Zwei Jahre lang war der 2. August 2026 das Datum, um das jedes Programm zur EU-KI-Verordnung im Finanzsektor gebaut wurde: der Tag, an dem die eigenständigen Hochrisiko-Pflichten nach Anhang III, die unter anderem Kreditscoring und Versicherungs-Pricing erfassen, gelten sollten. Der Digital Omnibus hat das geändert. Nach den vereinbarten Änderungen wandert das Anwendungsdatum für Anhang III auf den 2. Dezember 2027, und Hochrisiko-KI nach Anhang I, eingebettet in regulierte Produkte, auf den 2. August 2028.
Die Arithmetik: 16 Monate Aufschub für Anhang III, 12 Monate für Anhang I. Die Substanz ist unverändert: Der Omnibus hat Daten verschoben, keine Pflichten. Jede Anforderung, die ein Kreditscoring-System im August 2026 getroffen hätte, trifft es im Dezember 2027, in materiell gleicher Form.
Diese Kombination, mehr Zeit und dasselbe Ziel, lässt sich leicht schlecht handhaben. Die zwei vorhersehbaren Fehlermodi: die Verzögerung als Compliance-Ferien lesen und das Programm auflösen, oder sie ignorieren und Budget in einen Zertifizierungssprint verbrennen, auf den keine Aufsicht wartet. Die richtige Antwort ist präziser: den finalen Compliance-Meilenstein pausieren, alles darunter in Bewegung halten.
Was jetzt gilt, Verschiebung hin oder her
Die Verschiebung ist enger, als die Schlagzeilen nahelegen, und mehrere Teile der Verordnung sind heute scharf:
- Das GPAI-Regime. Die Regeln für KI-Modelle mit allgemeinem Verwendungszweck laufen auf eigener Schiene und sind von der Anhang-III-Verzögerung unberührt. Wer sein Tooling auf einem General-Purpose-Modell aufbaut, für den ist dieses Regime die aktuelle Realität.
- Die Verbote. Verbotene Praktiken bleiben verboten. Nichts im Omnibus setzt sie aus.
- KI-Kompetenz. Die Pflicht, ein ausreichendes Maß an KI-Kompetenz beim Personal sicherzustellen, das mit KI-Systemen arbeitet, gilt weiter, und sie ist die billigste Pflicht, bei deren Ignorieren man erwischt werden kann.
- Transparenz nach Artikel 50. Diese Pflichten gelten seit dem 2. August 2026. Systeme, die mit Menschen interagieren oder Inhalte erzeugen, tragen Offenlegungspflichten jetzt, nicht 2027.
Ein Institut, das “Hochrisiko verschoben” als “KI-Verordnung verschoben” liest, ist an allen vier Fronten exponiert und fühlt sich dabei compliant.
Die neuen Daten, auf Finanz-Use-Cases gemappt
Die Klassifizierungsübung bestimmt jetzt die Frist, weshalb es sich lohnt, sie präzise zu erledigen. Eigenständige Anhang-III-Systeme, die Kategorie, die Kreditscoring sowie Versicherungs-Pricing und -Risikobewertung erfasst, gelten ab dem 2. Dezember 2027. Hochrisiko-KI, eingebettet in regulierte Produkte nach Anhang I, gilt ab dem 2. August 2028. GPAI-basierte Systeme und transparenzpflichtige Systeme laufen auf den früheren, bereits scharfen Schienen.
Dieses Mapping ist nicht trivial, und es ist das Arbeitspaket, das nicht warten sollte. Jedes Modell und jeder Use Case im Bestand braucht eine verteidigungsfähige Klassifizierung: Anhang III, Anhang I, GPAI-basiert, nur transparenzpflichtig oder außerhalb des Anwendungsbereichs. Wer diesen Schritt überspringt, endet mit einer Schätzung auf Portfolioebene und stellt Mitte 2027 fest, dass ein als out of scope behandeltes System eine eigenständige Anhang-III-Anwendung mit achtzehn Monaten fehlender Dokumentation dahinter ist.
Die operativ wertvollen Teile weiterbauen
Der Aufschub ist gut investiert, wenn die Workstreams weiterfinanziert werden, deren Wert nicht am gesetzlichen Datum hängt:
- Inventar und Klassifizierung, wie oben, weil alles andere darauf aufsetzt.
- Governance und Verantwortlichkeit. Risiko-Ownership, Freigabe-Workflows, Model Change Control, das Design menschlicher Aufsicht und Eskalationspfade. Sie brauchen am längsten, weil sie organisatorisch sind, nicht technisch.
- Data Governance und Dokumentation. Lineage, Qualitätskontrollen, Feature-Governance, technische Dokumentation, Model Cards und Logging. Rückwirkend 2027 geschriebene Dokumentation wird schlechter und teurer sein als über laufende Modelländerungen hinweg angesammelte.
