EU-DIGITALRECHT 2027: Was aktuell in Brüssel diskutiert und beschlossen wird

Die Regulierung digitaler Dienste und künstlicher Intelligenz auf Ebene der Europäischen Union bleibt in Bewegung. Neben der Anwendung bereits bestehender Regelwerke wie des Digital Services Act (DSA), des Digital Markets Act (DMA) und der Verordnung über künstliche Intelligenz (KI-VO) befinden sich zahlreiche weitere Vorhaben im Gesetzgebungsverfahren, darunter der sogenannte Daten-Omnibus zur Vereinfachung des Datenrechts sowie mehrere Rechtsakte zur Stärkung der digitalen Souveränität im Cloud-Bereich. Zugleich treten die jüngsten Entwicklungen bei der Aufsicht deutlicher hervor, etwa die Einstufung von ChatGPT, Reddit und Roblox als besonders große Dienste unter dem DSA Ende August 2026 sowie die ersten Auskunftsersuchen des Büros für künstliche Intelligenz (KI-Büro) an eine größere Zahl von Anbietern, nachdem die Durchsetzungsbefugnisse gegenüber Anbietern von KI-Modellen mit allgemeinem Verwendungszweck (GPAI) am 2. August 2026 wirksam geworden sind. Für das kommende Halbjahr ist damit ein Nebeneinander von laufender Aufsicht und fortschreitender Gesetzgebung zu erwarten. Der folgende Beitrag gibt einen Überblick über die aus datenschutz- und datenrechtlicher Sicht wesentlichen Entwicklungen und Vorhaben auf EU-Ebene in den kommenden Monaten.

I. Aufsicht über KI-Dienste unter DSA und KI-VO

Im Zentrum der jüngsten Entwicklungen steht die zunehmende Aufsicht über KI- und Plattformdienste nach bereits geltendem Recht, sichtbar an einer Einstufungsentscheidung unter dem Digital Services Act (DSA) sowie an ersten Durchsetzungsmaßnahmen des Büros für künstliche Intelligenz (KI-Büro) nach der KI-VO.

Die Kommission hat am 31. August 2026 ChatGPT als besonders große Online-Suchmaschine (Very Large Online Search Engine, VLOSE) sowie Reddit und Roblox als besonders große Online-Plattformen (Very Large Online Platforms, VLOP) im Sinne des DSA eingestuft. Alle drei Dienste hatten erklärt, in der EU mindestens 45 Millionen durchschnittliche monatliche Nutzer zu erreichen und überschreiten damit den Schwellenwert für eine solche Benennung. Die Einstufung von ChatGPT ist dabei von besonderer Bedeutung, da sie einen ursprünglich auf soziale Netzwerke, Suchmaschinen und Marktplätze zugeschnittenen Rechtsrahmen erstmals auf einen KI-Assistenten mit allgemeinem Verwendungszweck erstreckt. Für andere KI-Dienste mit vergleichbarer Funktion und Reichweite könnte die Entscheidung Präzedenzwirkung entfalten.

Aus der Benennung folgt, dass die betroffenen Dienste binnen vier Monaten die zusätzlichen Pflichten für besonders große Dienste zu erfüllen haben, insbesondere die jährliche Bewertung und Minderung systemischer Risiken, unabhängige Prüfungen und den Datenzugang für Forschungszwecke. Mittelbar können von dieser Entscheidung alle Unternehmen berührt sein, die ChatGPT oder vergleichbare Dienste in eigene Geschäftsprozesse eingebunden haben, etwa in der Kundenkommunikation oder der Inhaltserstellung, da die zur Umsetzung erforderlichen Anpassungen sich auf die Antwortgenerierung, die Suchfunktion oder die Datenverarbeitung auswirken können. Dies gilt besonders für Anbieter, die solche Dienste über Schnittstellen (Application Programming Interface, API) in eigene Produkte integrieren. Es empfiehlt sich daher, den Einsatz entsprechender Dienste einschließlich der API-Integrationen zu erfassen und die Verträge mit KI-Anbietern auf Regelungen zu regulatorisch veranlassten Änderungen, Haftung und Datenzugang zu prüfen.

Parallel hat die Durchsetzung der KI-VO gegenüber Modellanbietern begonnen. Das KI-Büro hat Anfang September 2026 mitgeteilt, erste Auskunftsersuchen an mehr als 30 Anbieter von KI-Modellen versandt zu haben, nachdem die Durchsetzungsbefugnisse gegenüber Anbietern von KI-Modellen mit allgemeinem Verwendungszweck (General-Purpose AI, GPAI) am 2. August 2026 wirksam geworden sind. Die Ersuchen betreffen nach Angaben der Kommission zum einen Fragen der Sicherheit der fortschrittlichsten Modelle, zum anderen Fragen des Urheberrechts und der Transparenz. Da das KI-Büro bei unrichtigen oder unvollständigen Antworten Geldbußen verhängen kann, kommt bereits deren Beantwortung erhebliche Bedeutung zu. Für Unternehmen, die KI-Systeme einsetzen, sind zudem seit dem 2. August 2026 die Transparenzpflichten nach Art. 50 KI-VO anwendbar, wonach über die Interaktion mit einem KI-System zu informieren und synthetische Inhalte maschinenlesbar zu kennzeichnen sind. Für Bestandssysteme gilt insoweit eine Übergangsfrist bis zum 2. Dezember 2026.

