Digital-Omnibus-Verordnung (EU) 2026/1744: Was hat sich am EU AI Act geändert?

Was ist der Digital Omnibus — und warum gibt es ihn?

Die Europäische Kommission hat das „Digital Omnibus“-Paket am 19. November 2025 vorgeschlagen. Ziel war laut Kommission eine gezielte Vereinfachung mehrerer Digital-Regelwerke, darunter der KI-Verordnung, um den Umsetzungsaufwand zu verringern — insbesondere für kleine und mittlere Unternehmen — und die Wettbewerbsfähigkeit europäischer Unternehmen zu stärken, ohne nach Kommissionsangaben die Schutzstandards für Sicherheit und Grundrechte zu senken.

Rat und Europäisches Parlament einigten sich im ersten Halbjahr 2026 auf einen gemeinsamen Text; die Verordnung (EU) 2026/1744 wurde am 8. Juli 2026 erlassen, am 24.7.2026 im Amtsblatt (ABl. L, 2026/1744) veröffentlicht und trat am 27.7.2026 in Kraft. Die konsolidierte Fassung der KI-Verordnung auf EUR-Lex trägt seither das Datum 27.07.2026.

Als Begründung nennt der Verordnungstext unter anderem, dass die Ausarbeitung harmonisierter Normen ins Stocken geraten sei und der tatsächliche Befolgungsaufwand höher ausgefallen sei als bei Verabschiedung der KI-Verordnung 2024 erwartet. Das ist der rote Faden, der die einzelnen Änderungen verbindet: mehr Zeit, mehr Verhältnismäßigkeit für kleinere Akteure, mehr Testmöglichkeiten — bei gleichzeitig zwei neuen, schärferen Verboten im besonders sensiblen Bereich sexualisierter und kindesmissbräuchlicher Inhalte.

Zur Einordnung: Der KI-Teil ist nach dem Vorschlagsdatum und dem Aktenzeichen der Kommission eines von mehreren „Digital Omnibus“-Dossiers, die im November 2025 gemeinsam vorgelegt wurden — parallel dazu liefen im selben Paket auch Vereinfachungsvorschläge zu anderen Digitalregeln. Dieser Artikel beschränkt sich bewusst auf den Teil, der die KI-Verordnung ändert; auf andere Digital-Omnibus-Dossiers außerhalb des AI Act geht er nicht ein, weil sie einen anderen Rechtsakt betreffen und hier recherchetechnisch nicht mitgeprüft wurden.

Die größte Änderung: verschobene Fristen für Hochrisiko-KI-Systeme

Die praktisch folgenreichste Änderung betrifft nicht Art. 4, sondern den Zeitplan für Hochrisiko-KI-Systeme. Eigenständige Hochrisiko-Systeme nach Anhang III — etwa in den Bereichen Beschäftigung, Bildung, Kreditwürdigkeitsprüfung, Strafverfolgung oder kritische Infrastruktur — sollten ursprünglich ab dem 2. August 2026 den vollen Pflichtenkatalog erfüllen. Der Digital Omnibus verschiebt diesen Termin auf den 2. Dezember 2027.

Für KI-Systeme, die als Sicherheitsbauteil in Produkte eingebettet sind, die bereits eigenem EU-Produktsicherheitsrecht unterliegen (Anhang I — etwa Medizinprodukte, Maschinen oder Spielzeug), verschiebt sich die Anwendung noch weiter, auf den 2. August 2028.

Mehrere unabhängig voneinander recherchierte Kanzlei-Übersichten (u.a. zu diesem konkreten Punkt) begründen die Verschiebung übereinstimmend damit, dass weder die notwendigen harmonisierten Normen noch die Konformitätsbewertungsinfrastruktur (benannte Stellen) rechtzeitig zum ursprünglichen Anwendungsdatum bereitstehen würden. Wichtig für die Einordnung: Verschoben ist die Anwendungsfrist — die Pflichten selbst sind nicht gestrichen, sondern bleiben in der KI-Verordnung bestehen.

Für die Praxis heißt das: Wer heute, im September 2026, ein Hochrisiko-System nach Anhang III betreibt oder entwickelt, hat mit dem 2. Dezember 2027 mehr Vorlaufzeit für Risikomanagement, technische Dokumentation, menschliche Aufsicht und Konformitätsbewertung gewonnen — die Pflicht zur KI-Kompetenz nach Art. 4 gilt davon unberührt bereits seit dem 2. Februar 2025 weiter, weil sie nicht zu den in Art. 113 verschobenen Hochrisiko-Bestimmungen zählt. Wer beide Fristen gedanklich vermischt, unterschätzt leicht, was schon heute läuft.

