KI-Omnibus 2026: Längere Fristen und weniger Bürokratie für den AI-Act

Der Rat der Europäischen Union hat den KI-Omnibus am 29. Juni 2026 endgültig beschlossen und verschiebt damit die zentralen Pflichten für Hochrisiko-KI-Systeme um bis zu zwei Jahre. Das Europäische Parlament hatte den Text bereits am 16. Juni 2026 in erster Lesung gebilligt. Damit ist das Gesetzgebungsverfahren zur Änderung der KI-Verordnung (Verordnung (EU) 2024/1689) abgeschlossen, noch bevor deren wichtigste Pflichten überhaupt gegolten haben. Der KI-Omnibus gehört zur sogenannten Omnibus-Vereinfachungsagenda der EU. Er wird in Kürze im Amtsblatt veröffentlicht und tritt am dritten Tag danach in Kraft. Für Unternehmen bedeutet das: Ein Teil der Fristen verschiebt sich nach hinten. Der Handlungsbedarf bleibt aber bestehen, er verlagert sich nur zeitlich.

Warum kommt der KI-Omnibus?

Die KI-Verordnung ist am 1. August 2024 in Kraft getreten. Ihre Pflichten gelten gestaffelt. Die Verbote bestimmter KI-Praktiken und die Regeln zur KI-Kompetenz gelten bereits seit dem 2. Februar 2025. Die Pflichten für KI-Modelle mit allgemeinem Verwendungszweck gelten seit dem 2. August 2025. Die zentralen Pflichten für Hochrisiko-KI-Systeme sollten ursprünglich ab dem 2. August 2026 greifen, für eigenständige Systeme nach Anhang III, und ab dem 2. August 2027 für Systeme, die als Sicherheitsbauteil in Produkte eingebaut sind, nach Anhang I.

Genau diese Hochrisiko-Pflichten verursachen den größten Umsetzungsaufwand. In der Praxis zeigte sich: Die notwendigen harmonisierten Normen, gemeinsamen Spezifikationen und Leitlinien lagen noch nicht vor. Auch der Aufbau der zuständigen nationalen Behörden war vielerorts nicht abgeschlossen. Unternehmen hätten ihre Konformitätsbewertung damit auf eine Grundlage stützen müssen, die noch gar nicht existierte.

Die EU-Kommission legte deshalb am 19. November 2025 das Digital-Omnibus-Paket vor. Es umfasst zwei Verordnungsentwürfe, mit denen der digitale Rechtsrahmen der EU in den Bereichen KI, Datenschutz und digitale Dienste vereinfacht werden soll. Der Rat legte am 13. März 2026 seine Position fest. Am 7. Mai 2026 einigten sich Rat, Parlament und Kommission im Trilog vorläufig. Das Parlament billigte den Kompromiss am 16. Juni 2026, der Rat nahm ihn am 29. Juni 2026 endgültig an.

Was sind die wichtigsten Änderungen?

1. Neue Fristen für Hochrisiko-KI-Systeme

Der Omnibus verschiebt den Anwendungsbeginn der Hochrisiko-Pflichten. Für eigenständige Systeme nach Anhang III, etwa in den Bereichen Beschäftigung, Bildung oder Zugang zu wesentlichen Dienstleistungen, gelten die Pflichten nun erst ab dem 2. Dezember 2027 statt ab dem 2. August 2026. Für Systeme, die als Sicherheitsbauteil in ein Produkt eingebaut sind, nach Anhang I, verschiebt sich der Termin auf den 2. August 2028 statt auf den 2. August 2027. Die Kommission muss bis spätestens 1. August 2027 Leitlinien zur Einhaltung der Hochrisiko-Anforderungen vorlegen.

Praxisbeispiel: Ein Unternehmen setzt eine KI-Software zur Vorauswahl von Bewerbungen ein. Diese Software gilt als Hochrisiko-KI-System nach Anhang III. Die vollständigen Pflichten, etwa Risikomanagement, Registrierung und Konformitätsbewertung, muss das Unternehmen jetzt erst ab Dezember 2027 erfüllen, nicht mehr ab August 2026.

