KI-Omnibus 2026: Trilog-Einigung zur Änderung des AI Acts bringt längere Fristen und weniger Bürokratie

Mit Beschluss vom 29. Juni 2026 hat der Rat der Europäischen Union dem sogenannten Digital-Omnibus zur KI final zugestimmt und damit das ordentliche Gesetzgebungsverfahren abgeschlossen, nachdem das Europäische Parlament den Text bereits am 16. Juni 2026 in erster Lesung gebilligt hatte. Die Änderungsverordnung greift gezielt in die KI-Verordnung (Verordnung (EU) 2024/1689) ein, bevor deren zentrale Pflichten für Hochrisiko-KI-Systeme überhaupt anwendbar geworden sind und ist Teil der unter dem Schlagwort „Omnibus VII" verfolgten Vereinfachungsagenda der Union. Im Mittelpunkt steht eine Verschiebung des Anwendungsbeginns der Hochrisiko-Pflichten, die andernfalls ab dem 2. August 2026 gegolten hätten. Zugleich führt der Omnibus zwei neue verbotene Praktiken in Art. 5 KI-VO ein und nimmt an verschiedenen Stellen Präzisierungen zur Entlastung der Wirtschaft vor. Mit der Annahme durch den Rat steht der materielle Inhalt nunmehr fest. In Kürze wird die Verordnung im Amtsblatt veröffentlicht und tritt am dritten Tag nach ihrer Veröffentlichung in Kraft. Für betroffene Unternehmen verschiebt sich damit zwar der zeitliche Rahmen für einen Teil ihrer Compliance-Pflichten, der bestehende Handlungsbedarf entfällt jedoch nicht, sondern verlagert sich lediglich. Der nachfolgende Beitrag ordnet die wesentlichen Änderungen ein und zeigt auf, welche Schritte Unternehmen nunmehr einleiten sollten.

I. Hintergrund zum KI-Omnibus

Die KI-Verordnung ist am 1. August 2024 in Kraft getreten und entfaltet ihre Vorgaben gestaffelt: Während die Vorschriften über verbotene Praktiken (Art. 5 KI-VO) und die Bestimmungen zur KI-Kompetenz bereits seit dem 2. Februar 2025 gelten und die Pflichten für KI-Modelle mit allgemeinem Verwendungszweck seit dem 2. August 2025 anwendbar sind, sollten die zentralen Anforderungen an Hochrisiko-KI-Systeme nach Kapitel III der Verordnung erst gestaffelt greifen – für eigenständige Systeme nach Anhang III ab dem 2. August 2026 und für als Sicherheitsbauteil in Produkte eingebettete Systeme nach Anhang I ab dem 2. August 2027. Eben diese Hochrisiko-Pflichten bilden den eigentlichen Kern des Pflichtenregimes der KI-Verordnung und sind zugleich mit dem höchsten Umsetzungsaufwand für die betroffenen Anbieter und Betreiber verbunden.

In der Durchführung der bereits geltenden Teile der Verordnung zeigte sich allerdings, dass wesentliche Voraussetzungen für eine rechtssichere Anwendung dieser Pflichten noch nicht vorliegen. Insbesondere die harmonisierten Normen, gemeinsamen Spezifikationen und Leitlinien, auf die sich Anbieter beim Nachweis der Konformität stützen sollen, sind verzögert in der Ausarbeitung. Ebenso ist der Aufbau der zuständigen nationalen Behörden sowie der Governance- und Konformitätsbewertungsstrukturen vielerorts nicht abgeschlossen. Anbieter von Hochrisiko-KI-Systemen wären damit gehalten gewesen, ihre Konformitätsbewertung auf noch nicht verfügbare Grundlagen zu stützen, was einen erheblichen und sachlich nicht gerechtfertigten Befolgungsaufwand nach sich gezogen hätte.

Vor diesem Hintergrund hat die Europäische Kommission am 19. November 2025 das sogenannte Digital-Omnibus-Paket vorgelegt. Dieses beinhaltet zwei Verordnungsentwürfe, mit denen der digitale Rechtsrahmen der Union, insbesondere in den Bereichen KI, Datenschutz und digitale Dienste, vereinfacht und gestrafft werden soll.

