In den frühen Morgenstunden des 7. Mai 2026 haben sich Rat und Parlament im Trilog vorläufig auf den „Digital Omnibus on AI" geeinigt – nachdem eine erste Verhandlungsrunde Ende April geplatzt war. Für den Mittelstand ist das die wichtigste regulatorische Neuigkeit des Jahres. Wir ordnen ein, was sich ändert – und was ausdrücklich nicht.
Das Wichtigste zuerst: Es ist noch nicht final
Die Einigung ist eine politische Einigung, kein fertiges Gesetz. Sie muss noch formell von Parlament und Rat angenommen und im Amtsblatt veröffentlicht werden. Das soll zügig geschehen – angestrebt ist der Abschluss vor dem 2. August 2026, weil sonst die alten Fristen greifen würden. Bis dahin gilt: informiert bleiben, aber auf der sicheren Seite planen.
Die Hochrisiko-Fristen verschieben sich – mit konkreten Daten
Die größte Änderung betrifft die Hochrisiko-KI-Systeme. Statt des ursprünglichen Stichtags 2. August 2026 gelten nun:
- 2. Dezember 2027 für eigenständige Hochrisiko-Systeme (Anhang III) – darunter KI im Personalwesen (Recruiting, Bewertung), Kreditvergabe, kritische Infrastruktur, Bildung und Strafverfolgung.
- 2. August 2028 für Hochrisiko-KI, die in Produkte eingebettet ist (Anhang I) – etwa in Maschinen, Medizinprodukten oder Aufzügen.
Zusätzlich wurden Erleichterungen für KMU und kleine Mid-Cap-Unternehmen (SMCs) festgeschrieben. Mehr Zeit also – aber kein Grund, das Thema zu vertagen (dazu unten mehr).
Was NICHT verschoben wurde: Die KI-Kompetenzpflicht (Art. 4)
Hier kursieren Missverständnisse. Anders als oft dargestellt wurde Artikel 4 (KI-Kompetenz) nicht verschoben. Die Pflicht, dass Mitarbeitende über ausreichende KI-Kompetenz verfügen, bleibt auf ihrem Zeitplan und ist ab dem 2. August 2026 durchsetzbar.
Wichtig bleibt unsere Einordnung: Art. 4 verlangt nachweisbare KI-Kompetenz – eine ausdrückliche, zertifizierte „Pflichtschulung" schreibt das Gesetz nicht vor. Eine dokumentierte Schulung ist aber der sicherste Nachweis. Und unabhängig vom Gesetz ist sie betriebswirtschaftlich sinnvoll: Sie steigert die Produktivität und verhindert unkontrollierte „Schatten-KI".
Neu hinzugekommen: Kennzeichnung und neue Verbote
Der Omnibus ist keine reine Entlastung – an einigen Stellen wird sogar nachgeschärft:
- Kennzeichnungspflicht für KI-Inhalte (Art. 50): Anbieter generativer KI müssen KI-erzeugte Inhalte technisch erkennbar machen (Watermarking/Provenance) – mit Stichtag 2. Dezember 2026, also kurzfristiger als zunächst geplant.
- Neues Verbot (Art. 5): KI-Systeme zur Erzeugung nicht-einvernehmlicher intimer Inhalte und von Missbrauchsdarstellungen werden ausdrücklich verboten.
Und die DSGVO? Vorsicht vor verfrühter Euphorie
Im Umfeld des Omnibus werden auch DSGVO-Erleichterungen diskutiert – etwa ein „berechtigtes Interesse" für KI-Training oder Erleichterungen für pseudonymisierte Daten. Diese sind jedoch umstritten und keineswegs gesichert: Die europäischen Datenschutzbehörden (EDPB/EDPS) haben zentrale Vorschläge abgelehnt, und der Rat erwägt, das berechtigte Interesse für KI-Training wieder zu streichen.
Unsere Empfehlung: Die DSGVO bleibt voll in Kraft. Kein Datentransfer in Drittländer (USA), deutsche bzw. lokale Infrastruktur – das bleibt der richtige Weg. Bauen Sie Ihre Architektur nicht auf Erleichterungen, die es vielleicht nie gibt.
Was KMU jetzt tun sollten
„Mehr Zeit" heißt nicht „abwarten". Wer KI-Projekte aus Angst vor Strafen stoppt, verliert wertvolle Innovationszeit – und ist im Wettbewerb der „Biggest Loser". Sinnvoll ist es, jetzt sauber aufzusetzen, damit Systeme 2027/2028 „by design" konform sind:
- KI-Inventar erstellen und Systeme nach Risiko klassifizieren.
- KI-Kompetenz sicherstellen (Art. 4, durchsetzbar ab August 2026).
- Kennzeichnung von KI-Inhalten vorbereiten (ab Dezember 2026).
- Schatten-KI kanalisieren – ein kontrolliertes, geschütztes KI-Setup statt Verbote.
- Für Hochrisiko-KI frühzeitig die Anforderungen kennen und auf 2027/2028 hinarbeiten.
ScaleWise begleitet KMU in Bayern beim EU AI Act-konformen KI-Einsatz – von der KI-Kompetenzschulung nach Art. 4 bis zur Governance-Strategie. BAFA-gefördert, persönlich vor Ort in Niederbayern und Mittelfranken.