2. Zwei neue verbotene Praktiken

Der Omnibus erweitert die Liste der verbotenen KI-Praktiken in Art. 5 der KI-Verordnung um zwei Tatbestände. Verboten wird künftig der Einsatz von KI-Systemen, die ohne Einwilligung intime Aufnahmen identifizierbarer realer Personen erzeugen oder verändern. Verboten wird außerdem KI, die Darstellungen sexuellen Missbrauchs von Kindern erzeugt oder verändert, auch wenn die Inhalte nur teilweise KI-generiert sind.

Das Verbot trifft Anbieter und Betreiber gleichermaßen. Anbieter müssen bereits prüfen, ob ein solcher Missbrauch ihrer Software vorhersehbar ist, selbst wenn er nicht der eigentliche Zweck des Systems ist. Fehlen dann angemessene technische Schutzvorkehrungen, liegt ebenfalls ein Verstoß vor. Anders als die Hochrisiko-Pflichten gilt dieses Verbot bereits ab dem 2. Dezember 2026, unabhängig von der allgemeinen Fristverschiebung.

Praxisbeispiel: Ein Anbieter eines frei nutzbaren Bild- oder Videogenerators muss schon in der Entwicklung prüfen, ob sein Tool zur Erstellung von Deepfake-Pornografie missbraucht werden kann. Ist das absehbar, muss er wirksame technische Sperren einbauen.

3. Engere Definition des Sicherheitsbauteils

Ob ein KI-System als Hochrisiko-System gilt, hängt bei eingebetteten Systemen vom Begriff des Sicherheitsbauteils ab. Der Omnibus fasst diesen Begriff enger. Ein Sicherheitsbauteil liegt künftig nur noch vor, wenn die vom Anbieter festgelegte Zweckbestimmung darin besteht, Risiken für Gesundheit, Sicherheit oder Eigentum abzuwenden oder zu mindern. Ausdrücklich ausgenommen sind Systeme, die lediglich der Nutzerunterstützung, der Leistungsoptimierung, dem Bedienkomfort oder nicht sicherheitsrelevanter Qualitätskontrolle dienen. Der bloße Einbau eines KI-Systems in ein Produkt reicht künftig nicht mehr aus, um eine Sicherheitsfunktion zu begründen.

Praxisbeispiel: Ein KI-Assistent in einer Werkzeugmaschine, der dem Bediener nur die Einstellung erleichtert, ohne selbst sicherheitsrelevante Entscheidungen zu treffen, fällt nach der neuen Definition regelmäßig nicht mehr automatisch unter die Hochrisiko-Kategorie.

4. Aus Pflicht wird Förderung: KI-Kompetenz

Bislang mussten Anbieter und Betreiber nach Art. 4 der KI-Verordnung ein ausreichendes Maß an KI-Kompetenz ihres Personals sicherstellen. Der Omnibus wandelt diese Pflicht in eine Förderpflicht um. Unternehmen müssen künftig Maßnahmen ergreifen, um die KI-Kompetenz ihres Personals zu fördern. Inhaltlich bleibt die Anforderung bestehen, verliert aber ihren strikt sanktionsbewehrten Charakter.

5. Kennzeichnungspflichten bleiben scharf

Die Transparenz- und Kennzeichnungspflichten für KI-generierte Inhalte nach Art. 50 der KI-Verordnung bleiben inhaltlich unverändert und gelten weiterhin ab dem 2. August 2026. Für Anbieter generativer KI-Systeme, die ihr System bereits vor diesem Datum auf den Markt gebracht haben, gilt für die technische Kennzeichnung eine Übergangsfrist bis zum 2. Dezember 2026. Wichtig für die Praxis: Diese Pflichten fallen gerade nicht unter die allgemeine Fristverschiebung der Hochrisiko-Pflichten.

