---
title: "Der AI Omnibus: was sich für die KI-Strategie ändert | Dawiso Blog"
description: "Der AI Omnibus schiebt die Hochrisiko-Fristen des AI Act auf 2027 und 2028, ergänzt Verbote und vereinfacht die Compliance. Was das für Ihre KI-Strategie heißt."
url: "https://www.dawiso.com/de/blog-post/ai-omnibus-eu-ai-act-changes"
language: "de"
---

# Der AI Omnibus: was sich im EU AI Act geändert hat und was das für Ihre KI-Strategie bedeutet

Samuel Nagy

VP of Strategic Growth

Aktualisiert 12. Oktober 2026  · Veröffentlicht 4. Juni 2026

Der ursprüngliche AI Act war nur die Startlinie. Im Juli 2026 hat die EU den AI Omnibus verabschiedet: gezielte Änderungen, die die Fristen für Hochrisikosysteme nach hinten schieben, zwei neue Verbote ergänzen und den Papierkram bei der Compliance verschlanken. Hier steht, was sich tatsächlich geändert hat und was Sie jetzt in Ihrer KI-Strategie nachziehen sollten.

## Was der AI Omnibus ist (und was nicht)

Der EU AI Act kam 2024 als erstes umfassendes Gesetz zu künstlicher Intelligenz in die Bücher. Dass er nachjustiert werden müsste, sobald Markt und zugrunde liegende Normen reifen, war von Anfang an absehbar. Der AI Omnibus ist diese Nachjustierung.

Am 19. November 2025 hat die Europäische Kommission den Digital Omnibus veröffentlicht, ein breiteres Vereinfachungspaket zu Daten, Cybersicherheit und KI-Regeln. Der KI-spezifische Strang darin, meist **AI Omnibus** oder Digital Omnibus on AI genannt, schlug gezielte Änderungen am AI Act vor und keine Neufassung.

Dieser Strang ist inzwischen **geltendes Recht**. Das Europäische Parlament und der Rat haben ihn am 8. Juli 2026 als [Verordnung (EU) 2026/1744](https://eur-lex.europa.eu/eli/reg/2026/1744/oj) angenommen, sie wurde am 24. Juli 2026 im Amtsblatt veröffentlicht und ist am 27. Juli 2026 in Kraft getreten. Wo sie den ursprünglichen Zeitplan des AI Act nicht ändert, gilt dieser weiter.

Der Omnibus lässt sich also am besten als dreierlei zugleich lesen: als **Neusetzung der Fristen** für Hochrisikosysteme, als **Runde der Vereinfachung** bei Dokumentation und Registrierung und als **kurze Liste neuer Verbote**. Er ist weder eine Aufhebung noch eine Deregulierung.

## Der neue Zeitplan: Fristen verschoben, nicht gestrichen

Die wichtigste Änderung ist die Fristverlängerung für Hochrisikosysteme. Nach dem ursprünglichen AI Act galten die meisten Pflichten für Hochrisiko-KI-Systeme ab dem **2. August 2026**. Der Omnibus teilt das auf zwei spätere Termine auf:

- **Eigenständige Hochrisikosysteme (Anhang III)** rücken auf den **2. Dezember 2027**. Das sind Systeme, die sich nach der Anwendung richten, etwa KI in der Personalauswahl, bei der Kreditwürdigkeitsprüfung, in der Bildung oder beim Zugang zu wesentlichen Diensten.
- **Hochrisikosysteme, die in regulierte Produkte eingebettet sind (Anhang I)**, rücken auf den **2. August 2028**. Das sind KI-Komponenten in Produkten, die bereits dem EU-Produktsicherheitsrecht unterliegen, etwa Medizinprodukte oder Maschinen.

Zwei verwandte Termine haben sich ebenfalls geändert. Die **maschinenlesbare Kennzeichnung** KI-erzeugter Inhalte nach Art. 50 Abs. 2 KI-VO gilt weiterhin ab dem 2. August 2026, doch Anbieter generativer KI-Systeme, die vor diesem Tag in Verkehr gebracht wurden, erhalten eine viermonatige Übergangsfrist bis zum **2. Dezember 2026**. Und die Mitgliedstaaten müssen bis zum 2. August 2027 mindestens ein **nationales KI-Reallabor** in Betrieb haben.

