Zwei Kalender, ein Pflichtenheft: KI im Kreditgeschäft nach dem Digital Omnibus

Der 2. August 2026 galt lange als der Tag, an dem die Hochrisiko-Pflichten der KI-Verordnung das Kreditgeschäft erreichen. Der Digital Omnibus hat diesen Kalender verschoben, aber nicht entwertet. Für Banken, Sparkassen und Finanzdienstleister entsteht eine Übergangslage mit zwei Stichtagen, die Compliance-Ausschüsse als Governance-Frage behandeln sollten, nicht als Entwarnung.

Ein Gesetzgebungsverfahren im Zielsprint

Die Ausgangslage ist ungewöhnlich: Eine Verordnung wird substanziell geändert, bevor ihre zentralen Pflichten überhaupt anwendbar sind. Die EU-Kommission hatte den Digital Omnibus on AI am 19. November 2025 vorgeschlagen (COM(2025)837, Verfahren 2025/0359(COD)). In der Nacht zum 7. Mai 2026 erzielten Rat und Parlament im Trilog eine politische Einigung, nachdem ein erster Anlauf ohne Ergebnis geblieben war. Das Europäische Parlament stimmte dem Text am 16. Juni 2026 in erster Lesung zu (423 Ja-Stimmen, 57 Gegenstimmen, 174 Enthaltungen), der Rat nahm den Rechtsakt am 29. Juni 2026 förmlich an. Damit ist das Gesetzgebungsverfahren abgeschlossen.
Ki-compliance-kit
Matthias Ernst

Rechtserheblich bleibt ein Detail: Bis zur Veröffentlichung im Amtsblatt der Europäischen Union gilt die KI-Verordnung (EU) 2024/1689 formell in ihrer ursprünglichen Fassung. Erst mit Inkrafttreten des Änderungsrechtsakts, am dritten Tag nach der Veröffentlichung, werden die modifizierten Fristen verbindlich. Erfolgt die Veröffentlichung wider Erwarten nicht rechtzeitig, würden die Anhang-III-Pflichten zum ursprünglichen Stichtag formal anwendbar. Der Zeitplan ist eng, das inhaltliche Risiko eines Scheiterns aber entfallen.
Matthias Ernst

Was sich verschiebt: der Kreditscoring-Kalender

Kern des Omnibus ist die Neuterminierung der Hochrisiko-Pflichten. Die Pflichten sollen künftig sechs Monate nach der Feststellung greifen, dass harmonisierte Normen, gemeinsame Spezifikationen oder Leitlinien verfügbar sind, spätestens jedoch am 2. Dezember 2027 für eigenständige Hochrisiko-KI nach Anhang III und am 2. August 2028 für in regulierte Produkte eingebettete KI nach Anhang I. Für Anhang-III-Systeme bedeutet das eine Verschiebung um 16 Monate.
Tuv
Matthias Ernst

Genau in diese Kategorie fällt das Kreditgeschäft. Anhang III Nummer 5 Buchstabe b erfasst KI-Systeme, die bestimmungsgemäß für die Kreditwürdigkeitsprüfung und Bonitätsbewertung natürlicher Personen verwendet werden sollen, mit Ausnahme von Systemen zur Aufdeckung von Finanzbetrug. Buchstabe c erfasst zusätzlich die Risikobewertung und Preisbildung in der Lebens- und Krankenversicherung. Eine Anomalie-Erkennung, die etwa Doppelzahlungen oder CEO-Fraud aufspürt, fällt damit nicht automatisch in die Hochrisiko-Klasse.
KI Compliance
Haufe

Flankierend bringt der Omnibus Erleichterungen für kleinere Anbieter: Die Kategorie der Small Mid-Caps (bis 750 Mitarbeitende oder 150 Millionen Euro Umsatz) wird auf den AI Act ausgedehnt, verbunden mit vereinfachten Dokumentationspflichten. Für die meisten beaufsichtigten Institute ist das allerdings ohne praktische Bedeutung.
Tuv

Was am 2. August dennoch scharf wird

Die Verschiebung betrifft die Hochrisiko-Pflichten, nicht die Verordnung insgesamt. Drei Bereiche werden zum 2. August 2026 wirksam.

Erstens die Durchsetzung: Die Ermittlungs- und Sanktionsbefugnisse der KI-Verordnung gelten erst ab dem 2. August 2026 uneingeschränkt. Bis dahin dürfen Marktüberwachungsbehörden und das AI Office keine Untersuchungen durchführen oder Sanktionen verhängen. Der Sanktionsrahmen des Artikels 99 ist dreistufig: bis 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes bei verbotenen Praktiken, bis 15 Millionen Euro oder 3 Prozent bei Verstößen gegen GPAI- und Hochrisiko-Pflichten, bis 7,5 Millionen Euro oder 1 Prozent bei falschen Angaben gegenüber Behörden. Für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck ist der 2. August 2026 der Startpunkt der vollständigen behördlichen Durchsetzung durch die Europäische Kommission; für Legacy-Modelle, die vor dem 2. August 2025 auf dem Markt waren, gilt eine verlängerte Frist bis zum 2. August 2027.

Inhalt und fachliche Aussagen dieses Beitrags stammen aus der Recherche der altii-Redaktion. Bei Formulierung und Aufbereitung kam KI-Unterstützung zum Einsatz. Der Text wurde vor der Veröffentlichung redaktionell geprüft und freigegeben.