- Validierung und Testing. Bias- und Fairness-Tests, Resilienz-Tests, Explainability-Unterstützung und Performance-Monitoring, mit Priorität auf Underwriting-, Kreditentscheidungs- und Versicherungs-Pricing-Modellen, wo die späteren Pflichten am härtesten greifen.
- Vendor- und Third-Party-Management. Beschaffungsklauseln, Audit-Rechte und Evidenzanforderungen an KI-Anbieter, besonders wo eine externe Scoring-Engine oder ein eingebettetes Entscheidungstool im künftigen Anhang-III-Scope sitzen wird. Vertragszyklen sind langsam; Dezember 2027 ist näher, als es vom Beschaffungskalender aus aussieht.
Was sich legitim langsamer takten lässt: der Last-Mile-Sprint zur Konformitätsreife für Anhang-III-Systeme und zertifizierungsartige Readiness-Ausgaben, die rein auf den alten Go-live-Termin zielten. Produkteingebettete Anhang-I-Programme können sich an 2028 ausrichten. Der Test für jede Zurückstellung: Existiert die Maßnahme nur, um das gesetzliche Datum zu treffen? Härtet sie auch die Kontrollumgebung, bleibt sie auf dem aktuellen Plan.
Das Programm auf die neue Uhr fahren
Operativ ändert der Aufschub mehr die Form des Programms als seinen Inhalt. Der formale Compliance-Checkpoint für Anhang-III-Systeme wandert auf Q3–Q4 2027, rückwärts gerechnet vom 2. Dezember, und die Zwischenzeit ist Akkumulationszeit: Kontrollen laufen auf Live-Modellen, Dokumentation reift durch echte Änderungszyklen, Testevidenz baut sich Quartal für Quartal auf. Ein Programm, das achtzehn Monate läuft, erzeugt eine bessere Evidenzbasis als eines, das in einem Sprint zusammengesetzt wird, und das bei niedrigeren Spitzenkosten.
Zwei Warnungen gehören in den Plan. Erstens den Gesetzgebungsstand selbst im Blick behalten: Die Omnibus-Daten stammen aus einer Einigung, die noch formale Schritte vor sich hat; Meilensteindokumente also am aktuellen Text verankern und vor externen Attestierungsausgaben erneut verifizieren. Zweitens das Budget halten. Der häufigste Weg, eine regulatorische Verzögerung zu verschwenden, ist, das Team im ersten Monat umzuwidmen und ein Jahr später in Panik neu einzustellen, also zweimal für Kontext zu zahlen, der zur Tür hinausgegangen ist. Die Pflichten haben sich nicht bewegt. Nur die Frist, und Fristen haben die Angewohnheit, irgendwann anzukommen.
Häufige Fragen
Unser Kreditscoring-Programm war für August 2026 fast fertig. Ist die Arbeit verloren?
Nein, sie ist eingebucht. Die Pflichten wurden verschoben, nicht geändert; Inventar, Dokumentationssatz und Testregime für August 2026 sind dieselben, die im Dezember 2027 gebraucht werden. Der vernünftige Zug ist der Wechsel vom Build- in den Run-Modus: die Kontrollen auf Live-Modellen weiterlaufen lassen, die Dokumentation über einige Änderungszyklen reifen lassen und für 2027 einen leichteren Re-Verifikationssprint einplanen, statt abzubauen und neu aufzubauen.
Betrifft die Verschiebung unsere GPAI-basierten Tools und Chatbots?
Nein. Die Verzögerung betrifft die Hochrisiko-Pflichten nach Anhang III. Das GPAI-Regime läuft auf eigener Schiene weiter, die Verbote bleiben in Kraft, die KI-Kompetenz-Pflicht gilt weiterhin, und die Transparenzpflichten aus Artikel 50 gelten seit dem 2. August 2026. Ein kundenseitiger Assistent auf einem General-Purpose-Modell unterliegt diesen Vorschriften heute, unabhängig davon, was mit dem Hochrisiko-Zeitplan passiert.
Wie planen wir, wenn sich der Zeitplan erneut verschieben könnte?
Das Programm an den Pflichten verankern, nicht am Datum. Inventar, Governance, Daten-Lineage, Testing und Vendor-Kontrollen zahlen sich operativ aus, was auch immer das Gesetz sagt, also laufen sie auf internen Zeitplänen. Datumsabhängig ist nur der formale Konformitäts-Checkpoint, und er wird als Planungsvariable geführt: als geplanter Sprint mit definierter Vorlaufzeit, neu verankert, falls der Gesetzgebungsprozess das Anwendungsdatum erneut in eine der beiden Richtungen verschiebt.