Was der „Digital Omnibus on AI“ für Unternehmen ändert
Nur wenige Tage bevor die Bestimmungen für Hochrisiko-KI-Systeme am 2. August 2026 eigentlich in Kraft getreten wären, hat die EU ihre KI-Verordnung noch einmal grundlegend nachjustiert.
Mit dem sogenannten „Digital Omnibus on AI“ – Teil des „Omnibus VII“-Gesetzgebungspakets im Rahmen der Vereinfachungsagenda der EU – hat der europäische Gesetzgeber zentrale Fristen verschoben und punktuell neue Pflichten eingeführt.
Ziel ist es, Unternehmen mehr Zeit für die Umsetzung der Hochrisiko-Anforderungen einzuräumen und zugleich die Regulierung punktuell zu vereinfachen. Gleichzeitig kommen neue Schutzmechanismen und zusätzliche Verbotstatbestände hinzu.
Was Unternehmen jetzt wissen müssen.
Warum wurde die KI-Verordnung schon wieder geändert?
Die KI-Verordnung (AI Act) ist erst seit Juni 2024 in Kraft – trotzdem hat die EU-Kommission bereits im November 2025 eine Änderung vorgeschlagen.
Der Grund: Die technischen Normen, die Unternehmen für die Konformitätsbewertung ihrer Hochrisiko-KI-Systeme benötigen, lagen schlicht nicht rechtzeitig vor. Ohne diese Normen wäre eine rechtssichere Umsetzung der ursprünglich für den 2. August 2026 vorgesehenen Pflichten für viele Unternehmen praktisch kaum möglich gewesen.
Nach einem zunächst gescheiterten Verhandlungstermin einigten sich Europäisches Parlament und Rat am 7. Mai 2026 auf einen Kompromiss. Der Rat nahm den finalen Text am 29. Juni 2026 an; die Änderungsverordnung trat am 27. Juli 2026 in Kraft – nur sechs Tage vor dem ursprünglichen Stichtag.
Die wichtigste Änderung: Neue Fristen für Hochrisiko-KI
Im Zentrum der Reform steht eine deutliche Verschiebung der Anwendungsfristen für Hochrisiko-KI-Systeme:
- Eigenständige Hochrisiko-Systeme (etwa im Bereich Beschäftigung, Bildung, kritische Infrastruktur oder Strafverfolgung): Die Pflichten für diese Hochrisiko-KI nach Anhang III des AI Act gelten nun ab dem 2. Dezember 2027 statt wie ursprünglich vorgesehen ab August 2026.
- KI-Systeme als Bestandteile in regulierten Produkten nach Anhang I (z.B. Maschinen, Medizinprodukte): Hier verschiebt sich der Stichtag auf den 2. August 2028.
Während die Kommission die Fristen ursprünglich flexibel an die Verfügbarkeit technischer Normen koppeln wollte, hat sich im Gesetzgebungsverfahren die Position des Parlaments durchgesetzt – es gelten nun feste Kalenderdaten. Das schafft mehr Planungssicherheit, nimmt der Verwaltung aber auch die Möglichkeit, bei weiterem Verzug flexibel zu reagieren.
Weitere wesentliche Neuerungen
Transparenzpflichten für KI-Inhalte: Die Pflicht, KI-generierte Inhalte maschinenlesbar zu kennzeichnen, gilt ab dem 2. Dezember 2026. Der Übergangszeitraum für bereits am Markt befindliche Systeme wurde von sechs auf drei Monate verkürzt.
Neue Verbote: Die Liste verbotener KI-Praktiken wird erweitert. Ab Dezember 2026 sind KI-Systeme ausdrücklich verboten, die zur Erstellung nicht-einvernehmlicher sexueller Inhalte („Nudifier-Apps“) oder von Missbrauchsdarstellungen Minderjähriger eingesetzt werden (CSAM) können.
Registrierungspflicht bleibt scharf: Anbieter müssen ihr System auch dann in der EU-Datenbank registrieren, wenn sie es selbst als nicht hochriskant einstufen. Ein von der Kommission vorgeschlagener Wegfall dieser Pflicht wurde im Trilog wieder gestrichen.
KI-Kompetenzpflicht neu gefasst: Die Pflicht zur Förderung der KI-Kompetenz im Unternehmen wird künftig auf alle KI-Systeme ausgeweitet – inhaltlich aber zu einer bloßen Bemühenspflicht abgeschwächt.
Was trotz der Fristverschiebung weiterhin gilt
Trotz der Fristverschiebung bleiben die Umsetzung der inhaltlichen Vorgaben dennoch verpflichtend. Entscheidend ist nun der richtige Zeitplan für die Vorbereitung und Implementierung der Hochrisiko-KI-Compliance.
Einige Pflichten bleiben zudem von Omnibus unberührt und gelten daher bereits jetzt:
- Das Verbot bestimmter KI-Praktiken nach Art. 5 KI-VO ist bereits seit August 2025 sanktionsbewehrt.
- Die Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck (GPAI) sind seit August 2025 anwendbar, die Durchsetzung beginnt im August 2026.
Die Verschiebung betrifft ausschließlich die Pflichten für Hochrisiko-KI-Systeme nach Anhang I und III – nicht die Verordnung als Ganzes.
- Umsetzung für Hochrisiko-KI nach Anhang III ab 02. Dezember 2027
- Umsetzung für KI in regulierten Produkten nach Anhang I ab 02. August 2028
Handlungsempfehlungen für die Praxis
Auch mit den neuen, großzügigeren Fristen gilt: Die inhaltlichen Anforderungen der KI-Verordnung wurden nicht abgeschafft, sondern lediglich zeitlich gestreckt. Wer heute KI-Systeme einsetzt oder deren Einführung plant, sollte prüfen:
- Fällt mein System unter die verschobenen Hochrisiko-Pflichten – oder unter eine der bereits geltenden Regelungen?
- Sind die neuen Verbote für mein Geschäftsmodell relevant?
- Ist meine Registrierungspflicht in der EU-Datenbank korrekt eingeordnet?
Aufgrund der verkürzten Frist zur Transparenzpflicht für KI-generierte Inhalte sollten Unternehmen, die generative KI-Systeme einsetzen oder entsprechende Inhalte veröffentlichen, die Umsetzung dieser Pflichten priorisieren. Das beinhaltet vor allem das Entwickeln technischer Lösungen für die Kennzeichnungspflichten (Wasserzeichen, maschinenlesbare Markierungen).
Wer diese Fragen frühzeitig klärt, vermeidet nicht nur Bußgelder, sondern verschafft sich auch die zusätzliche Zeit, die der Gesetzgeber mit dem Digital Omnibus eigentlich schaffen wollte.