliche intime Bildinhalte und CSAM erzeugen oder keine angemessenen Schutzmaßnahmen dagegen bieten, gilt ab 2. Dezember 2026.

Was sich nicht geändert hat: Die Transparenzpflichten aus Artikel 50 gelten weiterhin ab 2. August 2026.

Die Verwechslung, die es zu vermeiden gilt

Zwei separate Termine, beide am 2. August, richten gerade viel Schaden in internen Diskussionen an, also seien Sie präzise, welchen jemand meint.

2. August 2025 war der GPAI-Termin. Die Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck, Artikel 51 bis 56, gelten seit fast einem Jahr. Die treffen denjenigen, der das Modell bereitstellt. Wenn Sie Anthropic- oder Meta- oder Mistral-Gewichte über Bedrock aufrufen, sind Sie nicht der GPAI-Anbieter, und dieser Termin war nie Ihrer.

2. August 2026 ist der Transparenztermin, und er trifft Anbieter und Betreiber von KI-Systemen. Das sind Sie. Ein Feature auf dem Modell eines anderen zu bauen macht Sie zum Anbieter des Systems, das Sie gebaut haben, und es zu betreiben macht Sie zum Betreiber. Keine dieser Rollen wurde verschoben.

Ich saß in mehr als einem Meeting, in dem "das AI-Act-Zeug ist schon letzten August passiert" und "der AI Act wurde auf 2027 verschoben" innerhalb von zwanzig Minuten fielen, und beide Sprecher hatten teilweise recht, was die schlimmste Art von Uneinigkeit ist.

Was Artikel 50 verlangt

Vier Pflichten, und sie sind enger und mechanischer, als der Diskurs nahelegt.

50(1): Menschen mitteilen, dass sie mit einer Maschine sprechen

Wenn ein System direkt mit Menschen interagiert, müssen sie darüber informiert werden, dass sie mit einem KI-System interagieren, es sei denn, dies ist für eine hinreichend aufmerksame Person aus dem Kontext offensichtlich. Ein Chat-Widget mit der Beschriftung "KI-Assistent" ist erledigt. Ein Assistent mit menschlichem Vornamen, in eine Support-Warteschlange gesetzt und nie offengelegt, ist es nicht.

50(2): Synthetische Ausgaben maschinenlesbar kennzeichnen

Das ist diejenige mit Engineering darin. Anbieter von Systemen, die synthetisches Audio, Bild, Video oder Text erzeugen, müssen Ausgaben in einem maschinenlesbaren Format kennzeichnen, das als künstlich erzeugt oder manipuliert erkennbar ist. Keine für Menschen sichtbare Beschriftung: eine Kennzeichnung, die eine Maschine erkennen kann, was in der Praxis Herkunftsmetadaten wie C2PA für Bilder, Wasserzeichen, wo anwendbar, und einen dokumentierten Ansatz für Text bedeutet, wo der Stand der Technik ehrlich gesagt schwächer ist, als es die Formulierung nahelegt. Artikel 50(2) verlangt, dass Kennzeichnungslösungen, in seinen eigenen Worten, wirksam, interoperabel, robust und zuverlässig sind, soweit dies technisch machbar ist, und diese letzte Klausel trägt bei Text echtes Gewicht.

Es gibt ein Übergangsdetail, das man kennen sollte, und es ist die einzige Stelle, an der das Omnibus Artikel 50 überhaupt berührt hat: Systeme, die synthetische Inhalte erzeugen und bereits vor dem 2. August 2026 auf dem Markt waren, erhalten bis zum 2. Dezember 2026 Zeit für die Pflicht zur maschinenlesbaren Kennzeichnung. Eine viermonatige Gnadenfrist, nur für bestehende Systeme. Alles, was Sie nach dem 2. August ausliefern, fällt vom ersten Tag an unter die Regelung. Wenn Sie das als Erleichterung lesen: Sie kauft vier Monate für Systeme, die Sie bereits ausgeliefert haben, und nichts für die Roadmap.

50(3): Emotionserkennung und biometrische Kategorisierung

Betreiber müssen die davon betroffenen Personen informieren. Wenn das auf Sie zutrifft, wissen Sie es bereits, und Sie haben an anderer Stelle im Gesetz größere Pflichten.

50(4): Deepfakes und Text von öffentlichem Interesse

Betreiber müssen Deepfake-Inhalte als künstlich erzeugt offenlegen. Und Betreiber, die KI-generierten oder KI-manipulierten Text veröffentlichen, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren, müssen das ebenfalls offenlegen, es sei denn, ein Mensch hat ihn geprüft und jemand trägt die redaktionelle Verantwortung. Diese Ausnahme ist der Design-Hinweis: menschliche Prüfung mit benannter Verantwortlichkeit ist ein echter Weg, kein Schlupfloch.

