Der „Digital Omnibus“ zur KI: Was die Einigung vom 7. Mai 2026 tatsächlich verändert – und was nicht

Eine genaue Analyse der vorläufigen politischen Einigung im direkten Vergleich mit dem in Kraft getretenen KI-Gesetz und deren Bedeutung für Organisationen, die verantwortungsvolle KI als mehr als nur eine reine Compliance-Maßnahme betrachten.

Die 90-Sekunden-Version

In den frühen Morgenstunden des Donnerstags, dem 7. Mai 2026, erzielten das Europäische Parlament und der Rat der EU nach rund neunstündigen Verhandlungen im Rahmen des dritten politischen Trilogs eine vorläufige politische Einigung über das „Digital Omnibus“-Paket zur künstlichen Intelligenz – das gezielte Reformpaket der Kommission (KOM(2025) 836) zur Verordnung (EU) 2024/1689. Die Einigung kam knapp drei Monate vor dem ursprünglich für den 2. August 2026 vorgesehenen Stichtag für Verpflichtungen mit hohem Risiko zustande und wird, je nach Geschwindigkeit der Verabschiedung, diesen Stichtag durch neue feste Termine Ende 2027 und Mitte 2028 ersetzen.

Für Organisationen, die sich auf das KI-Gesetz vorbereiten, sind in operativer Hinsicht drei Dinge von Bedeutung:

1. Verpflichtungen mit hohem Risiko werden aufgeschoben, jedoch auf festgelegte Termine – nicht auf das ursprünglich von der Kommission vorgeschlagene Modell mit unbestimmter Frist, wonach die Umsetzung erst dann erfolgen soll, „wenn die Standards vorliegen“. Anhang III (eigenständige Systeme mit hohem Risiko: Biometrie, Beschäftigung, Bildung, kritische Infrastruktur, Strafverfolgung, Migration, Justiz) gilt nun ab dem 2. Dezember 2027. Anhang I (KI als Sicherheitskomponente in regulierten Produkten: Maschinen, Medizinprodukte, Spielzeug, Aufzüge usw.) gilt ab dem 2. August 2028.
2. In Artikel 5 wird ein neues Verbot eingeführt: KI-Systeme, die Material über sexuellen Kindesmissbrauch (CSAM) oder nicht einvernehmliche intime Darstellungen – die Kategorie „Nudifier“ – generieren, werden in die Liste der verbotenen Praktiken aufgenommen; die Umsetzung muss bis zum 2. Dezember 2026 erfolgen.
3. Das Datum für die Wasserzeichen gemäß Artikel 50 Absatz 2 bleibt der 2. August 2026, doch aufgrund einer knappen Übergangsfrist von drei Monaten verschiebt sich der praktische Stichtag für die Einhaltung der Vorschriften für bereits auf dem Markt befindliche Systeme auf den 2. Dezember 2026.

Die Vereinbarung muss noch formell gebilligt, rechtlich-sprachlich überarbeitet, übersetzt und im Amtsblatt veröffentlicht werden. Die Institutionen haben signalisiert, dass die Verabschiedung im Juni und die Veröffentlichung gegen Ende Juli erfolgen sollen – noch bevor die ursprüngliche Frist vom 2. August 2026 in Kraft tritt. Bis dahin bleibt das ursprüngliche KI-Gesetz in Kraft. Als Planungsgrundlage gelten jedoch bereits jetzt die neuen Termine.

Wie es dazu kam

Die Reform kam nicht aus heiterem Himmel. Die Kommission legte am 19. November 2025 den „Digital Omnibus“ zum Thema KI als Teil des siebten „Omnibus“-Vereinfachungspakets der EU vor, wobei sie auf der Wettbewerbsagenda von Draghi aufbaute und die Rückmeldungen der Industrie zur Umsetzungsreife berücksichtigte. Der politische Weg war ungewöhnlich kurz:

• Stellungnahme des Rates: 13. März 2026
• Gemeinsamer Bericht der Ausschüsse IMCO und LIBE: 18. März 2026
• Abstimmung im Plenum des Parlaments: 26. März 2026 (569 Ja-Stimmen, 45 Nein-Stimmen, 23 Enthaltungen)
• Erster Trilog: unmittelbar nach der Plenarsitzung
• Zweite Trilog-Runde: 28. April 2026 – nach zwölf Stunden abgebrochen, wobei die Konformitätsbewertungsarchitektur für Produkte des Anhangs I als ungelöster Punkt verblieb
• Dritter Trilog: 6. bis 7. Mai 2026 – Einigung um ca. 4:30 Uhr MESZ

Die Ko-Berichterstatter sind Arba Kokalari (EVP, Schweden) für den IMCO-Ausschuss und Michael McNamara (Renew, Irland) für den LIBE-Ausschuss. Die zyprische Ratspräsidentschaft hat die Vereinbarung als erstes Ergebnis im Rahmen des Fahrplans „Ein Europa, ein Markt“ bezeichnet.

