Digitaler Omnibus zur KI: Was sich an der KI-Verordnung geändert hat

Für die meisten Unternehmen, die KI auf Websites und in Produkten einsetzen, haben sich die entscheidenden Termine nicht verschoben. Die Transparenzpflichten nach Artikel 50 gelten ab 2. August 2026. Anbieter müssen Systeme, die mit Menschen interagieren, so gestalten, dass Nutzer erfahren, dass sie mit KI zu tun haben, sofern das nicht offensichtlich ist. Betreiber müssen Deepfakes und KI-generierte Texte zur Information der Öffentlichkeit über Angelegenheiten von öffentlichem Interesse offenlegen, und Betreiber von Emotionserkennung oder biometrischer Kategorisierung müssen betroffene Personen informieren.

Die Verbote nach Artikel 5 gelten seit 2. Februar 2025, ebenso die KI-Kompetenz nach Artikel 4, nun in geänderter Fassung. Die Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck gelten seit 2. August 2025, Modelle, die davor in Verkehr gebracht wurden, haben bis 2. August 2027 Zeit (Artikel 111 Absatz 3). Die Annahme, die gesamte KI-Verordnung sei verschoben worden, ist daher falsch: Die wesentliche Verschiebung betrifft Hochrisiko-KI-Systeme.

Kapitel III Abschnitte 1 bis 3 gelten nun ab 2. Dezember 2027 für Hochrisiko-KI-Systeme nach Anhang III, etwa KI in der Personalauswahl, in der Bildung, bei der Kreditwürdigkeitsprüfung oder beim Zugang zu grundlegenden Diensten. Für Hochrisiko-KI-Systeme nach Anhang I, also KI in regulierten Produkten wie Spielzeug, Aufzügen oder Medizinprodukten, gelten sie ab 2. August 2028. Diese Abschnitte enthalten die Einstufungsregeln, die Anforderungen an Hochrisiko-KI-Systeme sowie die Pflichten von Anbietern und Betreibern, einschließlich Artikel 26 und der Grundrechte-Folgenabschätzung nach Artikel 27.

Für generative KI gibt es eine kurze Übergangsfrist. Nach dem neuen Artikel 111 Absatz 4 haben Anbieter von Systemen, die synthetische Audio-, Bild-, Video- oder Textinhalte erzeugen und vor dem 2. August 2026 in Verkehr gebracht wurden, bis 2. Dezember 2026 Zeit für die maschinenlesbare Kennzeichnung nach Artikel 50 Absatz 2. Die Übergangsfrist betrifft nur diese Kennzeichnung. Sie verlängert nicht die Pflicht der Betreiber, Deepfakes nach Artikel 50 Absatz 4 offenzulegen.

Artikel 5 Absatz 1 wurde um zwei Verbote ergänzt. Buchstabe ba betrifft KI-Systeme, die intime Darstellungen identifizierbarer Personen ohne deren Einwilligung erzeugen oder manipulieren, Buchstabe bb Darstellungen sexuellen Kindesmissbrauchs. Beide gelten ab 2. Dezember 2026 und fallen unter die höchste Bußgeldstufe für verbotene Praktiken nach Artikel 99 Absatz 3. Der neue Artikel 5 Absatz 1a erfasst Systeme, bei denen diese Erzeugung die Zweckbestimmung ist oder ohne wesentliche technische Änderung vernünftigerweise vorhersehbar und reproduzierbar eintritt und angemessene Schutzvorkehrungen fehlen. Das betrifft Anbieter von Bild- und Videogeneratoren. Das ist vor allem für Anbieter von Bild- und Videogeneratoren relevant.

Artikel 4 zur KI-Kompetenz wurde neu gefasst. Anbieter und Betreiber müssen nun Maßnahmen ergreifen, um die Entwicklung der KI-Kompetenz ihres Personals und anderer in ihrem Auftrag tätiger Personen zu unterstützen. Der Text stellt klar, dass dabei kein bestimmtes Kompetenzniveau garantiert werden muss. Kommission und Mitgliedstaaten sollen diese Bemühungen unterstützen, insbesondere bei KMU. Die Pflicht selbst bleibt bestehen.

Der Omnibus führt kleine Midcap-Unternehmen (small mid-caps, SMC) als Kategorie ein und verweist dafür auf die Empfehlung (EU) 2025/1099 der Kommission: Unternehmen, die keine KMU sind, weniger als 750 Personen beschäftigen und einen Jahresumsatz von höchstens 150 Millionen Euro oder eine Jahresbilanzsumme von höchstens 129 Millionen Euro haben. Der neue Artikel 99 Absatz 6a überträgt die Regel, die für KMU schon in Artikel 99 Absatz 6 galt, auf diese Unternehmen: Bußgelder nach Artikel 99 Absatz 4 und 5 sind auf den niedrigeren Wert aus Prozentsatz und Festbetrag begrenzt.

Anbieter von Hochrisiko-KI-Systemen erhalten zusätzlich Verfahrenserleichterungen. Nach Artikel 11 Absatz 1 können KMU und nun auch kleine Midcap-Unternehmen die technische Dokumentation in einer vereinfachten, von der Kommission festgelegten Form vorlegen. Artikel 63 Absatz 1 erweitert die Möglichkeit eines vereinfachten Qualitätsmanagementsystems, die bisher Kleinstunternehmen vorbehalten war, auf KMU. Diese Erleichterungen betreffen vor allem Unternehmen, die Hochrisiko-KI entwickeln, weniger jene, die KI-Tools nur nutzen.

Behandeln Sie die Transparenzregeln als geltendes Recht. Prüfen Sie jeden Chatbot, jede KI-Funktion und jeden Content-Prozess: Erfahren Nutzer, dass sie mit KI interagieren, wo Artikel 50 Absatz 1 das verlangt? Sind Deepfakes gekennzeichnet? Werden KI-generierte Texte von öffentlichem Interesse offengelegt oder redaktionell verantwortet? Wenn Sie ein generatives KI-System anbieten, das vor dem 2. August 2026 in Verkehr gebracht wurde, planen Sie die maschinenlesbare Kennzeichnung bis 2. Dezember 2026.

Nutzen Sie die zusätzliche Zeit für Hochrisiko-KI zur Vorbereitung, nicht zum Abwarten. Erfassen Sie, wo KI in Personalauswahl, Leistungsbewertung, Kredit- oder Versicherungsentscheidungen eingesetzt wird, klären Sie Ihre Rolle als Anbieter oder Betreiber und sammeln Sie die Unterlagen Ihrer Anbieter, die Sie bis 2. Dezember 2027 benötigen. Halten Sie Maßnahmen zur KI-Kompetenz und deren Dokumentation aktuell, denn Artikel 4 gilt weiter.