Nach Festlegung der Ratsposition am 13. März 2026 und einer vorläufigen Trilog-Einigung am 7. Mai 2026 billigte das Europäische Parlament den Kompromiss am 16. Juni 2026 in erster Lesung, bevor der Rat den Text am 29. Juni 2026 förmlich annahm und das Gesetzgebungsverfahren damit abschloss.

II. Zentrale Änderungen durch den Omnibus

Der Omnibus lässt die grundlegende Systematik der KI-Verordnung – insbesondere den risikobasierten Ansatz, die Kategorie der verbotenen Praktiken sowie die Vorschriften für KI-Modelle mit allgemeinem Verwendungszweck – unverändert. Die Änderungen betreffen vielmehr den zeitlichen Rahmen der Hochrisiko-Pflichten, ergänzen den Katalog verbotener Praktiken und präzisieren einzelne Begriffe und Pflichten mit dem Ziel, den Befolgungsaufwand zu verringern. Die für die Unternehmenspraxis wesentlichen Neuregelungen lassen sich wie folgt zusammenfassen.

1. Verschiebung des Anwendungsbeginns der Hochrisiko-Pflichten

Kernstück des Omnibus ist die Verschiebung des Geltungsbeginns der Pflichten für Hochrisiko-KI-Systeme. Diese wären nach der ursprünglichen Staffelung der KI-Verordnung für eigenständige Systeme nach Anhang III ab dem 2. August 2026 und für in Produkte eingebettete Systeme nach Anhang I ab dem 2. August 2027 anwendbar geworden. Die Neuregelung differenziert dabei nach den beiden Kategorien hochrisikobehafteter Systeme: Für KI-Systeme, die nach Art. 6 Abs. 2 in Verbindung mit Anhang III der KI-Verordnung als hochriskant eingestuft sind – also eigenständige Systeme in bestimmten sensiblen Anwendungsbereichen wie etwa Beschäftigung, Bildung oder dem Zugang zu wesentlichen Dienstleistungen –, gilt der Anwendungsbeginn nunmehr ab dem 2. Dezember 2027. Für KI-Systeme, die nach Art. 6 Abs. 1 in Verbindung mit Anhang I der KI-Verordnung als Sicherheitsbauteil eines Produkts oder als ein solches Produkt eingestuft sind, verschiebt sich der Anwendungsbeginn auf den 2. August 2028.

Die gestaffelten Zeitpunkte folgen der ursprünglich in der KI-Verordnung angelegten Logik und sollen den betroffenen Wirtschaftsakteuren die erforderliche Zeit zur Anpassung verschaffen, bis die maßgeblichen Normen, gemeinsamen Spezifikationen und Leitlinien tatsächlich verfügbar sind. Flankierend ist die Kommission gehalten, bis spätestens 1. August 2027 Leitlinien zur Einhaltung der Hochrisiko-Anforderungen bereitzustellen.

2. Neue verbotene Praktiken: KI-generiertes Missbrauchsmaterial (Art. 5 KI-VO)

Während der Omnibus die Hochrisiko-Pflichten zeitlich entlastet, erweitert er zugleich den Katalog der verbotenen Praktiken in Art. 5 KI-VO um zwei neue Tatbestände. Untersagt wird zum einen der Einsatz von KI-Systemen, deren Zweck darin besteht, nicht einvernehmlich erstelltes intimes Material identifizierbarer realer Personen zu erzeugen oder zu manipulieren. Zum anderen werden KI-Systeme verboten, mit denen Darstellungen sexuellen Missbrauchs von Kindern erzeugt oder manipuliert werden, einschließlich vollständig oder teilweise KI-generierter Inhalte.

Das Verbot richtet sich sowohl an Anbieter, die entsprechende Systeme auf dem Unionsmarkt bereitstellen, als auch an Betreiber, die solche Systeme zu den genannten Zwecken einsetzen. Auf Anbieterseite erfasst das Verbot dabei nicht nur Systeme mit entsprechender Zweckbestimmung, sondern auch solche, bei denen die Erzeugung derartiger Inhalte ein vernünftigerweise vorhersehbares und ohne wesentliche technische Änderung reproduzierbares Ergebnis ist und angemessene technische Schutzvorkehrungen zu ihrer zuverlässigen Verhinderung fehlen. Anbieter allgemein einsetzbarer Bild- und Videogeneratoren müssen daher bereits im Design- und Bereitstellungsstadium prüfen, ob eine solche missbräuchliche Nutzung vorhersehbar ist. Anders als die Hochrisiko-Pflichten unterliegen diese neuen Verbote nicht der verschobenen Frist, sondern gelten bereits ab dem 2. Dezember 2026.