An dieser Stelle lohnt es sich, einen Moment innezuhalten. Die Verhandlungen, die neun Tage zuvor beinahe gescheitert wären, konnten letztlich zum Abschluss gebracht werden, weil Frankreich und Italien sich in Bezug auf Anhang I der Position Deutschlands annäherten und weil der linke Flügel des Parlaments beschloss, sein politisches Kapital eher für das neue Verbot gemäß Artikel 5 einzusetzen als sich gegen die allgemeine Vereinfachung zu wehren. Der Text, der uns nun vorliegt, ist ein politischer Kompromiss – und kein strukturelles Umdenken hinsichtlich des Gesetzes.

Was sich geändert hat: ein direkter Vergleich

Der Omnibus-Gesetzentwurf schreibt das KI-Gesetz nicht neu. Er behält die risikobasierte Architektur, den Kernbereich der verbotenen Praktiken, die Anforderungen für Systeme mit hohem Risiko (Artikel 9–15), die GPAI-Regelung (Artikel 50–55), die Ausrichtung auf die Grundrechte sowie das KI-Amt bei. Was sich ändert, sind: Fristen, der Anwendungsbereich in Randbereichen, ein neues Verbot, die Rechtsgrundlage für die Erkennung von Verzerrungen, der Umfang für KMU und die Aufsichtsübersicht für GPAI-basierte Systeme.

Die folgende Tabelle stellt den verabschiedeten KI-Gesetzestext dem am 7. Mai vereinbarten politischen Text gegenüber.

Einige dieser Zeilen verdienen eine genauere Betrachtung:

Feste Termine, kein bedingter Zeitplan

Der ursprüngliche Vorschlag der Kommission knüpfte die Anwendung der Verpflichtungen für risikoreiche Geschäfte an einen Beschluss der Kommission, mit dem bestätigt werden sollte, dass Standards und Hilfsinstrumente vorhanden sind, wobei als Stichtage der 2. Dezember 2027 und der 2. August 2028 galten, falls kein Beschluss gefasst würde. Beide Mitgesetzgeber haben diese Flexibilität gestrichen. Die neuen Termine sind festgesetzt, wodurch der Ermessensspielraum der Kommission, die Anwendung vorzuziehen (oder über den Stichtag hinaus zu verschieben), entfällt. Für die Compliance-Planung ist dies von großem Nutzen: Organisationen haben nun einen festen Termin, an dem sie ihre Planung ausrichten können, und kein bewegliches Ziel mehr.

Der Kompromiss zu Anhang I fiel weniger weitreichend aus, als es das Parlament gewünscht hatte

Der Standpunkt des Parlaments vor dem Trilog hätte dazu geführt, dass alle Produkte des Abschnitts A (Maschinen, Medizinprodukte, IVDR-Produkte, Aufzüge, Funkgeräte) aus dem kombinierten System aus KI-Gesetz und sektorspezifischer Konformitätsbewertung herausgenommen worden wären. Letztendlich wurden nur Maschinen herausgenommen. Hersteller von KI-fähigen Medizinprodukten, IVDR-Produkten, Aufzügen und Funkgeräten verbleiben im kombinierten System, obwohl die neue Äquivalenzklausel und das eingeengte Konzept der „Sicherheitskomponente“ den regulatorischen Aufwand an den Rändern verringern werden.

Das Verbot von Nacktaufnahmen ist weitreichender, als es den Anschein hat

Das neue Verbot gemäß Artikel 5 betrifft nicht nur Apps, die zu diesem Zweck vermarktet werden. Es gilt auch für Anbieter von generativen KI-Systemen für allgemeine Zwecke, die solche Systeme ohne angemessene Sicherheitsmaßnahmen auf den EU-Markt bringen, um deren Nutzung zur Erzeugung nicht einvernehmlicher intimer Darstellungen oder von CSAM zu verhindern. Für Anbieter großer generativer Modelle bedeutet dies konkrete Verpflichtungen: eine Architektur für Vertrauen und Sicherheit, Leitplanken für die Moderation von Inhalten sowie Red-Team-Tests für diese spezifischen Gefahren. Einhaltung bis zum 2. Dezember 2026.

