EU AI Act: verschobene Fristen und der Stichtag 02.08.2026

Der EU AI Act (Verordnung (EU) 2024/1689) wird gestaffelt anwendbar, und die Staffelung hat sich fünf Tage vor dem 02.08.2026 verändert. Am 27.07.2026 ist der Digital Omnibus on AI in Kraft getreten, eine Änderungsverordnung, die die Pflichten für Hochrisiko-Systeme deutlich nach hinten verlegt und den zuvor vorgesehenen bedingten Auslösemechanismus durch feste Daten ersetzt.

Für Pharma-Hersteller bedeutet das eine Entlastung beim Termindruck und keine Entlastung bei der Sache. Die Aufgaben bleiben dieselben, der Zeitrahmen wird größer, und die GMP-Seite ist von der Verschiebung nicht berührt. Wer seine Vorbereitung am 02.08.2026 als abgeschlossen betrachtet hat, liegt ebenso falsch wie, wer sie jetzt einstellt.

Die neue Fristenlage

Die Verschiebung betrifft das gesamte Pflichtenbündel für Hochrisiko-Systeme: Risikomanagement, technische Dokumentation, Daten-Governance, menschliche Aufsicht und Konformitätsbewertung durch Dritte. Anders als im ursprünglichen Kommissionsvorschlag hängen die neuen Termine an keiner Bedingung mehr, etwa an der Verfügbarkeit harmonisierter Normen.

Zwei weitere Änderungen sind für die Praxis relevant. Die Pflicht zur KI-Kompetenz nach Art. 4 ist abgeschwächt worden: Statt bestimmte Kompetenzniveaus sicherzustellen, geht es nun um die Förderung der Kompetenzentwicklung der Beschäftigten. Und KI, die in Maschinen eingebettet ist, wird weitgehend aus den Pflichten der Verordnung herausgenommen, was für Anlagensteuerungen in der Produktion unmittelbar zählt.

Der Stand am 02.08.2026

Was an diesem Datum tatsächlich beginnt, ist überschaubar. Die Transparenzpflichten nach Art. 50 greifen: Offenzulegen sind KI-erzeugte oder manipulierte Bild-, Audio- und Videoinhalte mit Realbezug sowie KI-generierter Text zu Angelegenheiten öffentlichen Interesses, sofern keine natürliche Person die redaktionelle Verantwortung trägt. Für bereits in Verkehr befindliche Systeme gilt bei der Kennzeichnung eine viermonatige Übergangsfrist.

Alles Übrige gilt entweder schon länger oder noch nicht. Verbotene Praktiken und die Kompetenzpflicht gelten seit dem 02.02.2025, die Regeln zu Modellen mit allgemeinem Verwendungszweck seit dem 02.08.2025. Der ursprünglich für den 02.08.2026 erwartete materielle Hochrisiko-Termin ist entfallen.

Der Termin aus Art. 77 Abs. 2 bleibt bestehen: Bis zum 02.11.2024 mussten die Mitgliedstaaten die Behörden benennen, die bei Anhang-III-Systemen Dokumentation zu grundrechtlichen Fragen anfordern können. Die Aufsichtsarchitektur wurde also vor den materiellen Pflichten aufgebaut, und daran ändert die Verschiebung nichts.

Drei Pfade für Pharma

Die Dreiteilung der eigenen Anwendungen bleibt der beste Einstieg, nur die Termine verschieben sich.

Der erste Pfad betrifft allgemeine KI-Nutzung: Sprachmodelle für Recherche, Textentwürfe, Wissensmanagement oder Schulung. Hier stehen Kompetenzentwicklung, Datenregeln, Nutzungsfreigaben und Anbietersteuerung im Vordergrund. Ein Hochrisiko-System entsteht daraus nicht durch den Einsatz in einem Pharma-Unternehmen.

Der zweite Pfad betrifft Anhang-III-Systeme. Im Pharma-Unternehmen fallen darunter vor allem Beschäftigungs- und Bewerbermanagement sowie bestimmte Zugangs- und Bewertungssysteme, nicht die Arzneimittelherstellung als solche. Für diese Systeme ist der maßgebliche Termin jetzt der 02.12.2027.

Der dritte Pfad betrifft Art. 6 Abs. 1, also KI als Sicherheitskomponente eines Produkts oder als Produkt unter Anhang-I-Harmonisierungsrecht mit erforderlicher Konformitätsbewertung durch Dritte. Für Pharma-Schnittstellen sind Medical Device Regulation und In-vitro-Diagnostic Medical Devices Regulation die einschlägigen Rechtsakte. Dieser Pfad greift ab dem 02.08.2028. Wegen der Entwicklungs-, Validierungs- und Zulassungszeiten ist die zusätzliche Frist dort am wenigsten großzügig, wie sie aussieht.

Fünf Startdokumente

Die folgenden fünf Dokumente sind kein vollständiges Dossier nach der Verordnung. Sie bilden ein Arbeitsset, mit dem QA, Regulatory Affairs, Legal und IT-Validation die Zuordnung belastbar machen. Die Verschiebung ändert daran nichts, weil vier der fünf Dokumente auch ohne den AI Act gebraucht werden.

Erstens das Use-Case-Inventar. Es ist kein Pflichtdokument der Verordnung, aber ohne Bestand ist keine der folgenden Pflichten steuerbar. Je Anwendung gehören hinein: Bezeichnung und Versionskennung, Zweck im Geschäftsprozess, Rolle des Unternehmens nach der Verordnung, Einstufung, die parallele Scope-Prüfung nach dem Annex-22-Entwurf sowie Anbieter, Vertragsbasis und Verantwortliche. Ungelistete Sprachmodell-Zugänge sind ein Auditrisiko, auch wenn daraus kein Hochrisiko-System entsteht.

