Digital Omnibus: Was sich am EU AI Act geändert hat

Die wichtigsten Punkte

• Die Hochrisiko-Anforderungen des EU AI Acts wurden verschoben. Sie gelten nun ab dem 2. Dezember 2027 für Systeme, die über Anhang III eingestuft werden, und ab dem 2. August 2028 für Systeme, die über Anhang I eingestuft werden.
• Kleinere Unternehmen wurden bei Dokumentation und Qualitätsmanagement deutlich entlastet.
• Die Pflicht zur KI-Kompetenz wurde abgeschwächt, aber nicht aufgehoben.
• Zwei neue Verbote und eine Kennzeichnungsfrist bei den Transparenzpflichten greifen beide ab dem 2. Dezember 2026.
• Die Grundstruktur des EU AI Acts bleibt unverändert: vier Risikoklassen, dieselben Hochrisiko-Anforderungen, dieselben Regeln für KI-Modelle mit allgemeinem Verwendungszweck.

‍

Was ist der Digital Omnibus zur KI?

Der Digital Omnibus zur KI ist eine Änderungsverordnung, Verordnung (EU) 2026/1744, veröffentlicht im Amtsblatt am 24. Juli 2026 und in Kraft seit dem 27. Juli 2026. Sie ersetzt den EU AI Act nicht, sondern ändert ihn: Einige Fristen wurden verschoben, einige Definitionen verengt, einige Pflichten für kleinere Unternehmen gelockert, und einige neue Pflichten kamen hinzu. Geändert werden zudem die Verordnungen zur Zivilluftfahrt und zu Maschinen, was relevant ist, wenn Ihr Produkt darunter fällt.

Die Kommission versteht das Paket als Vereinfachung und nicht als Richtungswechsel. Die konsolidierte Fassung des EU AI Acts ist die Referenz, die sich zu speichern lohnt.

‍

Ab wann gelten die Hochrisiko-Anforderungen?

Für die beiden Wege in die Hochrisiko-Klasse gelten nun unterschiedliche Fristen:

• 2. Dezember 2027 für Systeme, die hochriskant sind, weil sie in einen der acht in Anhang III genannten Bereiche fallen: Biometrie, kritische Infrastruktur, Bildung, Beschäftigung, wesentliche öffentliche und private Dienstleistungen, Strafverfolgung, Migration und Grenzkontrolle sowie Rechtspflege und demokratische Prozesse.
• 2. August 2028 für Systeme, die hochriskant sind, weil sie in ein bereits nach Anhang I reguliertes Produkt eingebettet sind, etwa in Medizinprodukte, Maschinen oder Fahrzeuge.

Alle übrigen Fristen bleiben unverändert. Die Verbote und die Pflicht zur KI-Kompetenz gelten seit Februar 2025, die Vorschriften für KI-Modelle mit allgemeinem Verwendungszweck seit August 2025, und die Verordnung ist seit August 2026 allgemein anwendbar, einschließlich der Transparenzpflichten. Das KI-Büro und die nationalen Behörden haben ihre Durchsetzungsbefugnisse ebenfalls am 2. August 2026 übernommen.

‍

Ist Ihr KI-System weiterhin hochriskant?

Der Omnibus hat die Hochrisiko-Klasse nur auf einem Weg verengt: über Anhang I. An der Einstufung über Anhang III hat sich nichts geändert.

Der Weg über Anhang I

Ein System ist auf diesem Weg nur dann hochriskant, wenn zwei Voraussetzungen zusammen erfüllt sind: Es ist selbst ein Produkt, das unter die Rechtsvorschriften des Anhangs I fällt, oder ein Sicherheitsbauteil eines solchen Produkts, und dieses Produkt muss eine Konformitätsbewertung durch eine notifizierte Stelle durchlaufen.

