KI-Ready-Check buchenDas Wichtigste in Kürze
- Der Digital Omnibus verschiebt die Pflichten für eigenständige Hochrisiko-KI-Systeme nach Anhang III vom 2. August 2026 auf den 2. Dezember 2027.
- Der Rat der EU hat die Verschiebung am 29. Juni 2026 final beschlossen, nachdem das Parlament am 16. Juni 2026 zugestimmt hatte.
- Anhang III listet 8 Hochrisiko-Bereiche. Für den Mittelstand relevant sind vor allem KI in der Personalauswahl und bei der Kreditwürdigkeitsprüfung.
- Verbote (Art. 5) und Schulungspflicht (Art. 4) gelten unverändert bereits seit Februar 2025, die Transparenzpflicht (Art. 50) planmäßig ab August 2026.
- Kleinere Mittelständler (Small Mid-Caps) profitieren nach ersten Einschätzungen von vereinfachten Dokumentationspflichten.
- Die Verschiebung ist kein Aufschub der Vorbereitung: Wer betroffen sein könnte, sollte seine KI-Systeme jetzt schon inventarisieren.
Hochrisiko-KI-Systeme nach Anhang III des EU AI Act müssen ihre Pflichten nicht mehr zum 2. August 2026 erfüllen, sondern erst ab dem 2. Dezember 2027. Das Europäische Parlament stimmte der Einigung am 16. Juni 2026 zu. Der Rat der Europäischen Union beschloss die Verschiebung im Rahmen des Digital Omnibus am 29. Juni 2026 final (White & Case, 2026). Für den deutschen Mittelstand bedeutet das 16 Monate mehr Vorbereitungszeit, betrifft aber nur einen Teil der KI-Verordnung: Verbote und Schulungspflicht gelten unverändert bereits seit Februar 2025.
Dieser Artikel erklärt, welche 8 Bereiche als Hochrisiko-KI gelten, was die Fristverschiebung konkret bedeutet und was Mittelständler trotzdem schon jetzt vorbereiten sollten. Er ergänzt unseren Überblick zur KI-Verordnung um die Details zu Anhang III.
Was Hochrisiko-KI nach Anhang III bedeutet
Hochrisiko-KI ist ein KI-System, das nach Anhang III der KI-Verordnung eine erhebliche Gefahr für Gesundheit, Sicherheit oder Grundrechte darstellen kann. Meist entscheidet es direkt über einen Menschen oder bereitet eine solche Entscheidung wesentlich vor. Die Verordnung ordnet dieser Klasse keine einzelnen Produkte zu, sondern ganze Einsatzbereiche. Wer KI in einem der 8 gelisteten Bereiche einsetzt, muss zunächst prüfen, ob das konkrete System darunterfällt.
Anders als bei den verbotenen Praktiken nach Artikel 5 ist Hochrisiko-KI nicht untersagt. Sie darf eingesetzt werden, allerdings nur mit zusätzlicher Kontrolle in 4 Bereichen:
- Risikomanagement über den gesamten Einsatzzeitraum
- geprüfte Datenqualität
- technische Dokumentation
- eine echte menschliche Aufsicht (siehe Human-in-the-Loop)
Die Verordnung unterscheidet dabei zwei Rollen mit unterschiedlich strengen Pflichten. Der Betreiber setzt ein fertiges System im eigenen Betrieb ein, das ist der typische Mittelständler. Wer ein am Markt erhältliches Recruiting- oder Scoring-Tool einkauft, ist fast immer Betreiber, nicht Anbieter.
| Rolle | Kernpflicht | Typisches Beispiel |
|---|---|---|
| Anbieter | Konformitätsbewertung, technische Dokumentation, Registrierung in einer EU-Datenbank | Entwickelt das Hochrisiko-System oder bringt es unter eigenem Namen in Verkehr |
| Betreiber | Gebrauchsanweisung befolgen, menschliche Aufsicht organisieren, Vorfälle melden | Setzt ein eingekauftes Hochrisiko-System im eigenen Betrieb ein |
Zum Vergleichen seitlich wischen
Diese 8 Bereiche zählen als Hochrisiko-KI
Anhang III listet 8 Einsatzbereiche, in denen KI als Hochrisiko gilt. Für den typischen Mittelstandsbetrieb sind davon vor allem zwei Bereiche praktisch relevant, die übrigen sechs betreffen fast ausschließlich Behörden, Versorger oder spezialisierte Sicherheitsdienstleister.