Praxisbeispiel: Ein Unternehmen, das einen KI-Chatbot auf seiner Website einsetzt, muss Nutzer weiterhin spätestens ab August 2026 klar erkennbar darauf hinweisen, dass sie mit einer KI kommunizieren.

6. Weitere Erleichterungen

Der Omnibus führt neue Begriffsbestimmungen für kleine und mittlere Unternehmen sowie für kleine Midcap-Unternehmen ein und weitet bestehende Erleichterungen auf diese Gruppe aus. Im Datenschutzrecht wird die Rechtsgrundlage zur Verarbeitung besonderer Datenkategorien für die Erkennung und Korrektur von Verzerrungen (Bias) auf weitere Betreiber und Anbieter ausgeweitet, unter denselben Schutzvoraussetzungen wie bisher. Die Frist zur Einrichtung nationaler KI-Reallabore wird bis zum 2. August 2027 verlängert. Die Zuständigkeit des europäischen KI-Büros für Systeme auf Basis eigener KI-Modelle mit allgemeinem Verwendungszweck wird zudem klarer geregelt.

Was sollten Unternehmen jetzt tun?

Die Fristverschiebung ist kein Grund zum Zurücklehnen. Folgende Schritte sind jetzt sinnvoll:

Zunächst sollten Unternehmen eine vollständige Bestandsaufnahme aller eingesetzten KI-Systeme erstellen oder fortführen. Nur so lässt sich für jedes System bestimmen, ob es überhaupt in den Anwendungsbereich der KI-Verordnung fällt, welcher Risikokategorie es zuzuordnen ist und welcher der neuen Termine gilt.

Anschließend lohnt sich eine Prüfung der bisherigen Einstufung im Licht der neuen Definition des Sicherheitsbauteils. Manche Systeme, die bislang als Hochrisiko-System galten, fallen nach der Neufassung möglicherweise heraus.

Bleibt ein System als Hochrisiko-System eingestuft, sollte die gewonnene Zeit genutzt werden, um Risikomanagement-, Konformitäts- und Qualitätsmanagementprozesse aufzubauen und die angekündigten Leitlinien der Kommission auszuwerten, sobald sie vorliegen. Änderungen an bereits im Markt befindlichen Systemen sollten dokumentiert gesteuert werden, denn jede wesentliche Änderung kann die vollständigen Hochrisiko-Pflichten auslösen.

Unabhängig von der Fristverschiebung bleibt kurzfristiger Handlungsbedarf bei den Kennzeichnungspflichten aus Art. 50 der KI-Verordnung. Wer generative KI einsetzt oder anbietet, sollte Kommunikations-, Marketing- und Publikationsprozesse rechtzeitig vor August 2026 anpassen. Die neuen Verbote aus Art. 5 sind zudem ein guter Anlass, den Einsatz generativer Systeme auf Missbrauchsrisiken zu prüfen und wirksame Schutzmaßnahmen vorzusehen.

Fazit

Der KI-Omnibus 2026 verschafft Unternehmen mehr Zeit und mehr Rechtssicherheit bei der Umsetzung der Hochrisiko-Pflichten der KI-Verordnung. An der grundlegenden, risikobasierten Systematik der Verordnung ändert sich nichts. Wer die neue Frist als Anlass nimmt, das Thema aufzuschieben, verschenkt jedoch wertvolle Zeit: Die Kennzeichnungspflichten und die neuen Verbote gelten bereits kurzfristig, und die vollständige Bestandsaufnahme der eigenen KI-Systeme bleibt in jedem Fall die notwendige Grundlage für alles Weitere.