Ein Detail zählt für die Planung. Der ursprüngliche Vorschlag der Kommission vom November knüpfte den Starttermin für Hochrisikosysteme an die **Verfügbarkeit harmonisierter Normen** und unterstützender Werkzeuge, also an einen bedingten Auslöser mit Rückfalldatum. Der endgültige Text hat diesen bedingten Ansatz fallen gelassen und sich auf **feste Termine** festgelegt. Das nimmt die Unklarheit heraus: Sie können den 2. Dezember 2027 und den 2. August 2028 jetzt als verbindliche Ziele einplanen, nicht als bewegliche.

## Neue Verbote: auch strenger

Es wäre ein Fehler, den Omnibus als reine Entlastung zu lesen. Die Verordnung ergänzt **zwei neue verbotene Praktiken** in Art. 5 KI-VO, dem Artikel, der die in der EU rundweg verbotenen KI-Anwendungen auflistet. Ab dem **2. Dezember 2026** ist der Einsatz von KI-Systemen verboten, die Folgendes erzeugen oder manipulieren:

- **Intime Aufnahmen ohne Einwilligung**, also realistische Bilder, Videos, Audioaufnahmen oder ähnliches Material, die die Intimbereiche einer identifizierbaren Person oder diese Person bei sexuell expliziten Handlungen zeigen, ohne deren ausdrückliche Einwilligung.
- **Material über sexuellen Kindesmissbrauch**, im Einklang mit der bestehenden Definition nach der Richtlinie 2011/93/EU.

Anbieter haften dort, wo das Erzeugen solchen Materials die Zweckbestimmung des Systems ist oder ein vernünftigerweise vorhersehbares und reproduzierbares Ergebnis ohne wesentliche technische Änderung, sofern dem System angemessene und geeignete Sicherheitsvorkehrungen fehlen. Betreiber haften, wenn sie ein System zu dem Zweck einsetzen, solches Material zu erzeugen. Die Erwägungsgründe stellen klar, dass versehentliche Erzeugung nicht erfasst ist. Für die meisten Unternehmen werden diese Verbote den Alltag nicht berühren, doch sie bestätigen die Richtung: **Die EU ist weiterhin bereit, harte Grenzen zu ziehen, nicht nur Fristen zu verschieben**.

„Eine spätere Frist ist eine längere Startbahn, kein gestrichener Flug.“

## Vereinfachung: was leichter wurde

Die andere Hälfte des Omnibus ist echte Vereinfachung. Die Änderungen zielen auf Papierkram und Überschneidungen, nicht auf den Kern der Pflichten.

