Der Digital-Omnibus on AI- Was hat sich geändert?

Inkrafttreten und Zielsetzung

Am 27. Juli 2026 ist der „Digital-Omnibus on AI“ EU-weit in Kraft getreten. Damit für bestimmte Regelungen und Fristen der KI-Verordnung (KI-VO) angepasst. Der Digital-Omnibus on AI, der am 19. November 2025 als Teil des digitalen Omnibuspakets vorgeschlagen wurde, soll gezielte Vereinfachungen der KI-VO unter Beibehaltung starker Garantien für die Sicherheit und die Grundrechte von Menschen bieten. Die Gesetzesänderungen sollen mitunter kleineren Unternehmen die Einhaltung der Vorschriften erleichtern. Dabei werden Fristen verlängert sowie Test- und Experimentiermöglichkeiten erweitert. Zugleich sollen hierdurch Unternehmen, die KI in Europa entwickeln und einsetzen, mehr Rechtsklarheit erhalten, so jedenfalls das Versprechen der EU- Kommission.

Einigung zum Digital- Omnibus on AI

Die Europäische Kommission, das Europäische Parlament und der Rat der Europäischen Union haben in den sogenannten Trilogverhandlungen zum Digital-Omnibus on AI einen Kompromiss erzielt und sich auf einen finalen Text der Anpassungen der KI-VO verständigt. Hinter dem Digital-Omnibus on AI standen unter anderem Verzögerungen im Zusammenhang mit der Verfügbarkeit von Leitlinien und harmonisierten Normen, welche die Hochrisikopflichten konkretisieren sollten, sowie mit der Einrichtung nationaler Behörden.

Demgegenüber liegt ein Abschluss des Digital-Omnibus zum Datenrecht, der unter anderem „Vereinfachungen“ im Bereich der Datenschutz-Grundverordnung (DSGVO) oder des Data Act mit sich bringen soll, noch in weiter Ferne.

Neuer Fahrplan für die KI-VO

Die KI-VO wird seit seinem Inkrafttreten schrittweise anwendbar. Durch den Digital-Omnibus on AI wurden einzelne Fristen jedoch angepasst. Insbesondere verschiebt sich der Geltungsbeginn der Vorgaben für sogenannte Hochrisiko-KI-Systeme. Unternehmen sollten ihre Umsetzungsplanung deshalb nicht allein an den ursprünglich vorgesehenen Stichtagen ausrichten.

Was ändert sich?

Der Digital- Omnibus on AI erfasst bereits bestehende Regelungen, etwa die Regelung zur KI-Kompetenz in Art. 4 sowie Art. 10 Abs. 5 der KI-Verordnung. Daneben enthält der Digital- Omnibus eine Erweiterung der Liste verbotener Praktiken. Diese wurde insbesondere im Rahmen des Verbots sogenannter Nudifier-Tools und der Erzeugung oder Manipulation von Material über sexuellen Missbrauch von Kindern (CSAM) ergänzt.

Neue Fristen für Hochrisiko-KI-Systeme

Wesentlich für die Gesetzesanpassung ist die Verschiebung des Geltungsbeginns der Vorschriften für Hochrisiko-KI-Systeme. Kapitel III Abschnitte 1, 2 und 3 der Verordnung über künstliche Intelligenz gelten für KI-Systeme, die gemäß Art. 6 Abs. 2 und Anhang III als hochriskant eingestuft sind, erst ab dem 2. Dezember 2027. Für KI-Systeme, die gemäß Art. 6 Abs. 1 und Anhang I als hochriskant eingestuft sind, gelten diese Vorschriften ab dem 2. August 2028. Ausgenommen bleibt Art. 6 Abs. 5 der KI-VO.

Bei KI-Systemen nach Art. 6 Abs. 1 KI-VO handelt es sich insbesondere um solche, die als Sicherheitsbauteil eines Produkts verwendet werden oder selbst ein Produkt darstellen und für die nach den einschlägigen Harmonisierungsrechtsvorschriften der Union grundsätzlich eine Konformitätsbewertung durch Dritte vorgesehen ist.

Kennzeichnung synthetisch erzeugter Inhalte

Für Anbieter von KI-Systemen, einschließlich KI-Systemen mit allgemeinem Verwendungszweck, die synthetische Audio-, Bild-, Video- oder Textinhalte erzeugen und vor dem 2. August 2026 in Verkehr gebracht wurden, gilt eine Übergangsfrist. Sie müssen die Pflicht zur maschinenlesbaren Kennzeichnung nach Art. 50 Abs. 2 der KI-VO bis zum 2. Dezember 2026 erfüllen.

