Digital Omnibus: Werden die KI-Gesetz-Hochrisikopflichten auf Dezember 2027 verschoben?

Am 19. November 2025 veröffentlichte die Europäische Kommission den Digital Omnibus — ein legislatives Vereinfachungspaket, das gleichzeitig Änderungen am KI-Gesetz, der DSGVO, dem Data Act und anderen digitalen Texten vorschlägt. Für Unternehmen, die dem KI-Gesetz (Verordnung EU 2024/1689) unterliegen, ist die zentrale Ankündigung bedeutsam: Die Pflichten für KI-Hochrisikosysteme des Anhangs III könnten nicht wie geplant im August 2026 gelten, sondern frühestens im Dezember 2027.

Aber Achtung — es handelt sich um einen Vorschlag. Die August-2026-Frist bleibt heute die gesetzlich verbindliche Frist.

Warum die Kommission diese Verschiebung vorschlägt

Die Begründung der Kommission ist pragmatisch: Das Compliance-Ökosystem ist nicht bereit. Die harmonisierten Normen, die Unternehmen als Leitlinie benötigen — entwickelt vom Technischen Gemeinschaftsausschuss CEN-CENELEC JTC 21 — werden voraussichtlich nicht vor Ende 2026 verfügbar sein. Ohne diese Normen können Unternehmen nicht mit Sicherheit wissen, ob ihre technische Dokumentation konform ist. Eine Pflicht aufzuerlegen, deren Umsetzungsinstrumente noch nicht existieren, schafft Rechtsunsicherheit.

Die Kommission hat auch strukturelle Verzögerungen bei der Benennung nationaler zuständiger Behörden und Konformitätsbewertungsstellen in den Mitgliedstaaten festgestellt. Die vorgeschlagene Verschiebung ist daher kein regulatorischer Rückzug, sondern das, was die Kommission selbst eine „strukturelle Neuausrichtung" nennt.

Was der Digital Omnibus konkret ändert

Ein bedingter Zeitplan, kein festes Datum

Der vorgeschlagene Mechanismus ist komplexer als eine einfache Verschiebung. Die Anwendung der Hochrisikopflichten (Anhang III) würde an eine Entscheidung der Kommission geknüpft, die bestätigt, dass Compliance-Unterstützungswerkzeuge verfügbar sind (Normen, Leitlinien, gemeinsame Spezifikationen). Sobald diese Entscheidung getroffen ist:

• 6 Monate zusätzliche Zeit für Systeme des Anhangs III (z. B. KI im Personalwesen, Bildung, wesentliche Dienste)
• 12 Monate zusätzliche Zeit für Systeme des Anhangs I (in geregelte Produkte eingebettet: Medizinprodukte, Maschinen, Fahrzeuge)

Absolute Endfristen sind jedoch festgelegt: 2. Dezember 2027 für Anhang III und 2. August 2028 für Anhang I — auch wenn bis dahin noch keine Normen veröffentlicht wurden.

Erleichterungen für KMU und kleine Midcaps

Der Digital Omnibus führt eine neue Kategorie ein: „kleine Midcaps", definiert als Unternehmen mit weniger als 750 Mitarbeitenden und weniger als 150 Millionen Euro Jahresumsatz. Diese Unternehmen würden von denselben Erleichterungen wie klassische KMU profitieren, darunter:

• Vereinfachte technische Dokumentation für Hochrisikosysteme
• Leichtere Anforderungen an das Qualitätsmanagementsystem (QMS)
• Angepasste Bußgeldberechnung entsprechend der Unternehmensgröße

Artikel 50: KI-Inhaltskennzeichnung um sechs Monate verschoben

Anbieter generativer KI-Systeme, die vor dem 2. August 2026 auf den Markt gebracht wurden, hätten bis zum 2. Februar 2027 Zeit, die maschinenlesbare Kennzeichnung KI-generierter Inhalte umzusetzen (Artikel 50(2) — Wasserzeichen, Metadaten). Die übrigen Transparenzpflichten des Artikels 50 bleiben ab August 2026 anwendbar.

Stärkung des KI-Büros

Der Digital Omnibus stärkt die Rolle des KI-Büros (AI Office) als zentrale Aufsichtsbehörde, insbesondere für Systeme, die auf KI-Modellen mit allgemeinem Verwendungszweck (GPAI) basieren, und für sehr große Online-Plattformen. Diese Zentralisierung soll eine Fragmentierung zwischen den 27 Mitgliedstaaten verhindern.

Was sich nicht ändert

Der Digital Omnibus ändert nicht die Grundstruktur des KI-Gesetzes. Folgendes bleibt unverändert:

• Verbotene Praktiken (Artikel 5): seit dem 2. Februar 2025 durchsetzbar — nicht betroffen
• GPAI-Pflichten (Artikel 51–56): seit dem 2. August 2025 in Kraft
• Risikoklassifizierung: Anhang III, Risikoniveaus, Kriterien — nichts ändert sich
• Grundlegende Transparenzpflichten (Artikel 50 außer §2): ab August 2026 beibehalten
• Sanktionsniveau: bis zu 35 Mio. € oder 7 % des globalen Umsatzes für verbotene Praktiken

Der Digital Omnibus vereinfacht die Anforderungen nicht — er verschiebt ihre Durchsetzung. Die technische Dokumentation des Anhangs IV, das Risikomanagement (Art. 9), die Datenverwaltung (Art. 10): Diese Pflichten bestehen weiterhin. Nur ihr Durchsetzbarkeitsdatum ändert sich.

