KI-Omnibus: die KI-Verordnung „2.0“

Konkret stärkt der finale KI-Omnibus dabei die Abgrenzung der KI-VO zum sektoralen Produktsicherheitsrecht, reduziert die Anforderungen an die KI-Kompetenz, führt neue Verbote für intime sowie kinderpornografische und prostitutive Inhalte ein und ermöglicht bürokratische Erleichterungen für kleine Midcap-Unternehmen. Zudem erhalten betroffene Unternehmen für die Umsetzung der ihnen mit der KI-VO auferlegten Pflichten teilweise mehr Zeit.

Nachfolgend wird ein Überblick über die wichtigsten der am 27.7.2026 in Kraft getretenen Neuregelungen[1] sowie deren möglichen Auswirkungen in der Praxis gegeben.

I. Hintergrund

Der KI-Omnibus ist Teil einer umfassenderen Initiative der Europäischen Kommission zur Reform des digitalen Binnenmarktes, zu der auch der sogenannte Data Omnibus[2] gehört. Während der KI-Omnibus inzwischen in Kraft getreten ist, befindet sich der Data Omnibus weiterhin im Gesetzgebungsverfahren. Ausgehend vom Kommissionsvorschlag im November 2025 konnten sich bislang weder Parlament noch Rat auf eine Verhandlungsposition einigen.

Die Geschwindigkeit des Gesetzgebungsverfahrens zum KI-Omnibus war – für EU-Verhältnisse – außergewöhnlich hoch; von der Veröffentlichung des Kommissionsentwurfs bis zum Inkrafttreten der Verordnung vergingen nur acht Monate. Hintergrund war insbesondere das Bedürfnis, noch vor dem ursprünglich vorgesehenen Anwendungsbeginn zentraler Vorschriften der KI-VO auf bestehende bzw. sich abzeichnende Umsetzungsprobleme zu reagieren. Für Unternehmen schafft der KI-Omnibus daher vor allem zusätzliche Vorbereitungszeit und punktuelle Erleichterungen, ohne jedoch den grundsätzlichen Regulierungsansatz der KI-VO in Frage zu stellen.

II. Die bedeutendste Änderung: Mehr Zeit für Unternehmen

Die wichtigste Änderung des KI-Omnibus betrifft die zeitliche Verschiebung der Regelungen über Hochrisiko-KI-Systeme (Art. 113 KI-VO (neu)). Unternehmen, die entsprechende KI-Systeme anbieten oder betreiben, erhalten mehr Zeit für die Umsetzung der regulatorischen Anforderungen der KI-VO. Die bislang für August 2026 bzw. August 2027 vorgesehene Einführung der Pflichten wird auf Dezember 2027 (Hochrisiko-KI-Systeme nach Anhang III KI-VO) bzw. August 2028 (Hochrisiko-KI-Systeme nach Anhang I KI-VO) verschoben. Hintergrund ist, dass für die praktische Anwendung der Vorgaben der KI-VO noch wichtige technische Standards fehlen, an denen sich Unternehmen künftig orientieren sollen.

Praxishinweis: In der Praxis verschafft dies betroffenen Unternehmen zwar mehr Planungssicherheit, der zusätzliche Zeitgewinn sollte jedoch nicht mit einem Wegfall des Handlungsbedarfs verwechselt werden. Die Fristverlängerung eröffnet die Möglichkeit, Compliance-Strukturen aufzubauen, Zuständigkeiten festzulegen und zu prüfen, welche eigenen Produkte oder Anwendungen künftig als Hochrisiko-KI-Systeme eingestuft werden könnten. Insbesondere Unternehmen mit längeren Entwicklungszyklen sollten die zusätzlichen Monate nutzen, um ihre Prozesse rechtzeitig an den künftigen Anforderungen auszurichten.

III. Übergangsregelungen und -fristen

Parallel dazu werden auch die Übergangsregelungen angepasst (Art. 111 KI-VO (neu)). Dadurch wird sichergestellt, dass die verschobenen Anwendungszeitpunkte und die Regelungen für bereits auf dem Markt befindliche KI-Systeme zeitlich aufeinander abgestimmt sind.