Erkennung von Verzerrungen: die folgenreichste Änderung im RAI

Dies ist die für ein Programm für verantwortungsvolle KI relevanteste Änderung. Der bisherige Artikel 10 Absatz 5 erlaubte Anbietern von KI-Systemen mit hohem Risiko die Verarbeitung personenbezogener Daten besonderer Kategorien – Rasse, ethnische Herkunft, Gesundheitsdaten, biometrische Daten, sexuelle Orientierung, politische Meinungen – ausschließlich zum Zwecke der Erkennung und Korrektur von Verzerrungen in Systemen mit hohem Risiko. Der Omnibus-Erlass erweitert diese Rechtsgrundlage auf alle Anbieter und Betreiber von KI-Systemen und -Modellen, unabhängig von der Risikoklassifizierung, vorbehaltlich einer Prüfung der strengen Notwendigkeit.
Technisch gesehen handelt es sich hierbei um eine Vereinfachung, doch sie hat erhebliche Konsequenzen für die verantwortungsvolle KI. Sie beseitigt eine seit langem bestehende Spannung zwischen den Pflichten zur Verringerung von Verzerrungen gemäß Artikel 10 und dem Verbot der Verarbeitung besonderer Kategorien von Daten gemäß Artikel 9 der DSGVO. Er ermöglicht es Organisationen, die Systeme ohne hohes Risiko betreiben – was auf die meisten Systeme zutrifft –, demografische Verzerrungen tatsächlich zu messen und zu korrigieren, ohne auf Ersatzvariablen zurückgreifen zu müssen. Für jede Organisation, die bisher Fairness-Bewertungen auf einer unsicheren Rechtsgrundlage durchgeführt hat, bietet dies eine deutlich klarere Grundlage. Der Standard der strengen Notwendigkeit ist die Einschränkung, die verhindert, dass dies zu einer Hintertür wird.

Was sich nicht geändert hat und warum dies von Bedeutung ist

Es ist verlockend, das Wort „Verzögerung“ zu lesen und daraus zu schließen, dass das KI-Gesetz abgeschwächt wurde. Das ist jedoch nicht der Fall. Die politische Einigung sieht Folgendes vor:

• Die risikobasierte Architektur im Einzelnen.
• Verbote gemäß Artikel 5 als strukturelle Grundlage (nun erweitert, nicht eingeschränkt).
• Artikel 9–15 – die materiell-rechtlichen Anforderungen für Bereiche mit hohem Risiko: Risikomanagement, Datenverwaltung, technische Dokumentation, Aufbewahrung von Aufzeichnungen, Transparenz, menschliche Aufsicht, Genauigkeit, Robustheit, Cybersicherheit. Keine dieser Anforderungen wurde abgeschwächt.
• Die GPAI-Regelung (Artikel 50–55), die nie umstritten war.
• Die Verpflichtungen zur KI-Kompetenz gemäß Artikel 4, die seit Februar 2025 gelten und von den Mitgesetzgebern ausdrücklich beibehalten wurden. Die Registrierung von selbstbewerteten Systemen ohne hohes Risiko gemäß Artikel 6 Absatz 4, die sowohl das Parlament als auch der Rat entgegen dem Streichungsvorschlag der Kommission wieder aufgenommen haben, womit den Bedenken des EDPB und des EDPS hinsichtlich der Transparenz der Rechtsvorschriften Rechnung getragen wurde.

Der Omnibus-Gesetzentwurf ist, wie ein Beobachter es formulierte, eher eine Umverteilung als eine Reduzierung der Komplexität. Die größte Erleichterung betrifft den Zeitplan. Der Inhalt des Gesetzes, einschließlich der für ein Programm für verantwortungsvolle KI wichtigsten Aspekte – Fairness, Transparenz, menschliche Aufsicht, Dokumentation – bleibt unverändert.

Wann gilt dies konkret?

An dieser Stelle kommt der Unterscheidung zwischen lex lata und de lege ferenda Bedeutung zu. Bis das Omnibus-Gesetz von beiden Mitgesetzgebern formell verabschiedet und im Amtsblatt veröffentlicht ist, bleibt das KI-Gesetz in seiner ursprünglichen Fassung in Kraft. Zum heutigen Zeitpunkt, dem 2. August 2026, gilt der Anwendungszeitpunkt für die in Anhang III aufgeführten Verpflichtungen mit hohem Risiko rechtlich weiterhin.

