KI-Omnibus: Was sich bei der KI-Verordnung jetzt ändert

Der KI-Omnibus verändert den Fahrplan der europäischen KI-Verordnung spürbar. Seit dem 27. Juli 2026 gelten neue Fristen für Hochrisiko-KI, eine gelockerte Pflicht zur KI-Kompetenz, ein zusätzliches Verbot und Erleichterungen für kleinere und mittelgroße Unternehmen. Für viele Firmen verschiebt sich damit der Zeitplan ihrer Compliance-Projekte.

Doch Aufschub heißt nicht Entwarnung. Einige Pflichten gelten unverändert, andere kommen schon in wenigen Wochen. Und nicht jede Änderung, die in den Medien diskutiert wurde, hat es in den finalen Text geschafft.

Dieser Überblick zeigt dir, was der KI-Omnibus konkret ändert, welche Fristen jetzt gelten und was du in den kommenden Monaten tun solltest. Stand: Oktober 2026.

Was ist der KI-Omnibus?

Der KI-Omnibus ist die Verordnung (EU) 2026/1744, mit der die EU ihre KI-Verordnung gezielt geändert hat. Er verschiebt die Fristen für Hochrisiko-KI-Systeme, lockert die Pflicht zur KI-Kompetenz, erweitert Erleichterungen auf kleine Mid-Caps und ergänzt ein neues Verbot. Die Änderungen sind am 27. Juli 2026 in Kraft getreten.

Der Begriff „Omnibus“ stammt aus der EU-Gesetzgebung und bezeichnet ein Paket, das mehrere bestehende Rechtsakte in einem Zug ändert. Die EU-Kommission hatte im November 2025 ein umfassendes Digital-Omnibus-Paket vorgelegt, das neben der KI-Verordnung auch Datenschutz-, Cookie- und Datenregeln betraf.

Der KI-Teil wurde vorgezogen und separat verhandelt, weil die ursprüngliche Frist für Hochrisiko-Systeme im August 2026 drohte, bevor Normen und Leitlinien fertig waren. Der Datenteil befindet sich Stand Oktober 2026 noch im Gesetzgebungsverfahren.

Hintergrund war vor allem ein praktisches Problem: Die harmonisierten europäischen Normen, an denen sich Anbieter von Hochrisiko-Systemen orientieren sollen, lagen nicht rechtzeitig vor. Auch Leitlinien der Kommission und nationale Aufsichtsstrukturen waren vielerorts noch im Aufbau. Ohne diese Grundlagen hätten Unternehmen Pflichten erfüllen müssen, deren konkrete Ausgestaltung offen war.

Der Weg zum KI-Omnibus: Zeitstrahl

Das Verfahren verlief für EU-Verhältnisse ungewöhnlich schnell. Die wichtigsten Etappen im Überblick:

• November 2025: Die EU-Kommission legt das Digital-Omnibus-Paket vor.
• 7. Mai 2026: Europäisches Parlament und Rat einigen sich politisch.
• 16. Juni 2026: Das Parlament stimmt zu.
• 29. Juni 2026: Der Rat nimmt die Verordnung förmlich an.
• 8. Juli 2026: Unterzeichnung der Verordnung (EU) 2026/1744.
• 24. Juli 2026: Veröffentlichung im Amtsblatt der EU.
• 27. Juli 2026: Inkrafttreten.

Den vollständigen Text findest du im Amtsblatt der EU auf EUR-Lex. Die Grundlagen der KI-Verordnung selbst erklärt unser Überblick zum EU AI Act mit Pflichten und Fristen.

Neue Fristen für Hochrisiko-KI

Die wichtigste Änderung des KI-Omnibus betrifft den Zeitplan. Die Pflichten für Hochrisiko-KI-Systeme hätten ursprünglich zu großen Teilen ab dem 2. August 2026 gegolten. Jetzt gilt ein gestaffelter Fahrplan.

Eigenständige Hochrisiko-Systeme nach Anhang III

Für Systeme in sensiblen Einsatzbereichen wie Personalauswahl, Kreditwürdigkeitsprüfung, Bildung oder kritischer Infrastruktur gelten die Anforderungen nun ab dem 2. Dezember 2027. Anbieter und Betreiber gewinnen damit rund 16 Monate gegenüber dem ursprünglichen Termin.