Neuerungen gibt es auch bei den Transparenzpflichten für KI-Systeme nach Art. 50 KI-VO. Wer KI-Systeme anbietet, die synthetische Texte, Bilder, Videos oder Audiodateien erzeugen, muss prüfen, ob bestehende KI-Systeme technisch nachgerüstet werden müssen. Ab dem 2.8.2026 müssen künstlich erzeugte oder manipulierte Inhalte erkennbar und maschinenlesbar gekennzeichnet werden (Art. 50 Abs. 2 KI-VO). Diese Verpflichtung gilt nicht nur für neue KI-Systeme, sondern erfasst nach dem KI-Omnibus auch bereits in Verkehr gebrachte KI-Systeme und verpflichtet die Anbieter, die KI-Systeme bis zum 2.12.2026 mit der KI-VO in Einklang zu bringen.

Noch nicht abschließend geklärt ist, wie weit diese Nachbesserungspflichten reichen. Insbesondere bleibt offen, ob auch die Transparenzanforderungen des Art. 50 Abs. 1 KI-VO auf bereits in Verkehr gebrachte KI-Systeme Anwendung finden. Diese Pflicht betrifft KI-Systeme, die für die direkte Interaktion mit natürlichen Personen bestimmt sind.

Praxishinweis: Die Transparenzpflichten des Art. 50 KI-VO richten sich an bestimmte Anbieter und Betreiber von KI-Systemen, unabhängig davon, ob es sich um Hochrisiko-KI-Systeme handelt. Danach müssen natürliche Personen insbesondere darauf hingewiesen werden, dass bestimmte Inhalte künstlichen Ursprungs sind. Dies betrifft etwa von Chatbots generierte Kommunikationsinhalte (Abs. 1) sowie KI-generierte Videos, Bilder und Texte (Abs. 2, 4). Zudem muss der Einsatz von Emotionserkennungssystemen kenntlich gemacht werden (Abs. 3).[3]

Die Pflichten gelten seit dem 2.8.2026. Aufgrund der aufgezeigten Rechtsunsicherheit wird Unternehmen empfohlen, die Einhaltung der Transparenzanforderungen der KI-VO auch für bereits auf dem Markt befindliche KI-Systeme zu überprüfen.

IV. Deutlichere Abgrenzung zum sektoralen Produktsicherheitsrecht

Ein weiterer Schwerpunkt des KI-Omnibus liegt auf der besseren Abstimmung der KI-VO mit bestehenden produktsicherheitsrechtlichen Regelungen. Hintergrund ist, dass viele KI-Systeme zugleich den Anforderungen sektorspezifischer Produktsicherheitsvorschriften unterliegen. Für Unternehmen führte dies bislang teilweise zu Überschneidungen bei Konformitätsbewertungen, Dokumentationspflichten und sonstigen regulatorischen Anforderungen.

Der KI-Omnibus versucht deshalb, die Verzahnung beider Regelungsbereiche zu verbessern. Unter anderem soll die Koordinierung der jeweiligen Konformitätsbewertungsverfahren erleichtert werden (Art. 43 KI-VO (neu)). Ziel ist es, Doppelprüfungen und unnötigen Verwaltungsaufwand zu vermeiden und Unternehmen die Erfüllung verschiedener regulatorischer Anforderungen zu erleichtern.

Besondere Bedeutung hat zudem die stärkere Verknüpfung der KI-VO mit bestehenden sektoralen Regelwerken. Für bestimmte Produktgruppen soll künftig vermieden werden, dass weitgehend identische Anforderungen parallel nach mehreren Rechtsakten erfüllt werden müssen. Hierzu erhält die Kommission die Möglichkeit, durch delegierte Rechtsakte in bestimmten Bereichen Ausnahmen oder Anpassungen der KI-VO vorzusehen, sofern bereits bestehende Produktsicherheitsvorschriften ein vergleichbares Schutzniveau gewährleisten (Art. 2 Abs. 13 KI-VO (neu)). Die delegierten Rechtsakte sollen durch Standards, die von den europäischen Normungsorganisationen auszuarbeiten sind (Art. 40 Abs. 2 KI-VO (neu)), und Leitlinien der Kommission (Art. 96 Abs. 1 lit. g KI-VO (neu)) ergänzt werden. Ziel ist, die Unternehmen bei der gleichzeitigen Einhaltung der KI-VO und einschlägiger Produktsicherheitsvorschriften zu unterstützen.