Dr. Marc Maisch ist Rechtsanwalt und Datenschutzbeauftragter mit Schwerpunkt IT-Recht, Künstliche Intelligenz, Datenschutz und Cybercrime bei Maisch.law Rechtsanwälte. Er begleitet Unternehmen bei der rechtssicheren Einordnung und Umsetzung ihrer KI-Systeme nach der KI-Verordnung, von der Bestandsaufnahme über die Risikoeinstufung bis zur Konformitätsbewertung.

Haben Sie Fragen zum KI-Omnibus oder zur Einordnung Ihrer eigenen KI-Systeme? Melden Sie sich gerne über unsere Internetseite bei uns.

FAQ

Was ist der KI-Omnibus 2026?

Der KI-Omnibus ist eine Änderungsverordnung, die der Rat der Europäischen Union am 29. Juni 2026 final beschlossen hat. Er ändert gezielt die KI-Verordnung (EU) 2024/1689, verschiebt den Anwendungsbeginn der Hochrisiko-Pflichten nach hinten und führt zwei neue verbotene KI-Praktiken ein. Er gehört zum Digital-Omnibus-Paket der EU-Kommission und soll die Umsetzung der KI-Verordnung entlasten, ohne deren risikobasierte Grundstruktur zu verändern.

Ab wann gelten die Pflichten für Hochrisiko-KI-Systeme jetzt?

Für eigenständige Hochrisiko-KI-Systeme nach Anhang III gelten die Pflichten ab dem 2. Dezember 2027 statt wie ursprünglich geplant ab dem 2. August 2026. Für KI-Systeme, die als Sicherheitsbauteil in Produkte eingebaut sind, nach Anhang I, verschiebt sich der Termin auf den 2. August 2028 statt auf den 2. August 2027. Die Kommission muss bis spätestens 1. August 2027 begleitende Leitlinien veröffentlichen.

Welche neuen Verbote bringt der KI-Omnibus?

Der KI-Omnibus verbietet KI-Systeme, die nicht einvernehmlich intime Aufnahmen identifizierbarer Personen erzeugen oder manipulieren, sowie KI-Systeme, die Missbrauchsdarstellungen von Kindern erzeugen oder manipulieren. Beide Verbote treffen Anbieter und Betreiber und gelten bereits ab dem 2. Dezember 2026. Sie sind von der Fristverschiebung der Hochrisiko-Pflichten ausdrücklich nicht erfasst.

Was ändert sich bei der Definition von Sicherheitsbauteil?

Ein KI-System gilt künftig nur dann als Sicherheitsbauteil, wenn seine festgelegte Zweckbestimmung darin liegt, Risiken für Gesundheit, Sicherheit oder Eigentum abzuwenden. Systeme, die nur der Nutzerunterstützung, Effizienzsteigerung oder dem Bedienkomfort dienen, fallen ausdrücklich nicht mehr darunter. Der bloße Einbau in ein regulierungspflichtiges Produkt reicht allein nicht mehr aus, um eine Hochrisiko-Einstufung zu begründen.

Gilt die Kennzeichnungspflicht für KI-Inhalte weiterhin ab August 2026?

Ja, die Transparenz- und Kennzeichnungspflichten aus Art. 50 der KI-Verordnung gelten unverändert ab dem 2. August 2026. Für generative KI-Systeme, die bereits vor diesem Datum im Markt waren, gilt für die technische Kennzeichnung eine Übergangsfrist bis zum 2. Dezember 2026. Diese Pflichten sind von der allgemeinen Fristverschiebung für Hochrisiko-Systeme nicht betroffen.

Müssen Unternehmen trotz der Fristverschiebung schon jetzt handeln?

Ja, da Unternehmen unabhängig von der Fristverschiebung sofort eine vollständige Bestandsaufnahme ihrer KI-Systeme erstellen und deren Risikoeinstufung prüfen sollten. Zusätzlich bleibt kurzfristiger Handlungsbedarf bei den Kennzeichnungspflichten aus Art. 50 und bei der Prüfung generativer Systeme auf die neuen Verbote aus Art. 5, die beide bereits 2026 greifen.