Der AI Act nach dem Digital Omnibus: Welche Fristen für kirchliche Träger jetzt gelten, kirchliche-ki.de

Wer in den vergangenen Monaten eine Planung für die KI-Verordnung aufgesetzt hat, arbeitet seit dieser Woche mit veralteten Daten. Am 24. Juli 2026 wurde die Digital-Omnibus-Verordnung zur KI im Amtsblatt veröffentlicht, am 27. Juli 2026 ist sie in Kraft getreten. Sie ändert über die KI-Verordnung hinaus zwei weitere Verordnungen, verschiebt zentrale Geltungstermine und formuliert ausgerechnet die Pflicht neu, die für Träger bisher am greifbarsten war: die KI-Kompetenz nach Artikel 4.

Der in vielen Beiträgen genannte 2. August 2026 bleibt ein wichtiges Datum, ist aber nur noch ein Teil der Antwort. Dieser Text sortiert die Lage aus der Perspektive einer Einrichtung, die KI-Systeme betreibt statt sie herzustellen, also aus der Betreiber-Perspektive.

Ein Ergebnis vorweg, weil die Schlagzeilen in eine andere Richtung zeigen: Für kirchliche und diakonische Einrichtungen ist die Änderung keine Entwarnung. Sie verschiebt Termine und lockert eine Formulierung, sie ändert aber nichts an den Pflichten, aus denen sich der Qualifizierungsbedarf in diesem Sektor tatsächlich ergibt. Warum das so ist, steht weiter unten unter „Warum die Schulungsfrage damit nicht erledigt ist”.

Was genau in Kraft getreten ist

Die maßgebliche Rechtsquelle ist die Verordnung (EU) 2026/1744 des Europäischen Parlaments und des Rates vom 8. Juli 2026 zur Änderung der Verordnungen (EU) 2024/1689, (EU) 2018/1139 und (EU) 2023/1230 im Hinblick auf die Vereinfachung der Umsetzung harmonisierter Vorschriften für künstliche Intelligenz. Der Kurzname im Amtsblatt lautet Digital-Omnibus-Verordnung zur KI.

Zwei Details der Schlussbestimmung sind für die Praxis wichtiger, als sie aussehen. Artikel 4 der Änderungsverordnung lautet:

„Diese Verordnung tritt am dritten Tag nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.”

Ein aufgeschobener Geltungsbeginn folgt nicht. Anders als bei der KI-Verordnung selbst, deren Bestimmungen gestaffelt anwendbar werden, gelten die Änderungen also unmittelbar seit dem 27. Juli 2026. Wer eine Bestandsaufnahme gegen den bisherigen Wortlaut geprüft hat, prüft seither gegen einen Text, den es so nicht mehr gibt.

Artikel 4: von der Ergebnispflicht zur Förderpflicht

Die auffälligste Änderung für Träger betrifft die KI-Kompetenz. Die Änderungsziffer 5 der Verordnung 2026/1744 lautet schlicht „Artikel 4 erhält folgende Fassung”. Der Vergleich lohnt sich im Wortlaut.

Bisher (Verordnung (EU) 2024/1689, Artikel 4):

„Die Anbieter und Betreiber von KI-Systemen ergreifen Maßnahmen, um nach besten Kräften sicherzustellen, dass ihr Personal und andere Personen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind, über ein ausreichendes Maß an KI-Kompetenz verfügen […]”

Seit dem 27. Juli 2026 (Artikel 4 Absatz 1 neue Fassung):

„Die Anbieter und Betreiber von KI-Systemen ergreifen Maßnahmen, um die Entwicklung der KI-Kompetenz ihres Personals und anderer Personen zu unterstützen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind […] Diese Verpflichtung verpflichtet Anbieter oder Betreiber nicht, für irgendeine Person ein bestimmtes Niveau an KI-Kompetenz zu garantieren.”

Der Unterschied liegt im Bezugspunkt. Die alte Fassung war auf ein Ergebnis gerichtet, nämlich darauf, dass die betroffenen Personen über ein ausreichendes Maß an Kompetenz verfügen. Die neue Fassung ist auf eine Tätigkeit gerichtet, nämlich darauf, die Entwicklung dieser Kompetenz zu unterstützen. Der angefügte Satz stellt zusätzlich klar, dass kein bestimmtes Kompetenzniveau geschuldet ist.

