Wie hat das EU-Digitalomnibus zur KI das KI-Gesetz verändert?

Die Europäische Kommission veröffentlichte Ende 2025 das Digitale Omnibuspaket mit Vorschlägen zur Vereinfachung und Harmonisierung von Teilen des digitalen Rechtsrahmens der EU, darunter Änderungen der DSGVO , der NIS 2 und weiterer Bestimmungen.

Während das umfassendere digitale Omnibusabkommen noch verhandelt wird, wurde das separate digitale Omnibusabkommen zur Künstlichen Intelligenz (KI-Omnibus) beschleunigt behandelt, da es geänderte Fristen für die Verpflichtungen im Zusammenhang mit risikoreichen KI-Systemen gemäß dem EU-KI-Gesetz vorsah. Diese vorgeschlagenen Änderungen mussten in Kraft treten, bevor die ersten Verpflichtungen im Zusammenhang mit risikoreichen KI-Systemen gemäß dem EU-KI-Gesetz am 2. August 2026 gelten sollten.

Am 7. Mai 2026 erzielten die Verhandlungsführer des Europäischen Parlaments und des Rates eine vorläufige Einigung über das KI-Omnibusgesetz, das die Fristen für die Einhaltung der Vorschriften für KI-Systeme mit hohem Risiko auf die Jahre 2027 und 2028 verschob. Die endgültige Verordnung trat am 27. Juli 2026 in Kraft.

Was hat sich also geändert? In diesem Blogbeitrag gehen wir auf einige der wichtigsten Änderungen ein, die der AI Omnibus am EU-KI-Gesetz vornimmt, und erläutern deren Bedeutung für Organisationen.

Überarbeitete Fristen zur Einhaltung der Vorschriften für KI-Systeme mit hohem Risiko

Im Rahmen des AI Omnibus haben Anbieter und Anwender von risikoreichen KI-Systemen eine verlängerte Frist, um die Einhaltung der Vorschriften sicherzustellen.

Ab dem 2. Dezember 2027 müssen KI-Systeme, die gemäß Artikel 6(2) und Anhang III als Hochrisikosysteme eingestuft werden , sofern ihre Verwendung nach einschlägigem EU-Recht oder nationalem Recht zulässig ist, die Einhaltung der Vorschriften nachweisen können.

Dies umfasst KI-Systeme, die unter anderem in folgenden Bereichen eingesetzt werden:

Biometrie

Kritische Infrastruktur

Bildung und Berufsausbildung

Beschäftigung, Arbeitnehmermanagement und Zugang zur Selbstständigkeit

Zugang zu und Inanspruchnahme von wesentlichen privaten Dienstleistungen und wesentlichen öffentlichen Dienstleistungen und Leistungen

Strafverfolgung

Migrations-, Asyl- und Grenzkontrollmanagement

Rechtspflege und demokratische Prozesse.

Die Aufnahme in Anhang III bedeutet nicht automatisch, dass jedes in einem dieser Bereiche eingesetzte KI-System als risikoreich eingestuft wird. Die Klassifizierungsregeln und Ausnahmen in Artikel 6 müssen ebenfalls berücksichtigt werden.

Ab dem 2. August 2028 gelten die Verpflichtungen für KI-Systeme mit hohem Risiko gemäß Artikel 6 Absatz 1 und Anhang I. Dies umfasst KI-Systeme mit hohem Risiko, die als Sicherheitskomponenten bestimmter regulierter Produkte verwendet werden oder selbst solche Produkte darstellen, sofern das betreffende Produkt einer Konformitätsbewertung durch Dritte unterliegt.

Spielzeug

Aufzüge

Medizinische Geräte

Fahrzeuge.

Der AI Omnibus schränkt zudem die Definition von Sicherheitskomponenten ein. Produkte mit KI-Funktionen, die lediglich Benutzer unterstützen oder die Leistung optimieren, unterliegen nicht automatisch den Hochrisiko-Verpflichtungen. Im Fokus steht vielmehr, ob ihr Ausfall oder ihre Fehlfunktion Sicherheits- oder Gesundheitsrisiken birgt.

Erweiterte Rechtsgrundlage für die Verarbeitung besonderer Kategorien personenbezogener Daten

Das KI-Omnibusgesetz erweitert die Rechtsgrundlage für die Verarbeitung sensibler Daten zum Zwecke der Erkennung und Minderung von Verzerrungen auf Betreiber risikoreicher KI-Systeme sowie Anbieter und Betreiber anderer KI-Systeme und -Modelle. Zuvor galt diese Rechtsgrundlage ausschließlich für Anbieter risikoreicher KI.

