Der 2. August 2026 galt lange als der Tag, an dem die Hochrisiko-Pflichten der KI-Verordnung das Kreditgeschäft erreichen. Der Digital Omnibus hat diesen Kalender verschoben, aber nicht entwertet. Für Banken, Sparkassen und Finanzdienstleister entsteht eine Übergangslage mit zwei Stichtagen, die Compliance-Ausschüsse als Governance-Frage behandeln sollten, nicht als Entwarnung.
Ein Gesetzgebungsverfahren im Zielsprint
Die Ausgangslage ist ungewöhnlich: Eine Verordnung wird substanziell geändert, bevor ihre zentralen Pflichten überhaupt anwendbar sind. Die EU-Kommission hatte den Digital Omnibus on AI am 19. November 2025 vorgeschlagen. Nach der Trilog-Einigung vom 7. Mai 2026 stimmte das Europäische Parlament am 16. Juni zu, der Rat nahm den Rechtsakt am 29. Juni förmlich an. Bis zur Veröffentlichung im EU-Amtsblatt gilt die KI-Verordnung (EU) 2024/1689 jedoch formell in ihrer ursprünglichen Fassung; die geänderten Fristen werden erst am dritten Tag nach der Veröffentlichung verbindlich. Der Zeitplan bis zum 2. August ist eng, das inhaltliche Risiko eines Scheiterns aber entfallen.
Was sich verschiebt: der Kreditscoring-Kalender
Kern des Omnibus ist die Neuterminierung der Hochrisiko-Pflichten. Sie greifen künftig sechs Monate nach der Feststellung, dass harmonisierte Normen oder Leitlinien verfügbar sind, spätestens jedoch am 2. Dezember 2027 für eigenständige Systeme nach Anhang III und am 2. August 2028 für in regulierte Produkte eingebettete KI nach Anhang I. Für Anhang III bedeutet das 16 Monate Aufschub, und genau dorthin gehört das Kreditgeschäft: Nummer 5 Buchstabe b erfasst KI-Systeme für die Kreditwürdigkeitsprüfung und Bonitätsbewertung natürlicher Personen, ausgenommen Systeme zur Aufdeckung von Finanzbetrug. Buchstabe c ergänzt die Risikobewertung und Preisbildung in der Lebens- und Krankenversicherung.
Was am 2. August dennoch scharf wird
Die Verschiebung betrifft die Hochrisiko-Pflichten, nicht die Verordnung insgesamt. Drei Bereiche werden zum Stichtag wirksam.
Erstens die Durchsetzung: Die Ermittlungs- und Sanktionsbefugnisse gelten ab dem 2. August 2026 uneingeschränkt. Der Rahmen des Artikels 99 ist dreistufig: bis 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes bei verbotenen Praktiken, bis 15 Millionen Euro oder 3 Prozent bei Verstößen gegen GPAI- und Hochrisiko-Pflichten, bis 7,5 Millionen Euro oder 1 Prozent bei falschen Angaben gegenüber Behörden. Für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck beginnt zugleich die vollständige Durchsetzung durch die EU-Kommission; Legacy-Modelle von vor August 2025 haben bis zum 2. August 2027 Zeit.
Zweitens die Transparenzpflichten: Artikel 50 Absatz 1, also die Pflicht, Nutzer über die Interaktion mit einem KI-System zu informieren, gilt unverändert ab dem 2. August 2026 und betrifft insbesondere Chatbots im Kundendienst. Verschoben wurde nur die technische Anbieterpflicht zur maschinenlesbaren Kennzeichnung KI-generierter Inhalte nach Absatz 2: Für Bestandssysteme gilt eine Übergangsfrist bis zum 2. Dezember 2026.
Drittens die Verbote: Der Omnibus ergänzt Artikel 5 um ein Verbot von Systemen, die nicht-einvernehmliche intime Darstellungen erzeugen, wirksam ab 2. Dezember 2026. Die bestehenden Verbote, darunter Emotionserkennung am Arbeitsplatz, gelten bereits seit Februar 2025.
Die deutsche Aufsichtsarchitektur: BaFin bleibt die Adresse
Parallel hat Deutschland die Vollzugsarchitektur unter Zeitdruck nachgezogen: Das KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG) passierte am 11. Juni 2026 den Bundestag; am 10. Juli verzichtete der Bundesrat auf den Vermittlungsausschuss, sodass das Gesetz vor dem 2. August in Kraft treten kann. Für den Finanzsektor entscheidend: Für KI-Systeme in direktem Zusammenhang mit einer regulierten Finanztätigkeit ist die Marktüberwachung grundsätzlich der BaFin zugeordnet. Die Bundesnetzagentur koordiniert als zentrale Stelle mit dem Kompetenzzentrum KoKIVO und einem KI Service Desk und greift nur ein, wo keine Fachaufsicht existiert. Institute behalten ihren bekannten Ansprechpartner, allerdings mit erweitertem Prüfprogramm.
Kreditscoring bleibt der Regelfall Hochrisiko
Wer die gewonnene Zeit zur Neubewertung der eigenen Einstufung nutzen will, sollte die Auslegungspraxis kennen. Am 19. Mai 2026 hat die EU-Kommission den Entwurf ihrer Leitlinien zur Hochrisiko-Einstufung vorgelegt; sie sind unverbindlich, dürften die Aufsichtspraxis aber prägen. Zwei Punkte sind zentral: Hochrisiko ist bei den Anhang-III-Kategorien der Regelfall, eine abweichende Einordnung verlangt eine dokumentierte Bewertung nach Artikel 6, und die Ausnahme greift niemals, wenn das System ein Profiling natürlicher Personen durchführt. Auch der verbreitete Einwand, eine KI-Vorprüfung sei unkritisch, weil die finale Entscheidung ein Mensch treffe, trägt nicht: Maßgeblich ist der Einfluss des Systems auf die Entscheidung, nicht seine formale Autonomie.