Vor einer Überinterpretation sei gewarnt, in beide Richtungen. Die Pflicht ist nicht entfallen, sie steht weiterhin im verfügenden Teil der Verordnung und gilt unverändert seit dem 2. Februar 2025, denn die Kapitel I und II bleiben auch nach der Änderung ab diesem Datum anwendbar. Umgekehrt war die alte Fassung mit ihrem „nach besten Kräften” schon bisher keine strikte Erfolgshaftung. Verschoben hat sich also nicht das Ob, sondern der Maßstab, an dem eine Aufsicht die Erfüllung misst.

Den Grund nennt der Verordnungsgeber selbst. Erwägungsgrund 8 der Änderungs verordnung hält fest, Erfahrungen der Interessenträger zeigten, dass strenge Verpflichtungen zur Sicherstellung eines ausreichenden Maßes an KI-Kompetenz „nicht für alle Arten von Anbietern und Betreibern geeignet” seien und insbesondere für kleinere Unternehmen zusätzlichen Befolgungsaufwand verursachten, während KI-Kompetenz „unabhängig von gesetzlichen Verpflichtungen und möglichen Sanktionen eine strategische Priorität sein sollte”.

Warum die Schulungsfrage damit nicht erledigt ist

Für die Planung eines Trägers ist die entscheidende Frage nicht, wie streng Artikel 4 formuliert ist, sondern über welche Wege ein Kompetenzmangel überhaupt Folgen hat. Drei Wege sind zu unterscheiden, und nur einer davon ist vom Digital Omnibus berührt.

Erstens, das Bußgeldrecht der KI-Verordnung. Hier ändert sich nichts, weil es nie einschlägig war. Der Bußgeldkatalog in Artikel 99 Absatz 4 zählt die sanktionierten Pflichten abschließend auf: die Pflichten der Anbieter nach Artikel 16, der Bevollmächtigten nach Artikel 22, der Einführer nach Artikel 23, der Händler nach Artikel 24, der Betreiber nach Artikel 26 sowie die Anforderungen an notifizierte Stellen. Artikel 4 steht nicht in dieser Liste, weder vorher noch nachher. Ein Verstoß gegen die KI-Kompetenzpflicht ist als solcher nicht bußgeld bewehrt. Wer für Schulungen mit drohenden Bußgeldern nach der KI-Verordnung argumentiert, argumentiert an der Norm vorbei.

Zweitens, die allgemeine Sorgfaltspflicht. Die Bundesnetzagentur hat in ihrem Hinweispapier zu Artikel 4 vom Juni 2025 die praktisch wichtigste Formulierung geprägt:

„Ein Mangel an KI-Kompetenz kann als Verletzung der Sorgfaltspflicht angesehen werden, insbesondere wenn dadurch ein Schaden entsteht. Daher empfiehlt die Bundesnetzagentur, dass Organisationen ihre Maßnahmen zur Sicherstellung von KI-Kompetenz gut dokumentieren.”

Dieser Weg führt nicht über die KI-Verordnung, sondern über die allgemeinen Regeln zur Organisationsverantwortung. Er hängt deshalb nur mittelbar am genauen Wortlaut von Artikel 4. Wenn in einer Einrichtung ein Schaden entsteht, weil eine Mitarbeiterin ein KI-System ohne die nötige Einweisung eingesetzt hat, ist die Frage, ob die Organisation zumutbare Vorkehrungen getroffen hat. Diese Frage stellt sich unabhängig davon, ob die Verordnung ein Kompetenzniveau garantiert sehen will oder dessen Entwicklung unterstützt.

Ein Hinweis zur Aktualität dieser Quelle gehört dazu: Das Hinweispapier stammt vom Juni 2025 und bezieht sich ausdrücklich auf die alte Fassung von Artikel 4. Auch die zugehörige Informationsseite der Bundesnetzagentur zitierte am 29. Juli 2026, also zwei Tage nach Inkrafttreten der Änderung, noch den bisherigen Wortlaut. Das ist bei einer erst wenige Tage alten Verordnung wenig überraschend, sollte aber davon abhalten, behördliche Handreichungen derzeit ungeprüft als aktuellen Stand zu übernehmen.

Drittens, das kirchliche Datenschutzrecht. Dieser Weg ist vom Digital Omnibus überhaupt nicht berührt, und für kirchliche und diakonische Einrichtungen ist er der belastbarste. Er verdient deshalb mehr als eine Randnotiz, denn hier stehen die Pflichten nicht im Konjunktiv.