Was das bedeutet, wenn Sie auf Bedrock bauen

Bedrock kennzeichnet Ausgaben nicht für Sie. Es gibt kein Flag bei Converse, das Ihre synthetischen Inhalte konform macht, und das sollte es auch nicht geben, weil Kennzeichnung eine Eigenschaft des Artefakts ist, das Sie erzeugen, und der Pipeline, die es erzeugt. AWS liefert die Inferenz. Die Pflicht haftet am System, das Sie darum herum gebaut haben.

Praktisch, vier Dinge:

  • Inventarisieren Sie, was Sie erzeugen und wo es landet. Die meisten Teams können das nicht in einem Meeting beantworten. Jeder Modellaufruf, der Inhalte erzeugt, die einer Person außerhalb des Unternehmens gezeigt werden, plus welche Modalität, plus ob ein Mensch vor der Veröffentlichung prüft. Das Inventar ist die Arbeit; die Klassifizierung ist meist einfach, sobald Sie es haben.
  • Hängen Sie Herkunftsnachweise bei der Erzeugung an, nicht bei der Veröffentlichung. Wenn ein Bild von einem Modell erzeugt wird, kennzeichnen Sie es im Pipeline-Schritt, der es erzeugt hat. Später zu kennzeichnen bedeutet, es später zu finden, und Sie werden nicht alles finden.
  • Schreiben Sie Ihren Textansatz und die Begründung auf. Textkennzeichnung ist wirklich noch ungeklärt. Eine dokumentierte, verteidigbare Position, die den Weg über menschliche Prüfung und redaktionelle Verantwortung dort nutzt, wo er passt, schlägt eine undokumentierte Wette. "Technisch machbar" ist ein Standard, den Sie mit Nachweisen erfüllen können, nicht mit Schweigen.
  • Prüfen Sie die Offenlegung, die Sie bereits ausliefern. Die Arbeit für 50(1) ist oft bereits erledigt und muss nur noch bestätigt werden. Das ist die günstigste Zeile in der Tabelle.

Warum die Verschiebung Ihnen nicht hilft

Anhang III umfasst Kreditscoring, Einstellung, Bildungszugang, wesentliche Dienstleistungen, Strafverfolgung, Migration. Real, aber eine spezifische Liste. Wenn Ihr Produkt nicht darauf steht, ist der 2. Dezember 2027 Trivia. Das Denkmodell, das versagt, behandelt "den AI Act" als eine einzige Frist mit einem Datum. Es ist ein Bündel von Pflichten, die an Rollen geknüpft sind, jede mit ihrer eigenen Uhr, und das Omnibus hat einige Uhren verstellt und andere nicht. Ihre hat sich vielleicht überhaupt nicht bewegt.

Ab dem 2. August 2026 können das AI Office und nationale Behörden Verstöße gegen Anbieter- und Betreiberpflichten, einschließlich Artikel 50, mit bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes ahnden, je nachdem, welcher Betrag höher ist. Die Durchsetzungskapazität wird in den ersten Monaten begrenzt sein, und niemand Vernünftiges erwartet eine Welle von Bußgeldern im August. Das ist ein Grund zur Gelassenheit, nicht zur Unvorbereitetheit, denn der Inventarisierungsschritt ist der langsame Teil, und er wird unter Druck nicht schneller.

Die Quintessenz

Das Digital Omnibus hat Hochrisikopflichten auf Dezember 2027 und August 2028 verschoben und die Transparenzpflicht aus Artikel 50 auf dem 2. August 2026 belassen. Die GPAI-Pflichten gelten bereits seit August 2025 und waren immer die Aufgabe von jemand anderem, nicht Ihre. Wenn Sie mit einem Modell Inhalte erzeugen und sie Menschen in der EU zeigen, liegt Ihre Frist drei Wochen entfernt, mit einer viermonatigen Kennzeichnungsgnadenfrist nur für bereits am Markt befindliche Systeme. Inventarisieren Sie, was Sie erzeugen, kennzeichnen Sie es dort, wo Sie es erzeugen, dokumentieren Sie Ihre Begründung für Text, und legen Sie den Bot offen. Das ist ein kleineres Projekt, als die Schlagzeilen nahelegen, und es ist erheblich früher fällig.

Weiterlesen

Die Seite zu Datenresidenz und Account-Grenzen bei EU-Compliance-Arbeit finden Sie in den Field Notes auf ercan.cloud. Der Hub ist unter ercanermis.com.