| Bereich | Typisches Beispiel | Relevanz für den Mittelstand |
|---|---|---|
| Biometrie | Gesichts- oder Emotionserkennung | gering, meist nur bei Sicherheitsdienstleistern |
| Kritische Infrastruktur | Steuerung von Strom, Wasser, Verkehr | gering, betrifft vor allem Versorger |
| Bildung und Ausbildung | Zulassung, automatisierte Prüfungsauswertung | gering, betrifft vor allem Schulen und Hochschulen |
| Beschäftigung und Personalwesen | Bewerber-Screening, Kandidaten-Ranking | hoch, viele Betriebe nutzen Recruiting-Tools |
| Wesentliche Dienstleistungen | Kreditwürdigkeitsprüfung, Versicherungstarife | hoch für Finanzdienstleister und Kreditgeber |
| Strafverfolgung | Risikobewertung in Ermittlungen | keine, betrifft nur Behörden |
| Migration und Grenzkontrolle | Visa- und Asylprüfung | keine, betrifft nur Behörden |
| Justiz und Demokratie | Urteilsunterstützung, Wahlbeeinflussung | keine, betrifft nur Justiz und Wahlbehörden |
Zum Vergleichen seitlich wischen
So prüfst du in 4 Schritten, ob dein System betroffen ist
Ob ein konkretes KI-System unter Anhang III fällt, lässt sich in 4 Schritten klären.
Prüfe, ob dein System in einem der 8 Anhang-III-Bereiche läuft, allen voran Personalwesen oder Kreditwürdigkeitsprüfung.
Kläre, ob das System eine Entscheidung über einen Menschen trifft oder nur unterstützt, etwa eine reine Terminplanungs-KI ohne Auswahlfunktion.
Systeme mit eng begrenzter Verfahrensaufgabe oder solche, die nur ein bereits abgeschlossenes menschliches Arbeitsergebnis verbessern, gelten häufig nicht als Hochrisiko-KI.
Halte die Prüfung schriftlich fest, unabhängig vom Ergebnis. Das schafft im Streitfall Nachweisbarkeit.
Der Digital Omnibus verschiebt die Frist auf Dezember 2027
Der Digital Omnibus ist ein Gesetzespaket der EU-Kommission, das die KI-Verordnung an mehreren Stellen vereinfacht und ihre Fristen anpasst. Die Kommission schlug ihn am 19. November 2025 vor. Rat und Parlament einigten sich am 7. Mai 2026 politisch. Das Parlament stimmte am 16. Juni 2026 zu. Der Rat der EU verabschiedete das Paket am 29. Juni 2026 endgültig (White & Case, 2026; Shumaker Loop & Kendrick, 2026). Das Gesetz tritt drei Tage nach Veröffentlichung im Amtsblatt der EU in Kraft.
Die EU-Kommission schlägt den Digital Omnibus zur Vereinfachung der KI-Verordnung vor.
Rat und Parlament einigen sich politisch auf die neuen Fristen.
Das Europäische Parlament stimmt der Einigung zu.
Der Rat der EU verabschiedet den Digital Omnibus endgültig.
Die Pflichten für eigenständige Hochrisiko-KI-Systeme nach Anhang III gelten ab diesem Datum statt wie ursprünglich geplant ab August 2026.
Für KI als Sicherheitskomponente in Produkten wie Maschinen, Aufzügen oder Spielzeug (Anhang I) verschiebt sich die Frist ebenfalls: Statt ab dem 2. August 2027 gelten diese Pflichten erst ab dem 2. August 2028.
Bis zur Veröffentlichung im Amtsblatt der EU steht im Gesetzestext formal noch der 2. August 2026. Rat und Parlament haben der Verschiebung politisch und parlamentarisch bereits final zugestimmt, die Verkündung im Amtsblatt folgt automatisch in den Wochen danach.
Zwei Hochrisiko-Kategorien betreffen den Mittelstand am häufigsten
Von den 8 Hochrisiko-Bereichen wirken sich zwei direkt auf klassische Mittelstandsbetriebe aus: Personalwesen und der Zugang zu Finanzdienstleistungen.
Stell dir vor, ein Handwerksbetrieb mit 80 Mitarbeitenden nutzt ein KI-Tool, das eingehende Bewerbungen automatisch vorsortiert und ein Ranking der Kandidaten erstellt. Ein solches System fällt unter die Kategorie Beschäftigung und Personalwesen, weil es unmittelbar über den Zugang zu einer Stelle mitentscheidet. Sobald die Pflichten ab Dezember 2027 gelten, muss der Betrieb eine geschulte Person mit echter Eingriffsmöglichkeit benennen, die jede automatische Vorauswahl nachvollziehen und korrigieren kann. Mehr zu den Einsatzmöglichkeiten in der Bewerberauswahl liest du in unserem Recruiting-Guide für den Mittelstand.
