Der Digital Omnibus zur KI ist in Kraft. Er verschiebt wichtige Fristen, erleichtert die Umsetzung insbesondere für kleinere und mittlere Unternehmen und ändert einzelne Pflichten des AI Acts. Eine Deregulierung von KI ist damit aber nicht verbunden. Was Unternehmen jetzt wissen sollten.
Der Digital Omnibus ist da – aber der AI Act bleibt
Es ist so weit: Die Änderungsverordnung zur KI-Verordnung, besser bekannt als „Digital Omnibus zur KI“, ist am 24. Juli 2026 im Amtsblatt der EU veröffentlicht worden und am 27. Juli 2026 in Kraft getreten. Damit endet ein Gesetzgebungsverfahren, das die EU-Kommission im November 2025 angestoßen hatte, um die Umsetzung des AI Acts praktikabler zu machen, Bürokratie abzubauen und die Wettbewerbsfähigkeit europäischer Unternehmen zu stärken.
An einem Punkt setzt allerdings bereits das größte Missverständnis an, das derzeit in der Diskussion zu beobachten ist: „Der AI Act ist komplett verschoben“ – das ist falsch.
Der Digital Omnibus verschiebt vor allem die Anwendungsfristen für die Pflichten rund um sogenannte Hochrisiko-KI. Daneben erleichtert er insbesondere kleineren Unternehmen die Umsetzung und passt einzelne Regelungen an. Das risikobasierte Grundkonzept der KI-Verordnung bleibt dagegen bestehen. Auch die Kategorie der Hochrisiko-KI wird nicht abgeschafft.
Unternehmen gewinnen damit an einigen Stellen Zeit und werden an anderen Stellen tatsächlich entlastet. Einen Grund, KI-Compliance insgesamt auf Eis zu legen, liefert der Omnibus jedoch nicht.
Die wichtigste Änderung: mehr Zeit für Hochrisiko-KI
Der praktisch bedeutsamste Punkt betrifft den Anwendungsbeginn der Pflichten für Hochrisiko-KI-Systeme. Nach der ursprünglichen Fassung des AI Acts sollten die entsprechenden Anforderungen weitgehend ab dem 2. August 2026 gelten. Diese Frist wird nun aufgespalten und deutlich nach hinten verschoben.
Für sogenannte Stand-alone-Hochrisikosysteme gelten die entsprechenden Anforderungen nun ab 2. Dezember 2027. Dazu gehören beispielsweise bestimmte KI-Systeme für Recruiting und Personalmanagement, Bildung oder die Bewertung der Kreditwürdigkeit.
Für Hochrisiko-KI, die als Sicherheitskomponente in bereits regulierte Produkte integriert ist – etwa bestimmte Medizinprodukte oder Maschinen –, gilt eine längere Frist bis zum 2. August 2028.
Der Hintergrund ist vor allem pragmatisch. Insbesondere die harmonisierten technischen Normen, an denen sich Unternehmen bei der Umsetzung orientieren sollen, standen nicht rechtzeitig zur Verfügung. Auch Behörden- und Zertifizierungsstrukturen befinden sich teilweise noch im Aufbau.
Für Unternehmen bedeutet die Verschiebung daher zunächst eine gute Nachricht: Sie erhalten mehr Zeit, KI-Anwendungen zu inventarisieren und zu klassifizieren, Verantwortlichkeiten festzulegen, Anbieter einzubinden und die erforderlichen Governance-, Risiko- und Dokumentationsstrukturen aufzubauen.
Der Zeitgewinn ist allerdings eine Verschnaufpause, keine Freikarte. Mehr Zeit bedeutet nicht weniger Verantwortung.
Was nicht verschoben wurde
Gerade deshalb lohnt sich der Blick darauf, was der Digital Omnibus nicht geändert hat.
Die bereits geltenden Verbote bestimmter KI-Praktiken bleiben in Kraft. Auch die Anforderungen an Anbieter von KI-Modellen mit allgemeinem Verwendungszweck, sogenannte General-Purpose-AI-Modelle (GPAI), werden nicht auf 2027 oder 2028 verschoben.
Ebenso gelten die Transparenzanforderungen des AI Acts für bestimmte KI-Systeme und synthetische Inhalte grundsätzlich wie vorgesehen ab dem 2. August 2026. Wer also beispielsweise KI-generierte oder manipulierte Inhalte erzeugt oder entsprechende Systeme anbietet, kann sich nicht pauschal auf die neuen Übergangsfristen berufen.
