EU Digital Omnibus on AI: Seit Juli 2026 beschlossen und was Unternehmen jetzt tun sollten

Der EU Digital Omnibus on AI ist die wichtigste rechtliche Bewegung im KI-Umfeld dieses Jahres, und seit dem 27. Juli 2026 ist er geltendes Recht: Verordnung (EU) 2026/1744 vom 8. Juli 2026, veröffentlicht im Amtsblatt am 24. Juli 2026. Wer als KMU-Entscheider verstehen will, was sich ändert und was nicht, braucht weder Panik noch Aufschub. Die Lage ist jetzt eindeutig: Die neuen Fristen stehen im Gesetzestext. Hier ist die nüchterne Einordnung.

Das Wichtigste in Kürze

• Der EU Digital Omnibus on AI ist ein Korrektur-Paket der Kommission, das mehrere Fristen des AI Acts verschiebt und Definitionen präzisiert.
• Stand 19.08.2026: Der Omnibus ist als Verordnung (EU) 2026/1744 vom 8. Juli 2026 erlassen, am 24. Juli 2026 im Amtsblatt veröffentlicht und seit dem 27. Juli 2026 geltendes Recht.
• Die Verschiebungen betreffen primär die Hochrisiko-Pflichten: Annex III (Stand-alone) auf den 02.12.2027, Annex I (in Produkten) auf den 02.08.2028.
• Was nicht verschoben wurde: Art. 4 KI-Kompetenzpflicht gilt seit dem 02.02.2025 (vom Omnibus neu gefasst, nicht aufgehoben), Art. 5 Verbotene Praktiken seit demselben Datum.
• KMU-Erleichterung: Die Definition von "Sicherheitskomponente" wurde verschmälert. Reine Assistenz-Funktionen ohne reale Gefahrenwirkung fallen aus der Hochrisiko-Klassifizierung heraus.
• Der alte Stichtag 02.08.2026 für die Hochrisiko-Pflichten ist damit vom Tisch. Weiter gelten: Art. 50 Transparenzpflichten seit dem 02.08.2026, mit Schonfrist für Bestandssysteme bis zum 02.12.2026.
• Vorbereitung schlägt Aufschub: KI-Inventar, Kompetenzdokumentation und Risikoklassifizierung lohnen unabhängig von den verschobenen Stichtagen.

Was der EU AI Act überhaupt regelt

Der AI Act ist die EU-Verordnung zur künstlichen Intelligenz. Sie ist seit dem 01.08.2024 in Kraft, wird aber gestaffelt anwendbar. Im Kern teilt sie KI-Systeme in vier Risikoklassen ein: minimal, begrenzt, hoch und unzulässig. Hochrisiko-KI muss umfangreiche Anforderungen erfüllen, etwa Datenqualität, Transparenz, menschliche Aufsicht und Konformitätsbewertung. Verbotene Praktiken nach Art. 5 sind seit dem 02.02.2025 untersagt, dazu zählen Social Scoring durch Behörden, manipulative KI-Systeme und biometrische Echtzeit-Identifikation in öffentlichen Räumen mit eng definierten Ausnahmen.

Was viele unterschätzen: Der Act trifft auch Unternehmen, die selbst keine KI bauen, sondern KI-Systeme einsetzen. Wer ChatGPT zur Bewerber-Vorfilterung nutzt, ist Betreiber eines potenziell hochrisikohaften Systems, auch wenn das Modell von OpenAI kommt. Die Pflichten beginnen also nicht beim Anbieter, sondern erstrecken sich entlang der gesamten Wertschöpfungskette.

Was der Digital Omnibus ist

Der Digital Omnibus ist ein Sammel-Rechtsakt, mit dem die EU mehrere Digitalgesetze in einem Paket ändert. Im Bereich KI verschiebt er primär Datums-Fristen, glättet Übergangsregeln und präzisiert einige umstrittene Definitionen. Er ist kein inhaltlicher Umbau. Was Hochrisiko-KI dürfen und nicht dürfen muss, welche Dokumentation nötig ist, wie Konformitätsbewertung funktioniert: Das ändert sich materiell nicht.

Die zentrale politische Logik: Anbieter und Behörden brauchen mehr Zeit, weil die technischen Standards (sogenannte harmonisierte Normen) noch nicht alle fertig sind. Ohne diese Standards können Konformitätsbewertungsstellen kaum arbeiten. Der Omnibus zieht also zuerst die Reißleine bei der Durchsetzung, nicht bei den Pflichten selbst.

Quellen wie TÜV Süd und Deloitte ordnen den Vorgang als "ordnungspolitische Reife-Pause" ein, nicht als Rückzieher. Bird and Bird schrieb dazu in der Trilog-Berichterstattung, dass die materielle Linie der Verordnung von keiner der drei Verhandlungsseiten ernsthaft in Frage gestellt wurde.