Praxishinweis: Wichtig ist, dass die eigentliche Konkretisierung vieler dieser Erleichterungen erst noch erfolgen wird. Der KI-Omnibus schafft hierfür lediglich den rechtlichen Rahmen. Wie die Abstimmung zwischen KI-VO und sektoralem Produktsicherheitsrecht im Einzelnen ausgestaltet wird, hängt maßgeblich von künftigen delegierten Rechtsakten, Standards und Leitlinien ab. Unternehmen sollten diese Entwicklungen daher aufmerksam verfolgen.

Darüber hinaus werden Produkte, die in den Anwendungsbereich der Maschinenverordnung (VO (EU) 2023/1230) fallen, weitgehend von den Pflichten der KI-VO freigestellt (Art. 2 Abs. 2 i.V.m. Anhang I Abschnitt B KI-VO (neu)). Die KI-spezifischen Anforderungen an solche Produkte sollen künftig direkt in die Maschinen-VO integriert werden.

V. Verbleibende Rechtsunsicherheiten bei der KI-Kompetenz

Der KI-Omnibus hält an der Pflicht zur Förderung von KI-Kompetenz fest, formuliert diese jedoch deutlich unverbindlicher (Art. 4 KI-VO (neu)). Unternehmen sollen künftig Maßnahmen ergreifen, um die Entwicklung von KI-Kompetenz zu unterstützen, müssen aber kein bestimmtes Kompetenzniveau ihrer Mitarbeiter sicherstellen.

Für die Praxis bleibt die Rechtslage damit weiterhin unklar. Insbesondere ist offen, welche konkreten Maßnahmen erforderlich sind, um den gesetzlichen Anforderungen zu genügen. Hinzu kommt, dass weiterhin ungeklärt ist, welche rechtlichen Folgen Verstöße gegen die Pflicht zur Förderung von KI-Kompetenz haben. Zwar soll die Kommission künftig Orientierungshilfen und Praxisbeispiele veröffentlichen. Verbindliche Vorgaben bestehen derzeit jedoch nicht.Praxishinweis: Unabhängig von den Vorgaben der KI-VO bleibt ein erheblicher praktischer Bedarf, Mitarbeiter für den Umgang mit KI-Systemen aus rechtlicher Sicht zu sensibilisieren. Im Fokus stehen dabei unter anderem das Datenschutz- , Urheber-, Cybersicherheits-[4] und Geschäftsgeheimnisrecht[5], insbesondere mit Blick auf die Nutzung generativer KI-Systeme.

VI. Mehr Freiheiten im KI-Training

Eine weitere praxisrelevante Änderung betrifft die Verarbeitung sensibler personenbezogener Daten bei Entwicklung und Training von KI-Systemen (Art. 4a KI-VO (neu)). Die Ausnahme zur Nutzung dieser Daten war bisher auf Anbieter von Hochrisiko-KI-Systemen beschränkt. Der KI-Omnibus erweitert diese Ausnahme nunmehr auf alle KI-Systeme und -Modelle sowie auf die Betreiber von KI-Systemen.

Dadurch erhalten Anbieter und Betreiber mehr Rechtssicherheit bei der Verarbeitung sensibler Daten, wenn diese benötigt werden, um Verzerrungen in KI-Systemen und -Modellen zu erkennen und zu reduzieren. Gleichzeitig hält der Gesetzgeber aber an hohen Anforderungen fest: Die Datenverarbeitung ist nur zulässig, wenn sie für diesen Zweck unbedingt erforderlich ist und die weiteren Voraussetzungen des Art. 4a KI-VO erfüllt werden. Hierzu gehören Dokumentationspflichten, technische Beschränkungen der Weiterverarbeitung, Datenübermittlungsverbote sowie Vorgaben zur Datenlöschung und Gewährleistung von Datensicherheit.