Art. 4 KI-Kompetenz: die meistdiskutierte, aber nicht die einzige Änderung

Vor dem 27.7.2026 verlangte Art. 4, Anbieter und Betreiber müssten „nach besten Kräften ein ausreichendes Maß an KI-Kompetenz“ ihres Personals sicherstellen. Der Digital Omnibus ersetzt diesen Wortlaut: Anbieter und Betreiber sollen Maßnahmen ergreifen, welche die Entwicklung der KI-Kompetenz unterstützen — ohne ein bestimmtes Kompetenzniveau bei einer einzelnen Person zu garantieren. Nach der Art.-4-FAQ der Europäischen Kommission (Stand 27.7.2026) verschiebt sich damit ein Teil der Verantwortung stärker auf Kommission und Mitgliedstaaten, die KI-Kompetenz aktiv zu fördern, statt Organisationen eine unspezifische Erfolgspflicht aufzuerlegen.

Wer, ab wann und wie genau diese Pflicht nachzuweisen ist — inklusive Bußgeldeinordnung, Zielgruppe und Dokumentationspraxis der Bundesnetzagentur — steht ausführlich im separaten Art.-4-Artikel. Dieser Abschnitt ordnet die Änderung nur in den größeren Digital-Omnibus-Kontext ein: Art. 4 ist eine von mindestens sechs inhaltlichen Änderungsblöcken, nicht die einzige.

GPAI-Pflichten: bewusst unverändert gelassen

Ein verbreitetes Missverständnis lautet, der Digital Omnibus habe auch die Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck (General-Purpose AI, GPAI) aufgeweicht oder verschoben. Das ist nach übereinstimmenden Quellen nicht der Fall: Die materiellen GPAI-Pflichten — technische Dokumentation, Transparenz gegenüber nachgelagerten Anbietern, zusätzliche Risikominderungs- und Meldepflichten bei Modellen mit systemischem Risiko — gelten unverändert seit dem 2. August 2025 und wurden durch die Verordnung (EU) 2026/1744 nicht angetastet.

Geändert hat sich stattdessen die behördliche Zuständigkeit: Die Europäische Kommission beschreibt auf ihrer offiziellen Digital-Strategy-Seite zum Inkrafttreten, dass das AI Office künftig eine erweiterte Aufsicht über bestimmte KI-Systeme erhält, „einschließlich solcher, die auf Modellen mit allgemeinem Verwendungszweck aufbauen und in große Online-Plattformen und Suchmaschinen eingebettet sind". Einzelne Kanzlei-Analysen fassen das weitergehend als generelle AI-Office-Zuständigkeit für alle Systeme auf einem GPAI-Modell desselben Anbieters zusammen — dieser Artikel hält sich an die engere, offiziell bestätigte Formulierung. Das ist in jedem Fall eine Frage der Aufsichtszuständigkeit, keine inhaltliche Erleichterung der GPAI-Pflichten selbst.

Für Anbieter, die selbst kein GPAI-Modell entwickeln, sondern fremde Modelle (etwa über eine API) in eigene Produkte integrieren, ändert der Digital Omnibus an dieser Stelle nichts an der Grundunterscheidung der KI-Verordnung: Die GPAI-Pflichten aus Art. 51 ff. treffen den Modellanbieter, während der nachgelagerte Anbieter des KI-Systems weiterhin die für sein System einschlägigen Pflichten trägt — inklusive Art. 4, wenn Personal mit Betrieb oder Nutzung des Systems befasst ist.

Zwei neue Verbote in Art. 5

Neben den Fristverschiebungen erweitert der Digital Omnibus die Liste verbotener KI-Praktiken in Art. 5 um zwei neue Tatbestände: die Erzeugung oder Manipulation nicht einvernehmlich erstellter intimer Bildinhalte (etwa durch sogenannte „Nudify“-Anwendungen) und die Generierung von Darstellungen sexuellen Missbrauchs von Kindern durch KI-Systeme. Der Verordnungstext begründet dies mit der besonders gravierenden Gefahr, die von KI-generiertem Material dieser Art ausgeht.

Für den Geltungsbeginn dieser beiden Verbote enthält die Verordnung (EU) 2026/1744 selbst keine eigene Übergangsfrist. Nach Erwägungsgrund 46 tritt die Omnibus-Verordnung aus Dringlichkeitsgründen bereits am dritten Tag nach ihrer Veröffentlichung im Amtsblatt in Kraft (27.7.2026) — ohne anderslautende Sonderregel spricht das für ein Wirksamwerden zu diesem Zeitpunkt. Einzelne Kanzlei-Übersichten nennen stattdessen den 2. Dezember 2026; das ließ sich am Verordnungstext nicht nachvollziehen, weshalb dieser Artikel bei der Verordnung selbst bleibt statt eine unbestätigte Zahl zu übernehmen. Da es sich um eine Erweiterung von Art. 5 handelt, fallen Verstöße unter die höchste Bußgeldstufe der KI-Verordnung nach Art. 99 Abs. 3 — bis zu 35 Mio. EUR oder 7 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.