Dies ist keine generelle Genehmigung zur Verarbeitung sensibler Daten. Die Verarbeitung muss den im KI-Gesetz festgelegten Bedingungen entsprechen und je nach den Umständen erforderlich sein. Organisationen müssen zudem Schutzmaßnahmen implementieren, darunter Zugriffskontrollen, Sicherheits- und Datenschutzmaßnahmen sowie Beschränkungen der Wiederverwendung und die ordnungsgemäße Löschung von Daten.

Begrenzte Schonfrist für die Kennzeichnung KI-generierter Inhalte

Das AI Omnibus hat die Transparenzanforderungen des AI Act für KI-generierte Inhalte im Allgemeinen nicht verschoben.

Die Transparenzpflichten gemäß Artikel 50 gelten grundsätzlich ab dem 2. August 2026. Dies beinhaltet die Verpflichtung für Anbieter bestimmter KI-Systeme, die synthetische Audio-, Bild-, Video- oder Textinhalte erzeugen, sicherzustellen, dass die Ausgaben in einem maschinenlesbaren Format gekennzeichnet und als künstlich erzeugt oder manipuliert erkennbar sind.

Das KI-Omnibusgesetz sieht jedoch eine befristete Übergangsfrist für bereits auf dem Markt befindliche Systeme vor. Anbieter relevanter Systeme, die vor dem 2. August 2026 in Verkehr gebracht wurden, haben bis zum 2. Dezember 2026 Zeit, die Anforderungen an die maschinenlesbare Kennzeichnung gemäß Artikel 50 Absatz 2 zu erfüllen.

Für Organisationen ist der wichtige Unterschied, dass der 2. Dezember 2026 eine begrenzte Übergangsfrist für bestimmte bestehende Systeme darstellt und nicht der allgemeine Starttermin für die Transparenzanforderungen der AI Acts ist.

FRIAs können DPIAs nutzen

Gemäß dem AI Omnibus können Folgenabschätzungen für Grundrechte (FRIAs) nun Querverweise auf oder die entsprechenden Abschnitte einer Datenschutz-Folgenabschätzung (DPIA) enthalten, die gemäß der Datenschutz-Grundverordnung oder der Richtlinie über die Strafverfolgung durchgeführt wurde.

Die beiden Bewertungen bleiben zwar getrennt, aber Organisationen, die bereits Datenschutz-Folgenabschätzungen durchführen, können relevante Analysen möglicherweise wiederverwenden, anstatt sie unnötigerweise zu duplizieren.

Verbote schädlicher KI-Systeme

Das Omnibusgesetz sieht ein Verbot für KI-Systeme vor, die ab dem 2. Dezember 2026 nicht einvernehmliches intimes Material oder Material über sexuellen Kindesmissbrauch (CSAM) erzeugen.

Das Verbot gilt für das Inverkehrbringen von KI-Systemen auf dem EU-Markt mit dem Ziel, dieses Material zu erstellen oder zu manipulieren. Es kann auch dann Anwendung finden, wenn dies ein vernünftigerweise vorhersehbares und reproduzierbares Ergebnis des Systems ist und das System keine angemessenen und ausreichenden technischen Sicherheitsvorkehrungen zur Verhinderung einer solchen Nutzung aufweist.

Für Anwender gilt das Verbot, wenn sie ein KI-System zum Zweck der Erzeugung oder Manipulation des verbotenen Materials verwenden.

KMU-Flexibilitäten auf kleine mittelständische Unternehmen ausgeweitet

Der AI Omnibus führt eine neue Kategorie kleiner mittelständischer Unternehmen (SMCs) ein und erweitert mehrere regulatorische Flexibilitäten, die bisher für KMU galten, auf diese Unternehmen.

Diese umfassen:

Die Möglichkeit, vereinfachte technische Dokumentationen für risikoreiche KI-Systeme zu verwenden.

Verhältnismäßige Umsetzung bestimmter Anforderungen an das Qualitätsmanagementsystem

Reduzierte Höchststrafe, wobei die entsprechenden Geldstrafen für kleine und mittlere Unternehmen auf den niedrigeren Wert des anwendbaren Prozentsatzes oder des festen Geldbetrags begrenzt sind.

Diese Änderungen bedeuten nicht, dass jede KMU-Ausnahmeregelung automatisch auch für kleine und mittlere Unternehmen gilt. Vielmehr erweitert das AI Omnibus spezifische Vereinfachungs- und Verhältnismäßigkeitsmaßnahmen auf diese neue Unternehmenskategorie.