Für Unternehmen ist dies vor allem deshalb bedeutsam, weil die Nutzung repräsentativer Trainingsdaten häufig eine zentrale Voraussetzung für die Entwicklung leistungsfähiger sowie diskriminierungsfreier KI-Systeme und -Modelle darstellt. Die Neuregelung schafft hier mehr Flexibilität, zieht den datenschutzrechtlichen Rahmen aber weiterhin eng.

VII. Verbote für Nudifier- und CSAM-Anwendungen

Der KI-Omnibus führt außerdem neue Verbote für KI-Systeme ein, die zur Generierung oder Manipulation intimer Inhalte („Nudifier“) sowie kinderpornografischer oder kinderprostitutiver Inhalte eingesetzt werden können (Art. 5 Abs. 1 UAbs. 1 lit. ba, bb KI-VO (neu)). Erfasst werden sowohl Anbieter als auch Betreiber solcher Systeme.

Für Unternehmen besonders relevant ist die an Anbieter gerichtete Pflicht, geeignete technische Schutzmaßnahmen vorzusehen, um missbräuchliche Nutzungen ihrer Anwendungen zu verhindern. Maßgeblich ist dabei nicht nur die vom Anbieter vorgesehene Verwendung eines KI-Systems in der Praxis. Verboten sein kann auch die Bereitstellung von KI-Systemen, bei denen die Erzeugung entsprechender Inhalte ein vorhersehbares Ergebnis ist und keine angemessenen Schutzvorkehrungen eingerichtet wurden.

Damit etabliert der KI-Omnibus faktisch eine verstärkte Verkehrssicherungs- und Beobachtungspflicht für Anbieter. Unternehmen sollten daher prüfen, ob ihre KI-Systeme zur Erstellung entsprechender Inhalte missbraucht werden können und ob bestehende technische Schutzmechanismen – etwa Filter, Sperren oder Missbrauchserkennungssysteme – ausreichend sind. Zudem gewinnen Prozesse zur Beobachtung und Verhinderung bekannter Fehl- und Missbrauchsanwendungen weiter an Bedeutung.

VIII. Erleichterungen für KMU und kleine Midcaps

Der KI-Omnibus erweitert darüber hinaus verschiedene Unterstützungs- und Entlastungsmaßnahmen, die bislang vor allem kleinen und mittleren Unternehmen (KMU) zugutekommen sollten, auf sogenannte kleine Midcaps. Hierunter fallen größere mittelständische Unternehmen mit bis zu 750 Beschäftigten, die entweder einen Jahresumsatz von höchstens 150 Millionen Euro oder eine Bilanzsumme von höchstens 129 Millionen Euro aufweisen (Art. 2 Abs. 14b KI-VO (neu)).

Für betroffene Unternehmen bedeutet dies unter anderem gewisse regulatorische Erleichterungen (z.B. bei den Dokumentationspflichten für Anbieter von Hochrisiko-KI-Systemen nach Art. 11 Abs. 1 KI-VO (neu)), geringere Sanktionen (Art. 99 Abs. 6a KI-VO (neu)) sowie einen verbesserten Zugang zu behördlicher Unterstützung (vgl. Art. 70 Abs. 8 KI-VO (neu)). Darüber hinaus können KMU – nicht aber kleine Midcaps – einzelne Anforderungen an das Qualitätsmanagement in vereinfachter Form erfüllen (Art. 63 Abs. 1 KI-VO (neu)).

Wichtig ist jedoch, dass der KI-Omnibus keine grundlegende Ausnahme von den materiellen Anforderungen der KI-VO vorsieht. Die zentralen Compliance-Pflichten, insbesondere für Hochrisiko-KI-Systeme, bleiben grundsätzlich bestehen. Die Neuregelungen sollen daher vor allem den administrativen Aufwand verringern, ohne das regulatorische Schutzniveau abzusenken. Für die konkrete Ausgestaltung dieser Erleichterungen wird es jedoch darauf ankommen, inwieweit die Vorgaben der KI-VO in konkrete Leitlinien und sonstige Unterstützungsmaßnahmen der Kommission übersetzt werden und Eingang in die behördliche Verwaltungspraxis finden.