Erleichterungen für kleinere Unternehmen und mehr Testmöglichkeiten

Ein zweiter roter Faden neben den Fristen sind Erleichterungen für kleinere Akteure. Mehrere Vereinfachungen, die die KI-Verordnung bisher nur kleinen und mittleren Unternehmen (KMU) vorbehalten hatte, öffnet der Digital Omnibus zusätzlich für kleine Midcap-Unternehmen (small mid-cap companies) — etwa beim vereinfachten Qualitätsmanagementsystem.

Ergänzt wird das um mehr Möglichkeiten, KI-Systeme unter Realbedingungen zu testen, sowie um ein zusätzliches, auf EU-Ebene angesiedeltes Reallabor, in dem KMU und kleine Midcaps nach Kommissionsangaben vorrangigen Zugang erhalten sollen. Auch die Registrierungspflicht in der EU-Datenbank für bestimmte, nicht als hochriskant eingestufte KI-Systeme wurde nach Angaben der Kommission vereinfacht.

Eine weitere, oft übersehene Änderung betrifft die Verarbeitung besonderer Kategorien personenbezogener Daten: Anbieter und Betreiber dürfen solche Daten künftig gezielt zur Erkennung und Korrektur von Verzerrungen (Bias) in KI-Systemen verarbeiten — nicht mehr nur bei Hochrisiko-Systemen — allerdings unter dem strengen Maßstab der Erforderlichkeit.

Überblick: die belegten Änderungen auf einen Blick

Diese Tabelle bildet nur Punkte ab, die gegen den Verordnungstext oder offizielle Kommissionsseiten geprüft wurden. Weitere, kleinteiligere technische Anpassungen (etwa bei notifizierten Stellen oder der Marktüberwachungs-Zusammenarbeit) enthält die Verordnung ebenfalls; sie sind hier bewusst nicht mit Artikelnummer aufgeführt, weil sie nur aus einer einzelnen automatisiert zusammengefassten Quelle stammten und nicht gegengeprüft werden konnten.

Was heißt das konkret für Unternehmen im September 2026?

Drei Fristen laufen seit dem Digital Omnibus nebeneinander her, und Verwechslung ist der häufigste Fehler, den Redaktion und Kanzlei-Ratgeber gleichermaßen beobachten: Art. 4 zur KI-Kompetenz gilt bereits seit 2. Februar 2025 unverändert fort, nur sein Wortlaut ist seit 27.7.2026 milder gefasst. Die allgemeinen Bestimmungen und die meisten GPAI-Pflichten laufen seit 2. August 2025 beziehungsweise 2. August 2026. Und die eigentliche Hochrisiko-Pflichtenwelle nach Anhang III ist erst für den 2. Dezember 2027 terminiert.

Für Unternehmen, die schon jetzt Schulungen zur KI-Kompetenz aufsetzen — etwa weil Mitarbeitende beruflich mit Chatbots oder anderen KI-Systemen arbeiten —, ändert der Digital Omnibus an der Grundpflicht nichts: Sie müssen weiterhin Maßnahmen ergreifen und dokumentieren, nur ist die Latte für das Ergebnis nicht mehr ein garantiertes Kompetenzniveau, sondern nachvollziehbare Unterstützungsmaßnahmen. Wer ein Hochrisiko-System betreibt, sollte die verlängerte Anhang-III-Frist nicht mit einer verlängerten Art.-4-Frist verwechseln: Es sind zwei unterschiedliche Pflichten mit unterschiedlichem Zeitplan.

Für kleinere Anbieter und Betreiber lohnt sich ein Blick auf die ausgeweiteten KMU-/Midcap-Erleichterungen und die neuen Reallabore, weil sie den Compliance-Aufwand senken können, ohne die Grundpflichten selbst zu berühren. Wer im besonders sensiblen Bereich intimer oder Kinder betreffender Inhalte KI-Systeme einsetzt oder anbietet, sollte die neuen Verbote spätestens seit Inkrafttreten der Omnibus-Verordnung am 27.7.2026 als harte, bußgeldbewehrte Grenze einplanen, nicht als Kann-Bestimmung.

Häufige Fragen

Rechtsgrundlagen und Quellen

• Verordnung (EU) 2026/1744 (Digital-Omnibus-Verordnung zur KI) vom 8. Juli 2026, ABl. L, 2026/1744, 24.7.2026
• Verordnung (EU) 2024/1689, konsolidierte Fassung vom 27.07.2026 (EUR-Lex): Art. 4, 5, 99
• Europäische Kommission, „AI Omnibus enters into force“ (Shaping Europe's digital future)
• Europäische Kommission, AI Literacy — Questions & Answers (Stand 27. Juli 2026)
• Cooley, „Digital AI Omnibus Delays Key Deadlines, Introduces New Rules“ (Kanzlei-Analyse, qualitatives Signal, keine Rechtsquelle)