Was ist der EU AI Omnibus (Digital Omnibus)?

Der Digital Omnibus ist ein Paket von Vereinfachungsmaßnahmen, das die Europäische Kommission am 19. November 2025 vorgelegt hat, um das digitale Regelwerk der EU zu straffen, das siebte Omnibus-Paket der Kommission im Jahr 2025. Es besteht aus zwei Vorschlägen der Kommission: dem „Digital Omnibus zur KI“ (oft „AI Omnibus“ genannt), der den AI Act ändert, und einem breiteren „Digital Omnibus“ zu DSGVO, ePrivacy-Regeln, Data Act und der Meldung von Vorfällen. Ein „Omnibus“ ändert mehrere bestehende Gesetze auf einmal. Dieser zielt auf das Zusammenspiel von EU AI Act, DSGVO, Data Act, ePrivacy-Regeln und den Meldepflichten bei Sicherheitsvorfällen, mit dem erklärten Ziel, den Verwaltungsaufwand zu senken, besonders für KMU, und die Compliance über einander überlappende Gesetze hinweg stimmiger zu machen. Sein Hauptzweck ist, bestehende Regeln zu vereinfachen und anzugleichen, auch wenn die endgültigen Änderungen am AI Act zusätzlich neue Verbote für KI-erzeugte intime Bilder und Darstellungen sexuellen Kindesmissbrauchs eingeführt haben.

Der Digital Omnibus zählt, weil er eine Verschiebung in der Haltung der EU anzeigt, weg von rascher digitaler Rechtsetzung hin zur Konsolidierung, und weil er nicht mehr hypothetisch ist. Das Paket wurde als zwei getrennte Vorschläge eingebracht, die sehr unterschiedlich schnell vorangekommen sind. Der Teil zur KI (der „AI Omnibus“) kam schnell voran: Am 7. Mai 2026 erzielten das Europäische Parlament und der Rat eine vorläufige politische Einigung über eine Änderung des AI Act, die zentrale Fristen für hohes Risiko verschiebt und einzelne Pflichten erleichtert. Er ist jetzt Gesetz: Die Verordnung (EU) 2026/1744 wurde am 8. Juli 2026 angenommen und ist am 27. Juli 2026 in Kraft getreten, vor der ursprünglichen Frist des 2. August 2026. Der breitere Teil, also die vorgeschlagenen Änderungen an DSGVO, ePrivacy und Data Act, ist noch ein Vorschlag in erster Lesung und der umstrittenste; Datenschutz- und Bürgerrechtsorganisationen warnen, er könne mühsam errungene Schutzrechte schwächen. Die richtige Lesart im Oktober 2026 lautet also: Die Änderungen am Zeitplan für KI sind geltendes Recht, die Änderungen am Datenschutz sind noch offen.

Digital Omnibus im Überblick

In der Rechtsetzungspraxis der EU ist ein „Omnibus“ ein einzelner Rechtsakt, der mehrere bestehende Gesetze gemeinsam ändert, genutzt dann, wenn Änderungen quer über mehrere Verordnungen laufen, die miteinander zusammenhängen. Der Digital Omnibus ist das digitalpolitische Gegenstück zu früheren Vereinfachungspaketen aus dem Jahr 2025 (etwa dem Omnibus zur Nachhaltigkeit) und Teil eines breiteren Vorstoßes der Kommission, Berichtsaufwand zu senken und die Wettbewerbsfähigkeit der EU zu verbessern.

Seine bestimmenden Merkmale:

• Vereinfachung zuerst: Sein Hauptzweck ist, bestehende Regeln zu vereinfachen und anzugleichen, auch wenn die endgültigen Änderungen am AI Act zusätzlich neue Verbote für KI-erzeugte intime Bilder und Darstellungen sexuellen Kindesmissbrauchs eingeführt haben.
• Übergreifend: Er berührt AI Act, DSGVO, Data Act, ePrivacy und die Meldung von Cybervorfällen in einem Paket, gerade weil sich deren Anforderungen überlappen.
• Teilweise angenommen: Der KI-Teil ist jetzt die Verordnung (EU) 2026/1744; der Datenteil (COM(2025) 837) durchläuft noch das ordentliche Gesetzgebungsverfahren.
• Umstritten: Der Europäische Datenschutzausschuss (EDSA) und der Europäische Datenschutzbeauftragte (EDSB) haben förmlich Einwände gegen Teile davon erhoben, vor allem gegen die engere Definition personenbezogener Daten, und Datenschutzorganisationen warnen, er könne Schutzvorkehrungen schwächen.