IX. Sonstige Änderungen

Der KI-Omnibus bringt außerdem verschiedene institutionelle und organisatorische Änderungen mit sich. Eine wichtige Rolle spielt dabei das KI-Büro, dessen Zuständigkeiten erweitert und präzisiert werden (Art. 75 KI-VO (neu)). Es wird unter bestimmten Voraussetzungen zusätzlich für die Aufsicht von KI-Systemen zuständig, die auf KI-Modellen mit allgemeinem Verwendungszweck beruhen und innerhalb eines Unternehmensverbunds entwickelt werden. Darüber hinaus wird das KI-Büro auch für die Beaufsichtigung von KI-Systemen zuständig, die in sehr große Online-Plattformen und sehr große Online-Suchmaschinen nach dem Digital Services Act integriert sind. Zudem erhält das KI-Büro weitergehende Überwachungs-, Untersuchungs- und Durchsetzungsbefugnisse (Art. 75a-d KI-VO (neu)). Die KI-Aufsicht wird damit stärker auf europäischer Ebene zentralisiert.

Weitere Änderungen betreffen die sogenannten KI-Reallabore. Diese sollen Unternehmen die Möglichkeit bieten, KI-Systeme unter behördlicher Begleitung in kontrollierten Umgebungen zu testen. Künftig kann das KI-Büro selbst ein unionsweites KI-Reallabor einrichten (Art. 57 Abs. 3a KI-VO (neu)). Zudem werden die Möglichkeiten, bestimmte Hochrisiko-KI-Systeme unter realen Bedingungen zu erproben, ausgeweitet (Art. 60, 60a KI-VO (neu)). Dies kann für Unternehmen mit innovativen oder komplexen KI-Anwendungen zusätzliche Spielräume bei Entwicklung und Markteinführung schaffen; das Potenzial von KI-Reallaboren bleibt jedoch abzuwarten.

X. Fazit

Der KI-Omnibus bringt punktuelle Entlastungen und Klarstellungen, stellt jedoch keine grundlegende Neujustierung der KI-VO dar. Zwar verschieben sich insbesondere die Fristen für Hochrisiko-KI-Systeme und einzelne Pflichten werden präzisiert. Die wesentlichen Compliance-Anforderungen bleiben jedoch bestehen. Unternehmen sollten daher nicht davon ausgehen, dass sich der regulatorische Aufwand insgesamt spürbar reduziert.

Vielmehr zeigt sich erneut, dass die praktische Anwendung der KI-VO weiterhin von künftigen Konkretisierungen, insbesondere durch die Kommission und die europäischen Normungsorganisationen, abhängen wird. Viele zentrale Fragen – etwa zur Auslegung einzelner Pflichten sowie zum Verhältnis der KI-VO zu anderen Rechtsakten der Digitalregulierung – werden erst in den kommenden Jahren abschließend beantwortet werden können.

Für Unternehmen bleibt KI-Compliance damit ein „Moving Target“. Die regulatorischen Rahmenbedingungen entwickeln sich fortlaufend weiter und erfordern eine kontinuierliche Beobachtung sowie regelmäßige Anpassungen interner Prozesse und Governance-Strukturen.

Wir verfolgen die weitere Entwicklung des europäischen KI-Rechts fortlaufend und unterstützen Unternehmen bei der rechtlichen Einordnung neuer Vorgaben, der Umsetzung von Compliance-Anforderungen sowie der Entwicklung praxistauglicher KI-Governance- und Schulungskonzepte.

[1] https://eur-lex.europa.eu/lega...

[2] https://eur-lex.europa.eu/lega...

[3] Siehe hierzu auch https://www.sza.de/de/thinktan....

[4] https://www.sza.de/de/thinktan...

[5] https://www.sza.de/de/thinktan...