KI in regulierten Produkten nach Anhang I

Für KI, die als Sicherheitsbauteil in Produkten steckt, die bereits EU-Produktrecht unterliegen, etwa Medizinprodukte oder Aufzüge, gilt der 2. August 2028. Hier verschiebt sich der Termin um ein Jahr.

Was die Verschiebung für Betreiber bedeutet

Nicht nur Hersteller profitieren vom Aufschub. Auch Unternehmen, die Hochrisiko-Systeme lediglich einsetzen, haben mehr Zeit für ihre Betreiberpflichten. Dazu gehören die Nutzung nach Gebrauchsanweisung, eine geschulte menschliche Aufsicht, die Aufbewahrung automatisch erzeugter Protokolle und die Information betroffener Beschäftigter vor dem Einsatz am Arbeitsplatz.

Beispiel: Ein mittelständisches Unternehmen nutzt eine Software, die Bewerbungen vorsortiert. Solche Systeme fallen typischerweise unter Anhang III. Die Betreiberpflichten greifen nach dem Omnibus ab dem 2. Dezember 2027. Bis dahin sollte das Unternehmen klären, wer die Ergebnisse überwacht, wie diese Personen geschult werden und wie der Anbieter seine Konformität nachweist.

Zusätzlich ordnet der KI-Omnibus Maschinen neu ein. Für Produkte unter der Maschinenverordnung gilt die KI-Verordnung nur noch eingeschränkt. Die KI-spezifischen Anforderungen soll die Kommission stattdessen über delegierte Rechtsakte in das Maschinenrecht übertragen.

Klargestellt wurde auch, wann KI als Sicherheitsbauteil gilt: nur dann, wenn ihr Zweck darin besteht, Risiken für Gesundheit und Sicherheit zu verhindern oder zu mindern. Reine Komfort-, Optimierungs- oder Assistenzfunktionen fallen nicht darunter, solange ihr Ausfall keine Gefahr verursacht.

Was der KI-Omnibus sonst noch ändert

Neben den Fristen enthält der KI-Omnibus eine Reihe inhaltlicher Änderungen. Für Unternehmen sind vor allem diese relevant:

• KI-Kompetenz: Artikel 4 verlangt nicht mehr, ein ausreichendes Kompetenzniveau sicherzustellen, sondern Maßnahmen zur Förderung der KI-Kompetenz zu ergreifen.
• Kleine Mid-Caps: Erleichterungen, die bisher nur für KMU galten, etwa vereinfachte Dokumentation und bevorzugter Zugang zu Reallaboren, gelten nun auch für Unternehmen mit weniger als 750 Beschäftigten und höchstens 150 Millionen Euro Umsatz oder 129 Millionen Euro Bilanzsumme.
• Sensible Daten gegen Verzerrungen: Anbieter von Hochrisiko-Systemen dürfen besondere Kategorien personenbezogener Daten verarbeiten, wenn dies zur Erkennung und Korrektur von Bias unbedingt erforderlich ist.
• Registrierung: Systeme, die Anbieter nach Artikel 6 Absatz 3 als nicht hochriskant einstufen, müssen weiterhin registriert werden, allerdings mit weniger Angaben.
• KI-Büro: Das KI-Büro der Kommission beaufsichtigt künftig auch KI-Systeme, die auf einem allgemeinen KI-Modell desselben Anbieters beruhen, sowie KI in sehr großen Online-Plattformen.
• Reallabore: Die Frist für nationale KI-Reallabore wurde auf den 2. August 2027 verlängert, zusätzlich entsteht ein Reallabor auf EU-Ebene.

Neues Verbot ab Dezember 2026

Der KI-Omnibus lockert nicht nur, er verschärft auch. Ab dem 2. Dezember 2026 sind KI-Systeme verboten, die ohne Einwilligung realistische intime oder sexuell explizite Darstellungen identifizierbarer Personen erzeugen oder Darstellungen sexuellen Kindesmissbrauchs generieren. Anbieter haften, wenn ihr System dafür ausgelegt ist oder solche Ergebnisse vorhersehbar und wiederholbar liefert, sofern keine wirksamen Schutzmaßnahmen bestehen.