Der Omnibus hat die erste Voraussetzung zweifach verengt. Ein Bauteil gilt nur noch als Sicherheitsbauteil, wenn seine bestimmungsgemäße Verwendung darin besteht, Risiken für Gesundheit und Sicherheit zu verhindern oder zu mindern. Und Systeme, die ausschließlich für nicht sicherheitsbezogene Zwecke eingesetzt werden, etwa Nutzerunterstützung, Leistungsoptimierung, Serviceeffizienz, Automatisierung, Komfort oder Qualitätskontrolle, gelten ausdrücklich nicht als Sicherheitsbauteil.

Eine wichtige Grenze: Würde ein Ausfall oder eine Fehlfunktion des Systems Gesundheit und Sicherheit gefährden, gilt es weiterhin als Sicherheitsbauteil. Die Ausnahme greift nur für tatsächlich nicht sicherheitsbezogene Funktionen.

Eine Ausnahme auf der anderen Seite ist die kritische Infrastruktur nach Anhang III Nummer 2. Diese Nummer ist selbst über den Begriff des Sicherheitsbauteils definiert, sodass die engere Definition auch dort wirkt.

Der Weg über Anhang III

An der Einstufung über Anhang III hat der Omnibus nichts geändert. Es gibt jedoch eine Ausnahme, die bereits im ursprünglichen Text von 2024 steht. Nach Artikel 6 Absatz 3 gilt ein in Anhang III genanntes System nicht als hochriskant, wenn es kein erhebliches Risiko der Beeinträchtigung von Gesundheit, Sicherheit oder Grundrechten birgt, auch nicht durch eine wesentliche Beeinflussung von Entscheidungsergebnissen, und es nur eine eng umgrenzte Verfahrensaufgabe erfüllt, das Ergebnis einer vorher abgeschlossenen menschlichen Tätigkeit verbessert, Entscheidungsmuster erkennt, ohne die vorherige menschliche Bewertung zu ersetzen oder zu beeinflussen, oder eine vorbereitende Aufgabe wahrnimmt. Führt das System ein Profiling natürlicher Personen durch, gilt es stets als hochriskant.

Zwei praktische Punkte, wenn Sie sich auf eine dieser Ausnahmen stützen: Dokumentieren Sie die Bewertung, bevor Sie das System in Verkehr bringen, und registrieren Sie das System dennoch. Der Omnibus hat vereinfacht, welche Angaben die Registrierung enthalten muss, die Registrierungspflicht selbst aber beibehalten. Unsere Übersicht der Risikoklassen erklärt die vollständige Einstufungslogik.

‍

Was hat sich bei der KI-Kompetenz geändert?

Artikel 4 verlangte bisher, dass Organisationen ein ausreichendes Maß an KI-Kompetenz sicherstellen. Nun verlangt er, Maßnahmen zu ergreifen, die den Aufbau von KI-Kompetenz unterstützen, und er stellt ausdrücklich klar, dass kein bestimmtes Maß an KI-Kompetenz einer einzelnen Person gewährleistet werden muss.

Die Pflicht zum Handeln bleibt bestehen, und der Maßstab für angemessene Maßnahmen wird konkreter: Die Kommission muss künftig praktische Beispiele zur Einhaltung auf ihrer Informationsplattform veröffentlichen, das KI-Gremium muss Empfehlungen aussprechen. Dokumentierte, überprüfbare Schulungsnachweise bleiben die belastbarste Position. Die praktische Umsetzung behandeln wir in unserem Leitfaden zum Aufbau von KI-Kompetenz unter dem EU AI Act.

‍

Was hat der Omnibus für kleinere Unternehmen geändert?