Hinzu kommt ein Punkt, der in der Diskussion um den AI Act gelegentlich aus dem Blick gerät: KI wird nicht ausschließlich durch den AI Act reguliert. DSGVO, Arbeitsrecht, Allgemeines Gleichbehandlungsgesetz, Urheberrecht und allgemeine zivilrechtliche Sorgfaltsanforderungen gelten unabhängig von dessen Übergangsfristen weiter.
Das zeigt sich beispielsweise beim Einsatz von KI im Personalwesen. Die besonderen Hochrisiko-Anforderungen des AI Acts mögen später greifen. Risiken einer diskriminierenden Bewerberauswahl oder einer unzulässigen Verarbeitung personenbezogener Daten bestehen aber schon heute.
KI-Kompetenz: weniger strenge Pflicht zur Schulung
Eine interessante Änderung betrifft die sogenannte KI-Kompetenz.
Die ursprüngliche Fassung des Art. 4 AI Act verpflichtete Anbieter und Betreiber von KI-Systemen dazu, Maßnahmen zu ergreifen, um ein ausreichendes Maß an KI-Kompetenz bei den mit den Systemen befassten Personen sicherzustellen. Der Digital Omnibus schwächt diese unmittelbare unternehmerische Verpflichtung ab und verlagert den Schwerpunkt stärker auf die Unterstützung und Förderung von KI-Kompetenz.
Daraus sollte allerdings nicht der Schluss gezogen werden, Mitarbeiterschulungen seien künftig entbehrlich.
Insbesondere bei Hochrisiko-Systemen bleiben Kompetenzanforderungen über die Vorgaben zur menschlichen Aufsicht bestehen. Wer einen Menschen als Kontrollinstanz in einen KI-gestützten Prozess einbindet, muss ihn auch in die Lage versetzen, Fehler und Grenzen des Systems zu erkennen und gegebenenfalls einzugreifen.
Auch außerhalb von Hochrisiko-Anwendungen wird sich kaum eine belastbare KI-Governance etablieren lassen, wenn Mitarbeitende weder Möglichkeiten noch Grenzen der eingesetzten Systeme kennen. Schulungen und Sensibilisierungsmaßnahmen bleiben daher aus Compliance-, Datenschutz- und Risikoperspektive sinnvoll – auch wenn der AI Act selbst an dieser Stelle weniger streng wird.
Erleichterungen für KMU – und neu auch für Small Mid-Caps
Ein zweiter Schwerpunkt des Digital Omnibus sind echte Erleichterungen für kleinere Unternehmen.
Neu ist insbesondere eine zusätzliche Unternehmenskategorie: Neben die klassischen kleinen und mittleren Unternehmen treten sogenannte Small Mid-Caps (SMC). Erfasst werden grundsätzlich Unternehmen mit weniger als 750 Beschäftigten und einem Jahresumsatz von höchstens 150 Mio. Euro oder einer Bilanzsumme von höchstens 129 Mio. Euro.
Damit können künftig auch zahlreiche Unternehmen von Erleichterungen profitieren, die aus der klassischen KMU-Definition bereits herausgewachsen sind. Gerade für wachsende Technologieunternehmen kann das relevant sein.
Die Privilegierungen betreffen unter anderem vereinfachte Möglichkeiten bei der technischen Dokumentation, verhältnismäßigere Anforderungen an Qualitätsmanagementsysteme, einen bevorzugten Zugang zu regulatorischen Reallaboren sowie angepasste Bußgeldobergrenzen.
Hier liegt ein wichtiger Unterschied zur Verschiebung der Hochrisiko-Fristen: Die Fristverschiebung verschafft Unternehmen vor allem Zeit. Die KMU- und SMC-Regelungen können den regulatorischen Aufwand dagegen tatsächlich reduzieren.
Unternehmen, die unter die entsprechenden Schwellenwerte fallen, sollten deshalb prüfen, welche Erleichterungen für sie konkret nutzbar sind.
Weitere Änderungen im Schnelldurchlauf
Daneben enthält der Digital Omnibus einige weitere Änderungen, die nicht für jedes Unternehmen gleichermaßen relevant sein werden.
Neu aufgenommen wurden insbesondere Verbote im Zusammenhang mit KI-generiertem Material sexuellen Kindesmissbrauchs sowie bestimmten nicht einvernehmlich erzeugten sexualisierten Deepfakes. Verstöße fallen unter den höchsten Bußgeldrahmen des AI Acts: bis zu 35 Mio. Euro oder 7 % des weltweiten Jahresumsatzes. Für bestehende Systeme zur Kennzeichnung synthetischer Inhalte sieht der Omnibus zudem eine Übergangsregelung vor.