KI-Kompetenz: Bemühen statt Garantie

Die Änderung bei der KI-Kompetenz wurde oft als Abschaffung missverstanden. Tatsächlich bleibt eine Pflicht bestehen, nur ihr Maßstab sinkt. Was das praktisch bedeutet und wie du Schulungen sinnvoll aufsetzt, erläutert unser Beitrag zur KI-Kompetenz Pflicht nach dem Omnibus.

Was der KI-Omnibus nicht ändert

Mindestens ebenso wichtig ist, was bleibt. Wer sich auf einen pauschalen Aufschub verlässt, riskiert Lücken.

• Verbotene Praktiken: Die seit Februar 2025 geltenden Verbote, etwa für Social Scoring oder bestimmte Formen der Emotionserkennung am Arbeitsplatz, gelten unverändert weiter.
• Transparenzpflichten: Die Pflichten nach Artikel 50 gelten grundsätzlich seit dem 2. August 2026, etwa der Hinweis, dass Menschen mit einem KI-System interagieren, und die Offenlegung von Deepfakes.
• Allgemeine KI-Modelle: Für Anbieter großer KI-Modelle gelten die Pflichten seit August 2025 weiter.
• Nationale Aufsicht: Die Marktüberwachungsbehörden sind seit August 2026 für die Durchsetzung zuständig.

Eine Übergangsregel betrifft die maschinenlesbare Kennzeichnung synthetischer Inhalte nach Artikel 50 Absatz 2. Anbieter von Systemen, die vor dem 2. August 2026 auf den Markt kamen, haben dafür bis zum 2. Dezember 2026 Zeit. Neuere Systeme müssen sofort kennzeichnen.

Details zu den Kennzeichnungspflichten liest du in unserem Beitrag KI-Inhalte kennzeichnen.

KI-Omnibus und Datenschutz: Der zweite Teil fehlt noch

Das ursprüngliche Paket der Kommission enthielt auch Änderungen an der DSGVO, an den Cookie-Regeln der ePrivacy-Richtlinie und am Datenrecht. Diese Vorschläge betreffen KI indirekt, etwa bei der Frage, unter welchen Bedingungen personenbezogene Daten für das Training von KI-Modellen genutzt werden dürfen.

Dieser Datenteil ist Stand Oktober 2026 nicht abgeschlossen. Im Parlament liegen zahlreiche Änderungsanträge vor, im Rat gab es bis September 2026 noch kein Verhandlungsmandat. Wann und in welcher Form die Regeln kommen, ist offen.

Für dich bedeutet das: Plane KI-Projekte weiterhin auf Basis der geltenden DSGVO. Verlasse dich nicht auf angekündigte Erleichterungen, solange sie nicht beschlossen sind, und prüfe den aktuellen Stand regelmäßig.

Umsetzung in Deutschland

Parallel zum KI-Omnibus hat Deutschland die nationale Aufsicht geregelt. Das Gesetz zur Marktüberwachung und Innovationsförderung von künstlicher Intelligenz (KI-MIG) ist am 29. Juli 2026 in Kraft getreten.

Die Bundesnetzagentur ist zentrale Marktüberwachungsbehörde, Anlaufstelle und Beschwerdestelle. Für bestimmte Bereiche bleiben Fachaufsichten zuständig, etwa die BaFin im Finanzsektor. Über ihren KI-Service-Desk stellt die Bundesnetzagentur Informationen, Leitfäden und Werkzeuge zur Risikoeinstufung bereit.

Für Unternehmen lohnt es sich, die Angebote der Behörde frühzeitig zu nutzen. Wer unsicher ist, ob ein System als hochriskant gilt, findet dort erste Orientierung. Für verbindliche Einschätzungen im Einzelfall bleibt eine rechtliche Prüfung sinnvoll.