Weitere Überlegungen

Änderungen für Regulierungsbehörden: Das KI-Omnibusgesetz erweitert und präzisiert die ausschließliche Aufsichts- und Durchsetzungsrolle des EU-KI-Amts. Es ist ausschließlich zuständig für bestimmte KI-Systeme, die auf allgemeinen KI-Modellen basieren, sofern Modell und System vom selben Anbieter oder innerhalb desselben Unternehmens entwickelt wurden, vorbehaltlich bestimmter Ausnahmen.

Die ausschließliche Zuständigkeit erstreckt sich auch auf KI-Systeme, die Bestandteil sehr großer Online-Plattformen oder Suchmaschinen sind oder in diese integriert wurden und dem Digital Services Act (DSA) unterliegen. Dies ist enger gefasst, als wenn die Zuständigkeit auf jedes KI-System angewendet würde, das unter den Anwendungsbereich des DSA fällt.

KI-Kompetenz: Das KI-Omnibusgesetz überarbeitet auch die Anforderungen des KI-Gesetzes zur KI-Kompetenz. Anbieter und Anwender müssen Maßnahmen ergreifen, um die Entwicklung der KI-Kompetenz ihrer Mitarbeiter und anderer Personen, die in ihrem Auftrag KI-Systeme bedienen oder nutzen, zu fördern. Die überarbeitete Bestimmung stellt klar, dass Organisationen kein bestimmtes Niveau an KI-Kompetenz für jede einzelne Person garantieren müssen.

Verlängerte Frist für regulatorische Testumgebungen: Die Frist für die Mitgliedstaaten, sicherzustellen, dass ihre zuständigen Behörden mindestens eine nationale regulatorische Testumgebung für KI betreiben, wird vom 2. August 2026 auf den 2. August 2027 verlängert. Das KI-Amt kann außerdem eine regulatorische Testumgebung auf EU-Ebene für KI-Systeme einrichten, die in seinen Zuständigkeitsbereich fallen.

Was dies für Organisationen bedeutet

Die Änderungen des KI-Gesetzes durch das KI-Omnibusgesetz vereinfachen oder präzisieren größtenteils bestehende Anforderungen. Entscheidend ist, dass das KI-Gesetz als Ganzes nicht verschoben wird.

Als ersten Schritt empfehlen wir Ihnen, Ihr bestehendes KI-Governance-Programm zu überprüfen, es mit den Änderungen des KI-Omnibus abzugleichen und etwaige Anpassungsbedarfe zu identifizieren. Stellen Sie sicher, dass Sie den Überblick darüber behalten, welche KI-Systeme Ihr Unternehmen einsetzt und wo diese verwendet werden.

Die Kennzeichnung von Transparenz ist ein Bereich, der derzeit besondere Aufmerksamkeit erfordert. Die Transparenzanforderungen gemäß Artikel 50 gelten grundsätzlich seit dem 2. August 2026. Wenn Ihre Organisation Systeme zur Erstellung von Inhalten bereitstellt oder einsetzt, die den Offenlegungspflichten unterliegen, ermitteln Sie, welche Anbieter- oder Betreiberpflichten für Sie gelten. Anbieter relevanter Systeme, die bereits vor dem 2. August 2026 auf dem Markt waren, sollten zudem prüfen, ob sie unter die befristete Übergangsfrist bis zum 2. Dezember 2026 fallen.

Organisationen, die KI einsetzen, sollten nach der Änderung von Artikel 4 auch ihren Ansatz zur KI-Kompetenz überprüfen und sicherstellen, dass geeignete Maßnahmen zur Unterstützung der Mitarbeiter getroffen werden, die KI-Systeme bedienen oder nutzen.

Für Organisationen, die für Hochrisikosysteme gemäß Anhang III verantwortlich sind, bieten die überarbeiteten Fristen zusätzliche Zeit für die Umsetzung, die grundlegenden Anforderungen bleiben jedoch bestehen. Einige Organisationen haben möglicherweise bereits an der Einhaltung der ursprünglichen Frist vom 2. August 2026 gearbeitet, während Organisationen, die für Systeme gemäß Anhang I zuständig sind, auf den späteren, produktbezogenen Zeitplan des KI-Gesetzes hinarbeiteten.

Entscheidend ist, dass die überarbeiteten Fristen keine Befreiung von den Compliance-Anforderungen darstellen. Die zusätzliche Zeit sollte vielmehr genutzt werden, um Compliance-Programme zu stärken, die Klassifizierung von KI-Systemen zu bestätigen, Governance- und Dokumentationsprozesse einzurichten, Kontrollen zu testen und Lücken rechtzeitig vor den neuen Fristen am 2. Dezember 2027 und 2. August 2028 zu schließen.