Am 7. Mai 2026 haben sich das Europaeische Parlament und der EU-Rat auf den Digital Omnibus geeinigt — die groesste Reform der EU-Digitalgesetze seit Inkrafttreten von DSGVO und AI Act. Fuer Unternehmen, die mit KI arbeiten, bedeutet das: Mehr Zeit, klarere Regeln, aber keine Entwarnung. Wir haben den Beschluss durchgearbeitet und zeigen, was sich konkret aendert — und was du jetzt tun solltest.
Was ist der Digital Omnibus ueberhaupt?
Der Digital Omnibus ist ein politisches Konsolidierungs-Paket, das mehrere Aenderungen an EU-Digitalgesetzen buendelt:
- EU AI Act (Verordnung 2024/1689): Fristen, Klassifikationen, Art. 4a fuer Bias-Daten
- DSGVO (Verordnung 2016/679): Schnittstellen zu KI-Training, Meldepflichten
- DORA, NIS-2, eIDAS, CER-Richtlinie: Konsolidierte Vorfall-Meldung
Hintergrund: Unternehmen — vor allem KMUs — haben in den letzten 18 Monaten Alarm geschlagen, dass die ueberlappenden Compliance-Pflichten kaum mehr zu bewaeltigen sind. Die EU reagiert mit Vereinfachung, ohne das Schutzniveau zu senken.
Die wichtigste Aenderung: Fristen-Verschiebung
| Risikoklasse | Alte Frist | Neue Frist | Aenderung |
|---|---|---|---|
| GPAI (allgemeine KI-Modelle) | 2. August 2025 | 2. August 2025 | keine |
| Hochrisiko Anhang III (HR, Bildung, Bio, Kredit) | 2. August 2026 | 2. Dezember 2027 | +16 Monate |
| Hochrisiko Anhang I (Medizin, Maschinen) | 2. August 2027 | 2. August 2028 | +12 Monate |
| Verbotene Praktiken | 2. Februar 2025 | 2. Februar 2025 | keine |
Wichtig: Verbotene Praktiken (Social Scoring, manipulative KI, Echtzeit-Biometrie im oeffentlichen Raum) bleiben sofort verboten. Die Verschiebung betrifft ausschliesslich die Konformitaetsbewertung fuer Hochrisiko-Systeme.
Was bedeutet die Verschiebung fuer dich konkret?
Wenn du Hochrisiko-KI baust oder einsetzt:
- 16 Monate mehr Zeit fuer Konformitaetsbewertung, technische Dokumentation und CE-Kennzeichnung
- Aber: Dokumentationspflichten (Art. 6, Anhang IV) gelten weiter, nur die formale Bewertung wird verschoben
- Risiko: Wer die Zeit zum Aufschieben nutzt, hat Ende 2027 dasselbe Problem wie 2026 — nur mit mehr Mitbewerbern in der Audit-Schlange
Wenn du “begrenzte Risiken” KI einsetzt (Chatbots, Empfehlungssysteme):
- Keine direkte Aenderung — Transparenzpflicht nach Art. 50 gilt weiter ab August 2026
- Voice-Bots, ChatGPT-Integrationen, Empfehlungs-Algorithmen muessen weiter klar als KI gekennzeichnet sein
Wenn du GPAI-Modelle (GPT, Claude, Gemini etc.) nutzt:
- Anbieterpflichten wie Transparenz und Urheberrecht-Compliance bleiben — sind aber Sache von OpenAI, Anthropic, Google
- Deine Pflicht als Deployer: Dokumentation des Use-Cases und Risikoklassifikation deines konkreten Einsatzes
Der neue Art. 4a: Bias-Daten sind jetzt erlaubt
Der vielleicht wichtigste fachliche Beschluss im Digital Omnibus. Bisher gab es ein juristisches Dilemma:
- Der AI Act verlangt Bias-Tests auf demografisch diversen Daten (Art. 10)
- Die DSGVO verbietet die Verarbeitung von Geschlecht, Herkunft, Religion etc. (Art. 9) ohne enge Ausnahmen
In der Praxis bedeutete das: Wer ein faires KI-System bauen wollte, durfte die dafuer noetigen Daten oft gar nicht erheben. Art. 4a loest das.
Der neue Artikel erlaubt explizit die Verarbeitung besonderer Datenkategorien — ausschliesslich zum Zweck der Bias-Erkennung und Bias-Korrektur. Voraussetzungen:
- Dokumentierter Zweck (Bias-Audit)
- Loeschung nach Abschluss des Audits
- Strikte technische und organisatorische Massnahmen (Verschluesselung, Zugriffsbeschraenkung)
- Folgenabschaetzung nach Art. 35 DSGVO
Was das praktisch bedeutet: HR-Tech, Kreditscoring-Anbieter und EdTech-Unternehmen koennen jetzt rechtssicher demografische Bias-Tests durchfuehren. Vorher war das ein juristischer Drahtseilakt.