Die erwartete Reihenfolge lautet:

1. Juni 2026 – formelle Verabschiedung durch den Rat und das Parlament.
2. Juni–Juli 2026 – juristisch-sprachliche Überarbeitung und Übersetzung in alle 24 Amtssprachen.
3. Ende Juli 2026 – Veröffentlichung im Amtsblatt der Europäischen Union.
4. Drei Tage nach der Veröffentlichung – Inkrafttreten.
5. 2. August 2026 – das ursprüngliche Datum gemäß Anhang III, das andernfalls zur Anwendung gekommen wäre. Die Organe haben sich verpflichtet, die Verabschiedung vor diesem Datum vorzunehmen.

Für die operative Planung sind nun fünf Termine maßgeblich:

Es gibt ein Tail-Risiko, das es zu erwähnen gilt. Sollte sich die formelle Verabschiedung aus irgendeinem Grund – institutionelle Verzögerungen, Übersetzungsprobleme, eine unerwartete rechtliche Anfechtung – über den 2. August 2026 hinaus verzögern, bleiben die ursprünglichen Termine des AI-Gesetzes in der Zwischenzeit rechtlich bindend. Es ist fachlich ratsam, die neuen Termine als Ausgangsbasis für Ihre Planung zu nehmen und gleichzeitig die ursprünglichen Verpflichtungen zum 2. August 2026 in Ihrem Vorbereitungsprogramm so zu gestalten, dass sie bis zur Veröffentlichung im Amtsblatt nachholbar bleiben.

Was dies für Programme zur verantwortungsvollen KI bedeutet

Drei strategische Überlegungen für Unternehmen – insbesondere mittelständische Betriebe –, die sich auf die Umsetzung des KI-Gesetzes vorbereitet haben.

Erstens ist die Verzögerung zwar real, aber geringfügig, und es handelt sich mit ziemlicher Sicherheit um die einzige. Das politische Argument für eine Verschiebung wurde nun ausgeschöpft. Die zyprische Ratspräsidentschaft hat die Einigung als ein Vorzeigeprojekt dargestellt. Eine zweite Verschiebung würde die Hebelwirkung des „Brüssel-Effekts“ untergraben, die dem KI-Gesetz überhaupt erst seine globale Bedeutung verleiht. Gehen Sie davon aus, dass die neuen Termine verbindlich sind.

Zweitens handelt es sich bei der Verzögerung um eine Änderung des Zeitplans, nicht um eine Änderung der Grundsätze. Die Ausrichtung auf die Grundrechte, die Transparenzanforderungen, die Verpflichtung zur menschlichen Aufsicht und die Pflichten im Bereich der Datenverwaltung – all dies bleibt unverändert, es wurde lediglich aufgeschoben. Für Organisationen, die „Responsible AI“ bisher als Wettbewerbsvorteil und nicht als termingebundenes Compliance-Hektik betrachtet haben, ändert sich strategisch gesehen kaum etwas. Die Argumente für Fairness-Audits, dokumentierte Modellkarten, die Rückverfolgbarkeit der Datenherkunft und Überwachungsprozesse sind dieselben wie am 6. Mai. Die Rechtsgrundlage für die Erkennung von Verzerrungen ist nun einfacher, nicht schwieriger.

Drittens ist der SMC-Rahmen für deutsche und europäische Mittelstandsunternehmen von entscheidender Bedeutung. Viele Mittelstandsunternehmen befinden sich genau in der Lücke zwischen KMU und Großunternehmen – sie haben die Schwelle von 250 Beschäftigten überschritten, liegen aber deutlich unter 750 Beschäftigten. Bis zum Inkrafttreten des Omnibusgesetzes wurden sie im Rahmen des KI-Gesetzes überhaupt nicht angemessen behandelt. Die neue SMC-Kategorie macht vereinfachte Dokumentation, ein angemessenes QMS und eine Strafmilderung genau für jene Unternehmen möglich, die am stärksten von den Kosten für die Vorbereitung auf das KI-Gesetz betroffen waren.