Was du jetzt tun solltest: 6 Schritte

Der KI-Omnibus verschafft Zeit. Nutze sie, statt Projekte auf Eis zu legen. Diese Schritte helfen dir, die gewonnenen Monate sinnvoll einzusetzen:

1. KI-Inventar aktualisieren: Erfasse alle KI-Systeme und ordne sie den Risikoklassen der Verordnung zu.
2. Fristen neu planen: Passe die Roadmap für Hochrisiko-Systeme an die Termine 2. Dezember 2027 und 2. August 2028 an.
3. Sofortpflichten prüfen: Kontrolliere Verbote und Transparenzpflichten, die bereits gelten, sowie die Kennzeichnungsfrist im Dezember 2026.
4. Unternehmensgröße klären: Prüfe, ob dein Unternehmen als KMU oder kleine Mid-Cap von Erleichterungen profitiert.
5. KI-Kompetenz dokumentieren: Halte Schulungs- und Fördermaßnahmen nachvollziehbar fest.
6. Entwicklungen beobachten: Verfolge Leitlinien der Kommission, harmonisierte Normen und den weiteren Verlauf des Datenteils.

Ein oft vergessener Hebel sind Verträge mit Softwareanbietern. Viele Unternehmen setzen KI nicht selbst entwickelt ein, sondern als Teil eingekaufter Lösungen. Lass dir von Anbietern schriftlich bestätigen, wie sie ihre Systeme nach der KI-Verordnung einstufen, bis wann sie die Anforderungen erfüllen und welche Informationen sie dir als Betreiber zur Verfügung stellen. Nimm entsprechende Klauseln in neue Verträge und Verlängerungen auf.

Bei der Einstufung einzelner Systeme und Haftungsfragen solltest du rechtliche Fachleute hinzuziehen. Die Abgrenzungen zwischen Hochrisiko und Nicht-Hochrisiko sind oft komplex und vom konkreten Einsatz abhängig.

Einordnung: Atempause mit Pflichten

Kritiker aus Zivilgesellschaft und Wissenschaft sehen im KI-Omnibus eine Schwächung des Schutzniveaus. Wirtschaftsverbände begrüßen dagegen mehr Planungssicherheit und weniger Bürokratie. Beide Perspektiven haben ihren Kern.

Unstrittig ist: Die Verschiebung schafft Zeit, damit harmonisierte Normen, Leitlinien und Prüfstrukturen fertig werden. Unternehmen, die diese Zeit nutzen, um Prozesse sauber aufzubauen, sind 2027 im Vorteil. Wer abwartet, steht dann unter umso größerem Druck.

Hinzu kommt der Wettbewerbsaspekt. Kunden, Investoren und Partner fragen zunehmend nach verantwortungsvollem KI-Einsatz, unabhängig von gesetzlichen Fristen. Eine solide KI-Governance ist deshalb auch ein Verkaufsargument.

Bedenke außerdem, dass Fristen erneut in Bewegung geraten können. Die EU hat gezeigt, dass sie bereit ist, Termine anzupassen, wenn Normen oder Aufsichtsstrukturen fehlen. Eine Strategie, die auf weitere Verschiebungen setzt, ist dennoch riskant. Plane mit den geltenden Daten und behandle mögliche Änderungen als Bonus, nicht als Grundlage.

Fazit: Den KI-Omnibus als Planungsfenster nutzen

Der KI-Omnibus verschiebt die Fristen für Hochrisiko-KI auf Dezember 2027 und August 2028, lockert die Pflicht zur KI-Kompetenz und weitet Erleichterungen auf kleine Mid-Caps aus. Gleichzeitig bleiben Verbote und Transparenzpflichten bestehen, und ab Dezember 2026 kommt ein neues Verbot hinzu.

Behandle den KI-Omnibus als Planungsfenster, nicht als Pause. Aktualisiere dein KI-Inventar, passe die Roadmap an und dokumentiere deine Maßnahmen. Beobachte außerdem den noch offenen Datenteil des Pakets, denn weitere Änderungen sind möglich. So bist du vorbereitet, wenn die nächsten Fristen greifen.

Häufige Fragen zu KI-Omnibus