Das zentrale Vorfall-Portal
Eine pragmatische Vereinfachung. Bisher mussten Unternehmen Sicherheitsvorfaelle an vier oder fuenf verschiedene Behoerden melden:
- DSGVO-Verletzung → nationale Datenschutzbehoerde (in Deutschland: BfDI bzw. Landesdatenschutzbehoerden)
- DORA-Vorfall → BaFin (Finanzbranche)
- NIS-2-Vorfall → BSI
- CER-Vorfall → BBK
- eIDAS-Vorfall → Bundesnetzagentur
Neu: Ein zentrales EU-Portal, das alle Meldungen entgegen nimmt und intern verteilt. Das reduziert den Aufwand bei Multi-Pflicht-Vorfaellen erheblich — und vermeidet die heute uebliche Situation, dass eine Behoerde von einer anderen erst Wochen spaeter von einem Vorfall erfaehrt.
Was du jetzt konkret tun solltest
Sofort (innerhalb der naechsten 4 Wochen):
- KI-Inventar starten — alle KI-Systeme im Unternehmen erfassen (Eigenbau und Einkauf)
- Risikoklassifikation je Use-Case dokumentieren
- DSGVO-Folgenabschaetzung fuer alle KI-Systeme mit Personenbezug
Genau dafuer haben wir den AEGIS Compliance-Hub gebaut. Das KI-Inventar gibt dir eine vorgefertigte Vorlage, der AI Act Readiness Check klassifiziert dein System nach den neuen Fristen, und das DSGVO-KI-Compliance-Paket liefert dir die Dokumentations-Vorlagen.
Mittelfristig (Q3-Q4 2026):
- Bias-Audits fuer Hochrisiko-Systeme planen — jetzt rechtssicher unter Art. 4a moeglich
- Technische Dokumentation nach Anhang IV vorbereiten (auch wenn die Frist 2027 ist)
- Konformitaetsbewertungs-Stellen identifizieren (in Deutschland: TUEV, DEKRA, BSI fuer KI)
Langfristig (2027):
- Konformitaetsbewertung fuer Anhang-III-Systeme bis spaetestens September 2027 abschliessen (3 Monate Puffer zur Dezember-Frist)
- CE-Kennzeichnung anbringen
- Marktueberwachung-Schnittstelle aufbauen
Was sich NICHT geaendert hat
Damit keine Missverstaendnisse entstehen:
- Verbotene Praktiken (Art. 5) — gelten seit Februar 2025 unveraendert
- GPAI-Anbieterpflichten — kein Aufschub
- Transparenzpflichten nach Art. 50 (Chatbot-Kennzeichnung) — ab August 2026 wie geplant
- DSGVO-Bussgeldrahmen — bleibt bei 4% Jahresumsatz bzw. 20 Mio. EUR
- AI-Act-Bussgeldrahmen — bleibt bei 7% Jahresumsatz bzw. 35 Mio. EUR
Wer hat den Digital Omnibus angetrieben?
Treiber waren ueberraschend nicht die grossen US-Tech-Konzerne, sondern deutsche und franzoesische Mittelstandsverbaende (BDI, MEDEF) sowie der European Innovation Council. Die Argumentation: Ohne Vereinfachung waeren tausende KMUs aus der KI-Innovation gedraengt worden, weil sie die Compliance-Kosten nicht stemmen koennen.
Kritiker — vor allem aus der zivilgesellschaftlichen Ecke — beklagen, dass die Verschiebung die Wirkung des AI Act um Jahre verzoegert. Die Befuerworter halten dagegen: Eine schlecht implementierte Regel ist gefaehrlicher als eine spaeter scharf umgesetzte.
Fazit: Atempause, kein Freibrief
Der Digital Omnibus ist die wichtigste Compliance-Nachricht des Jahres fuer KI-Unternehmen in der EU. Aber: Er ist eine Atempause, kein Freibrief. Wer die 16 Monate jetzt produktiv nutzt — KI-Inventar, Risikoklassifikation, Bias-Audits, technische Dokumentation — wird im Dezember 2027 entspannt sein. Wer aufschiebt, steht im Audit-Stau.
Unsere Empfehlung: Behandle die 16 Monate wie 4 Monate. Quartalsweise Meilensteine setzen, externe Compliance-Berater zumindest einmal pruefen lassen, das Inventar lebendig halten. So wird die Verschiebung ein echter Wettbewerbsvorteil.