Maschinenprodukte und sektorspezifische Regulierung

Für Maschinenprodukte wird ein sektorspezifischer Ansatz gewählt. Die Verordnung (EU) 2023/1230 über Maschinenprodukte wird aus Anhang I Abschnitt A der KI-Verordnung in Abschnitt B verschoben. Damit werden die betroffenen KI-Systeme nicht vollständig aus dem Anwendungsbereich der KI-Verordnung ausgenommen. Zugleich soll die EU Kommission Sicherheits- und Gesundheitsschutzanforderungen für KI-Systeme im Rahmen der Maschinenverordnung durch delegierte Rechtsakte ergänzen. Diese Rechtsakte sollen ab dem 2. August 2028 gelten.

Verarbeitung sensibler Daten zur Erkennung und Korrektur von Verzerrungen

Die bislang in Art. 10 Abs. 5 der KI-VO enthaltene Regelung Verarbeitung besonderer Kategorien personenbezogener Daten nach der Datenschutzgrundverordnung (DSGVO), z.B. Gesundheitsdaten, wird aufgehoben und in den neuen Art. 4a KI-VO überführt. Anbieter von Hochrisiko-KI-Systemen dürfen solche Daten ausnahmsweise verarbeiten, soweit dies zur Erkennung und Korrektur von Verzerrungen unbedingt erforderlich ist.

Darüber hinaus können Anbieter und Betreiber anderer KI-Systeme und KI-Modelle sowie Betreiber von Hochrisiko-KI-Systemen solche Daten verarbeiten, sofern die Verzerrungen die Gesundheit oder Sicherheit beeinträchtigen, negative Auswirkungen auf Grundrechte haben oder zu unionsrechtlich verbotener Diskriminierung führen können. Voraussetzung ist jeweils, dass sämtliche in Art. 4a Abs. 1 genannten Schutzvorkehrungen eingehalten werden. Eine allgemeine Pflicht zur Bias-Erkennung wird dadurch nicht begründet.

Strenges Verbot von sog. „Nudifier“-Apps

Ab dem 02.12.2026 verbietet Art. 5 Abs. 1 Buchst. ba und bb KI-VO unter bestimmten Voraussetzungen das Inverkehrbringen, die Inbetriebnahme und die Verwendung von KI-Systemen zur Erzeugung oder Manipulation nicht einvernehmlich erstellten intimen Materials sowie von Material oder Darbietungen im Sinne der Richtlinie 2011/93/EU zur Bekämpfung des sexuellen Missbrauchs von Kindern.

Bei nicht einvernehmlich erstelltem intimem Material sind insbesondere realistische Bild-, Video-, Ton- oder ähnliche Inhalte erfasst, die intime Körperteile einer bestimmbaren natürlichen Person darstellen oder eine bestimmbare Person bei eindeutig sexuellen Handlungen zeigen, ohne dass eine freiwillige, spezifische, aufgeklärte, eindeutige und ausdrückliche Einwilligung vorliegt.

Für Anbieter greift das Verbot bei Systemen, die hierzu bestimmt sind, oder wenn die Erzeugung bzw. Manipulation ein nach vernünftigem Ermessen absehbares und reproduzierbares Ergebnis ist und keine zumutbaren und angemessenen technischen Sicherheitsmaßnahmen sowie sonstigen Schutzvorkehrungen bestehen. Der Erwägungsgrund nennt hierfür beispielhaft Datenbereinigung, Ablehnungstraining, sichere Prompt-Gestaltung, Ausgabenkontrollen, Laufzeit-Leitplanken, und Inhaltsfilter.

KI-Kompetenz

Die Pflicht zur KI-Kompetenz wird nicht aufgehoben. Anbieter und Betreiber von KI-Systemen müssen Maßnahmen ergreifen, um die Entwicklung der KI-Kompetenz ihres Personals und weiterer Personen zu unterstützen, die in ihrem Auftrag mit Betrieb und Nutzung von KI-Systemen befasst sind. Dabei sind unter anderem technische Kenntnisse, Erfahrung, Aus- und Fortbildung sowie der jeweilige Einsatzkontext zu berücksichtigen.

Ausdrücklich besteht jedoch keine Pflicht, für einzelne Personen ein bestimmtes Niveau an KI-Kompetenz zu garantieren.