- **Registrierung gekürzt.** Für Systeme, die der Anbieter nach Art. 6 Abs. 3 als nicht hochriskant eingestuft hat, entfallen zwei Datenpunkte im Registrierungseintrag nach Anhang VIII. Die Registrierung selbst bleibt, die grundlegende Transparenz also erhalten.
- **KI-Kompetenz abgeschwächt.** Der Wortlaut in Art. 4 KI-VO geht von der Pflicht, ein ausreichendes Maß an KI-Kompetenz zu *gewährleisten*, über zu der Pflicht, Maßnahmen zu *ergreifen, die sie bei den Mitarbeitenden fördern*. Die Pflicht bleibt, verlangt aber kein bestimmtes Kompetenzniveau mehr.
- **Erleichterung für KMU und kleine Mid-Caps.** Vereinfachte technische Dokumentation gilt nun auch für KMU und kleine Mid-Caps. Bei Sanktionen ist ihre wirtschaftliche Überlebensfähigkeit zu berücksichtigen, und Bußgelder für kleine Mid-Caps sind wie bisher schon für KMU auf den niedrigeren Betrag begrenzt.
- **Flexiblere Beobachtung nach dem Inverkehrbringen.** Die Kommission erlässt keine verbindliche Vorlage für den Beobachtungsplan mehr. Anbieter können ihren Plan zuschneiden, und die Kommission veröffentlicht bis zum 2. September 2027 Leitlinien mit einer freiwilligen Vorlage.
- **Grundlage zum Erkennen von Verzerrungen erweitert.** Ein neuer Art. 4a verschiebt und erweitert die bestehende Grundlage aus Art. 10 Abs. 5 für die Verarbeitung besonderer Kategorien von Daten, um Verzerrungen zu erkennen und zu korrigieren. Die Schutzvorkehrungen sind streng: nur, wenn andere Daten, auch synthetische oder anonymisierte, nicht ausreichen; Sicherheit und datenschutzfreundliche Maßnahmen nach dem Stand der Technik wie Pseudonymisierung; keine Weitergabe an Dritte; und Löschung, sobald die Verzerrung korrigiert ist.
- **Zentralisierte Aufsicht.** Das KI-Büro der EU erhält die ausschließliche Zuständigkeit für KI-Systeme, die auf einem KI-Modell mit allgemeinem Verwendungszweck beruhen, wenn Modell und System vom selben Anbieter oder demselben Unternehmen stammen, und für KI-Systeme, die eine benannte sehr große Online-Plattform oder Suchmaschine sind oder darin integriert sind. Ausgenommen sind unter anderem Strafverfolgung, Grenzmanagement, Finanzinstitute, kritische Infrastruktur und Rechtspflege.

Nichts davon nimmt Ihnen ab, KI zu regeln. Es senkt den Aufwand, nachzuweisen, dass Sie es tun.

## Was sich nicht ändert

Die risikobasierte Architektur des AI Act bleibt unangetastet. Der Omnibus verschiebt Termine und kürzt Formulare; er zeichnet die Karte nicht neu.

**Die Risikoeinstufung gilt weiterhin.** Das vierstufige Modell aus inakzeptablem, hohem, begrenztem und minimalem Risiko bleibt. Ihre Pflichten hängen weiterhin davon ab, wo jedes System einzuordnen ist, und die Hochrisiko-Kategorien in Anhang III und Anhang I sind inhaltlich unverändert.

**Frühere Pflichten binden Sie bereits.** Die Regeln zu verbotenen Praktiken gelten seit Februar 2025. Die Pflichten für [KI-Modelle mit allgemeinem Verwendungszweck](https://www.dawiso.com/de/glossary/ai-governance) gelten seit August 2025. Der Omnibus nimmt davon nichts zurück.

**Die eigentliche Arbeit bleibt dieselbe.** Ein Hochrisikosystem braucht weiterhin ein Risikomanagementsystem, Data Governance, technische Dokumentation, Protokollierung, menschliche Aufsicht und Nachvollziehbarkeit der zugrunde liegenden Daten. Diese Arbeit dauert Monate. Die neuen Termine ändern, wann Sie fertig sein müssen, nicht, was Sie vorlegen müssen.

**Ihre Systeme einzustufen und ihre Daten zu dokumentieren ist dieselbe Aufgabe wie vor dem Omnibus.** Bewegt hat sich allein der Abgabetermin.

## Was das für Ihre KI-Strategie bedeutet

Für die meisten Unternehmen ist die richtige Antwort, die zusätzliche Zeit als Startbahn zu behandeln und nicht als Erlaubnis zur Pause. Vier Schritte holen am meisten daraus.

**1. Jedes KI-System erfassen und einstufen.** Die richtigen Pflichten lassen sich erst anwenden, wenn Sie wissen, welche Systeme hochriskant sind, welche begrenztes Risiko tragen und welche außerhalb des Anwendungsbereichs liegen. Bauen Sie ein lebendes Verzeichnis, das Zweck, Datenquellen und Risikostufe jedes Systems festhält, einschließlich der Modelle, die in zugekauften Werkzeugen stecken.

**2. Dokumentation als Datenproblem behandeln.** Die Anforderungen des Gesetzes an technische Dokumentation, Protokollierung und Data Governance hängen alle daran, zu wissen, woher Ihre Daten kommen und wie sie fließen. Durchgängige [Data Lineage](https://www.dawiso.com/de/product/interactive-data-lineage) und ein klarer Nachweis der Quellen machen aus einem Endspurt vor der Frist eine dauerhafte Fähigkeit.

