Am 27. Juli 2026 ist die Digital-Omnibus-Verordnung in Kraft getreten, fünf Tage vor dem Stichtag, auf den sich viele Unternehmen zwei Jahre lang vorbereitet hatten. Die Pflichten für Hochrisiko-Systeme nach Anhang III gelten nun ab dem 2. Dezember 2027 statt ab dem 2. August 2026. Für KI in regulierten Produkten nach Anhang I verschiebt sich der Termin auf den 2. August 2028.

In den Schlagzeilen wurde daraus, die EU verschiebe die KI-Regeln. Verschoben wurde ein klar abgegrenzter Teil. Ausgerechnet die Pflichten, die die meisten Unternehmen unmittelbar treffen, sind pünktlich in Kraft getreten.

Was seit dem 2. August gilt

Die Transparenz- und Kennzeichnungspflichten nach Artikel 50 gelten unverändert. Sie sind keine eigene Risikoklasse, sondern greifen quer über alle Systeme, auch über solche, die sonst als minimal riskant gelten. Dahinter stehen vier verschiedene Pflichten:

  • Anbieter interaktiver Systeme müssen offenlegen, dass ein Mensch mit einer Maschine spricht.
  • Anbieter generativer Systeme müssen die Ausgaben maschinenlesbar als KI-erzeugt markieren.
  • Betreiber von Emotionserkennung und biometrischer Kategorisierung müssen die betroffenen Personen informieren.
  • Betreiber müssen Deepfakes und veröffentlichte KI-Texte zu Themen von öffentlichem Interesse kennzeichnen.

Die entscheidende Frage lautet damit nicht, in welche Risikoklasse ein System fällt, sondern ob man Anbieter oder Betreiber ist. Wer ein zugekauftes Modell im eigenen Produkt bereitstellt, kann beides gleichzeitig sein. Praktisch geht es um das Kampagnenbild aus dem Bildgenerator, die synthetische Stimme im Servicecenter und den KI-Text zu einer gesellschaftspolitischen Frage.

Ein Detail mit Folgen für jede Marketingabteilung: Ein KI-Text wird nicht dadurch kennzeichnungsfrei, dass ihn jemand nachträglich korrigiert oder sprachlich glättet.

Die nächste Frist liegt im Dezember 2026, nicht 2027

Für generative Systeme, die vor dem 2. August 2026 in Verkehr gebracht wurden, gilt eine Übergangsfrist von vier Monaten. Die maschinenlesbare Markierung muss bis zum 2. Dezember 2026 stehen. Das betrifft praktisch jedes Unternehmen, das vor diesem Sommer eine generative Anwendung produktiv gesetzt hat.

Zum selben Datum treten zwei neue Verbote nach Artikel 5 in Kraft. Der Omnibus ist kein Rückbau.

Der Omnibus nimmt auch Systeme aus der Hochrisikoklasse

Weniger beachtet, für manche Unternehmen aber die grössere Änderung: Der Begriff des Sicherheitsbauteils wurde enger gefasst. Systeme, die ausschliesslich der Nutzerunterstützung, der Leistungsoptimierung, der Automatisierung oder nicht sicherheitsrelevanter Qualitätskontrolle dienen, fallen künftig aus der Hochrisiko-Einstufung heraus. Die blosse Integration in ein reguliertes Produkt begründet für sich genommen keine Sicherheitsfunktion mehr.

Wer eine Einstufung bereits vorgenommen hat, sollte sie deshalb erneut prüfen. Sie kann heute anders ausfallen, und zwar zugunsten des Unternehmens.

Warum das Schweizer Unternehmen betrifft

Die KI-Verordnung knüpft nicht am Sitz des Unternehmens an, sondern am Markt. Wer ein KI-System in der EU in Verkehr bringt oder betreibt, oder wessen Systemergebnisse in der EU genutzt werden, fällt in den Anwendungsbereich. Ein Schweizer Softwareanbieter mit EU-Kunden ist erfasst, ebenso ein Schweizer Konzern, der ein Werkzeug über alle Landesgesellschaften ausrollt.

Das Muster ist dasselbe wie bei NIS-2: Die Schweiz steht formal aussen vor und ist über Kunden, Konzernstrukturen und Verträge trotzdem mitten drin. Verstösse gegen Artikel 50 sind mit bis zu 15 Millionen Euro oder drei Prozent des weltweiten Jahresumsatzes bewehrt.

Was jetzt sinnvoll ist

  • Ein Verzeichnis der eingesetzten KI-Systeme aufbauen, mit Rollenzuordnung: Anbieter oder Betreiber.
  • Die Kennzeichnung in Marketing, Kommunikation und Kundendienst verankern, nicht als Einzelfallentscheid.
  • Hinweistexte in Chatbots und Assistenzsystemen prüfen.
  • Verträge mit KI-Anbietern und Cloud-Plattformen auf Kennzeichnungs- und Informationspflichten durchsehen.
  • Bestehende Hochrisiko-Einstufungen im Licht der engeren Definition neu bewerten.

Die Arbeit vor jeder Einstufung bleibt dieselbe: zu wissen, welche KI-Systeme im Unternehmen laufen, wer sie verantwortet und welche Entscheidungen sie beeinflussen. Diese Frage hängt an keinem Termin, und in den meisten Unternehmen ist sie unbeantwortet. Wie eine AI Governance aussieht, die das ordnet, ohne den Betrieb auszubremsen, haben wir in KI verantwortungsvoll einführen beschrieben.