Für die Praxis interessant ist außerdem die Bias-Erkennung: Die Möglichkeit, unter engen Voraussetzungen besondere Kategorien personenbezogener Daten zur Erkennung und Korrektur von Verzerrungen zu verarbeiten, wird auf bestimmte Nicht-Hochrisiko-Systeme erweitert.
Beim Post-Market-Monitoring bleibt die Pflicht zur laufenden Überwachung von Hochrisiko-Systemen bestehen, die konkrete Umsetzung soll jedoch flexibler werden. Auch die Frist für die Einrichtung nationaler KI-Reallabore wird verschoben.
Schließlich wird die Rolle des europäischen AI Office gestärkt. Insbesondere im Bereich der General-Purpose-AI-Modelle erhält die europäische Aufsicht weitergehende Möglichkeiten, Informationen anzufordern, Risiken zu untersuchen und erforderlichenfalls Maßnahmen durchzusetzen.
Was heißt das jetzt für Unternehmen?
Die wichtigste praktische Konsequenz des Digital Omnibus lautet aus meiner Sicht nicht „abwarten“, sondern neu priorisieren.
Sofort
Unternehmen sollten zunächst intern mit dem Mythos aufräumen, der AI Act sei insgesamt verschoben worden. Gerade bereits geltende oder kurzfristig anwendbare Anforderungen können sonst leicht übersehen werden.
Wer noch kein belastbares KI-Inventar besitzt, sollte außerdem Transparenz über den tatsächlichen KI-Einsatz herstellen: Welche Systeme werden eingesetzt? Zu welchem Zweck? Mit welchen Daten? Wer ist verantwortlich? Und welche Risikokategorie kommt in Betracht?
Daneben sollten bestehende AI Policies und interne Vorgaben überprüft werden. Besonderes Augenmerk verdient dabei die häufig unterschätzte „Schatten-KI“, also die Nutzung nicht freigegebener KI-Dienste durch Mitarbeitende.
Vorbereiten
Bei Hochrisiko-Anwendungen sollte der gewonnene Zeitpuffer aktiv genutzt werden. Risikomanagement, Human Oversight, Verantwortlichkeiten und Dokumentation lassen sich jetzt strukturiert aufbauen, statt später unter Zeitdruck.
KMU und größere Mittelständler sollten zudem prüfen, ob sie unter die KMU- oder die neue SMC-Kategorie fallen und welche konkreten Erleichterungen dadurch für sie greifen.
Beobachten
Noch nicht abgeschlossen ist die praktische Konkretisierung zahlreicher Anforderungen. Insbesondere die harmonisierten technischen Normen werden erheblichen Einfluss darauf haben, wie die Hochrisiko-Pflichten umgesetzt werden können.
Auch weitere Leitlinien der EU-Kommission und des AI Office – beispielsweise zu Dokumentation oder Post-Market-Monitoring – sollten Unternehmen im Blick behalten.
Für Geschäftsführung und Rechtsabteilung empfiehlt sich damit ein pragmatischer Ansatz: Nicht jede Detailanforderung muss heute bereits umgesetzt sein. Das Unternehmen sollte aber wissen, welche KI es einsetzt, welche Risiken damit verbunden sind, wer dafür verantwortlich ist und welche regulatorischen Anforderungen wann relevant werden.
Fazit: Zeitgewinn nutzen, nicht aussitzen
Der Digital Omnibus ist keine Entwarnung, sondern verschafft Unternehmen vor allem eines: Zeit. Die zentralen Pflichten für Hochrisiko-KI greifen später. KMU und Small Mid-Caps profitieren darüber hinaus von echten regulatorischen Erleichterungen.
Eine Abkehr von der europäischen KI-Regulierung ist damit jedoch nicht verbunden. Das risikobasierte Grundkonzept des AI Acts bleibt bestehen – ebenso wie zahlreiche bereits geltende oder kurzfristig anwendbare Pflichten. Und auch außerhalb des AI Acts bleiben Datenschutz, Diskriminierungsverbote, Urheberrecht und allgemeine Sorgfaltsanforderungen relevant.
Unternehmen können ihre KI-Compliance daher jetzt realistischer planen und priorisieren. Wer den gewonnenen Zeitpuffer dagegen zum Anlass nimmt, Governance, KI-Inventar und Risikoklassifizierung zunächst auf Eis zu legen, dürfte Ende 2027 vor denselben Aufgaben stehen – nur wieder unter Zeitdruck.