Erleichterungen für kleine Midcap-Unternehmen

Die KI-VO bekommt mit dem Digital-Omnibus on AI Definitionen für kleine und mittlere Unternehmen (KMU) sowie für kleine Midcap-Unternehmen (SMC, Small midcap comapanies) in Art. 3 Nr. 14a und 14b. Kleine Midcap-Unternehmen können Elemente der technischen Dokumentation für Hochrisiko-KI-Systeme gemäß Art. 11 Abs. 1 in vereinfachter Form bereitstellen; hierfür soll die Europäische Kommission ein vereinfachtes Formular erstellen.

Die Definitionen verweisen dabei für KMU auf Art. 2 des Anhangs der Empfehlung 2003/361/EG und für SMC auf Nr. 2 des Anhangs der Empfehlung (EU) 2025/1099.

KMU:

„Gemäß Empfehlung 2003/361 der Kommission sind kleine und mittlere Unternehmen (KMU) definiert als Unternehmen, deren Personalbestand und wirtschaftliches Gewicht bestimmte Grenzwerte nicht überschreiten.

• Ein mittleres Unternehmen hat bis zu 250 Mitarbeiter, einen Umsatz von bis zu 50 Mio. EUR oder eine Bilanzsumme von bis zu 43 Mio. EUR;
• Ein kleines Unternehmen hat bis zu 50 Mitarbeiter und einen Umsatz bzw. eine Bilanzsumme von bis zu 10 Mio. EUR;
• Ein Kleinstunternehmen hat bis zu zehn Mitarbeiter und einen Umsatz bzw. eine Bilanzsumme von bis zu 2 Mio. EUR.“

SMC:

„Die Kategorie der kleinen Unternehmen mittlerer Kapitalisierung (im Folgenden „kleine Midcap-Unternehmen“) setzt sich aus Unternehmen zusammen, die keine kleinen und mittleren Unternehmen nach der Empfehlung 2003/361/EG der Kommission sind, die weniger als 750 Personen beschäftigen und die einen Jahresumsatz von höchstens 150 Mio. EUR erzielen oder deren Jahresbilanzsumme sich auf höchstens 129 Mio. EUR beläuft.“

Außerdem muss die Umsetzung der Elemente des Qualitätsmanagementsystems gemäß Art. 17 Abs. 2 KI-VO in einem angemessenen Verhältnis zur Größe der Organisation stehen. Dies gilt ausdrücklich auch für kleine und mittlere Unternehmen, Start-up-Unternehmen und kleine Midcap-Unternehmen.

Die Fristen zur Umsetzung der KI-VO unter Berücksichtigung des Digital Omnibus on AI  

