Am 7. Mai 2026 einigten sich Rat und Parlament auf den Digital Omnibus zur KI und verschoben einen Großteil der KI-Hochrisiko-Pflichten aus der KI-Verordnung auf Ende 2027. Was sich für viele nach Entwarnung anfühlt, ist keine: Zwei zentrale Pflichten laufen unverändert auf den 2. August 2026 zu.
Was der Digital Omnibus zur KI tatsächlich geändert hat
Mit dem Inkrafttreten des Digital Omnibus zur KI am 27. Juli 2026 wurden die im Rahmen der politischen Einigung vom 7. Mai beschlossenen Änderungen an der KI-Verordnung rechtsverbindlich. Sie stellen eine der tiefgreifendsten Korrekturen des Rechtsrahmens seit seinem Inkrafttreten dar. Der Kern der Änderung: Hochrisiko-KI-Systeme nach Anhang III, also eigenständig betriebene KI in Bereichen wie Personalentscheidungen, Kreditbewertung, Bildung oder Strafverfolgung, müssen die vollen Compliance-Anforderungen erst ab dem 2. Dezember 2027 erfüllen. Ursprünglich war der 2. August 2026 als Stichtag vorgesehen. Für in Produkte integrierte Hochrisiko-KI nach Anhang I, etwa Medizinprodukte oder Maschinensteuerungen, verschiebt sich die Frist sogar auf den 2. August 2028.
Der neu eingefügte Art. 4a der KI-Verordnung erlaubt ausnahmsweise die Verarbeitung besonderer Kategorien personenbezogener Daten, wenn dies zur Erkennung und Korrektur von Verzerrungen in Hochrisiko-KI-Systemen unbedingt erforderlich ist und keine gleich wirksamen Alternativen bestehen. Die Verarbeitung ist allerdings nur unter strengen Voraussetzungen zulässig und begründet keine Verpflichtung zur Durchführung einer Verzerrungserkennung oder -korrektur.
Dazu kommt eine neue KMU-Schwelle: Unternehmen mit bis zu 750 Mitarbeitenden und einem Jahresumsatz von maximal 150 Millionen Euro können künftig vereinfachte Dokumentationsvorlagen nutzen, sollen erleichterten und beschleunigten Zugang zu KI-Reallaboren erhalten und profitieren von einem reduzierten Bußgeldrahmen. Für viele mittelständische Rechts- und Compliance-Abteilungen bedeutet das: Der Weg zur Hochrisiko-Compliance ist kürzer als befürchtet.
Zwei Pflichten laufen unverändert auf August 2026 zu
Wer die Verschiebung als generellen Aufschub liest, übersieht zwei Pflichten, die der Digital Omnibus zur KI explizit unangetastet gelassen hat.
Art. 4 der KI-Verordnung gilt bereits seit dem 2. Februar 2025: Unternehmen, die KI einsetzen oder entwickeln, müssen Maßnahmen ergreifen, um die Entwicklung der KI-Kompetenz ihres Personals und anderer Personen zu unterstützen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind. Es ist empfehlenswert, dass Ihr Unternehmen weiß, wer welche KI-Systeme nutzt, und dass ein dokumentiertes Schulungskonzept existiert. Wer bisher nur auf die Hochrisiko-Fristen geschaut hat, hat diesen Punkt möglicherweise unterschätzt. Mit den Änderungen durch den Digital Omnibus wurden auch die Europäische Kommission und die Mitgliedstaaten verpflichtet, die Entwicklung von KI-Kompetenz zu unterstützen und entsprechende Fördermaßnahmen zu ergreifen, Art. 4 Abs. 2 der KI-Verordnung. Zu diesem Zweck ist die Europäische Kommission verpflichtet, praktische Beispiele zu veröffentlichen, die aufzeigen, wie diese Verpflichtung erfüllt wird.