Aktueller Stand 19.08.2026

Die formellen Trilog-Verhandlungen begannen Ende März 2026, die politische Einigung von Rat und Parlament stand am 7. Mai 2026. Zuvor hatte das Europäische Parlament am 26.03.2026 mit 569 Ja-Stimmen, 45 Nein und 23 Enthaltungen für die verschobenen Deadlines votiert. Das ist eine sehr klare Mehrheit. In der europäischen Gesetzgebung signalisiert ein Wert über 500 politische Tragfähigkeit.

Der Zeitplan hat gehalten: Der Digital Omnibus wurde als Verordnung (EU) 2026/1744 vom 8. Juli 2026 erlassen, am 24. Juli 2026 im Amtsblatt veröffentlicht, und seit dem 27. Juli 2026 ist er in Kraft.

Aus zwei Szenarien wurde eines

So ist es gekommen: Die neuen Fristen (02.12.2027 für Annex III, 02.08.2028 für Annex I) sind im Amtsblatt veröffentlicht und gelten formell. Unternehmen mit Hochrisiko-Use-Case bekommen 16 Monate mehr Vorbereitungszeit. KMU mit reinen Assistenz-Funktionen profitieren zusätzlich von der schmaleren Sicherheitskomponenten-Definition.

Das zweite Szenario, ein Scheitern des Trilogs mit Rückfall auf den alten Stichtag 02.08.2026, ist nicht eingetreten. Es hätte für viele Anbieter ein Compliance-Vakuum bedeutet, weil die harmonisierten Normen noch nicht final stehen.

Entscheidend bleibt, was der Omnibus nicht verschiebt: Art. 4 zur KI-Kompetenzpflicht. Diese Regel gilt seit dem 02.02.2025. Der Omnibus hat sie neu gefasst: Unternehmen müssen Maßnahmen ergreifen, um die Entwicklung der KI-Kompetenz ihres Personals zu unterstützen. Ein bestimmtes Kompetenzniveau müssen sie nicht garantieren, eine Nachweispflicht gibt es nicht.

Was unabhängig vom Omnibus in Kraft bleibt

Art. 4 KI-Kompetenzpflicht. Anbieter und Betreiber von KI-Systemen müssen Maßnahmen ergreifen, um die Entwicklung der KI-Kompetenz ihres Personals zu unterstützen. Ein bestimmtes Kompetenzniveau ist nicht vorgegeben, ein eigenes Bußgeld gibt es nicht. Aber: Wenn etwas schiefgeht, etwa ein KI-System trifft eine diskriminierende Entscheidung, stellt sich im Nachhinein die Frage, ob die handelnden Personen die Risiken einschätzen konnten. Wer bis dahin gar nichts unternommen hat, steht schlecht da.

Art. 5 Verbotene Praktiken. Diese Liste ist seit Februar 2025 verbindlich. Erste Bußgelder sind seit dem 02.08.2025 möglich. Das betrifft etwa manipulative KI-Systeme, Social Scoring durch Behörden und unzulässige biometrische Identifikation. Für normale KMU im Büro-Kontext sind die meisten dieser Verbote nicht einschlägig, aber die Regel ist scharf gestellt.

Die generellen Anforderungen an General-Purpose-AI-Modelle (Art. 53ff). Anbieter wie OpenAI, Anthropic und Google müssen technische Dokumentation, Trainingsdaten-Transparenz und Urheberrechts-Compliance liefern. Diese Pflichten sind seit dem 02.08.2025 anwendbar und unabhängig vom Omnibus.

KMU-Erleichterung im Detail

Die Präzisierung der Sicherheitskomponenten-Definition ist für den Mittelstand der konkreteste Hebel. Bisher fielen viele KI-Funktionen pauschal unter Annex I, weil sie irgendwo in einem regulierten Produkt verbaut waren. Der Omnibus schärft hier nach: Reine Assistenz-Funktionen oder Performance-Optimierungen, deren Ausfall keine reale Gefahr für Personen oder Sachwerte darstellt, fallen aus der Hochrisiko-Klassifizierung heraus.

Beispiel: Ein KI-System, das in einer Fertigungsmaschine die Wartungsplanung optimiert, war bisher potenziell Annex I. Wenn der Ausfall dieser Optimierung aber nur zu einem etwas späteren Wartungstermin führt und keinen Sicherheitsrisiken erzeugt, ist diese Anwendung künftig nicht mehr Hochrisiko.

Das klingt technisch, ist aber operativ wichtig. Viele KMU haben in den letzten Monaten in Compliance-Beratung investiert, weil sie sich pauschal als Hochrisiko-Anbieter eingeschätzt haben. Mit der schmaleren Definition entfallen diese Pflichten in vielen Fällen.