Wie ist der Stand des Gesetzgebungsverfahrens?

Der Digital Omnibus folgt dem ordentlichen Gesetzgebungsverfahren, das mehrere Schritte vor der Verabschiedung erfordert:

• 18. März 2026: Abstimmung in den Parlamentsausschüssen IMCO und LIBE über den Kompromissbericht — der entscheidende Meilenstein, der in den nächsten Tagen erwartet wird
• Frühjahr 2026: Abstimmung im Europäischen Parlament, dann Triloge mit dem Rat
• Mitte 2026: erwartete Endabstimmung, unter dem Druck der August-2026-Frist

Die Positionen der politischen Gruppen sind gespalten. EVP, Renew und EKR unterstützen den Vorschlag grundsätzlich, während Mitglieder der S&D, der Grünen und der Linken die Notwendigkeit dieser Änderungen in Frage stellen und teilweise auf äußeren geopolitischen Druck hinweisen. Änderungsanträge sind so gut wie sicher.

Was sollten Sie tun, während Sie auf die Verabschiedung warten?

Die Versuchung, die Compliance-Bemühungen zu verlangsamen, ist verständlich. Sie wäre jedoch aus drei Gründen ein strategischer Fehler:

1. Der Digital Omnibus wurde noch nicht verabschiedet. Wenn die Triloge sich verzögern, gilt August 2026 automatisch. Nicht konforme Unternehmen haben keinen Ausweg.
2. Die mögliche Verschiebung gibt Monate, keine Jahre. Die absolute Endfrist ist Dezember 2027 — das sind 21 Monate. Unternehmen, die jetzt mit der Compliance beginnen, sind deutlich besser aufgestellt als jene, die warten.
3. Die Risikoklassifizierung ändert sich nicht. Zu wissen, ob Ihr System ein Hochrisikosystem ist, ist eine Voraussetzung für jede Compliance-Maßnahme — und hängt von keiner harmonisierten Norm ab.

Die sicherste Strategie: So vorbereiten, als ob August 2026 real ist, und so planen, als ob Dezember 2027 das wahrscheinliche Durchsetzungsdatum ist. Die kostenlose AiActo-Diagnose ermöglicht es Ihnen, Ihre KI-Systeme jetzt zu klassifizieren und Ihre Pflichten zu identifizieren — unabhängig vom endgültigen Datum.

Häufig gestellte Fragen

Wurde der Digital Omnibus bereits verabschiedet?

Nein. Der Vorschlag der Europäischen Kommission vom 19. November 2025 wird derzeit vom Europäischen Parlament und dem Rat geprüft. Eine wichtige Ausschussabstimmung in IMCO und LIBE ist für den 18. März 2026 geplant. Die Endabstimmung nach den Trilogen wird frühestens für Mitte 2026 erwartet.

Gelten die KI-Gesetz-Pflichten von August 2026 noch?

Ja, solange der Digital Omnibus nicht offiziell verabschiedet wurde. Das Datum 2. August 2026 bleibt die gesetzlich verbindliche Frist für Hochrisikosysteme (Anhang III). Wenn der Vereinfachungstext nicht vor diesem Datum verabschiedet wird, gelten die ursprünglichen Pflichten automatisch.

Welche Unternehmen profitieren von den neuen KMU-Ausnahmen?

Der Digital Omnibus erweitert die Erleichterungen auf klassische KMU (weniger als 250 Mitarbeitende, weniger als 50 Mio. € Umsatz) und führt eine neue Kategorie ein: „kleine Midcaps", definiert als Unternehmen mit weniger als 750 Mitarbeitenden und weniger als 150 Mio. € Jahresumsatz. Diese Unternehmen profitieren von vereinfachten Anforderungen an technische Dokumentation und Qualitätsmanagement.

Sind GPAI-Pflichten von der Verschiebung betroffen?

Nein. Die Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck (Artikel 51 bis 56) sind seit dem 2. August 2025 in Kraft und werden durch den Digital Omnibus nicht geändert. Lediglich eine Übergangsfrist bis zum 2. Februar 2027 wird für die Aktualisierung der Dokumentation von GPAI-Modellen gewährt, die bereits vor August 2026 auf dem Markt waren.

Was schlägt der Berichtsentwurf der Parlamentsberichterstatter vor?

Der am 5. Februar 2026 von den Berichterstattern Arba Kokalari (EVP) und Michael McNamara (Renew Europe) veröffentlichte Bericht schlägt feste Endfristen vor: den 2. Dezember 2027 für Systeme des Anhangs III und den 2. August 2028 für Systeme des Anhangs I, unter gleichzeitiger Wiederherstellung der KI-Literalitätspflicht für Anbieter und Betreiber.

Der Digital Omnibus ändert nicht die Substanz des KI-Gesetzes — er passt seinen Durchsetzungszeitplan an eine konkrete Realität an: Die Compliance-Werkzeuge waren nicht bereit. Aber die mögliche Verschiebung ändert nichts an der Richtung. Die Klassifizierung Ihrer KI-Systeme, die Bestandsaufnahme Ihrer Pflichten und die Strukturierung Ihrer Dokumentation bleiben unumgängliche Schritte, unabhängig vom endgültigen Datum. Verfolgen Sie den KI-Gesetz-Zeitplan auf AiActo, um regulatorische Kalenderaktualisierungen in Echtzeit zu verfolgen.