Ähnlich betroffen sind Unternehmen, die selbst Finanzierungen vergeben oder Bonitätsprüfungen automatisieren, etwa im Leasing- oder Ratengeschäft. Reine Nutzer von Standard-Scoring-Diensten externer Banken sind dagegen in der Regel nicht selbst Betreiber eines Hochrisiko-Systems, weil die Bank diese Rolle übernimmt.
Menschliche Aufsicht bedeutet in beiden Fällen mehr als eine Unterschrift unter einem automatisch erzeugten Ergebnis. Die zuständige Person muss die Logik des Systems verstehen, Ergebnisse stichprobenartig prüfen können und im Zweifel eine automatische Entscheidung tatsächlich überstimmen dürfen. Ein reines Abnicken der KI-Ausgabe erfüllt die Pflicht nicht.
Was bei einem Verstoß droht
Verstöße gegen die Hochrisiko-Pflichten fallen unter das allgemeine Bußgeldregime der KI-Verordnung, nicht unter die höchste Stufe für verbotene Praktiken. Nach Artikel 99 KI-VO drohen bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Für KMU und Start-ups gilt eine Sonderregel: Hier zählt jeweils der niedrigere der beiden Werte, was das Risiko für kleinere Betriebe spürbar deckelt. Details zur KMU-Deckelung und den übrigen Bußgeldstufen findest du in unserem Überblick zur KI-Verordnung.
Diese Pflichten bleiben unverändert: Verbote, Schulung, Transparenz
Der Digital Omnibus verschiebt ausschließlich die Hochrisiko-Pflichten nach Anhang III und Anhang I. Drei andere zentrale Teile der KI-Verordnung bleiben davon unberührt.
| Pflicht | Rechtsgrundlage | Status |
|---|---|---|
| Verbotene Praktiken | Art. 5 KI-VO | seit 2. Februar 2025, unverändert |
| KI-Schulungspflicht | Art. 4 KI-VO | seit 2. Februar 2025, unverändert |
| Transparenzpflicht (Chatbots, Deepfakes) | Art. 50 KI-VO | ab 2. August 2026, unverändert |
| Hochrisiko-KI, eigenständige Systeme | Anhang III KI-VO | ab 2. Dezember 2027, verschoben |
| Hochrisiko-KI in Produkten | Anhang I KI-VO | ab 2. August 2028, verschoben |
Zum Vergleichen seitlich wischen
Wer bereits die verbotenen Praktiken ausgeschlossen und die Schulungspflicht umgesetzt hat, bleibt weiterhin auf der sicheren Seite. Nur die zusätzlichen Hochrisiko-Pflichten rücken nach hinten.
Diese Pflichten kommen ab Dezember 2027 auf Betreiber zu
Betreiber, also Unternehmen, die ein Hochrisiko-System einsetzen statt es zu entwickeln, treffen ab Dezember 2027 5 konkrete Pflichten.
- Gebrauchsanweisung befolgenDas System nur innerhalb der vom Anbieter vorgesehenen Zweckbestimmung einsetzen.
- Menschliche Aufsicht sicherstellenEine qualifizierte Person benennen, die Ergebnisse nachvollziehen und korrigieren kann.
- Eingabedaten prüfenSicherstellen, dass die verwendeten Daten relevant und repräsentativ für den Einsatzzweck sind.
- Vorgänge protokollierenAutomatisch erstellte Logs mindestens 6 Monate aufbewahren.
- Vorfälle meldenSchwerwiegende Vorfälle unverzüglich an Anbieter und zuständige Behörde melden.
Die eigentliche Konformitätsbewertung, also der Nachweis, dass ein Hochrisiko-System diese Anforderungen erfüllt, trifft in erster Linie den Anbieter. Für die meisten Anhang-III-Bereiche darf er sie intern durchführen, nur für biometrische Systeme ist eine externe benannte Stelle vorgeschrieben. Als Betreiber solltest du dir diesen Nachweis beim Einkauf eines Hochrisiko-Tools aktiv vorlegen lassen, statt ihn erst bei einer Prüfung durch die Marktüberwachungsbehörde zu suchen.
Kleinere Mittelständler profitieren von zusätzlichen Erleichterungen
Bereits die KI-Verordnung selbst kennt eine KMU-Erleichterung: die niedrigere Bußgeld-Obergrenze nach Artikel 99. Der Digital Omnibus erweitert nach ersten Einschätzungen (CMS Deutschland, 2026) bestehende Erleichterungen auf eine zusätzliche Gruppe: die sogenannten Small Mid-Cap-Unternehmen. Das sind Betriebe mit bis zu 750 Beschäftigten und höchstens 150 Millionen Euro Jahresumsatz. Damit fallen deutlich mehr Mittelständler unter eine vereinfachte Dokumentationspflicht und reduzierte Anforderungen an das Qualitätsmanagement als bisher, wo die Schwelle bei der klassischen KMU-Definition der EU lag.