Die genannten Maßnahmen fügen sich in eine breitere Debatte über den Schutz vor problematischen Gestaltungspraktiken ein, in deren Rahmen die Kommission bereits das potenziell suchterzeugende Design einzelner Plattformen sowie Fragen des Jugendschutzes und der Altersverifizierung aufgegriffen hat. Für das vierte Quartal 2026 ist zudem der Vorschlag für einen Digital Fairness Act (DFA) angekündigt, der den digitalen Verbraucherschutz etwa bei manipulativen Benutzeroberflächen (sogenannte Dark Patterns) und beim Schutz Minderjähriger fortentwickeln soll. Ob dafür Bedarf besteht, ist umstritten, da mit fortschreitender Durchsetzung des DSA die vom DFA zu schließenden Lücken nach Ansicht von Kritikern kleiner würden.

II. Vereinfachung und Konsolidierung des Datenrechts

Neben der Aufsicht über bestehende Dienste treibt die Kommission mehrere Vorhaben zur Vereinfachung und Bündelung des Datenrechts voran. Grundlage ist der im November 2025 vorgelegte „Digital Omnibus", mit dem zentrale Digitalrechtsakte konsolidiert und praxisnäher ausgestaltet werden sollen. Der auf die KI-Verordnung bezogene Teil dieses Pakets (KI-Omnibus) ist bereits am 27. Juli 2026 in Kraft getreten (wir berichteten in Datenschutzupdate Nr. 256). Im Vordergrund der kommenden Monate steht daher der sogenannte Daten-Omnibus, der auf eine Vereinfachung des Datenrechts einschließlich der Datenschutz-Grundverordnung (DSGVO) zielt und verfahrensmäßig noch am Anfang steht.

Inhaltlich sieht der Vorschlag zum Daten-Omnibus insbesondere vor, den Data Act als zentralen Rechtsrahmen im Datenrecht zu etablieren und angrenzende Regelwerke wie den Data Governance Act und die Open-Data-Vorgaben in ihn zu integrieren. Für die DSGVO sind punktuelle Anpassungen vorgesehen, etwa eine Präzisierung des Begriffs besonderer Kategorien personenbezogener Daten, eine ausdrückliche Grundlage für das Training von KI-Systemen auf Basis berechtigter Interessen unter technischen Schutzvorkehrungen sowie vereinfachte Informations- und Meldepflichten für kleinere Unternehmen (wir berichteten in Datenschutzupdate Nr. 223). Flankierend soll ein zentrales europäisches Meldeportal Mehrfachmeldungen nach DSGVO, NIS-2, DORA und Cyber Resilience Act (CRA) bündeln. Die Vorhaben sind nicht als materielle Absenkung des Schutzniveaus konzipiert, sondern als strukturelle Vereinfachung; für Unternehmen liegt der praktische Nutzen vor allem in einheitlicheren Begriffen, geringerer Mehrfachregulierung und klareren Zuständigkeiten.

Verfahrensrechtlich ist der Daten-Omnibus noch nicht in die abschließenden Verhandlungen eingetreten. Im Europäischen Parlament liegen die Änderungsanträge der Abgeordneten seit Mitte Juli 2026 vor, die bis Februar 2027 in den Vorschlag der Kommission eingearbeitet werden sollen.

Kritik zum Daten-Omnibus kommt insbesondere aus dem Datenschutzbereich. Der Europäische Datenschutzausschuss (EDSA) und der Europäische Datenschutzbeauftragte (EDSB) hatten bereits zu Beginn des Verfahrens Vorbehalte gegen einzelne Vorschläge geäußert und vor einer Absenkung des Datenschutzniveaus gewarnt, namentlich mit Blick auf Eingriffe in zentrale Grundbegriffe wie den Personenbezug und die Pseudonymisierung. Im weiteren Verfahren dürfte daher noch mit Anpassungen zu rechnen sein. Unabhängig vom Ausgang bleiben die bereits geltenden Pflichten des Data Act, dessen wesentliche Vorgaben seit dem 12. September 2025 unmittelbar anwendbar sind, für die betroffenen Unternehmen verbindlich.

III. Digitale Souveränität und Cloud

Ein weiterer Schwerpunkt der EU-Digitalpolitik liegt auf der Stärkung der digitalen Souveränität, insbesondere im Cloud-Bereich. Zentrales Vorhaben ist der am 3. Juni 2026 von der Kommission vorgelegte Vorschlag für einen Cloud and AI Development Act (Cada), der Teil eines umfassenderen Souveränitätspakets ist. Ziel des Vorhabens ist es, die Cloud- und KI-Infrastruktur in der EU auszubauen und Abhängigkeiten von Anbietern aus Drittstaaten, vor allem in kritischen Bereichen, zu verringern. Kernstück des Entwurfs ist ein abgestuftes System sogenannter Souveränitätsstufen (Union assurance levels), das Sicherheits-, Resilienz- und Souveränitätsanforderungen mit der Zulässigkeit einer Nutzung im öffentlichen Sektor verknüpft.

