Digital Omnibus AI: Was ändert sich an der KI-Verordnung?

Gilt der 2. August 2026 noch?

Ja. Der Digital Omnibus verschiebt die KI-Verordnung nicht insgesamt, der allgemeine Anwendungsbeginn am 2. August 2026 bleibt für zahlreiche Vorschriften bestehen.

Die Europäische Kommission hatte ihren Vorschlag am 19. November 2025 vorgelegt, um die Umsetzung der KI-VO zu vereinfachen und Fristen neu zu ordnen. Im Gesetzgebungsverfahren wurde der Entwurf deutlich erweitert. Die Änderungen betreffen jedoch nicht den Stichtag als Ganzes, sondern setzen punktuell an: bei einzelnen Pflichten und bei abgegrenzten Systemgruppen.

Für die Praxis bedeutet das eine Einzelfallprüfung statt einer pauschalen Verschiebung. Für jedes System sollten Sie klären:

• welche Rolle Sie einnehmen (Anbieter oder Betreiber),
• unter welchen Tatbestand das System fällt,
• welche konkrete Pflicht betroffen ist und
• welcher Anwendungszeitpunkt dafür gilt.

Wer pauschal von einer Fristverlängerung ausgeht, riskiert, weiterhin geltende Pflichten zu übersehen.

Welche neuen Fristen gelten für Hochrisiko-KI unter dem Digital Omnibus?

Für Hochrisiko-KI gelten künftig zwei unterschiedliche Anwendungsdaten, abhängig von der Einordnung des Systems. Maßgeblich sind die Anforderungen aus den Abschnitten 1 bis 3 des Kapitels III.

Welcher Stichtag greift, entscheidet die Klassifizierung nach Art. 6:

Klassifizierung	Rechtsgrundlage	Stichtag	Bestandssysteme
Hochrisiko über Anwendungsfall	Art. 6 Abs. 2 i.V.m. Anhang III	2. Dezember 2027	Stichtag auf neue Frist angepasst
Hochrisiko über Produktsicherheit	Art. 6 Abs. 1 i.V.m. Anhang I	2. August 2028	Stichtag auf neue Frist angepasst

Auch für bereits in Verkehr gebrachte Systeme gilt nicht mehr einheitlich der 2. August 2026, sondern der jeweilige neue Anwendungsbeginn. Systeme, die vor dem für sie geltenden Stichtag in Verkehr gebracht oder in Betrieb genommen wurden, müssen die Anforderungen grundsätzlich nur dann erfüllen, wenn Sie sie anschließend erheblich in ihrer Gestaltung verändern.

Die Einordnung nach Art. 6 ist damit der erste Prüfschritt, denn sie bestimmt sowohl den Stichtag als auch die Pflichten für den Bestand.

Was ändert sich an den Transparenzpflichten nach Art. 50?

Für generative KI greift bei der technischen Markierungs- und Detektionspflicht eine eigene Übergangsfrist bis zum 2. Dezember 2026. Die übrigen Transparenzpflichten aus Art. 50 verschiebt der Omnibus dagegen nicht.

Konkret betrifft die Übergangsregel Anbieter von KI-Systemen, die synthetische Audio-, Bild-, Video- oder Textinhalte erzeugen und bereits vor dem 2. August 2026 in Verkehr gebracht wurden. Diese Anbieter müssen die Maßnahmen zur Erfüllung der Pflicht aus Art. 50 Abs. 2 bis zum 2. Dezember 2026 ergreifen. Erfasst sind ausdrücklich auch KI-Systeme mit allgemeinem Verwendungszweck.

Davon zu trennen ist die Betreiberpflicht zur Offenlegung von Deepfakes und bestimmten KI-generierten oder manipulierten Texten nach Art. 50 Abs. 4. Diese bleibt grundsätzlich ab dem 2. August 2026 anwendbar.

Anbieter von Bestandssystemen gewinnen so Zeit bis Dezember 2026, die Offenlegungspflicht der Betreiber gilt davon unberührt ab August 2026.

Wie funktioniert die neue sektorale Entlastung?

Der Digital Omnibus führt einen Mechanismus ein, mit dem sich einzelne Pflichten der KI-VO zugunsten sektorspezifischer Produktregelungen beschränken lassen. Eine automatische Verdrängung der KI-VO ist damit nicht verbunden.

Eine Beschränkung setzt voraus, dass die in Anhang I Abschnitt A genannten sektorspezifischen Harmonisierungsrechtsvorschriften ein gleichwertiges oder höheres Schutzniveau für Gesundheit, Sicherheit oder Grundrechte gewährleisten. Das allgemeine Schutzniveau der KI-VO darf dadurch nicht sinken.

Die Entlastung greift erst, wenn die Kommission sie ausgestaltet. Sie muss bis zum 2. August 2027 delegierte Rechtsakte erlassen, die die betroffenen Systeme, Pflichten, Voraussetzungen und den Umfang der jeweiligen Beschränkung festlegen.

Sonderfall Maschinen

Für KI-Systeme im Maschinenbereich gilt ein eigenständiger Ansatz. Die Maschinenverordnung wandert von Anhang I Abschnitt A in Abschnitt B der KI-VO. Für KI-Systeme im Zusammenhang mit Produkten aus Abschnitt B gelten unmittelbar nur noch bestimmte Vorschriften der KI-VO.

