Digital Omnibus: Was sich am EU AI Act wirklich ändert (und was nicht)

Am Montag, dem 27. Juli 2026, ist die Verordnung (EU) 2026/1744 in Kraft getreten, besser bekannt als Digital Omnibus. Sie ändert mehr als 40 Artikel des EU AI Act, und entsprechend groß sind die Schlagzeilen: Die einen feiern das Ende der KI-Regulierung, die anderen beklagen ihren Ausverkauf. Beides ist falsch. Der Omnibus verschiebt und justiert, aber er baut nicht ab. Hier ist die nüchterne Bilanz für Selbständige und kleine Unternehmen.

Was ist der Digital Omnibus überhaupt?

Der Digital Omnibus ist das Bürokratieabbau-Paket der EU-Kommission für ihre Digitalgesetze, vorgestellt im November 2025. Wichtig für die Einordnung: Es besteht aus zwei getrennten Strängen, die oft in einen Topf geworfen werden. Dabei ist nur einer von beiden geltendes Recht.

Dass der KI-Strang so zügig durchging, hatte einen harten Termindruck: Am 2. August 2026 wären die Hochrisiko-Pflichten nach altem Zeitplan scharf geschaltet worden. Die Verschiebung musste also vorher in Kraft sein. Der Daten-Strang mit den DSGVO- und Cookie-Änderungen hat diesen Druck nicht und steckt entsprechend weiter im Gesetzgebungsverfahren.

Die Bilanz: verschoben, entschärft, unverändert

Die linke Spalte ist die wichtigere: Alles, was kleine Unternehmen im Alltag betrifft, gilt weiter oder startet wie geplant. Die Verbote und die KI-Kompetenzpflicht sind seit Februar 2025 in Kraft, und seit dem 2. August 2026 gelten die Transparenzpflichten nach Art. 50; die Bundesnetzagentur hat ihre Arbeit als Marktüberwachung aufgenommen. Verschoben wurde vor allem das, was ohnehin nur Hochrisiko-Anwendungen betrifft.

Änderung 1: Die Hochrisiko-Fristen wandern nach hinten

Die Pflichten für Hochrisiko-KI nach Anhang III (etwa Bewerber-Scoring, Bonitätsprüfung oder KI in kritischer Infrastruktur) greifen jetzt am 2. Dezember 2027 statt am 2. August 2026, also 16 Monate später. Für Hochrisiko-KI, die in regulierten Produkten wie Maschinen oder Medizinprodukten steckt (Anhang I), wurde der Stichtag vom 2. August 2027 auf den 2. August 2028 verschoben. Wer Hochrisiko-Systeme einsetzt oder entwickelt, bekommt damit echte Luft, sollte sie aber nutzen, denn das Pflichtenpaket aus Risikomanagement, Dokumentation, Logging und menschlicher Aufsicht ist umfangreich geblieben.

Änderung 2: Art. 4 verlangt jetzt Fördern statt Sicherstellen

Die KI-Kompetenzpflicht aus Art. 4 wurde im Wortlaut entschärft: Statt ein ausreichendes Kompetenzniveau deines Teams "sicherzustellen", musst du jetzt Maßnahmen ergreifen, um KI-Kompetenz zu fördern. Ein garantiertes Wissensniveau pro Person schuldest du nicht mehr. Was bleibt: Wer gar nichts tut, verstößt auch gegen die neue Fassung, und ab August kann die Aufsicht Nachweise verlangen. Was eine sinnvolle Schulung enthält und wie du sie dokumentierst, zeigt unser Artikel zur KI-Schulungspflicht.

Änderung 3: Hochrisiko wird enger gefasst

Neben den Fristen hat der Omnibus auch die Einstufung selbst präzisiert. KI-Komponenten, die nur unterstützen, Abläufe effizienter machen oder der Qualitätskontrolle dienen, gelten künftig nur noch dann als Hochrisiko, wenn ihr Ausfall tatsächlich Risiken für Gesundheit oder Sicherheit verursachen kann. Außerdem darf die Kommission Doppelregulierung abbauen, wo sektorale Vorschriften (etwa im Maschinen- oder Medizinprodukterecht) bereits ein gleichwertiges Schutzniveau sichern. Für viele Grenzfälle heißt das: Die Wahrscheinlichkeit, versehentlich in der Hochrisiko-Klasse zu landen, sinkt.