3. Präzisierung des Begriffs „Sicherheitsbauteil"

Von erheblicher praktischer Tragweite ist die Neufassung des Begriffs des Sicherheitsbauteils (Art. 3 Nr. 14 KI-VO), der für die Einstufung als Hochrisiko-KI-System nach Art. 6 Abs. 1 KI-VO maßgeblich ist. Künftig erfüllt ein KI-System nur dann eine Sicherheitsfunktion, wenn seine vom Anbieter festgelegte Zweckbestimmung darin besteht, Risiken für die Gesundheit und Sicherheit von Personen oder Eigentum abzuwenden oder zu mindern. Ausdrücklich ausgenommen sind KI-Systeme, die ausschließlich der Nutzerunterstützung, der Leistungsoptimierung, der Dienstleistungseffizienz, der Automatisierung, dem Bedienkomfort oder nicht sicherheitsrelevanter Aspekte der Qualitätskontrolle dienen. Die bloße Integration eines KI-Systems in ein Produkt, das den Harmonisierungsrechtsvorschriften der Union unterliegt, begründet für sich genommen noch keine Sicherheitsfunktion. Die Präzisierung verengt damit den Anwendungsbereich der Hochrisiko-Einstufung und verschafft Anbietern größere Rechtssicherheit bei der eigenständigen Bewertung ihrer Systeme.

4. Abschwächung der Pflicht zur KI-Kompetenz (Art. 4 KI-VO)

Die bislang in Art. 4 KI-VO verankerte Pflicht, ein ausreichendes Maß an KI-Kompetenz des Personals sicherzustellen, wird in eine Pflicht zur Förderung der KI-Kompetenz umgewandelt. Anbieter und Betreiber sind danach gehalten, Maßnahmen zu ergreifen, um die KI-Kompetenz ihres Personals und anderer in ihrem Auftrag tätiger Personen zu fördern. Kommission und Mitgliedstaaten sollen diese Bemühungen durch Schulungen, Informationsressourcen und den Austausch bewährter Verfahren unterstützen. Die Anforderung bleibt damit in der Sache bestehen, verliert aber ihren strikt verpflichtenden und sanktionsbewehrten Charakter zugunsten eines stärker fördernden Ansatzes.

5. Transparenz- und Kennzeichnungspflichten (Art. 50 KI-VO)

Die Transparenz- und Kennzeichnungspflichten des Art. 50 KI-VO bleiben in ihrer Substanz unberührt und gelten weiterhin ab dem 2. August 2026. Für Anbieter generativer KI-Systeme, die ihre Systeme bereits vor dem 2. August 2026 in Verkehr gebracht haben, sieht der Omnibus jedoch einen Übergangszeitraum vor, innerhalb dessen die technischen Maßnahmen zur Kennzeichnung künstlich erzeugter Inhalte nach Art. 50 Abs. 2 KI-VO umzusetzen sind; der maßgebliche Stichtag wird insoweit auf den 2. Dezember 2026 festgelegt. Unternehmen, die generative KI einsetzen oder bereitstellen, sollten beachten, dass der wesentliche Pflichtenbestand des Art. 50 KI-VO damit gerade nicht von der allgemeinen Fristverschiebung erfasst wird.

6. Weitere Erleichterungen und Klarstellungen

Über die genannten Kernpunkte hinaus enthält der Omnibus eine Reihe weiterer Anpassungen. Eingeführt werden Begriffsbestimmungen für KMU sowie für „kleine Midcap-Unternehmen", verbunden mit der erforderlichenfalls vorgesehenen Ausweitung bestehender Erleichterungen für kleinere Akteure auf diese Unternehmensgruppe. Im Bereich des Datenschutzes wird die Rechtsgrundlage zur Verarbeitung besonderer Kategorien personenbezogener Daten zum Zwecke der Erkennung und Korrektur von Verzerrungen über Anbieter von Hochrisiko-KI-Systemen hinaus auf deren Betreiber sowie auf Anbieter und Betreiber anderer KI-Systeme und -Modelle erstreckt, wobei die Verarbeitung denselben Begrenzungen, Bedingungen und Schutzmaßnahmen unterliegt wie bisher. Ferner wird die Frist für die Einrichtung nationaler KI-Reallabore bis zum 2. August 2027 verlängert und die Zuständigkeit des Büros für Künstliche Intelligenz für die Beaufsichtigung von KI-Systemen, die auf KI-Modellen mit allgemeinem Verwendungszweck desselben Anbieters beruhen, näher ausgestaltet, einschließlich der Festlegung von Ausnahmen zugunsten der weiterhin zuständigen nationalen Behörden.