Artikel 50 der KI-Verordnung sieht verschiedene Transparenzpflichten für Anbieter und Betreiber von KI-Systemen vor. Direkt aus Art. 50 Abs. 1 KI-VO ergibt sich, dass Anbieter Nutzer darüber informieren müssen, wenn diese unmittelbar mit einem KI-System interagieren. Dabei sieht insbesondere Art. 50 Abs. 2 KI-VO auch eine Kennzeichnungspflicht für KI‑generierte Inhalte vor. Dementsprechend müssen dann Texte, Bilder, Audio- und Videoformate, die maßgeblich durch KI erzeugt wurden, klar erkennbar als solche durch den Anbieter gekennzeichnet sein. Ergänzend dazu verpflichtet Art. 50 Abs. 4 KI-VO Betreiber dazu, sogenannte Deepfakes als künstlich erzeugt oder manipuliert offenzulegen. Dabei sind jedoch die vorgesehenen Ausnahmen und Erleichterungen zu berücksichtigen. Nach den Leitlinien sind zum Beispiel Inhalte, die vor Veröffentlichung einer inhaltlichen Prüfung unterliegen und für die eine klare menschliche Verantwortlichkeit dokumentiert ist, teilweise von zusätzlichen Kennzeichnungsanforderungen entlastet. Für Kanzleien und Rechtsabteilungen, die KI in der Texterstellung einsetzen, ist das eine klare Weichenstellung: Sie müssen jetzt definieren, welche Inhalte als menschlich verantwortet gelten, wie dieses Vier-Augen-Prinzip konkret aussieht und wie die redaktionelle Freigabe dokumentiert wird. Die entsprechenden Pflichten gelten bereits seit August 2026.
Drei Handlungsfelder für Rechtsabteilungen
Die Umsetzung lässt sich in drei Schritten angehen, die sich sinnvoll aufeinander aufbauen.
- Der erste Schritt ist das KI-Inventar. Welche KI-Systeme setzt Ihr Unternehmen ein, und welche Inhalte oder Entscheidungen erzeugen sie? Ohne diese Übersicht lässt sich weder die Kennzeichnungspflicht sauber umsetzen noch die Kompetenzanforderung gezielt adressieren.
- Der zweite Schritt könnte in einer geeigneten Schulungsstruktur liegen. Wer nutzt welche Tools, und welche Risiken trägt diese Nutzung? Auf dieser Grundlage lässt sich bei Bedarf ein Kompetenznachweis entwickeln, der die Anforderungen aus Artikel 4 KI-VO abdeckt, ohne übermäßigen bürokratischen Aufwand zu erzeugen.
- Der dritte Schritt betrifft die Content-Workflows. Gibt es in Ihrem Unternehmen Prozesse, in denen KI-generierte Inhalte nach außen gehen – Kundenanschreiben, Vertragsvorlagen, Marketingtexte? Hier braucht es entweder eine eindeutige Kennzeichnung oder eine nachvollziehbare redaktionelle Freigabe, die dokumentiert, wer den Inhalt geprüft hat.
Nüchterne Einordnung: Verschiebung ist kein Freibrief
Die Fristverschiebung ist kein Signal, das Thema zu vertagen. Wer jetzt mit dem KI-Inventar beginnt und freiwillig Schulungsstrukturen aufbaut, legt das Fundament auch für die Hochrisiko-Compliance 2027. Wer wartet, kauft sich Zeitdruck.
Die Europäische Kommission hat zudem angekündigt, standardisierte Dokumentationsvorlagen für Hochrisiko-KI zu veröffentlichen. Wer diese abwarten möchte, kann das tun. Aber die Bestandsaufnahme, was im Unternehmen an KI läuft, sollte nicht daran hängen – sie ist unabhängig vom Ausgangsmaterial sinnvoll und überfällig.
Sie haben Fragen zur Umsetzung der KI-Verordnung in Ihrem Unternehmen? Sprechen Sie uns an – wir helfen Ihnen, den richtigen Ausgangspunkt zu finden.
KL/ Beitrag von Vanessa Hauner