Beide Kirchengesetze verpflichten die bei der Datenverarbeitung tätigen Personen förmlich auf das Datengeheimnis, schriftlich und bei Aufnahme der Tätigkeit (§ 26 DSG-EKD, § 5 KDG). Beide kennen darüber hinaus eine ausdrückliche Unterrichtungs- und Schulungsaufgabe. Auf evangelischer Seite gehört es zu den Aufgaben der örtlich Beauftragten, „die bei der Verarbeitung personenbezogener Daten tätigen Personen zu informieren und zu schulen” (§ 38 Nr. 3 DSG-EKD); die verantwortliche Stelle hat ihnen dafür Fort- und Weiterbildung zu ermöglichen und die Kosten zu tragen (§ 37 Abs. 3 DSG-EKD). Auf katholischer Seite haben betriebliche Datenschutzbeauftragte „die bei der Verarbeitung personenbezogener Daten tätigen Personen durch geeignete Maßnahmen mit den Vorschriften dieses Gesetzes sowie anderer Vorschriften über den Datenschutz und mit den jeweiligen besonderen Erfordernissen des Datenschutzes vertraut zu machen” (§ 38 Buchst. c KDG).

Diese Pflichten sind dauerhaft und nicht an ein Stichdatum gebunden. Sie greifen genau dann, wenn ein neues Werkzeug neue Anforderungen an den Umgang mit personenbezogenen Daten stellt, und ein KI-System, in das Mitarbeitende Texte, Akteninhalte oder Gesprächsnotizen eingeben, ist ein solches Werkzeug. Eine europäische Verordnung, die ihre eigene Kompetenzpflicht anders formuliert, ändert daran nichts. Für die Planung heißt das: Wer seinen Qualifizierungsbedarf allein an der KI-Verordnung aufgehängt hat, hat ihn am schwächeren der beiden Anker befestigt, und dieser Anker hat am 27. Juli 2026 nachgegeben.

Was die Änderung also bedeutet, und was nicht

Zusammengefasst, weil die Verkürzung „KI-Kompetenzpflicht gelockert” in Umlauf ist und in die Irre führt:

Nicht entfallen ist die Pflicht aus Artikel 4. Sie steht weiter im verfügenden Teil der Verordnung und gilt seit dem 2. Februar 2025.
Nicht geändert hat sich die Rechtslage beim Bußgeld, weil Artikel 4 dort nie erfasst war. Wer bisher mit Bußgeldern nach der KI-Verordnung argumentiert hat, lag schon vorher falsch.
Nicht berührt sind die Unterrichtungs-, Schulungs- und Verpflichtungstatbestände des kirchlichen Datenschutzrechts. Für Einrichtungen unter KDG oder DSG-EKD ist das der eigentlich maßgebliche Rahmen.
Nicht aufgehoben ist die Organisationsverantwortung, wenn aus einem unsachgemäßen KI-Einsatz ein Schaden entsteht.
Geändert hat sich der Maßstab innerhalb der KI-Verordnung: geschuldet ist die Unterstützung der Kompetenzentwicklung, nicht ein garantiertes Kompetenzniveau.

Praktisch verschiebt das die Begründung, nicht den Bedarf. Wer die Änderung als Anlass nimmt, Qualifizierung zu streichen, streicht sie an einer Stelle, an der die KI-Verordnung ohnehin nie die tragende Pflicht war.

Die verschobenen Hochrisiko-Fristen

Der eigentliche Kern der Änderungsverordnung ist die neue Zeitachse für Hochrisiko-KI-Systeme. Die Begründung ist bemerkenswert offen: Der Verordnungsgeber benennt die verzögerte Verfügbarkeit von Normen und gemeinsamen Spezifikationen sowie die verzögerte Einrichtung der zuständigen nationalen Behörden und hält fest, es sei „nicht gerechtfertigt”, den ursprünglichen Geltungsbeginn 2. August 2026 beizubehalten.

Artikel 113 Absatz 3 Buchstabe c der KI-Verordnung lautet in der neuen Fassung, dass die Anforderungen an Hochrisiko-KI-Systeme aus Kapitel III Abschnitte 1, 2 und 3 gelten ab dem

2. Dezember 2027 für Systeme, die nach Artikel 6 Absatz 2 und Anhang III als hochriskant eingestuft sind, und dem
2. August 2028 für Systeme, die nach Artikel 6 Absatz 1 und Anhang I als hochriskant eingestuft sind, also für KI als Sicherheitsbauteil in Produkten, die bereits sektoralem Recht unterliegen.

