Der EU AI Act bleibt in Kraft, doch der Zeitplan gerät in Bewegung: Mit dem „Digital Omnibus on AI“ – im deutschsprachigen Raum meist kurz KI-Omnibus genannt – ändert die EU erstmals substanziell die KI-Verordnung (Verordnung (EU) 2024/1689, KI-VO). Für Unternehmen ist die Botschaft eindeutig: Der KI-Omnibus verschiebt zentrale Fristen und entlastet die Unternehmen an einigen Stellen, aber die inhaltlichen Pflichten selbst bleiben jedoch unverändert bestehen. Wer also die gewonnene Zeit als Verschnaufpause missversteht, riskiert am Ende genau den Zeitdruck, den die Verschiebung eigentlich abfedern sollte.
In diesem Beitrag ordnen wir ein, was der KI-Omnibus konkret verändert, welche Fristen weiterhin gelten und welche Maßnahmen wir Unternehmen jetzt empfehlen.
Was der KI-Omnibus konkret bedeutet – und was nicht
Der KI-Omnibus ist kein neuer Rechtsrahmen, sondern eine gezielte Änderungsverordnung. Die Europäische Kommission hatte den Vorschlag vorgelegt, um Umsetzungsprobleme des EU AI Acts zu beheben. Dabei geht es insbesondere um die Verzögerungen bei den harmonisierten Normen und bei der Benennung der nationalen zuständigen Behörden.
Dafür hat das Europäische Parlament das Paket am 16. Juni 2026 angenommen, der Rat am 29. Juni 2026 endgültig gebilligt, die Unterzeichnung erfolgte am 8. Juli 2026. Die Veröffentlichung im Amtsblatt der EU erfolgte am 24. Juli, der Rechtsakt trat am 27. Juli in Kraft.
Wichtig zur Abgrenzung: Der KI-Omnibus ist Teil eines größeren „Digital Omnibus“-Pakets. Die dort ebenfalls diskutierten Änderungen an DSGVO, Data Act, ePrivacy und den Cybersicherheitsvorschriften (u. a. NIS-2) sind nicht Gegenstand dieses Rechtsakts und befinden sich weiterhin im Gesetzgebungsverfahren. Dafür wird eine Einigung für die erste Jahreshälfte 2027 erwartet. In diesem Beitrag befassen wir uns ausschließlich mit dem Teil, der den EU AI-Act betrifft.
Die zentrale Änderung: Verschiebung der Hochrisiko-Pflichten
Die größte Neuerung betrifft die Hochrisiko-KI-Systeme. Nach dem ursprünglichen Zeitplan hätten die Pflichten für eigenständige Hochrisiko-Systeme nach Anhang III – etwa in den Bereichen Beschäftigung, Bildung, kritische Infrastruktur, Strafverfolgung und Kreditwürdigkeitsprüfung – ab dem 2. August 2026 gegolten. Da die dafür nötigen harmonisierten Normen absehbar nicht rechtzeitig fertig werden, koppelt der KI-Omnibus die Anwendbarkeit nun an die Verfügbarkeit der Normen und Unterstützungsinstrumente, setzt aber verbindliche Spätestens-Termine:
- Eigenständige Hochrisiko-Systeme nach Anhang III: spätestens 2. Dezember 2027
- In regulierte Produkte eingebettete KI nach Anhang I (z. B. Medizinprodukte, Spielzeug): spätestens 2. August 2028
Unser Tipp: Der zusätzliche Zeitraum ist realistischer und sinnvoll, reduziert jedoch weder den Umfang noch die Komplexität der Anforderungen. Der Aufbau von Risikomanagement, technische Dokumentation, Datenqualität und Governance-Strukturen dauert erfahrungsgemäß deutlich länger als zunächst angenommen. Unternehmen sollten die Verschiebung daher als verlängertes Umsetzungsfenster und als Chance verstehen, die Umsetzung strukturiert und frühzeitig anzugehen.
Nicht verschoben: Transparenzpflichten nach Art. 50
Nicht alles wird später fällig. Die Transparenzpflichten nach Art. 50 KI-VO gelten weiterhin ab dem 2. August 2026 – etwa die Pflicht, Nutzende darüber zu informieren, dass sie mit einem KI-System interagieren.
Eine einzige Erleichterung gibt es: Für die maschinenlesbare Kennzeichnung KI-generierter Inhalte (Bilder, Audio, Video, Text) nach Art. 50 Abs. 2 gilt für Systeme, die vor dem 2. August 2026 in Verkehr gebracht wurden, eine Übergangsfrist bis zum 2. Dezember 2026.