Die Hochrisikoanforderungen setzt der Gesetzgeber künftig stärker über die Maschinenverordnung um. Auch hierfür muss die Kommission delegierte Rechtsakte erlassen, die die einschlägigen Anforderungen der KI-VO in die Maschinenverordnung überführen. Diese Rechtsakte müssen ab dem 2. August 2028 gelten. Für den Maschinenbau bündeln sich KI- und Produktsicherheitsanforderungen damit stärker im Maschinenrecht.

Sektorspezifisches Produktrecht entlastet nur dort, wo ein delegierter Rechtsakt der Kommission dies ausdrücklich vorsieht.

Welche weiteren materiellen Änderungen bringt der Digital Omnibus?

Über Fristen und Sektorregeln hinaus ändert der Digital Omnibus die KI-VO auch inhaltlich an mehreren Stellen. Die für die Praxis wichtigsten:

• Neue verbotene Praktiken: Art. 5 wird um Verbote für KI-Systeme erweitert, die nicht einvernehmliches intimes Material oder Darstellungen sexuellen Missbrauchs von Kindern erzeugen oder manipulieren. Die Verbote gelten ab dem 2. Dezember 2026. Auf Anbieterseite erfasst die Regelung auch Systeme, bei denen das System solche Inhalte vorhersehbar und wiederholbar erzeugen kann und angemessene technische Schutzmaßnahmen fehlen.
• Besondere Datenkategorien (Art. 4a): Der neue Art. 4a erweitert die Möglichkeit, besondere Kategorien personenbezogener Daten zur Erkennung und Korrektur von Verzerrungen zu verarbeiten. Zulässig ist das nur, soweit es unbedingt erforderlich ist und sich das Ziel nicht mit anderen Daten erreichen lässt, etwa mit synthetischen oder anonymisierten Daten. Zusätzlich gelten strenge Vorgaben zu Zugriff, Sicherheit, Pseudonymisierung, Weitergabe, Löschung und Dokumentation.
• Präzisierung des Sicherheitsbauteils: KI-Systeme, die ausschließlich nicht sicherheitsrelevanten Zwecken dienen, etwa Nutzerunterstützung oder Bedienkomfort, gelten grundsätzlich nicht als Sicherheitsbauteile. Gefährdet ein Ausfall dagegen Gesundheit oder Sicherheit, bleibt die Einordnung als Sicherheitsbauteil möglich. Eine Drittstellenprüfung allein wegen anderer Risiken, etwa elektromagnetischer Interferenzen ohne Gesundheitsbezug, genügt für Art. 6 Abs. 1 nicht.
• Erleichterungen für kleine Midcap-Unternehmen: Bisher vor allem für KMU vorgesehene Erleichterungen werden auf kleine Midcap-Unternehmen ausgeweitet. Dazu zählen eine vereinfachte technische Dokumentation, verhältnismäßige Anforderungen an das Qualitätsmanagement, ein vorrangiger Zugang zum Reallabor des AI Office und eine günstigere Berechnung bestimmter Geldbußen.

Fazit: Digital Omnibus AI – Stichtag prüfen statt pauschal verschieben

Der Digital Omnibus ordnet die KI-VO neu, ohne sie pauschal zu verschieben. Er schafft neue Anwendungsdaten, Übergangsfristen und sektorspezifische Entlastungsmöglichkeiten, dazu mehrere materielle Änderungen.

Entscheidend für die Praxis bleibt die Einzelfallprüfung. Für Hochrisiko-KI gilt je nach Einordnung der 2. Dezember 2027 oder der 2. August 2028, für die Markierungspflicht generativer Bestandssysteme der 2. Dezember 2026. Der allgemeine Anwendungsbeginn und die Deepfake-Offenlegung der Betreiber bleiben beim 2. August 2026. Wer seine Systeme jetzt nach Rolle, Tatbestand und Pflicht einordnet, weiß für jedes System, welcher Stichtag tatsächlich greift.

Häufig gestellte Fragen

Ist der Digital Omnibus AI schon in Kraft?

Der Inhalt der Änderungsverordnung steht fest, in Kraft ist sie aber noch nicht. Rat und Parlament haben sie am 29. Juni 2026 angenommen, ausstehend sind die Unterzeichnung und die Veröffentlichung im Amtsblatt.

Müssen wir bestehende Hochrisiko-KI-Systeme nachrüsten?

Bestehende Hochrisikosysteme müssen die Anforderungen grundsätzlich nur erfüllen, wenn Sie sie nach dem jeweils geltenden Stichtag erheblich in ihrer Gestaltung verändern. Maßgeblich ist nicht mehr einheitlich der 2. August 2026, sondern der 2. Dezember 2027 oder der 2. August 2028.

Woran erkennen wir, ob für unser System der 2. Dezember 2027 oder der 2. August 2028 gilt?

Den Stichtag bestimmt die Einordnung nach Art. 6: Anhang III bedeutet den 2. Dezember 2027, Anhang I bedeutet den 2. August 2028. Maßgeblich ist Art. 6 Abs. 2 i.V.m. Anhang III für eigenständige Hochrisikosysteme und Art. 6 Abs. 1 i.V.m. Anhang I für in Produkte eingebettete Systeme.

Ändert sich etwas an der Kennzeichnungspflicht für Deepfakes?

Die Betreiberpflicht zur Offenlegung von Deepfakes nach Art. 50 Abs. 4 bleibt ab dem 2. August 2026 anwendbar. Verschoben wird nur die technische Markierungs- und Detektionspflicht nach Art. 50 Abs. 2 für generative Systeme, die schon vor dem 2. August 2026 in Verkehr waren, hier gilt der 2. Dezember 2026.