Was ist der Digital-Omnibus?
Der Digital-Omnibus ist das Vereinfachungspaket der EU für ihre Digitalgesetzgebung. Sein KI-Teil – oft KI-Omnibus genannt – ändert die Verordnung (EU) 2024/1689 (KI-Verordnung) und wurde am 29. Juni 2026 vom Rat formal verabschiedet.
Für viele Organisationen kam das als Erleichterung an: mehr Zeit, weniger Druck. Dieser Eindruck ist nur teilweise richtig. Die Omnibus-Verordnung verschiebt vor allem die Fristen für Hochrisiko-KI. Zentrale Pflichten gelten dagegen unverändert – einige schon seit 2025.
Der neue Compliance-Zeitplan
Die wichtigsten Eckpunkte im Überblick:
Unverändert in Kraft:
- Verbotene KI-Praktiken (Art. 5): seit dem 2. Februar 2025.
- Pflichten für Anbieter von GPAI-Modellen (Kapitel V): seit dem 2. August 2025.
- Governance, notifizierte Stellen, Sanktionsrahmen: seit dem 2. August 2025.
- Transparenzpflichten nach Art. 50 KI-VO: seit dem 2. August 2026 für neue Systeme. Bestandssysteme erhalten eine Schonfrist.
Verschoben:
- Maschinenlesbare Kennzeichnung KI-generierter Inhalte: 2. Dezember 2026 für Systeme, die vor dem 2. August 2026 in Verkehr gebracht wurden.
- Hochrisiko-KI nach Anhang III (u. a. Personalgewinnung, Kreditscoring, Bildung, Biometrie): vom 2. August 2026 auf den 2. Dezember 2027.
- Hochrisiko-KI als Sicherheitsbauteil regulierter Produkte (Anhang I): vom 2. August 2027 auf den 2. August 2028.
- Nationale KI-Reallabore: vom 2. August 2026 auf den 2. August 2027.
Neu:
- Erweitertes Verbot in Art. 5: KI-Systeme, die Missbrauchsdarstellungen oder nicht einvernehmliche intime Inhalte erzeugen („Nudifier"), sind ab sofort verboten. Anbieter haben bis zum 2. Dezember 2026 Zeit für technische Schutzmaßnahmen.
Mehr als Fristen: die inhaltlichen Änderungen
Der Digital Omnibus ändert nicht nur Termine. Er verschiebt an mehreren Stellen Anwendungsbereich und Pflichtenniveau:
- Sicherheitsbauteil enger definiert: Ein KI-System, das Nutzer lediglich unterstützt oder die Leistung optimiert, gilt nicht mehr automatisch als hochriskant – sofern sein Ausfall kein Gesundheits- oder Sicherheitsrisiko schafft. Für manche Systeme ändert sich damit die Zuordnung zu den EU-AI-Act-Risikoklassen.
- KMU-Erleichterungen ausgeweitet: Vereinfachte technische Dokumentation, verhältnismäßige Qualitätsmanagementpflichten und gemilderte Sanktionen gelten nun auch für kleine Midcap-Unternehmen (SMC).
- KI-Kompetenz (Art. 4) abgeschwächt: Anbieter und Betreiber müssen die Kompetenz nicht mehr „sicherstellen", sondern „Maßnahmen zu ihrer Förderung ergreifen". Wichtig: Die Pflicht gilt weiterhin – seit Februar 2025.
- Konformitätsbewertung gestrafft: ein einziges Verfahren, wo sich KI-Verordnung und andere EU-Harmonisierungsvorschriften überschneiden.
- Registrierung vereinfacht für selbst bewertete Systeme ohne hohes Risiko – die Registrierungspflicht selbst bleibt bestehen.
- Bias-Korrektur ausdrücklich erlaubt: Besondere Kategorien personenbezogener Daten dürfen zu dem spezifischen Zweck verarbeitet werden, Verzerrungen in KI-Systemen zu erkennen und zu korrigieren.
Was der Digital Omnibus nicht geändert hat
Diese Liste ist mindestens so wichtig wie die der Änderungen. Unverändert gelten:
- die Verbote des Art. 5 – seit Februar 2025;
- die GPAI-Pflichten – seit August 2025;
- die Transparenzpflichten für neue Systeme – seit August 2026;
- die Pflicht zur KI-Kompetenz – seit Februar 2025, nur im Maßstab angepasst.
Auch die Aufsicht steht: Mit dem KI-MIG ist die Bundesnetzagentur die zentrale Behörde der EU-AI-Act-Umsetzung in Deutschland. Sie überwacht seit August 2026 auch die Einhaltung der bereits geltenden Pflichten.
Was Ihre Organisation jetzt tun sollte
Der Aufschub ist kein Pausenknopf. Organisationen, die abgewartet haben, liegen heute weiter zurück als jene, die vor achtzehn Monaten mit einem unvollkommenen Prozess begonnen und ihn seither verfeinert haben.
Die Prioritäten:
- Roadmap neu ausrichten – an den neuen Fristen, nicht verwerfen.
- KI-Inventar vervollständigen: IT, HR, Marketing und Operations koordinieren, um jedes KI-System und jeden Use Case zu erfassen. Was nicht inventarisiert ist, lässt sich nicht priorisieren.
- Risikoklasse und Rolle bestimmen: Wo handelt Ihre Organisation als Anbieter, wo als Betreiber – wo als beides?
- Alte Einstufungen prüfen: Die engere Sicherheitsbauteil-Definition kann Systeme neu klassifizieren.
- Transparenzhinweise sofort umsetzen: Chatbots müssen ihre Natur offenlegen, KI-generierte Inhalte gekennzeichnet sein. Für die maschinenlesbare Kennzeichnung von Bestandssystemen gilt der 2. Dezember 2026.
- KI-Governance verstetigen: Governance ist keine Abhakliste, sondern ein laufender Prozess – getragen von Compliance und den Produktteams gemeinsam.
Was enthält die Checkliste?
Unsere KI-Omnibus-Checkliste fasst alles auf drei Seiten zusammen:
- den neuen Compliance-Zeitplan: welche Fristen sich geändert haben und welche nicht;
- die inhaltlichen Änderungen über die Termine hinaus;
- eine Bereitschafts-Checkliste: was jetzt zu tun ist;
- die häufigsten Fehler, die wir bei der Neuausrichtung beobachten.
Häufige Fragen zum Digital Omnibus
Ist die KI-Verordnung jetzt insgesamt verschoben?
Nein. Verschoben sind vor allem die Pflichten für Hochrisiko-KI (Anhang III auf Dezember 2027, Anhang I auf August 2028). Verbote, GPAI-Pflichten, Transparenzpflichten für neue Systeme und die KI-Kompetenz-Pflicht gelten unverändert.
Gilt Art. 50 KI-VO schon?
Ja, seit dem 2. August 2026 für neue Systeme. Bestandssysteme erhalten eine Schonfrist; die maschinenlesbare Kennzeichnung muss für sie bis zum 2. Dezember 2026 stehen.
Was ändert sich für kleine und mittlere Unternehmen?
Die KMU-Erleichterungen – vereinfachte Dokumentation, verhältnismäßige Qualitätsmanagementpflichten, gemilderte Sanktionen – gelten nun auch für kleine Midcap-Unternehmen.
Checkliste herunterladen
Laden Sie die Digital-Omnibus-Checkliste kostenlos herunter: der neue Zeitplan, die inhaltlichen Änderungen und Ihr Fahrplan für die nächsten Monate – kompakt auf drei Seiten.
