Der neue KI-Omnibus (Verordnung (EU) 2026/1744)

Änderungsbedarf

Konsultationen der EU mit Unternehmen ergaben, dass die Umsetzung des AI Acts sich schwieriger gestaltet als erwartet. Diesem Bedarf an Vereinfachungs- und Präzisierungsmaßnahmen trägt die Kommission nun mit dem KI-Omnibus Rechnung. Die Kommission erhofft sich hierdurch Kostenreduktion von etwa 35 % für KMUs.

Die DIHK nahm Stellung zum Entwurf des umfangreicheren Digital Omnibus (Stellungnahme vom 11. März 2026).

Ausweitung der Vereinfachungen für KMUs

Der AI Act enthält Vereinfachungen für kleine und mittlere Unternehmen (KMUs). KMUs können beispielsweise ihre technische Dokumentation in vereinfachter Form einreichen (Artikel 11 Abs. 1 AI Act), erhalten kostenlosen und priorisierten Zugang zu AI-Sandboxes und Trainings (Artikel 58, 62 AI Act) und unterliegen einem Bußgelddeckel (Artikel 99 Abs. 1, 6 AI Act).

KMUs sind nach den Empfehlungen der Kommission 2003/361 allerdings nur Unternehmen, die

Mit dem KI-Omnibus überträgt die EU zahlreiche KMU-Privilegierungen auf sogenannte „kleine Midcap-Unternehmen“.

Hierunter fallen gemäß den Empfehlungen der Kommission vom 21. Mai 2025 samt Anhang Unternehmen, die

Erleichterungen bei KI-Kompetenz

Nach Artikel 4 AI Act mussten Anbieter und Betreiber von KI-Systemen die KI-Kompetenz ihres Personals sicherstellen.

Diese Erfolgspflicht wird durch den KI-Omnibus zur Handlungspflicht umgeformt. Fortan sind die betroffenen Akteure nur noch verpflichtet, die KI-Kompetenzen ihres Personals zu fördern. Hierzu wollen Kommission und Mitgliedsstaaten Unterstützung und Materialien bereitstellen.

Anpassung der Definition von Sicherheitsbauteilen

Bislang waren KI-Systeme als Hochrisiko-KI-System einzustufen, wenn sie als Sicherheitsbauteil eines in Anhang I AI Act gelisteten Produkts verwendet wurden. Sicherheitsbauteil war ein KI-System bereits, wenn es eine Sicherheitsfunktion für das Produkt erfüllte oder dessen Ausfall oder Störung die Gesundheit und Sicherheit von Personen und Eigentum gefährdete (Artikel 3 Nr. 14 AI Act). Der Anwendungsbereich war somit denkbar weit.

Künftig genügt die bloße Eignung zur Gefährdung nicht mehr. Ein KI-System ist nur dann Sicherheitsbauteil eines Produkts, wenn seine vom Anbieter festgelegte Zweckbestimmung gerade darin besteht, Risiken abzuwenden oder zu mindern.

Ausgeschlossen sind damit KI-Systeme, die bei Fehlern durchaus Risiken begründeten, aber vorrangig der Optimierung, Automatisierung oder Verbesserung der Nutzererfahrung dienen.

Vorrang der Maschinen-VO

Der AI Act ist ein generalistisches, sektorübergreifendes Gesetzeswerk, dessen weiter Anwendungsbereich zu großen Überschneidungen mit existierenden Regelungen führt. Besonders betroffen waren Akteure, die vollumfänglich sowohl der Maschinen-VO (Verordnung (EU) 2023/1230) als auch dem AI Act unterlagen.

Nach dem KI-Omnibus findet der AI Act auf KI-Systeme, die im Zusammenhang zu Produkten nach der Maschinen-VO stehen, nur noch stark eingeschränkt Anwendung (Artikel 2 Abs. 2 AI Act).

Vorrang sektorspezifischer Regelungen

Für sonstige sektorspezifische Regelungen wird die Kommission verpflichtet, das Verhältnis zum AI Act ausdrücklich zu regeln. Hierzu sollen Durchführungsrechtsakte den AI Act gegebenenfalls einschränken.

Neue Rechtsgrundlage für Debiasing

Betreiber von Hochrisiko-KI-Systemen sind gemäß Artikel 10 Abs. 2 Satz 2 lit. f), g) AI Act verpflichtet, ihr KI-System auf grundrechtsrelevante Voreingenommenheit (Biases) zu untersuchen und diese zu verhindern oder zu reduzieren. Problematisch war, dass die hierfür notwendigen sensiblen Daten nur eingeschränkt verarbeitet werden durften.

Künftig dürfen Anbieter von Hochrisiko-KI-Systemen gemäß Artikel 4a AI Act besondere Kategorien von Daten verarbeiten, um Verzerrungen zu erkennen und zu korrigieren. Besondere Kategorien von Daten sind gemäß Artikel 9 Abs. 1 DSGVO etwa die ethnische Herkunft, Daten zur sexuellen Orientierung oder politische Meinungen.

Die Verarbeitung ist allerdings nur zulässig, wenn das Debiasing nicht effektiv durch synthetische oder anonymisierte Daten durchgeführt werden kann. Die Daten sind gegen Weiterverwendung zu schützen, dürfen Dritten nicht zugänglich werden und sind schnellstmöglich zu löschen.

Verschiebung des Geltungsbeginns

Weiterhin beschloss die EU einen Aufschub zentraler Regelungen des AI Acts.

Für eigenständige Hochrisikosysteme greifen die Hochrisiko-Regelungen erst ab dem 2. August 2028. KI, die in regulierte Produkte integriert ist, wird bereits ab dem 2. Dezember 2027 erfasst.

Die Transparenzpflichten des Artikel 50 Abs. 2 AI Act gelten ab dem 2. Dezember 2026, soweit die Inhalte vor dem 2. August 2026 in den Verkehr gebracht wurden.

Ausweitung verbotener KI-Praktiken

Angesichts der immer häufiger auftretenden sexualisierten Deepfakes verbietet Artikel 5 AI Act künftig die Herstellung von nicht einvernehmlich erstelltem intimem Material sowie Darstellungen des sexuellen Missbrauchs von Kindern.

Insgesamt setzt die EU somit ein Zeichen für bessere Abgrenzbarkeit und gegen vermeidbare Doppelbelastungen. Die Neuerungen dürften die Praxistauglichkeit des AI Act deutlich erhöhen.