Was ich aus operativer Sicht empfehlen würde:

1. Passen Sie den Compliance-Kalender an die neuen Termine an, lassen Sie jedoch die ursprünglichen Termine in Ihrer Programmverwaltung sichtbar, bis die Veröffentlichung im Amtsblatt bestätigt ist.
2. Betrachten Sie die Frist für die Wasserzeichen-Einführung als die unmittelbar bevorstehende Verpflichtung, wenn Sie generative Inhalte bereitstellen – sei es UI-Beschriftung, die Einbettung maschinenlesbarer Metadaten oder Erkennungsfunktionen. Sieben Monate Entwicklungsarbeit, keine reine Verwaltungsaufgabe.
3. Anbieter generativer Inhalte sollten bis Dezember 2026 eine Überprüfung ihrer Vertrauens- und Sicherheitsmaßnahmen hinsichtlich CSAM und NCII in ihre Roadmap aufnehmen. Das neue Verbot gemäß Artikel 5 gilt für Anbieter, die keine angemessenen Sicherheitsmaßnahmen umsetzen, und nicht nur für diejenigen, die Nudifier-Apps vermarkten.
4. Nutzen Sie die erweiterte Rechtsgrundlage für die Erkennung von Voreingenommenheit. Falls Sie Fairness-Bewertungen bisher aufgrund von Schwierigkeiten im Zusammenhang mit Artikel 9 der DSGVO aufgeschoben haben, sind diese Schwierigkeiten im Hinblick auf Daten besonderer Kategorien nun erheblich geringer. Führen Sie jetzt die Governance-Maßnahmen zur strengen Notwendigkeit ein, damit die Rechtsgrundlage bei ihrer Anwendung vertretbar ist.
5. Prüfen Sie den Geltungsbereich des SMC. Falls Ihr Unternehmen die Voraussetzungen erfüllt, sind die damit verbundenen dokumentarischen Anforderungen und Auswirkungen auf das Qualitätsmanagementsystem von wesentlicher Bedeutung.
6. Das Programm zur inhaltlichen Vorbereitung darf nicht zurückgefahren werden. Risikomanagement (Art. 9), Datenverwaltung (Art. 10), technische Dokumentation (Art. 11), Aufbewahrung von Aufzeichnungen (Art. 12), Transparenz (Art. 13), menschliche Aufsicht (Art. 14), Genauigkeit/Robustheit/Cybersicherheit (Art. 15) – alles bleibt inhaltlich unverändert. Die Frist wurde lediglich um 16 Monate verlängert.

Ein abschließender Gedanke

Der „Digital Omnibus“ wird als Vereinfachung verkauft. Bei genauerer Betrachtung ist er jedoch etwas Vieldeutigeres: eine Umverteilung der Komplexität, eine Neukalibrierung des Zeitplans, eine begrenzte Anzahl substanzieller Änderungen (von denen einige tatsächlich eine Vereinfachung darstellen, andere – wie das neue Verbot gemäß Artikel 5 – neue Verpflichtungen mit sich bringen) sowie eine sorgfältige Beibehaltung der strukturellen Architektur des KI-Gesetzes.

Für Organisationen, die verantwortungsvolle KI als eine Frage der Entwicklung vertrauenswürdiger Systeme verstanden haben – und nicht als eine Frage der Erfüllung behördlicher Auflagen vor Ablauf einer Frist –, endet mit der Einigung vom 7. Mai lediglich der Zeitplan, nicht jedoch die Arbeit. Die Arbeit bleibt bestehen: Daten-Governance, Messung der Fairness, Dokumentation, menschliche Aufsicht, Transparenz und Robustheit. Die Gründe für diese Arbeit – Wettbewerbsvorteile, Kundenvertrauen, Vertrauen der Mitarbeiter und Schutz der Grundrechte – sind dieselben wie am 6. Mai. ändert den Zeitplan

Der Termin hat sich verschoben. Der Standard jedoch nicht.

Dieser Artikel gibt die politische Einigung wieder, wie sie in der Pressemitteilung des Europäischen Parlaments vom 7. Mai 2026 und der Pressemitteilung des Rates vom selben Tag wiedergegeben wurde. Der konsolidierte Rechtstext befindet sich noch in der juristisch-sprachlichen Überarbeitung; einzelne Bestimmungen können sich im Detail noch ändern, bevor sie im Amtsblatt veröffentlicht werden*. Der Artikel dient lediglich zu Informationszwecken und stellt keine Rechtsberatung dar.*

Herangezogene Primärquellen: Pressemitteilung des Europäischen Parlaments 20260427IPR42011; Pressemitteilung des Rates der EU 189/26 (Mai 2026); Vorschlag der Kommission COM(2025) 836; Verfahrensakte 2025/0359(COD); Rechtskommentare von Bird & Bird, Hogan Lovells, Travers Smith, Baker McKenzie, Timelex, Covington (Global Policy Watch), Taylor Wessing, Sidley Austin, Morrison Foerster, Cooley, Lewis Silkin, Grant Thornton, NicFab, Modulos, techUK und TechPolicy.Press.