Was Unternehmen jetzt tun sollten

KI-Kompetenzentwicklung freiwillig dokumentieren. Schulungsnachweise, interne Richtlinien und Onboarding-Materialien sind nicht vorgeschrieben, helfen aber im Zweifelsfall, ergriffene Maßnahmen zu belegen.

Inventar der eingesetzten KI-Systeme. Welches Tool wird wofür benutzt? Welche Daten gehen rein, welche kommen raus? Wer ist verantwortlich? Diese Liste ist die Grundlage jeder weiteren Klassifizierung. In der Praxis sehen wir bei KMU häufig, dass dieses Inventar fehlt und im Krisenfall in zwei Tagen aus Excel-Tabellen rekonstruiert werden muss.

Hochrisiko-Klassifizierung prüfen. Mit der schmaleren Sicherheitskomponenten-Definition lohnt sich ein zweiter Blick. Vielleicht fällt ein System aus Annex I heraus, das man bisher als Hochrisiko geführt hat. Vielleicht aber auch nicht. Diese Prüfung ist nicht trivial und sollte nicht aus dem Bauch erfolgen.

Vorbereitung statt Aufschub. Auch bei verschobenen Fristen gilt: Wer die Pflichten erst ein halbes Jahr vor dem Stichtag angeht, hat zu wenig Zeit. Konformitätsbewertung dauert. Die wichtigste Investition jetzt ist nicht Software, sondern interne Prozesse, die auch unter Zeitdruck funktionieren.

Wer KI-Kompetenz strukturiert aufbauen will, findet in unserer Pillar-Page zum Digitalisierungsmanager den Rahmen. Bildungsgutschein-Förderung gibt es über den KI-Weiterbildungs-Bildungsgutschein, bei bewilligtem Bildungsgutschein zahlst du 0 Euro.

Was wir in der Praxis sehen

In der Praxis sehen wir bei KMU-Mandanten, dass die größte Herausforderung nicht der Inhalt der Regeln ist, sondern die Bewertung der eigenen Systeme. Viele unterschätzen, wie aufwendig allein das Inventar ist. Wer das unterschätzt, fällt nach den ersten zwei Audit-Wochen aus dem Tritt, weil plötzlich auffällt, dass auch der Mail-Filter, das Recruiting-Tool und die Lager-Optimierung KI-Komponenten enthalten. Die Verschiebung der Hochrisiko-Pflichten ist also kein Grund zu warten. Sie ist ein Geschenk für alle, die jetzt anfangen, ohne unter Endspurt-Druck zu stehen.

FAQ

Wann wurde der Digital Omnibus beschlossen?

Die politische Einigung von Rat und Parlament stand am 07.05.2026. Erlassen wurde der Digital Omnibus als Verordnung (EU) 2026/1744 vom 08.07.2026, veröffentlicht im Amtsblatt am 24.07.2026. Seit dem 27. Juli 2026 ist er geltendes Recht.

Gilt Art. 4 KI-Kompetenzpflicht trotz Omnibus?

Ja. Art. 4 ist seit dem 02.02.2025 anwendbar. Der Omnibus hat ihn neu gefasst, nicht verschoben: Anbieter und Betreiber müssen Maßnahmen ergreifen, um die Entwicklung der KI-Kompetenz ihres Personals zu unterstützen, ohne ein bestimmtes Kompetenzniveau garantieren zu müssen. Schulungsnachweise und interne Richtlinien sind nicht vorgeschrieben, als freiwillige Dokumentation aber empfehlenswert.

Ist die Verschiebung rechtsverbindlich?

Ja. Die neuen Fristen stehen seit der Verordnung (EU) 2026/1744 im Gesetzestext: Annex III ab 02.12.2027, Annex I ab 02.08.2028. Der alte Stichtag 02.08.2026 für die Hochrisiko-Pflichten ist damit überholt. Das Parlament hatte der Verschiebung am 26.03.2026 mit 569 zu 45 Stimmen zugestimmt.

Profitieren KMU vom Omnibus?

In den meisten Fällen ja. Die schmalere Sicherheitskomponenten-Definition nimmt reine Assistenz-Funktionen aus Annex I heraus, wenn deren Ausfall keine reale Gefahr darstellt. Das spart vielen KMU eine Hochrisiko-Klassifizierung, die sie bisher pauschal annehmen mussten.

Sollte ich jetzt mit der Vorbereitung beginnen oder warten?

Beginnen. Die KI-Kompetenzpflicht aus Art. 4 gilt seit über einem Jahr. Auch bei verschobenen Hochrisiko-Fristen lohnt sich ein KI-Inventar und eine erste Klassifizierung. Wer das schiebt, hat im Endspurt vor 02.12.2027 zu wenig Zeit für Konformitätsbewertung und harmonisierte Normen.