Änderung 4: Erleichterungen für kleinere Unternehmen

Der Omnibus führt eine neue Unternehmenskategorie ein, die Small Midcaps, und dehnt damit Erleichterungen aus, die bisher nur kleinen und mittleren Unternehmen zustanden: vereinfachte technische Dokumentation, schlankere Anforderungen an das Qualitätsmanagement, bevorzugter Zugang zu Reallaboren und der Grundsatz, dass Sanktionen verhältnismäßig zur Unternehmensgröße ausfallen müssen. Für die KMU-Bußgelddeckelung, die ohnehin schon galt, bedeutet das: Der Rahmen wird für kleinere Unternehmen noch einmal berechenbarer.

Übrigens: Es kamen auch neue Verbote dazu

Wer den Omnibus als reinen Rückbau liest, übersieht die andere Richtung: Die Liste der verbotenen Praktiken wurde erweitert. Neu verboten sind KI-Systeme zur Erzeugung intimer Deepfakes ohne Einwilligung der abgebildeten Person (anwendbar ab 2. Dezember 2026) sowie Systeme zur Erzeugung von Darstellungen sexuellen Kindesmissbrauchs. Gleichzeitig wurde das europäische AI Office zu einer echten Aufsichtsbehörde mit eigenen Ermittlungs- und Durchsetzungsbefugnissen ausgebaut. Die Regulierung wird also nicht schwächer, sie wird gezielter.

Und der Datenschutz-Teil? Noch nicht beschlossen

Der zweite Omnibus-Strang will DSGVO und ePrivacy-Regeln vereinfachen: einheitliche Cookie-Regeln direkt in der DSGVO (ein neuer Art. 88a soll die Banner-Flut eindämmen), zusammengeführte Meldepflichten, ein leichterer Datenzugang für KI-Training und eine mögliche Neufassung des Begriffs personenbezogener Daten bei Pseudonymisierung. Nichts davon ist geltendes Recht. Die Verhandlungen gelten als zäh, der Europäische Datenschutzausschuss hat erhebliche Bedenken angemeldet, und ob es 2026 noch zu einer Einigung kommt, ist offen. Konkret heißt das: Dein Cookie-Banner bleibt Pflicht, deine DSGVO-Prozesse bleiben unverändert.

Was du jetzt konkret tun solltest

• Nichts absagen, was schon gilt: Verbote, Art. 4 und die GPAI-Pflichten laufen unverändert weiter.
• Den 2. August 2026 ernst nehmen: Chatbots im Kundenkontakt kennzeichnen, Deepfake-Kennzeichnung umsetzen und darauf einstellen, dass die Bundesnetzagentur Auskünfte verlangen kann.
• Die Hochrisiko-Zeit nutzen: Bis Ende 2027 klingt weit weg, aber Risikomanagement und Dokumentation brauchen Vorlauf. Jetzt einstufen, dann planen.
• Nicht auf den Daten-Omnibus wetten: Cookie-Banner und DSGVO-Pflichten gelten, bis wirklich etwas beschlossen ist.

Wie Klaus mit Rechtsänderungen wie dieser umgeht

Der Digital Omnibus zeigt das Grundproblem von KI-Compliance in Eigenregie: Kaum hast du dir den Rechtsstand erarbeitet, ändert er sich, diesmal gleich in 40 Artikeln. Genau dafür ist Klaus gebaut. Hinter Klaus steht ein juristisches Team, das Gesetzesänderungen wie den Omnibus auswertet und direkt in die Prüflogik einarbeitet: in die Risikoklassifizierung, die Fristen je Themenpunkt und die Aufgaben, die Klaus dir daraus ableitet. Die Omnibus-Änderungen fließen aktuell vollständig in alle Klaus-Prüfungen ein.

Für dich heißt das: Du musst weder EUR-Lex lesen noch deine To-do-Liste selbst umbauen. Läuft bei dir ein Prüfprojekt, arbeitest du einfach weiter. Die geänderten Fristen und die engere Hochrisiko-Definition stecken künftig in den Prüfungen selbst. Und weil sich mit dem Omnibus auch die Inhalte der Schulungspflicht verschoben haben, spiegeln die Klaus-Schulungen den neuen Art. 4 gleich mit wider.

Fazit

Der Digital Omnibus ist weder das Ende des EU AI Act noch ein Grund zur Entwarnung. Er verschiebt die teuerste Baustelle (Hochrisiko) nach hinten, macht die Einstufung präziser und entlastet kleinere Unternehmen. An den Pflichten, die dich schon heute betreffen, ändert er nichts. Wer die gewonnene Zeit für Inventar, Kennzeichnung und Schulung nutzt, statt sie zu verschenken, geht als Gewinner aus dieser Reform hervor.