Für Träger ist der erste Termin der relevante. Anhang III erfasst unter Nummer 4 die Bereiche Beschäftigung und Personalmanagement, ausdrücklich einschließlich Systemen zur Sichtung und Filterung von Bewerbungen sowie zur Bewertung von Leistung und Verhalten Beschäftigter. Nummer 5 erfasst die Zugänglichkeit grundlegender privater und öffentlicher Dienste, darunter Systeme, mit denen Behörden oder Stellen in deren Namen den Anspruch auf Unterstützungsleistungen beurteilen. Wer solche Vorhaben in der Pipeline hat, gewinnt sechzehn Monate. Wer sie als erledigt abgehakt hatte, weil sie 2026 ohnehin nicht mehr zu schaffen waren, sollte neu rechnen.

Zwei Einschränkungen sind wichtig. Die Verschiebung betrifft die Anforderungen und Pflichten aus Kapitel III, nicht die Verbote aus Artikel 5, und sie ist kein Freibrief für Bestandssysteme: Für Hochrisiko-KI-Systeme, die bestimmungsgemäß von Behörden verwendet werden, bleibt es dabei, dass Anbieter und Betreiber die erforderlichen Maßnahmen bis zum 2. August 2030 treffen.

Was am 2. August 2026 dennoch beginnt

Der allgemeine Geltungsbeginn der KI-Verordnung bleibt unangetastet. Drei Punkte werden für Betreiber jetzt praktisch.

Transparenzpflichten nach Artikel 50. Betreiber eines KI-Systems, das Bild-, Ton- oder Videoinhalte erzeugt oder manipuliert, die ein Deepfake sind, müssen offenlegen, dass die Inhalte künstlich erzeugt oder manipuliert wurden. Für Texte gilt eine engere Regel: Wird ein KI-erzeugter Text veröffentlicht, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren, ist die künstliche Erzeugung offenzulegen, es sei denn, der Inhalt wurde einer menschlichen Überprüfung oder redaktionellen Kontrolle unterzogen und eine Person trägt die redaktionelle Verantwortung. Für die Öffentlichkeitsarbeit eines Trägers ist das die entscheidende Weiche: Eine dokumentierte redaktionelle Verantwortung löst die Kennzeichnungsfrage, ein unkontrollierter Automatismus nicht. Die Änderungsverordnung gewährt hier eine Übergangsfrist, allerdings nur auf der Anbieterseite: Anbieter generativer Systeme, die bereits vor dem 2. August 2026 in Verkehr gebracht wurden, müssen der maschinenlesbaren Kennzeichnungspflicht nach Artikel 50 Absatz 2 erst bis zum 2. Dezember 2026 nachkommen.

Neue Verbote mit eigenem Datum. Die Änderungsverordnung fügt Artikel 5 zwei weitere verbotene Praktiken hinzu, die abweichend erst ab dem 2. Dezember 2026 gelten. Beide betreffen generative Systeme: die Erzeugung intimer oder sexualisierter Darstellungen bestimmbarer Personen ohne deren ausdrückliche Zustimmung sowie die Erzeugung von Material im Sinne der Richtlinie 2011/93/EU. Die seit dem 2. Februar 2025 geltenden Verbote bleiben unberührt, und für sie gilt weiterhin der schärfste Bußgeldrahmen der Verordnung von bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes.

Eine zuständige Behörde in Deutschland. Der Bundestag hat am 11. Juni 2026 das Gesetz zur Durchführung der Verordnung (EU) 2024/1689 beschlossen (Bundestagsdrucksache 21/4594, angenommen in der Fassung der Beschlussempfehlung 21/6407); der Bundesrat hat am 10. Juli 2026 zugestimmt. Die Bundesnetzagentur wird zentrale Marktüberwachungsbehörde, richtet ein Koordinierungs- und Kompetenzzentrum sowie eine unabhängige KI-Marktüberwachungskammer ein und wird zentrale Anlauf- und Beschwerdestelle. Der letzte Punkt ist der praktisch folgenreichste: Ab August gibt es eine benannte Stelle, an die sich Betroffene wenden können. Bis dahin gab es Pflichten ohne Adressat für Beschwerden.

Fristenübersicht aus der Betreiber-Perspektive

Datum	Was gilt
2. Februar 2025	Kapitel I und II: Begriffe, Verbote nach Artikel 5, KI-Kompetenz nach Artikel 4 (seit 27.07.2026 in neuer Fassung)
2. August 2025	Pflichten der Anbieter von KI-Modellen mit allgemeinem Verwendungszweck; Sanktionsvorschriften
27. Juli 2026	Digital-Omnibus-Verordnung in Kraft, neue Fassung von Artikel 4
2. August 2026	Allgemeiner Geltungsbeginn: Transparenzpflichten nach Artikel 50, Governance, nationale Marktüberwachung
2. Dezember 2026	Neue Verbote nach Artikel 5; Ende der Übergangsfrist für die Kennzeichnung nach Artikel 50 Absatz 2 bei Bestandssystemen
2. Dezember 2027	Hochrisiko-Pflichten für Systeme nach Anhang III (unter anderem Beschäftigung, Zugang zu grundlegenden Diensten)
2. August 2028	Hochrisiko-Pflichten für Systeme nach Anhang I (Sicherheitsbauteile in regulierten Produkten)
2. August 2030	Bestandssysteme, die bestimmungsgemäß von Behörden verwendet werden

Was das für die Planung bedeutet

Vier Konsequenzen, die sich aus der neuen Lage ergeben.