Das Gesetzgebungsverfahren zum Cada steht noch am Anfang. Der Vorschlag wird derzeit im Rat und im Europäischen Parlament beraten, wobei sich bereits unterschiedliche Auffassungen abzeichnen, insbesondere zur Frage, wie streng der Souveränitätsbegriff auszulegen ist und ob große außereuropäische Anbieter (Hyperscaler) auszuschließen sind. Bis Ende Oktober 2026 sammelt die Kommission zudem noch Rückmeldungen zu dem Vorhaben, sodass mit inhaltlichen Anpassungen im weiteren Verfahren zu rechnen ist. Flankierend hat die Kommission angekündigt, das europäische Vergaberecht zu reformieren und dabei Souveränitätskriterien stärker rechtlich zu verankern; ein entsprechender Vorschlag für einen Public Procurement Act soll im September 2026 vorgestellt werden. Ebenfalls dem Souveränitätsziel zugeordnet ist der Anfang Juni 2026 vorgelegte Chips Act 2.0, mit dem die heimische Chipproduktion gestärkt werden soll.

Parallel zu diesen Gesetzgebungsvorhaben zeichnet sich eine erstmalige Anwendung des Digital Markets Act (DMA) auf Cloud-Dienste ab. Die Kommission hat am 25. Juni 2026 vorläufig festgestellt, dass Amazon Web Services (AWS) und Microsoft Azure als die beiden größten Cloud-Dienste in der EU als Torwächter (Gatekeeper) im Sinne des DMA einzustufen seien. Bemerkenswert ist, dass die Kommission diese vorläufige Einordnung nicht auf die quantitativen Schwellenwerte des DMA stützt, die beide Dienste nicht erreichen, sondern auf eine qualitative Gesamtwürdigung, wonach beide Dienste ein wichtiges Zugangstor zwischen Unternehmen und ihren Kunden in der EU darstellten. Eine endgültige Entscheidung wird für das Ende des Jahres 2026 erwartet. Sollte sie die vorläufige Einschätzung bestätigen, würden AWS und Azure als erste Cloud-Dienste den Pflichten des DMA unterliegen und binnen einer Übergangsfrist etwa Vorgaben zu Interoperabilität und zur Erleichterung eines Anbieterwechsels erfüllen müssen. Für Unternehmen, die Cloud-Dienste dieser Anbieter nutzen, könnte dies mittelbar zu Erleichterungen beim Wechsel des Anbieters und bei der Verknüpfung verschiedener Dienste führen.

IV. Fazit und Ausblick

Die dargestellten Entwicklungen zeigen, dass sich die EU-Digitalpolitik derzeit auf zwei Ebenen zugleich bewegt. Auf der einen Ebene gewinnt die Anwendung des bereits geltenden Rechts an Kontur, sichtbar an der Einstufung von ChatGPT, Reddit und Roblox unter dem DSA, an den ersten Auskunftsersuchen des KI-Büros und an der sich abzeichnenden Erstreckung des DMA auf Cloud-Dienste. Auf der anderen Ebene bleiben mit dem Daten-Omnibus und den Souveränitätsvorhaben im Cloud-Bereich mehrere Gesetzgebungsverfahren in der Schwebe, deren Ausgang und zeitliche Umsetzung noch offen sind.

Für Unternehmen folgt daraus, dass sich die praktisch relevanten Anforderungen nicht allein aus künftigen Rechtsakten, sondern zunehmend aus der Durchsetzung des bestehenden Rechtsrahmens ergeben. Wer KI- oder Cloud-Dienste einsetzt oder in eigene Produkte integriert, sollte die genannten Entwicklungen daher fortlaufend beobachten, insbesondere die Umsetzung der erweiterten DSA-Pflichten durch die betroffenen Anbieter, die Anwendbarkeit der Transparenzpflichten nach Art. 50 KI-VO sowie eine mögliche Einstufung von AWS und Azure als Gatekeeper. Unmittelbaren Handlungsbedarf lösen zudem die beiden Stichtage im September 2026 aus, nämlich die ab heute (11. September 2026) geltenden Meldepflichten nach Art. 14 Cyber Resilience Act (hier nähere Informationen) und die ab morgen (12. September 2026) geltende Access-by-Design-Pflicht nach Art. 3 Abs. 1 Data Act für neu in Verkehr gebrachte vernetzte Produkte (hier nähere Informationen). Zugleich empfiehlt es sich, die Beratungen zum Daten-Omnibus zu verfolgen, da die dort vorgesehenen Anpassungen der DSGVO und des Datenrechts mittelfristig unmittelbare Auswirkungen auf Compliance-Strukturen und die Nutzung von Daten haben können.

Dieser Beitrag wurde in Zusammenarbeit mit unserer stud. Mitarbeiterin Emily Bernklau erstellt.