Unser Tipp: Unternehmen sollten kurzfristig prüfen, welche Ihrer Systeme oder Funktionen unter Art. 50 fallen. Der 2. August 2026 ist weiterhin als verbindliches Datum zu behandeln, die dreimonatige Übergangsfrist gilt ausschließlich für die Inhaltskennzeichnung und nur für bereits vor dem Stichtag in Verkehr gebrachte Systeme.
Erweiterte Aufsichtsbefugnisse des AI Office
Das bei der Europäischen Kommission angesiedelte AI Office erhält deutlich erweiterte Aufsichtsbefugnisse. Bislang beaufsichtigte es GPAI-Modelle (General-Purpose AI) und die darauf basierenden Systeme nur dann, wenn Modell und System vom selben Anbieter stammten.
Künftig erstreckt sich die Zuständigkeit auf alle KI-Systeme, die auf GPAI-Modellen aus demselben Unternehmen basieren, sowie auf Systeme, die sehr große Online-Plattformen bzw. Suchmaschinen darstellen oder in diese eingebettet sind. Zudem wird eine ausdrückliche Rechtsgrundlage für die Zusammenarbeit zwischen AI Office und nationalen Aufsichtsbehörden geschaffen.
Weitere Anpassungen im Überblick
Neben den großen Linien enthält der KI-Omnibus mehrere gezielte Detailänderungen, von denen die Wichtigsten im Folgenden genannt sind:
- Verarbeitung besonderer Datenkategorien zur Bias-Erkennung (Art. 4a): Die Erlaubnis, besondere Kategorien personenbezogener Daten durch KI zu verarbeiten, wird von Hochrisiko-Systemen auf alle KI-Systeme und -Modelle ausgeweitet. Der strenge Erforderlichkeitsmaßstab bleibt jedoch erhalten, d.h. die Verarbeitung nur zulässig bleibt, wenn sie für die Erkennung oder Korrektur von Verzerrungen unbedingt erforderlich ist.
- KI-Kompetenz (Art. 4): Die Pflicht wird abgeschwächt: Statt ein hinreichendes Kompetenzniveau sicherzustellen, müssen Anbieter und Betreiber künftig „Maßnahmen zur Förderung“ der KI-Kompetenz ihres Personals ergreifen.
- Maschinenverordnung: KI, die in Produkte eingebettet ist, die unter die sogenannte „Maschinenverordnung“ fallen, wird gezielt aus dem direkten Anwendungsbereich der Hochrisiko-Regeln ausgenommen. Andere Produkte (etwa Medizinprodukte und Spielzeug) bleiben vollständig erfasst. Die Kommission kann jedoch über die Maschinenverordnung KI-spezifische Sicherheitsanforderungen nachschärfen.
- Registrierungspflichten: Die von der Kommission vorgeschlagene Ausnahme für selbst als „nicht hochriskant“ eingestufte Systeme kam nicht durch. Auch diese Systeme müssen weiterhin in der EU-Datenbank registriert werden, allerdings mit reduziertem Verwaltungsaufwand.
Der 2. August 2026 bleibt ein Schlüsseldatum
Trotz aller Verschiebungen ist der 2. August 2026 keineswegs entschärft. An diesem Datum werden mehrere Mechanismen wirksam bzw. durchsetzbar:
- die Transparenzpflichten nach Art. 50 (mit der oben genannten engen Ausnahme für die Inhaltskennzeichnung),
- die Durchsetzbarkeit der GPAI-Pflichten (anwendbar bereits seit August 2025, Bußgelder ab August 2026),
- die Marktüberwachung durch die zuständigen Behörden.
Fazit unseres Experten: Mehr Zeit, gleiche Substanz
„Der KI-Omnibus bringt spürbare Entlastung bei den Fristen und schafft an mehreren Stellen mehr Kohärenz und Rechtssicherheit. Gleichzeitig gilt: Die grundlegende Architektur und Schutzabsicht des EU AI Acts bleibt unangetastet. Die materiellen Anforderungen an Hochrisiko-Systeme, d.h. Risikomanagement, Daten-Governance, technische Dokumentation sowie menschliche Aufsicht, sind unverändert.
Den betroffenen Unternehmen empfehle ich daher, kurzfristig die weiterhin zum 2. August 2026 fälligen Pflichten, wie Transparenz, GPAI, Marktüberwachung, sauber zu erfüllen, und parallel die gewonnene Zeit zu nutzen, um Governance-Strukturen und technische Dokumentation für Hochrisiko-KI systematisch und belastbar aufzubauen.“
Maximilian Müller, Principal usd Security Consulting | AI Governance
Sie benötigen weitere Unterstützung beim Thema AI Governance? Sprechen Sie uns gerne an. Wir unterstützen Sie flexibel dort, wo Sie Bedarf haben: Beim Aufbau eines AI Management Systems nach ISO 42001 ebenso wie bei der gezielten Umsetzung einzelner Anforderungen, etwa im Kontext des EU AI Acts.