Operativ gibt es zwei Besonderheiten. Die Konformitätsbewertung erfolgt für die Anhang-III-Nummern 2 bis 8, also auch für das Scoring, im Verfahren der internen Kontrolle ohne notifizierte Stelle. Hinzu kommt eine oft übersehene Pflicht: Betreiber hochriskanter Systeme in der Kreditvergabe müssen eine Grundrechte-Folgenabschätzung durchführen, die sich mit der Datenschutz-Folgenabschätzung nach DSGVO kombinieren lässt.
EBA und BaFin: zusätzliche Schicht, kein neues Universum
Die europäische Bankenaufsicht hat die Schnittstellen früh vermessen. Ihr Mapping von November 2025, mit Fokus auf Kreditwürdigkeitsprüfung und Scoring, kommt zu dem Ergebnis: Der AI Act sieht für einige überlappende Pflichten Derogationen oder Integrationswege vor, für bereits umfassend regulierte Bereiche wie menschliche Aufsicht, Daten-Governance und Cybersicherheit jedoch nicht. Neue EBA-Leitlinien hält die Behörde derzeit nicht für nötig; der Ball liegt bei der Kommission, die Leitlinien zum Zusammenspiel mit dem sektoralen Finanzaufsichtsrecht vorlegen muss. National hat die BaFin im Dezember 2025 eine Orientierungshilfe zu IKT-Risiken beim KI-Einsatz veröffentlicht und KI damit ausdrücklich im DORA-Risikomanagement verankert. Nach Branchenberichten läuft zudem eine MaRisk-Konsultation, die KI-Modelle erstmals explizit regeln soll.
Der Dual-Track als Governance-Frage
Damit ist die Steuerungsfrage für Compliance-Ausschüsse umrissen. Sie lautet nicht, ob der AI Act kommt, sondern gegen welches Datum geplant wird. Formal geltendes Recht ist bis zur Amtsblatt-Veröffentlichung der 2. August 2026, rationale Planungsbasis der 2. Dezember 2027. Eine erneute Verschiebung ist unwahrscheinlich: Das Argument fehlender Normen wurde mit dem Omnibus aufgebraucht, die neuen Daten wurden als Puffer verhandelt.
Entscheidend bleibt die materielle Seite: Die Anforderungen ändern sich nicht, nur der Durchsetzungszeitpunkt. Modellinventar, Risikoklassifizierung, Daten-Governance, Dokumentation, Protokollierung und menschliche Aufsicht sind über MaRisk, BAIT, DORA und die EBA-Leitlinien zur Kreditvergabe ohnehin weitgehend vorgezeichnet. Die 16 Monate sind sinnvoll investiert in die Verzahnung: die Zuordnung jeder AI-Act-Pflicht zu einem bestehenden Kontrollrahmen, die Schließung der Lücken (Grundrechte-Folgenabschätzung, Konformitätsdokumentation, Registrierung) und die dokumentierte Einstufung jedes Modells im Kreditprozess, einschließlich der Grenzfälle zwischen Scoring und Betrugserkennung.
Randnotiz für die Buy-Side
Für Asset Manager und Wertpapierinstitute fällt die Bilanz anders aus: KI im Kerngeschäft dürfte regelmäßig nicht als Hochrisiko einzustufen sein, da Anlageberatung und Portfolioverwaltung nicht in Anhang III stehen. Schnell überschritten ist die Grenze dagegen bei KI im Personalbereich, vom Recruiting bis zur Leistungsbewertung. Die Transparenzpflichten des Artikels 50 gelten ab August gleichwohl auch hier, und wer Basismodelle feintunt, kann unbeabsichtigt selbst zum GPAI-Anbieter mit eigenem Pflichten- und Sanktionsrahmen werden.
Fazit
Der Digital Omnibus ist keine Deregulierung, sondern eine Terminverschiebung mit Systempflege. Für das Kreditgeschäft rückt der härteste Stichtag auf den 2. Dezember 2027, während Durchsetzungsapparat, Transparenzpflichten und die deutsche Aufsichtsarchitektur bereits zum 2. August 2026 stehen. Institute, die den Dual-Track jetzt sauber dokumentieren, gewinnen doppelt: Rechtssicherheit gegenüber einer Aufsicht, die KI längst in ihre laufende Praxis integriert, und einen Vorsprung, wenn die harmonisierten Normen den Countdown zum Dezember 2027 auslösen.
Quellen: Verordnung (EU) 2024/1689 (EUR-Lex); Digital Omnibus on AI, Verfahren 2025/0359(COD); Ratsbeschluss vom 29.06.2026; EP-Abstimmung vom 16.06.2026; EU-Kommission, Draft Guidelines on the Classification of High-Risk AI Systems, 19.05.2026; EBA, AI Act: implications for the EU banking and payments sector, November 2025; BaFin, Orientierungshilfe zu IKT-Risiken beim Einsatz von KI-Systemen, 18.12.2025; KI-MIG (Bundestagsbeschluss 11.06.2026, Bundesrat 10.07.2026).
* DE: Die ergänzenden Inhalte können KI-generiert sein. EN: The additional content may be AI-generated.