Der Omnibus war stark darauf ausgerichtet, den Compliance-Aufwand kleinerer Unternehmen unter dem EU AI Act zu senken. Vier Punkte sind hervorzuheben:

• Vereinfachte technische Dokumentation steht nun KMU, Start-ups und einer neuen Kategorie offen, den kleinen Midcap-Unternehmen (SMCs), definiert über Empfehlung (EU) 2025/1099. Notifizierte Stellen müssen das vereinfachte Formular der Kommission für diese Unternehmen akzeptieren.
• Vereinfachtes Qualitätsmanagement wurde von Kleinstunternehmen auf alle KMU ausgeweitet.
• Bußgeldobergrenzen, jeweils der niedrigere Wert aus Prozentsatz und Festbetrag, gelten nun auch für SMCs und nicht mehr nur für KMU und Start-ups.
• KI-Reallabore müssen bis August 2027 in jedem Mitgliedstaat betriebsbereit sein, mit vorrangigem Zugang für KMU, Start-ups und SMCs.

Die neue Kategorie der SMCs lohnt einen Blick auf die eigene Mitarbeiterzahl und den eigenen Umsatz. Sie existiert für Unternehmen, die die KMU-Schwellen überschritten hatten, von denen aber weiterhin Compliance-Aufwand auf Konzernniveau erwartet wurde.

Eine weitere Vereinfachung ist für Betreiber relevant: Eine Grundrechte-Folgenabschätzung darf nun auf Teile einer Datenschutz-Folgenabschätzung verweisen oder diese einbeziehen, anstatt die Bewertung möglicherweise doppelt durchzuführen.

‍

Welche Fristen sind im Dezember 2026 relevant?

Zwei Vorschriften werden im Dezember 2026 relevant.

Zwei neue Verbote gelten ab dem 2. Dezember 2026: KI-Systeme, die nicht einvernehmliche intime Bildinhalte erzeugen oder manipulieren, und KI-Systeme, die Material über sexuellen Kindesmissbrauch erzeugen oder manipulieren. Sie ergänzen die Liste der Praktiken, die bereits seit Februar 2025 verboten sind und die die Kommission auf ihrer Seite zum EU AI Act zusammenfasst.

Eine Kennzeichnungsfrist fällt ebenfalls auf den 2. Dezember 2026. Wenn Sie vor dem 2. August 2026 ein KI-System in Verkehr gebracht haben, das synthetische Audio-, Bild-, Video- oder Textinhalte erzeugt, müssen Sie bis dahin die maschinenlesbare Kennzeichnungspflicht nach Artikel 50 Absatz 2 erfüllen. Das gilt unabhängig von der Risikoklasse, ein Produkt mit minimalem Risiko und einer generativen Funktion aus dem Jahr 2025 fällt also darunter. Nicht erfasst sind Systeme, die lediglich eine unterstützende Bearbeitungsfunktion erfüllen oder die Eingabedaten nicht wesentlich verändern. Wenn Sie eine generative Funktion haben, die vor dem letzten Sommer ausgeliefert wurde, ist dies Ihre nächste harte Frist unter dem EU AI Act.

‍

Was hat sich nicht geändert?

Ein großer Teil des EU AI Acts wurde nicht geändert:

• Die Logik der Risikoklassifizierung und die acht Bereiche des Anhangs III bleiben gleich.
• Die Hochrisiko-Anforderungen: Risikomanagement, Daten-Governance, technische Dokumentation, Protokollierung, menschliche Aufsicht, Genauigkeit, Robustheit und Cybersicherheit gelten weiterhin, nur später. Unsere Hochrisiko-Checkliste geht darauf im Detail ein.
• Die Pflichten für KI-Modelle mit allgemeinem Verwendungszweck (GPAI), einschließlich der Urheberrechtsstrategie und der öffentlichen Übersicht der Trainingsinhalte.
• Die Definition eines KI-Systems in Artikel 3 Nummer 1.
• Der Bußgeldrahmen: bis zu 7 % des weltweiten Jahresumsatzes bei verbotenen Praktiken und bis zu 3 % bei den meisten anderen Verstößen bleibt unverändert.

‍

Was Sie mit der zusätzlichen Zeit tun sollten

Die Verschiebung ist Vorbereitungszeit, keine Pause. Nachvollziehbare Entwicklung, belastbare Dokumentationsprozesse und ein Risikomanagement, das ein echtes Projekt übersteht, brauchen länger, als der Kalender vermuten lässt. Organisationen, die die ursprüngliche Frist 2026 als Anlass genommen haben, haben heute eine Governance-Funktion, die sie einem Prüfer zeigen können.