Für einen Handwerksbetrieb mit 80 Beschäftigten ändert das wenig, er lag schon vorher innerhalb der KMU-Schwellen. Relevant wird die Ausweitung vor allem für größere Mittelständler zwischen 250 und 750 Mitarbeitenden, die bislang aus der klassischen KMU-Definition herausfielen und künftig von denselben Erleichterungen profitieren sollen.
Der endgültige Wortlaut wird erst mit der Veröffentlichung im Amtsblatt rechtssicher feststehen. Verlass dich für die konkrete Einordnung deines Betriebs nicht allein auf Ankündigungen, sondern prüfe den finalen Text, sobald er erscheint.
Was du jetzt schon vorbereiten solltest
Die Verschiebung auf Dezember 2027 ist kein Aufschub der Vorbereitung, sondern zusätzliche Zeit dafür.
- KI-Systeme inventarisierenListe alle eingesetzten KI-Tools auf, auch solche, die einzelne Teams ohne IT-Freigabe nutzen.
- Anhang-III-Bereiche abgleichenPrüfe jedes System gegen die 8 Hochrisiko-Bereiche, vor allem Personalwesen und Kreditwürdigkeitsprüfung.
- Verantwortliche benennenLege schon jetzt fest, wer im Ernstfall die menschliche Aufsicht für ein Hochrisiko-System übernimmt.
- Unternehmensgröße einordnenPrüfe, ob dein Betrieb unter die geplanten Schwellenwerte für Small Mid-Caps fällt.
- Amtsblatt-Veröffentlichung beobachtenDer endgültige Rechtstext wird erst mit der Verkündung bindend, behalte den Termin im Blick.
Unsicher, ob eines deiner KI-Systeme unter Anhang III fällt? In einer kostenlosen Erstberatung ordnen wir deinen KI-Einsatz ein und benennen die Pflichten, die wirklich für dich gelten.
KI-Ready-Check buchenWas das für deine KI-Strategie bedeutet
Die Fristverschiebung ist kein Grund, Recruiting-KI oder automatisiertes Kreditscoring zu meiden. Beide Anwendungen sparen bei korrekter Aufsicht weiterhin echte Stunden: Ein Bewerber-Ranking entlastet die Personalabteilung bei der Vorauswahl, ein automatisiertes Scoring beschleunigt die Kreditentscheidung. Die Hochrisiko-Pflichten ändern nicht das Ziel, sondern nur den Rahmen, in dem du dieses Ziel erreichst.
Gründer Jannis Gerlinger bringt Digital-Erfahrung seit 2007 mit, von UX/UI über E-Commerce bis heute KI. Dabei zeigt sich ein wiederkehrendes Muster: Unternehmen, die Compliance von Anfang an einplanen, brauchen später keine teure Nachrüstung. Ein Recruiting-Tool, das von Beginn an eine nachvollziehbare Begründung für jedes Ranking liefert, erfüllt die Pflicht zur menschlichen Aufsicht praktisch nebenbei.
Fazit: mehr Zeit, aber die gleiche Richtung
Der Digital Omnibus verschafft Mittelständlern mit Hochrisiko-KI 16 Monate zusätzliche Vorbereitungszeit, ändert aber nichts an der grundsätzlichen Pflicht, KI in der Personalauswahl oder Kreditwürdigkeitsprüfung verantwortungsvoll einzusetzen. Verbote und Schulungspflicht gelten unverändert seit Februar 2025, die Transparenzpflicht kommt planmäßig im August 2026.
Wer jetzt seine KI-Systeme inventarisiert und die zwei mittelstandsrelevanten Anhang-III-Bereiche prüft, muss im Dezember 2027 nicht improvisieren. Eine durchdachte KI-Strategie denkt diese Fristen von Anfang an mit, statt sie nachträglich aufzuarbeiten.
Du willst KI im Unternehmen einführen und dabei von Anfang an compliant bleiben? Wir bauen KI-Systeme für den Mittelstand, DSGVO-konform und mit Blick auf die KI-Verordnung. Buch dir eine kostenlose Erstberatung, in 15 Minuten klären wir deinen Stand.
KI-Ready-Check buchen
Jannis Gerlinger berät kleine und mittlere Unternehmen bei der Einführung von Künstlicher Intelligenz und setzt die Lösungen selbst um: KI-Assistenten, Automationen und individuelle Web-Apps. Als Geschäftsführer der JANGER GmbH arbeitet er seit 2007 an digitalen Systemen für Handwerk, Handel und Industrie, von Onlineshops bis zu internen Werkzeugen. Seine TÜV-Zertifizierung in Verkaufspsychologie verbindet technisches Know-how mit einem tiefen Verständnis für Geschäftsprozesse.
