Die EU-AI-Act-Frist wurde auf 2027 verschoben. Die Arbeit nicht.

Am 29. Juni 2026 erteilte der Rat der EU die endgültige Zustimmung zum Digital Omnibus. Das Paket verschiebt die Hochrisikofrist des EU AI Act nach Annex III vom 2. August 2026 auf den 2. Dezember 2027 (Pinsent Masons, 2026). Kreditwürdigkeitsprüfung, Risikobepreisung in der Versicherung und andere Anwendungsfälle in Finanzdienstleistungen gewannen damit sechzehn Monate.

Die Erleichterung hält weniger lange, als es scheint. Die Transparenzregeln aus Artikel 50 behielten ihr ursprüngliches Datum. Die Pflichten zu menschlicher Aufsicht und Protokollierung aus Artikel 26 beschreiben Infrastrukturarbeit, die eine verschobene Frist niemandem abnimmt.

Was das Digital Omnibus tatsächlich verschoben hat

Parlament und Rat der EU verbrachten 2026 damit, das Digital Omnibus on AI abzuschliessen, ein Paket, das die Kommission zur Vereinfachung des EU AI Act vorgeschlagen hatte. Das Parlament stimmte am 16. Juni 2026 zu, der Rat folgte am 29. Juni mit der endgültigen Zustimmung (Sidley Data Matters, 2026).

Die für Finanzdienstleistungen wichtigste Änderung: Eigenständige Hochrisikopflichten nach Annex III verschieben sich vom 2. August 2026 auf den 2. Dezember 2027. Das betrifft Kreditwürdigkeitsprüfung sowie Risikobepreisung in der Lebens- und Krankenversicherung. Hochrisikosysteme, die in regulierte Produkte eingebettet sind, erhalten Zeit bis zum 2. August 2028 (Pinsent Masons, 2026).

Auch die Sanktionshöhe bei einem Verstoss bleibt unverändert. Verstösse gegen die Kernpflichten der Verordnung, einschliesslich Artikel 50, bleiben mit Bussgeldern von bis zu 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes bedroht, je nachdem, welcher Betrag höher ist (Cloud Security Alliance, 2026).

Artikel 50 zur Transparenz blieb unverändert

Die Transparenzpflichten aus Artikel 50, Offenlegung von KI-Interaktion und Kennzeichnung KI-generierter Inhalte, traten unabhängig von der Annex-III-Verschiebung fristgerecht am 2. August 2026 in Kraft (Cloud Security Alliance, 2026). Eine knappe Übergangsfrist bis zum 2. Dezember 2026 gilt nur für die maschinenlesbare Kennzeichnungspflicht nach Artikel 50(2), und auch dort nur für Systeme, die bereits vor dem 2. August 2026 auf dem Markt waren.

KYC-Chatbots, Assistenten für die Schadenaufnahme und jeder kundenseitige Agent auf Basis generativer KI fallen schon heute unter diese Regel. Unerheblich ist dabei, ob das zugrunde liegende Entscheidungssystem als Hochrisiko nach Annex III gilt.

Warum Banken und Versicherer weiterhin exponiert sind

Deloitte befragte 2025 leitende Führungskräfte aus Finanzdienstleistungen zur Reife ihrer KI-Governance und stellte fest, dass nur 13 % der Institute für vertrauenswürdige KI bereit sind (Deloitte, «AI at a crossroads», 2025). Die übrigen 87 % meldeten Lücken bei Aufsicht, Dokumentation oder Verantwortlichkeitsstrukturen.

Source: Deloitte, «AI at a crossroads», 2025

Eine spätere Frist schliesst diese Lücke nicht von selbst. Artikel 26 verlangt weiterhin, die menschliche Aufsicht einer Person mit Befugnis zuzuweisen, die Ausgaben eines Systems zu überschreiben. Er verlangt zudem, die Systemprotokolle mindestens sechs Monate aufzubewahren. Kredit- und Versicherungsanwendungen erfordern obendrein eine Folgenabschätzung für Grundrechte nach Artikel 27 (EU AI Act Service Desk, Europäische Kommission, 2026).

Finanzinstitute, die bereits den Governance-Vorgaben des EU-Finanzdienstleistungsrechts unterliegen, können die Überwachungspflicht aus Artikel 26 durch diese bestehenden Regelungen als erfüllt betrachten. Zuweisung der menschlichen Aufsicht, Protokollaufbewahrung und Folgenabschätzung bleiben davon eigenständig bestehen.

KYC- und Schadenautomatisierung warten nicht auf Fristen

Finanzunternehmen warteten nicht auf regulatorische Klarheit, um zu automatisieren. Fenergo befragte 2025 dazu 600 leitende Entscheidungsträger bei Banken, Vermögensverwaltern und Fondsadministratoren. Der gemeldete Einsatz fortgeschrittener KI-Tools in KYC und AML sprang dabei innerhalb eines Jahres von 42 % auf 82 % (Fenergo, 2025).

Source: Fenergo, «Global Fincrime Operations Trends in 2025», Befragung von 600 Entscheidungsträgern, 2025

Trotzdem liegt die Automatisierung periodischer KYC-Überprüfungen im Schnitt der Befragten nur bei rund einem Drittel, und 70 % der Unternehmen verloren im vergangenen Jahr einen Kunden wegen langsamer Aufnahmeprozesse, gegenüber 48 % im Jahr 2023. Die Lücke liegt zwischen dem Pilotieren von KI und ihrem Betrieb mit der Aufsicht, die eine Aufsichtsbehörde irgendwann sehen will.

Was operative Bereitschaft tatsächlich braucht

On-Premise-Betrieb verlagert das, was Artikel 26 verlangt, in den eigenen Perimeter des Instituts statt in den eines Anbieters. LLM-Inferenz, Workflow-Ausführung und die Protokolle jedes Agenten laufen innerhalb der Infrastruktur, die das Compliance-Team bereits kontrolliert.

Lunnoa protokolliert Ausführungsverlauf und einen dedizierten Audit-Trail für jede Agentenaktion, sodass eine Compliance-Prüfung nicht von der Aufbewahrungsrichtlinie eines Anbieters oder den Exportgrenzen einer SaaS-Plattform abhängt. Rollenbasierte Zugriffskontrolle weist die von Artikel 26 geforderte Aufsichtsbefugnis einer benannten Person zu, nicht einem geteilten Konto.

Nichts davon wartet bis Dezember 2027, um relevant zu werden. Die Fragen zur Datensouveränität, die ein Anbieter für KYC- oder Schadenautomatisierung heute beantworten muss, liegen nah an den operativen Fragen, die eine Prüfung nach dem EU AI Act morgen stellen wird.

Fazit

Das Digital Omnibus verschaffte Finanzinstituten mehr Vorlauf, bevor Sanktionen nach Annex III greifen, nicht weniger Arbeit bis dahin. Artikel 50 gilt bereits. Die Erwartungen an Aufsicht und Protokollierung aus Artikel 26 beschreiben Infrastruktur, kein Formular, und Infrastruktur braucht länger zum Aufbau, als eine Frist zum Verschieben.