Drei Dinge lohnen sich jetzt, unabhängig von Ihrer Risikoklasse:

• Prüfen, ob etwas, das Sie vor August 2026 ausgeliefert haben, bis Dezember die Kennzeichnung nach Artikel 50 Absatz 2 benötigt.
• Die eigene Hochrisiko-Einstufung gegen die neuen Definitionen prüfen und das Ergebnis dokumentieren.
• Interne Governance-Roadmaps, Richtlinien oder Schulungsunterlagen aktualisieren, in denen noch August 2026 oder August 2027 steht.

Zu wissen, dass ein System aus dem Anwendungsbereich gefallen ist, ist genauso wertvoll wie zu wissen, was darin bleibt, aber nur, wenn Sie zeigen können, wie Sie zu diesem Ergebnis gekommen sind. Genau dafür haben wir trail gebaut: Ihr KI-Inventar, die Einstufungen und die Nachweise bleiben aktuell, als Nebenprodukt der Arbeitsweise Ihrer Teams und nicht als Projekt, das Sie bei jeder verschobenen Frist neu starten. Erfahren Sie, wie trail Sie bei der Umsetzung des EU AI Acts unterstützt, oder kontaktieren Sie uns. Wir helfen gerne.

‍

FAQ

Verschiebt der Digital Omnibus den gesamten EU AI Act?

Nein. Er verschiebt die Hochrisiko-Anforderungen in Kapitel III auf den 2. Dezember 2027 für Systeme nach Anhang III und auf den 2. August 2028 für Systeme nach Anhang I. Die Verbote, die Pflicht zur KI-Kompetenz, die Vorschriften für KI-Modelle mit allgemeinem Verwendungszweck und die Transparenzpflichten behalten ihre ursprünglichen Fristen, und die Durchsetzung hat am 2. August 2026 begonnen.

Welche Fristen gelten aktuell unter dem EU AI Act?

Kurz gefasst: Februar 2025 für die Verbote und die KI-Kompetenz. August 2025 für KI-Modelle mit allgemeinem Verwendungszweck. August 2026 für die allgemeine Anwendbarkeit einschließlich der Transparenzpflichten. Dezember 2026 für zwei neue Verbote und die Kennzeichnung generativer Systeme, die bereits auf dem Markt sind. Dezember 2027 und August 2028 für die beiden Hochrisiko-Kategorien.

Müssen wir weiterhin Schulungen zur KI-Kompetenz durchführen?

Ja. Die Pflicht wurde umformuliert, nicht aufgehoben. Geändert hat sich, dass kein bestimmtes Kompetenzniveau einer einzelnen Person gewährleistet werden muss. Maßnahmen müssen Sie dennoch ergreifen.

Ist unsere Hochrisiko-Einstufung noch gültig?

Eine erneute Prüfung lohnt sich. Die engere Definition des Sicherheitsbauteils und die neue Ausnahme für nicht sicherheitsbezogene Optimierung können Grenzfälle aus der Klasse herausgenommen haben, und zwar auf dem Weg über Anhang I. Die Bereiche des Anhangs III selbst sind unverändert, und die Ausnahme nach Artikel 6 Absatz 3 stand bereits im Text von 2024.

Hat die EU den EU AI Act abgeschwächt?

Strukturell nicht. Die Risikoklassen, die Hochrisiko-Anforderungen und die Bußgeldstufen bleiben bestehen, und zwei Verbote kamen hinzu. Geändert haben sich Zeitpunkte und Verhältnismäßigkeit: spätere Fristen, eine engere Definition dessen, was als hochriskant gilt, und weniger Dokumentationsaufwand für kleinere Unternehmen. Eine Zusammenfassung des EU AI Acts in seiner aktuellen Fassung finden Sie in unserer EU AI Act Übersicht.