**3. KI-Compliance mit der DSGVO abstimmen.** Das Gesetz und die DSGVO überschneiden sich überall dort, wo KI personenbezogene Daten berührt. [Personenbezogene Daten](https://www.dawiso.com/de/glossary/pii-personally-identifiable-information) durch Ihre Systeme zu verfolgen dient beiden Regelwerken, und die neue Bestimmung zum Erkennen von Verzerrungen liegt genau auf dieser Grenze. Machen Sie die Zuordnung einmal und nutzen Sie sie mehrfach.

**4. Den Bezug zum größeren regulatorischen Bild herstellen.** In regulierten Branchen trifft der AI Act auf [DORA](https://www.dawiso.com/de/glossary/dora-digital-operational-resilience-act) und die [NIS2-Richtlinie](https://www.dawiso.com/de/glossary/nis2-directive). Die Nachweisgrundlage, die sie jeweils verlangen, also genaue Aufzeichnungen zu Systemen, Daten und Kontrollen, ist weitgehend dieselbe. Eine einzige geregelte Quelle zahlt sich über alle hinweg aus.

Einen genaueren Blick auf die ursprünglichen Fristen und Pflichten gibt unser früherer Leitfaden zu den [Compliance-Fristen des EU AI Act](https://www.dawiso.com/de/blog-post/eu-ai-act-compliance-deadlines-what-businesses-need-to-know-and-how-to-prepare), und für das größere Bild unser Leitfaden dazu, [KI sicher zu regeln](https://www.dawiso.com/de/blog-post/are-you-governing-ai-safely), über Einstufung, DSGVO, Urheberrecht und interne Richtlinien hinweg.

## Wo Dawiso hineinpasst

Jede Pflicht, die der AI Act beibehält, läuft auf dieselbe Frage hinaus: Können Sie mit Belegen zeigen, was Ihre KI nutzt und woher diese Daten kommen? Das ist ein Problem von Metadaten und Governance, und genau für dieses Problem ist Dawiso gebaut.

Der [Data Catalog](https://www.dawiso.com/de/product/data-catalog) liefert das lebende Verzeichnis der Datenbestände und der Systeme, die sie nutzen. [Interactive Data Lineage](https://www.dawiso.com/de/product/interactive-data-lineage) verfolgt Daten durchgängig, sodass technische Dokumentation und die Analyse von Auswirkungen aufhören, Handarbeit im Archiv zu sein. Die Lösung für [KI-Governance](https://www.dawiso.com/de/solutions/ai-governance) knüpft Klassifizierung, Verantwortlichkeit und Richtlinien an die Bestände selbst statt an eine Tabelle, die veraltet.

Für Teams, die KI produktiv einsetzen, geben der [Context Layer](https://www.dawiso.com/de/context-layer) und die Unterstützung für das [Model Context Protocol (MCP)](https://www.dawiso.com/de/product/mcp) den Agenten den geregelten fachlichen Kontext, den sie brauchen, um über Ihre Daten zu schlussfolgern, mit der Zugriffskontrolle und der Nachvollziehbarkeit, die die Compliance erwartet. Das Ergebnis ist dieselbe Aufzeichnung, die zugleich Ihrer KI-Strategie und Ihrem Nachweis nach dem AI Act dient.

Der Omnibus hat Ihnen Zeit verschafft. Die Unternehmen, die sie nutzen, um ein geregeltes, KI-ready Fundament zu bauen, werden die Termine 2027 und 2028 ohne Feuerwehrübung einhalten, und sie werden am Ende eine bessere Datenplattform vorzuweisen haben.

## FAQ

**Ist der AI Omnibus bereits Gesetz?**

Ja. Parlament und Rat haben ihn am 8. Juli 2026 als Verordnung (EU) 2026/1744 angenommen. Sie wurde am 24. Juli 2026 im Amtsblatt der EU veröffentlicht und ist am 27. Juli 2026 in Kraft getreten. Wo die Verordnung den ursprünglichen Zeitplan des AI Act nicht ändert, gilt dieser weiter.