Zweitens die Rollen- und Pflichtenmatrix. Die Verordnung verteilt Pflichten nach Risiko und nach Rolle. Ein Pharma-Hersteller kann bei eingekaufter Software Betreiber sein, bei eigenen KI-Workflows Anbieter werden und in Art.-6-Abs.-1-Konstellationen als Produkthersteller auftreten. Die Matrix beantwortet je Use Case vier Punkte: Inverkehrbringen oder Inbetriebnahme, Festlegung von Zweckbestimmung und wesentlichen Änderungen, Informationsfluss vom Anbieter sowie Verantwortung für Betrieb, Aufsicht, Protokollierung und Schulung.

Drittens der Risikomanagement-Plan nach Art. 9. Für Hochrisiko-Systeme verlangt die Verordnung ein über den Lebenszyklus gepflegtes Risikomanagement. Pharma-Hersteller können auf ICH Q9(R1) und der FMEA-Methodik aus der Validierung aufsetzen, brauchen aber einen breiteren Blick: Grundrechte, menschliche Aufsicht, Datenqualität, Modellverhalten und Betreiberinformation gehören hinein.

Viertens das Datenmanagement-Konzept nach Art. 10. Gefordert sind Aussagen zu Trainings-, Validierungs- und Testdaten: Herkunft, Aufbereitung, Annahmen, Eignung, Repräsentativität, Vollständigkeit, Bias-Prüfung und Einsatzbedingungen. Bei zugekauften Systemen verlagert sich die Arbeit in die Anbieterabfrage. Wo der Anbieter die Nachweise nicht liefert, entsteht eine Lücke in der Rollenmatrix und gegebenenfalls im Validierungsdossier. Enthalten die Daten Personenbezug, etwa aus Pharmakovigilanz, klinischen Prüfungen oder Beschäftigtenverhältnissen, greift die Datenschutz-Grundverordnung mit eigener Prüfung.

Fünftens das Dokumentations-Mapping. Die technische Dokumentation nach Art. 11 und Anhang IV ist breiter als ein klassisches Validierungsdossier. Ein GAMP-5-Dossier deckt vieles ab, aber nicht Trainings- und Testmethoden, Datenherkunft, Modellmetriken, Aufsichtskonzept, Betriebsüberwachung und Anbieterinformationen. Das Mapping nimmt zusätzlich den Annex-22-Entwurf auf, dessen Bausteine intended use, Akzeptanzkriterien, Testdaten, Testdaten-Unabhängigkeit, Explainability, Confidence und Betrieb sich mit den übrigen Nachweisen verbinden lassen; die Aufgabenverteilung dazu beschreibt der Annex-22-Praxisleitfaden.

Die GMP-Seite verschiebt sich nicht

Der wichtigste Punkt für dieses Publikum steht am Rand der Omnibus-Meldungen. Die Verschiebung betrifft ausschließlich den EU AI Act. Annex 11 gilt unverändert, und der Annex-22-Konsultationsentwurf vom 07.07.2025 bleibt der maßgebliche Prüfrahmen für KI in kritischen GMP-Anwendungen, unabhängig davon, wann die Hochrisiko-Pflichten der Verordnung greifen.

Für ein Modell in der automatisierten Sichtprüfung ändert der Omnibus deshalb nichts. Es war vor dem 27.07.2026 kein Hochrisiko-System nach Anhang III, es ist danach keines, und die GMP-Anforderungen an intended use, Testdaten und Betriebsüberwachung bestehen ohnehin. Wer die eigene Vorbereitung an der Verordnung ausgerichtet hat statt an der GMP-Logik, hat sie am falschen Regelwerk aufgehängt.

Sanktionen und Aufsicht

Art. 99 sieht bei Verstößen gegen bestimmte Betreiber- und Transparenzpflichten Bußgelder bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes vor; Verstöße gegen verbotene Praktiken können höher sanktioniert werden. Der Omnibus stärkt zugleich die Aufsichts- und Durchsetzungsbefugnisse des EU-Büros für künstliche Intelligenz.

Für Pharma-Unternehmen ist die Bußgeldhöhe nicht der einzige Maßstab. Fehlende Dokumentation berührt Validierung, Lieferantensteuerung, Datenschutz, Produktkonformität und GMP-Inspektion zugleich, und diese Prüfungen folgen nicht dem Zeitplan der Verordnung.

Vorgehen bis Ende 2026

1. Inventar abschließen. Alle KI-Anwendungen erfassen und je Use Case festhalten, welcher der drei Pfade greift und ob zusätzlich GMP-Relevanz besteht.
2. Transparenzpflichten prüfen. Für den 02.08.2026 klären, ob Anwendungsfälle unter Art. 50 fallen, insbesondere bei extern veröffentlichten Inhalten.
3. Anbieterabfrage starten. Rolle, verfügbare Dokumentation, Meldeweg für Modelländerungen und Datenverarbeitung vertraglich verankern, unabhängig von der verschobenen Frist.
4. Die zusätzliche Zeit für die GMP-Seite nutzen. Testdatenstrategie, Aufsichtskonzept und Betriebsüberwachung sind für Annex 22 ohnehin nötig und tragen später die Nachweise nach der Verordnung mit.