Was er vorschlägt

Das Paket bündelt Maßnahmen, die Reibung im digitalen Regelwerk verringern sollen. Die KI-Seite ist nach der Einigung vom 7. Mai 2026 und ihrer förmlichen Annahme jetzt Gesetz, die Seite des Datenschutzes ist noch in erster Lesung. Die Hauptstoßrichtungen:

Änderungen am AI Act

Der folgenreichste Teil des Omnibus ist sein Umgang mit dem AI Act, wo die vorläufige Einigung vom 7. Mai 2026 aus Vorschlägen endgültige Bedingungen gemacht hat, inzwischen erlassen als Verordnung (EU) 2026/1744. Er antwortet auf eine wiederkehrende Beschwerde: Pflichten für hohes Risiko sollten gelten, bevor es die harmonisierten technischen Normen gab, die zu ihrer Erfüllung nötig sind. Zu den angenommenen Änderungen gehören:

• Verschobene Fristen bei hohem Risiko. Pflichten für eigenständige Systeme mit hohem Risiko (Anhang III) rücken vom 2. August 2026 auf den 2. Dezember 2027, und für KI mit hohem Risiko, die in regulierte Produkte eingebettet ist (Anhang I), vom 2. August 2027 auf den 2. August 2028, als feste neue Termine, begründet mit der verzögerten Verfügbarkeit harmonisierter Normen und Leitlinien (die Kommission hatte vorgeschlagen, sie an die Verfügbarkeit der Normen zu knüpfen).
• Gelockerter Zeitpunkt bei der Transparenz. Die Transparenzpflichten aus Art. 50 KI-VO gelten weitgehend ab dem 2. August 2026, doch die Kennzeichnungspflicht für KI-erzeugte Inhalte (Art. 50 Abs. 2 KI-VO) erhält eine Schonfrist, bis zum 2. Dezember 2026 für generative KI-Systeme, die vor dem 2. August 2026 in Verkehr gebracht wurden.
• Neue Verbote. Art. 5 KI-VO erhält Verbote für KI-Systeme, die nicht einvernehmlich erstellte intime Bilder oder Darstellungen sexuellen Kindesmissbrauchs erzeugen, anwendbar ab dem 2. Dezember 2026.
• Geringerer Aufwand für kleinere Akteure. Erleichterungen, die bisher KMU vorbehalten waren, werden auf kleine Unternehmen mittlerer Kapitalisierung ausgeweitet.
• Zentralisierte Aufsicht. Das KI-Büro wird zuständig für die Aufsicht über KI-Systeme, die auf einem eigenen KI-Modell mit allgemeinem Verwendungszweck des Anbieters aufbauen, und bündelt damit eine Aufsicht, die sonst auf nationale Behörden verteilt wäre, mit Ausnahmen, bei denen die nationalen Behörden zuständig bleiben, darunter Strafverfolgung, Grenzmanagement, Justiz und Finanzinstitute.

Diese Änderungen sind jetzt Gesetz: Die Verordnung (EU) 2026/1744 wurde am 8. Juli 2026 angenommen und ist am 27. Juli 2026 in Kraft getreten, vor der ursprünglichen Frist des 2. August 2026. Das strategische Signal ist klar: Die Pflichten verschwinden nicht, ihr Zeitpunkt wurde darauf eingestellt, wann die Compliance tatsächlich machbar ist.

DSGVO und Meldepflichten

Über den AI Act hinaus greift der ursprüngliche Vorschlag vom November 2025 in Datenschutz und Meldepflichten ein, doch dieser Teil reist als getrennter Vorschlag, COM(2025) 837, und bleibt der umstrittenste. Stand Oktober 2026 ist der Vorschlag zu DSGVO, ePrivacy und Data Act (COM(2025) 837) noch in erster Lesung: Im Oktober 2026 hatte das Parlament noch keinen Standpunkt, das Verhandlungsmandat des Rates stand noch aus, und die Trilogverhandlungen hatten nicht begonnen. Seine wichtigsten Maßnahmen:

• Vereinfachung der DSGVO. Maßnahmen, die einzelne Anforderungen erleichtern sollen, etwa die Definition personenbezogener Daten klarstellen (mit einer Kodifizierung der Rechtsprechung zu pseudonymisierten Daten); die Verarbeitung für Entwicklung und Betrieb von KI-Systemen und -Modellen auf Grundlage des berechtigten Interesses erlauben, mit einem Widerspruchsrecht; eine einheitliche EU-weite Liste, wann eine Datenschutz-Folgenabschätzung (DSFA) nötig ist; Meldung von Datenschutzverletzungen an die Behörde nur bei hohem Risiko, mit einer Frist von 96 Stunden; und weniger Abfragen zur Cookie-Einwilligung. Das sind die umstrittensten Bestandteile, und Kritiker warnen davor, den Kern des Datenschutzes auszuhöhlen.
• Gebündelte Meldung von Vorfällen. Heute muss eine Organisation einen einzelnen Vorfall womöglich nach NIS2, DORA, DSGVO und der Richtlinie über die Resilienz kritischer Einrichtungen (CER) melden, jeweils mit eigenem Formular und eigener Frist. Der Vorschlag würde diese Meldungen über eine einzige, von der ENISA betriebene zentrale Meldestelle leiten („einmal melden, vielfach teilen“), aufbauend auf der Meldeplattform, die bereits unter dem Cyber Resilience Act geschaffen wurde. Wie die Änderungen an der DSGVO gehört das zum nicht angenommenen COM(2025) 837.