III. Handlungsempfehlungen für Unternehmen

Trotz der gewährten Fristverschiebung sollten Unternehmen die zentrale Vorbereitungsmaßnahme – eine vollständige Bestandsaufnahme der eingesetzten KI-Systeme – unverzüglich vornehmen oder fortführen. Erst auf dieser Grundlage lässt sich für jedes System bestimmen, ob es in den Anwendungsbereich der KI-Verordnung fällt, welcher Risikokategorie es zuzuordnen ist und welcher der nunmehr gestaffelten Anwendungstermine einschlägig ist. Dabei empfiehlt sich eine sorgfältige Prüfung der Einstufung im Lichte der präzisierten Begriffsbestimmung des Sicherheitsbauteils, da Systeme, die ausschließlich der Nutzerunterstützung, der Leistungsoptimierung oder vergleichbaren Funktionen dienen, nach der Neufassung aus der Hochrisiko-Kategorie herausfallen können. Ergibt die Bewertung, dass ein System weiterhin als hochriskant einzustufen ist, sollte die verbleibende Zeit bis zum jeweiligen Anwendungsbeginn genutzt werden, um die erforderlichen Konformitäts-, Risiko- und Qualitätsmanagementprozesse aufzubauen und die angekündigten Leitlinien der Kommission auszuwerten. Spätere Änderungen an bereits in Verkehr gebrachten Systemen sind überdies bewusst zu steuern, da jede signifikante Gestaltungsänderung die vollständigen Hochrisiko-Pflichten auslöst und insoweit ein dokumentierter Änderungsprozess vorzuhalten ist.

Unabhängig von der Fristverschiebung für die Hochrisiko-Pflichten bleibt der unmittelbare Handlungsbedarf bei den nicht aufgeschobenen Pflichten bestehen. Anbieter und Betreiber generativer KI-Systeme sollten die Transparenz- und Kennzeichnungspflichten des Art. 50 KI-VO mit Blick auf den 2. August 2026 sowie die für Bestandssysteme geltende Frist zum 2. Dezember 2026 prioritär umsetzen und ihre Kommunikations-, Marketing- und Publikationsworkflows entsprechend anpassen. Ebenso sollten die neuen Verbote des Art. 5 KI-VO zum Anlass genommen werden, den Einsatz und die Bereitstellung generativer Systeme auf etwaige Risiken hin zu überprüfen und angemessene Schutzmaßnahmen vorzusehen, da diese Verbote bereits ab dem 2. Dezember 2026 gelten.

IV. Fazit und Ausblick

Mit der Annahme des Digital-Omnibus zur KI durch den Rat steht fest, dass sich der zeitliche Rahmen für die zentralen Hochrisiko-Pflichten der KI-Verordnung deutlich nach hinten verschiebt, ohne dass die grundlegende risikobasierte Systematik der Verordnung angetastet wird. Für Unternehmen bedeutet dies einen Gewinn an Zeit und Rechtssicherheit, nicht aber einen Wegfall des Handlungsbedarfs – zumal die Transparenzpflichten des Art. 50 KI-VO sowie die neuen Verbote des Art. 5 KI-VO bereits kurzfristig greifen. Mit der Veröffentlichung im Amtsblatt und dem Inkrafttreten der Änderungsverordnung beginnt zugleich die Phase der weiteren Konkretisierung durch Normen, Spezifikationen und Leitlinien, deren rechtzeitige Verfügbarkeit über die praktische Umsetzbarkeit der Pflichten entscheiden wird. Unternehmen sind daher gut beraten, die gewonnene Zeit konsequent zur Vorbereitung zu nutzen und die weitere Rechtsentwicklung aufmerksam zu verfolgen.

Dieser Beitrag wurde in Zusammenarbeit mit unserer stud. Mitarbeiterin Emily Bernklau erstellt.