**Sind die Fristen für Hochrisiko-KI gestrichen?**

Nein. Sie sind verschoben, nicht aufgehoben. Die Pflichten für eigenständige Hochrisikosysteme nach Anhang III rücken vom 2. August 2026 auf den 2. Dezember 2027. Hochrisikosysteme, die nach Anhang I in regulierte Produkte eingebettet sind, rücken auf den 2. August 2028. Der Rahmen der Einstufung und die Pflichten selbst bleiben unangetastet.

**Lockert der Omnibus die Regeln nur?**

Nein. Neben der Fristverlängerung und den Vereinfachungen ergänzt der Omnibus zwei neue verbotene Praktiken in Art. 5 KI-VO: das Erzeugen intimer Aufnahmen ohne Einwilligung und von Material über sexuellen Kindesmissbrauch. Diese Verbote gelten ab dem 2. Dezember 2026. Das Paket mischt Aufschub, Vereinfachung und neue Beschränkungen.

**Was hat sich für KMU und kleinere Unternehmen geändert?**

Der Omnibus weitet vereinfachte technische Dokumentation und eine verhältnismäßige Behandlung von Bußgeldern auf KMU und kleine Mid-Caps aus. Er streicht außerdem zwei Datenpunkte bei der Registrierung nach Anhang VIII für Systeme, die als nicht hochriskant eingestuft sind, und schwächt den Wortlaut zur KI-Kompetenz von einer harten Pflicht, Kompetenz zu gewährleisten, zu einer Pflicht ab, Maßnahmen zu ihrer Förderung zu ergreifen.

**Sollten wir unsere Vorbereitung auf den AI Act verlangsamen?**

Nein. Eine spätere Frist verschafft Startbahn, keine Entlastung. Ihre KI-Systeme einzustufen, Trainingsdaten und Lineage zu dokumentieren und fachlichen Kontext zu erfassen, kostet Monate teamübergreifender Arbeit. Die zusätzliche Zeit ist am besten damit genutzt, diese Arbeit sauber zu erledigen, statt sie aufzuschieben.

### Inhalt

Was der AI Omnibus ist (und was nicht)Der neue Zeitplan: Fristen verschoben, nicht gestrichenNeue Verbote: auch strengerVereinfachung: was leichter wurdeWas sich nicht ändertWas das für Ihre KI-Strategie bedeutetWo Dawiso hineinpasstFAQ

## Mehr zum Thema

Lesen Sie weiter und tauchen Sie tiefer in unsere neuesten Beiträge zu Metadatenmanagement und mehr ein:

### [Fristen und Zeitplan für die Compliance zum EU AI Act](https://www.dawiso.com/de/blog-post/eu-ai-act-compliance-deadlines-what-businesses-need-to-know-and-how-to-prepare)

Der Omnibus hat die Pflichten für Hochrisiko-Systeme auf Dezember 2027 und August 2028 verschoben. Der berichtigte Zeitplan und warum die Verlängerung weniger großzügig ist, als sie klingt.

Weiterlesen

### [10 Fragen zur AI Governance für den Aufsichtsrat](https://www.dawiso.com/de/blog-post/10-essential-ai-governance-questions-for-board-members)

Aufsichtsräte tragen Verantwortung für KI-Risiken, ohne die Verordnung lesen zu müssen. Zehn Fragen an die Geschäftsführung und wie eine gute Antwort klingt.

Weiterlesen

### [Agentic AI und Metadaten-Governance: Warum Ihre KI-Agenten fachlichen Kontext brauchen, um zu liefern](https://www.dawiso.com/de/blog-post/agentic-ai-metadata-governance-enterprise-guide)

KI-Agenten sind nur so klug wie der Kontext, mit dem sie arbeiten. Die fünf Grundlagen der Metadaten, die jedes Unternehmen braucht, bevor es Agentic AI in großem Umfang einsetzt.

Weiterlesen