Weil dieser Strang unentschieden ist, sollten Organisationen davon ausgehen, dass die heutigen Pflichten aus der DSGVO vollständig in Kraft bleiben. Sollten die Änderungen am Ende beschlossen werden, würden sie weniger die Messlatte für den Schutz personenbezogener Daten senken als die Zahl der Male und der Formen, in denen eine Organisation diesen Schutz nachweisen muss.

Was das für Datenteams bedeutet

Es wäre ein Fehler, „Vereinfachung“ als „weniger Governance“ zu lesen. Wie der endgültige Text auch ausfällt, drei Dinge gelten:

• Die Substanz bleibt. Papierkram zu vereinfachen nimmt die zugrunde liegenden Pflichten nicht weg, nämlich Ihre Daten zu kennen, Ihre KI zu dokumentieren, personenbezogene Informationen zu schützen und Vorfälle zu melden. Es ändert, wie oft und in welcher Form Sie das belegen.
• Stimmigkeit belohnt eine einheitliche Datenbasis. Die ganze Prämisse des Omnibus, also ein Vorfall, eine Meldung, und über die Gesetze hinweg angeglichene Pflichten, ist weit leichter zu erfüllen, wenn eine Organisation ein gesteuertes Verzeichnis ihrer Daten und KI-Systeme hat statt getrennter Tabellen je Verordnung.
• Unsicherheit erhöht den Wert von Bereitschaft. Während sich Zeitpläne verschieben, stehen die Organisationen am besten da, deren Data Governance bereits in Ordnung ist: Sie können unter der ursprünglichen wie unter der vereinfachten Regelung erfüllen, ohne zu hetzen.

Das ist der durchgehende Faden über den AI Act, DORA, NIS2 und die DSGVO hinweg: Der Papierkram unterscheidet sich, das Fundament ist dasselbe, nämlich ein gesteuerter Katalog, klare Verantwortung und nachvollziehbare Data Lineage. Der Ansatz von Dawiso für KI-Governance hält dieses Fundament einmal vor, sodass die Nachweise schon da sind, wie der Omnibus am Ende auch ausgeht.

Fazit

Der Digital Omnibus ist die EU, die nachjustiert und sich nicht zurückzieht: ein Versuch, ein dichtes digitales Regelwerk handhabbar zu machen, ohne seine Ziele aufzugeben. Für Organisationen wäre die schlechteste Antwort, den Staub sich setzen zu lassen und nichts zu tun, denn die zugrunde liegenden Pflichten bleiben, und die eigene Logik des Pakets begünstigt jene, die ihre Daten an einer stimmigen Stelle steuern. Vereinfachung ist ein Grund zu konsolidieren, kein Grund nachzulassen. Eine strategische Einordnung dessen, was sich tatsächlich geändert hat und was Sie in Ihrer KI-Strategie anpassen sollten, steht in unserer ausführlichen Betrachtung: Der AI Omnibus: was sich im EU AI Act geändert hat.

Quellen

• European Commission, Press release IP/25/2718 on the digital package (19. November 2025; die zwei Vorschläge).
• European Commission, Digital package - Questions and answers (Umfang der Vorschläge zu KI und Daten).
• Publications Office of the EU (EUR-Lex), Regulation (EU) 2026/1744 (Digital Omnibus on AI) (angenommene Änderungen am AI Act, neue Termine und Verbote, Inkrafttreten).
• Council of the EU, Artificial Intelligence: Council gives final green light to simplify and streamline rules (Pressemitteilung vom 29. Juni 2026; endgültige Zustimmung).
• European Commission, COM(2025) 837, proposal for a Digital Omnibus (Änderungen an DSGVO, ePrivacy, Data Act und Meldung von Vorfällen).
• European Parliament Legislative Observatory, Procedure file 2025/0360(COD) (Stand des Datenvorschlags).
• EDPB and EDPS, Joint Opinion 2/2026 on the Digital Omnibus (Einwände, darunter gegen die engere Definition personenbezogener Daten).