KI-Regulierung: Digitale Omnibus-Verordnung reformiert EU AI Act

Am 27. Juli 2026 ist die Verordnung (EU) 2026/1744, bekannt als Digitale Omnibus-Verordnung zur KI, in Kraft getreten. Diese Reform des Regelwerks passt den bereits bestehenden EU AI Act (Verordnung (EU) 2024/1689) in wesentlichen Punkten an. Für Unternehmen im DACH-Raum, insbesondere den Mittelstand, bringt dies sowohl Erleichterungen als auch neue, unmittelbare Pflichten mit sich. Es handelt sich um eine entscheidende Entwicklung, die eine Neubewertung bestehender und geplanter KI-Strategien erforderlich macht.

Der EU AI Act war von Beginn an Gegenstand intensiver Diskussionen. Die ursprünglichen Entwürfe sahen weitreichende Anforderungen vor, die für viele kleine und mittlere Unternehmen eine erhebliche Hürde darstellten. Die nun in Kraft getretene Omnibus-Verordnung versucht, einen pragmatischeren Weg zu finden, indem sie einige Bereiche entschärft, während sie gleichzeitig die Transparenz und die zentrale europäische Aufsicht stärkt. Dieses gemischte Signal erfordert von Unternehmen eine präzise Analyse, um die Auswirkungen auf ihre spezifischen Anwendungsfälle zu verstehen und entsprechend zu handeln.

Entlastung bei Hochrisiko-KI: Definition und Fristen angepasst

Eine der signifikantesten Änderungen der Digitalen Omnibus-Verordnung betrifft die Definition und die damit verbundenen Pflichten für Hochrisiko-KI-Systeme. Der Begriff der Hochrisiko-KI wird nun enger gefasst. Systeme, die zuvor als hochriskant eingestuft wurden, fallen jetzt grundsätzlich nicht mehr in diese Kategorie, wenn ihre KI-Komponenten primär zur Unterstützung von Anwendern, zur Effizienzsteigerung, zur Automatisierung einfacher Prozesse oder zur Qualitätskontrolle dienen. Die entscheidende Voraussetzung ist, dass ein Ausfall oder eine Fehlfunktion dieser Systeme keine tatsächlichen Risiken für Gesundheit oder Sicherheit verursachen kann. Dies bedeutet, dass die korrekte, unternehmensspezifische Beurteilung potenzieller Risiken noch relevanter wird. Unternehmen müssen genau prüfen, ob ihre KI-Anwendungen tatsächlich Risiken für grundlegende Rechte oder die Sicherheit darstellen oder lediglich unterstützende Funktionen erfüllen.

Diese Präzisierung ist eine direkte Reaktion auf die Kritik vieler Unternehmen, dass die ursprüngliche Definition zu weit gefasst war und auch Systeme erfasste, deren Risikopotenzial gering ist. Für den Mittelstand im DACH-Raum stellt dies eine spürbare Entlastung dar, da weniger Systeme unter die aufwendigen und kostenintensiven Anforderungen für Hochrisiko-KI fallen dürften. Die Konsequenz ist, dass Ressourcen gezielter auf tatsächlich risikoreiche Anwendungen konzentriert werden können.

Zusätzlich zu dieser Anpassung wurden die Fristen für die Einhaltung der Vorschriften für Hochrisiko-KI deutlich verlängert. Der ursprünglich für August 2026 angesetzte Stichtag verschiebt sich nun mindestens auf den 2. Dezember 2027. Für Produkte, die nach Anhang 1 der Verordnung reguliert sind, gilt sogar eine Frist bis zum 2. August 2028. Diese zeitliche Entlastung ist für den Mittelstand von grossem Wert. Viele KMU im deutschsprachigen Raum stehen KI zwar grundsätzlich positiv gegenüber, äussern jedoch Bedenken hinsichtlich der Datenkontrolle und der Komplexität regulatorischer Anforderungen. Die verlängerten Fristen bieten nun mehr Spielraum, um die komplexen Anforderungen an Risikomanagement, Daten-Governance, Protokollierung, Transparenz und menschliche Aufsicht sorgfältig zu prüfen und umzusetzen. Dies kann dazu beitragen, Ängste abzubauen und eine fundiertere, strategisch besser geplante Implementierung von KI-Systemen zu ermöglichen, statt unter Zeitdruck unzureichende Lösungen zu forcieren.

Unmittelbare Pflichten: Transparenz und Kennzeichnung ab August 2026

Trotz der gelockerten Anforderungen und verlängerten Fristen für Hochrisiko-KI treten bereits ab dem 2. August 2026 wesentliche weitere Vorgaben der europäischen KI-Verordnung in Kraft. Hierbei handelt es sich insbesondere um die Transparenzpflichten nach Artikel 50 der KI-Verordnung. Die Europäische Kommission hat zur Konkretisierung dieser Pflichten am 20. Juli 2026 neue Leitlinien veröffentlicht, welche den Anwendungsbereich und die praktische Umsetzung der Kennzeichnungs- und Informationspflichten detailliert beschreiben. Unternehmen müssen hier umgehend handeln.