01.08.2024	Inkrafttreten der KI-VO	Die Verordnung (EU) 2024/1689 zur Festlegung harmonisierter Vorschriften für künstliche Intelligenz, kurz KI-VO ist am 1. August 2024 in Kraft getreten. Sie gilt als Verordnung unmittelbar in allen EU-Mitgliedstaaten. Die einzelnen Pflichten werden jedoch zu unterschiedlichen Zeitpunkten anwendbar.
02.02.2025	Allgemeine Vorschriften, KI-Kompetenz und erste Verbote	Es gelten die allgemeinen Vorschriften, insbesondere die Begriffsbestimmungen. Auch die Verbote bestimmter KI-Praktiken sind seit diesem Zeitpunkt anwendbar. Ebenfalls gilt seit diesem Zeitpunkt die Regelung zur KI-Kompetenz. Diese wurde durch den Digital-Omnibus on AI KI neu gefasst: Anbieter und Betreiber müssen Maßnahmen ergreifen, um die Entwicklung der KI-Kompetenz ihres Personals und weiterer Personen zu unterstützen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind. Ein bestimmtes Kompetenzniveau einzelner Personen muss jedoch nicht garantiert werden.
02.08.2025	Regeln für KI-Modelle mit allgemeinem Verwendungszweck und Governance	Es gelten die Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck, also insbesondere für sogenannte General-Purpose-AI-Modelle. Diese betreffen u.a. die technische Dokumentation, Informationen für nachgelagerte Anbieter sowie die Einhaltung des Urheberrechts der EU. Für Modelle mit systemischem Risiko gelten zusätzliche Verpflichtungen. Bis dahin mussten die Mitgliedstaaten zudem nationale zuständige Behörden benennen und nationale Sanktionsregelungen erlassen. Auf Unionsebene waren die vorgesehenen Governance-Strukturen, insbesondere das Europäische Gremium für Künstliche Intelligenz, das wissenschaftliche Gremium und das Beratungsforum, einzurichten.
02.08.2026	Anwendung der meisten übrigen Vorschriften der KI-VO	Grundsätzlich wurden die meisten verbleibenden Vorschriften anwendbar. Für Transparenzpflichten ist insbesondere Art. 50 KI-VO relevant. Danach müssen Anbieter und Betreiber in bestimmten Konstellationen offenlegen, dass Personen mit einem KI-System interagieren oder dass Inhalte künstlich erzeugt oder manipuliert wurden. Für synthetische Inhalte gilt dabei eine besondere Übergangsregelung für bereits auf dem Markt befindliche Systeme.
02.12.2026	Neue Verbote und Übergangsfrist für synthetische Inhalte	Es gelten zwei weitere Verbote. Erfasst sind KI-Systeme, die nicht einvernehmlich erstelltes intimes Material erzeugen oder manipulieren können, sowie KI-Systeme zur Erzeugung oder Manipulation von Material über sexuellen Missbrauch von Kindern. Das Verbot betrifft nicht pauschal jedes technisch hierzu fähige System. Maßgeblich sind die näheren Voraussetzungen des Art. 5 KI-VO (Verbotene Praktiken), insbesondere die Zweckbestimmung des Systems oder ein nach vernünftigem Ermessen absehbares und reproduzierbares Ergebnis bei fehlenden angemessenen Schutzvorkehrungen. Auch endet hier die Übergangsfrist für bestimmte Anbieter von KI-Systemen, die synthetische Audio-, Bild-, Video- oder Textinhalte erzeugen und bereits vor dem 02.08.2026 in Verkehr gebracht wurden. Sie müssen bis zu diesem Datum die Pflicht zur maschinenlesbaren Kennzeichnung nach Art. 50 Abs. 2 KI-VO erfüllen.
02.08.2027	KI-Reallabore in den Mitgliedstaaten	Bis zu diesem Stichtag muss jeder Mitgliedstaat mindestens ein einsatzbereites KI-Reallabor eingerichtet haben. In diesen regulatorischen Testumgebungen sollen innovative KI-Systeme unter behördlicher Begleitung entwickelt, trainiert, getestet und validiert werden können, bevor sie in Verkehr gebracht oder in Betrieb genommen werden.
02.12.2027	Hochrisiko-KI-Systeme nach Anhang III KI-VO	Es gelten jetzt die Vorgaben des Kapitels III Abschnitte 1 bis 3 KI-VO für KI-Systeme, die nach Art. 6 Abs. 2 in Verbindung mit Anhang III als hochriskant eingestuft werden. Dies betrifft insbesondere bestimmte Systeme in Bereichen wie Biometrie, Bildung, Beschäftigung, Zugang zu wesentlichen privaten und öffentlichen Dienstleistungen, Strafverfolgung, Migration, Rechtspflege und demokratischen Prozessen. Betroffene Anbieter müssen dann insbesondere die Anforderungen an Risikomanagement, Datenqualität, technische Dokumentation, Protokollierung, Transparenz, menschliche Aufsicht, Genauigkeit, Robustheit und Cybersicherheit erfüllen.
02.08.2028	Hochrisiko-KI-Systeme in regulierten Produkten	Für Hochrisiko-KI-Systeme nach Art. 6 Abs. 1 in Verbindung mit Anhang I gilt der spätere Stichtag 2. August 2028. Dabei handelt es sich insbesondere um KI-Systeme, die als Sicherheitsbauteil eines regulierten Produkts verwendet werden oder selbst ein solches Produkt darstellen. Voraussetzung ist, dass das Produkt unter die in Anhang I aufgeführten Harmonisierungsrechtsvorschriften der Europäischen Union fällt. Für Maschinenprodukte wurde zugleich ein sektorspezifischer Ansatz eingeführt. Die Maschinenverordnung wird von Anhang I Abschnitt A in Abschnitt B der KI-VO verschoben. Die betroffenen Systeme werden damit nicht vollständig ausgenommen, sondern unterliegen einem angepassten Zusammenspiel aus sektorspezifischer Regulierung und ausgewählten Vorschriften der KI-VO.

Bei Fragen zu den Umsetzungspflichten der KI-Verordnung sprechen Sie uns gerne an.

Autorin

Vereinbaren Sie jetzt Ihren Beratungstermin! https://varyfy.de/kontakt/