Die Fristenlage nicht als Entwarnung lesen. Verschoben wurden die Pflichten für Hochrisiko-Systeme, und zwar mit der Begründung, dass Normen und Behördenstrukturen fehlten. Die inhaltlichen Anforderungen an ein Personalauswahl- oder Leistungsbewertungssystem sind dieselben geblieben, sie sind nur später durchsetzbar. Wer die gewonnene Zeit für die Klassifizierung des eigenen Systembestands nutzt, steht 2027 anders da als jemand, der sie verstreichen lässt.

Die eigene Rolle sauber bestimmen. Fast alle Pflichten hängen daran, ob eine Einrichtung Anbieter oder Betreiber ist. Ein Träger, der ein zugekauftes System lediglich einsetzt, ist Betreiber. Wer ein System jedoch unter eigenem Namen bereitstellt oder ein Bestandssystem wesentlich verändert, kann in die Anbieterrolle rutschen, und damit in den Bußgeldkatalog des Artikels 99 Absatz 4. Diese Abgrenzung gehört dokumentiert, bevor ein Projekt startet.

Kompetenzmaßnahmen dokumentieren, aber richtig begründet. Die Empfehlung der Bundesnetzagentur, Maßnahmen zu dokumentieren, bleibt sinnvoll, und ihre vier Grundsteine sind eine brauchbare Struktur: individuellen Bedarf ermitteln, Maßnahmen rollengerecht ausgestalten, regelmäßig auffrischen, Art, Umfang und Teilnehmende dokumentieren. Die Begründung sollte sich allerdings nicht auf ein Bußgeld stützen, das es für Artikel 4 nicht gibt, sondern auf die Organisationsverantwortung und auf die Schulungs- und Sensibilisierungspflichten des kirchlichen Datenschutzrechts.

Behördliche Handreichungen mit Datum lesen. Der Digital Omnibus ist wenige Tage alt. Leitfäden, Checklisten und Schulungsunterlagen, die vor dem 27. Juli 2026 entstanden sind, beschreiben in den hier behandelten Punkten den bisherigen Rechtsstand. Das gilt auch für Material von Aufsichtsbehörden. Vor der Übernahme einer Aussage lohnt der Blick auf das Datum des Dokuments.

Quellen

Alle Quellen am 29.07.2026 an der Primärquelle geprüft, der Verordnungstext im Amtsblatt in der deutschen Sprachfassung.

Verordnung (EU) 2026/1744 vom 8. Juli 2026 (Digital-Omnibus-Verordnung zur KI), ABl. L, 2026/1744, 24.7.2026: data.europa.eu/eli/reg/2026/1744/oj
Verordnung (EU) 2024/1689 (KI-Verordnung), ABl. L, 2024/1689, 12.7.2024, für Artikel 4 alte Fassung, Artikel 50, Artikel 99, Artikel 113 und Anhang III: data.europa.eu/eli/reg/2024/1689/oj
Bundesnetzagentur, Hinweispapier „KI-Kompetenzen nach Artikel 4 KI-Verordnung”, Juni 2025: bundesnetzagentur.de
Bundesnetzagentur, Informationsseite zur KI-Kompetenz (Stand der Abfrage 29.07.2026, noch mit dem bisherigen Wortlaut des Artikels 4): bundesnetzagentur.de
Deutscher Bundestag, Beschluss zum Gesetz zur Durchführung der Verordnung (EU) 2024/1689 am 11. Juni 2026, Drucksachen 21/4594 und 21/6407: bundestag.de
Gesetz über den Kirchlichen Datenschutz (KDG) in der Fassung des Beschlusses der Vollversammlung des Verbandes der Diözesen Deutschlands vom 24. November 2025, für § 5 und § 38 Buchst. c: dbk.de (Lesefassung, PDF)
Datenschutzgesetz der Evangelischen Kirche in Deutschland (DSG-EKD), für § 26, § 37 Abs. 3 und § 38 Nr. 3: kirchenrecht-ekm.de