Konkret müssen Anbieter von KI-Systemen, die direkt mit Menschen interagieren, wie zum Beispiel Chatbots in Kunden-Service-Centern oder KI-Avatare im Vertrieb, Nutzer rechtzeitig und klar über den Einsatz von KI informieren. Dies soll sicherstellen, dass Anwender stets wissen, ob sie mit einem menschlichen Gegenüber oder einer maschinellen Intelligenz kommunizieren. Diese Massnahme zielt darauf ab, das Vertrauen in digitale Interaktionen zu stärken und Täuschungen vorzubeugen.

Darüber hinaus besteht für Anbieter generativer KI-Systeme, welche Inhalte wie Texte, Bilder, Audio oder Video erzeugen, die Verpflichtung, die Ausgaben ihrer Systeme in einem maschinenlesbaren Format zu markieren. Dies betrifft synthetische Audio-, Bild-, Video- und Textinhalte gleichermassen. Ziel dieser Kennzeichnungspflicht ist es, eine klare Unterscheidung zwischen menschlich erstellten und KI-generierten Inhalten zu ermöglichen. Dies ist entscheidend im Kampf gegen Desinformation und zur Wahrung der Authentizität im digitalen Raum. Für Unternehmen, die generative KI einsetzen, bedeutet dies, dass sie ihre Technologie entsprechend anpassen und sicherstellen müssen, dass die generierten Inhalte die vorgeschriebene Markierung aufweisen. Eine fehlende KI-Dokumentation kann ab dem 2. August 2026 zu einem ernsthaften Bewertungsrisiko werden, insbesondere bei Unternehmensprüfungen, Audits oder M&A-Transaktionen. Unternehmen sind gut beraten, umgehend ihre bestehenden und geplanten KI-Anwendungen einem Compliance-Check zu unterziehen, um relevante Anwendungsfälle und potenzielle Lücken bei der Einhaltung der Transparenzpflichten zu identifizieren und zu schliessen.

KI-Kompetenz und Change Management bleiben zentral

Ein weiterer wichtiger Aspekt der Digitalen Omnibus-Verordnung betrifft die KI-Kompetenz der Beschäftigten. Bislang war unklar, inwiefern Unternehmen ein bestimmtes, zu garantierendes KI-Kompetenzniveau ihrer Mitarbeiter gewährleisten mussten. Die Reform stellt nun klar, dass Anbieter und Betreiber von KI-Systemen lediglich Massnahmen zur Förderung von KI-Kompetenz ergreifen müssen, aber keinen bestimmten Wissensstand einzelner Personen garantieren müssen. Dies ist eine pragmatische Anpassung, die die Realität in Unternehmen besser widerspiegelt. Es unterstreicht jedoch die anhaltende Bedeutung von Schulungen, Sensibilisierungsmaßnahmen und der Entwicklung interner Leitlinien zur verantwortungsvollen KI-Nutzung.

Die Integration von KI-Technologien ist nicht nur eine technische, sondern auch eine zutiefst menschliche und organisatorische Herausforderung. Aktuelle Daten unterstreichen dies: Eine Umfrage von Stepstone vom 28. Juli 2026 zeigt, dass 35% der Beschäftigten im DACH-Raum besorgt sind, durch KI überflüssig zu werden. Diese „Fear of Becoming Obsolete“ (FOBO) ist ein ernstzunehmendes Thema, das Unternehmen proaktiv adressieren müssen. Gleichzeitig spüren 76% der Befragten den Druck, sich kontinuierlich weiterzubilden, und 83% haben sich im vergangenen Jahr aktiv weitergebildet, wobei 35% sich konkret mit KI-Anwendungen auseinandersetzten. Dies verdeutlicht, dass die Bereitschaft zur Weiterbildung vorhanden ist, jedoch gezielte Angebote und eine strategische Begleitung seitens der Arbeitgeber unerlässlich sind.

Unternehmen müssen in Change Management investieren, um Mitarbeiter auf die veränderte Arbeitswelt vorzubereiten und sie zu befähigen, KI-Tools effektiv und sicher einzusetzen. Es geht darum, Mitarbeitern nicht nur technische Kenntnisse zu vermitteln, sondern auch ein Verständnis für die Möglichkeiten und Grenzen von KI, ethische Aspekte und die Bedeutung der menschlichen Kontrolle. Nur so können Produktivitätsgewinne erzielt und die Akzeptanz von KI im Unternehmen gefördert werden. Unternehmen wie beispielsweise