Digital Omnibus 2026: Was die Verordnung (EU) 2026/1744 wirklich ändert

Einleitung: Ein Gesetz, viele Gerüchte

Seit dem Sommer kursieren zum EU AI Act zwei gegensätzliche Erzählungen. Die eine: „Die KI-Verordnung wurde verschoben, ihr könnt euch entspannen." Die andere: „Es gilt alles wie bisher, lasst euch nichts erzählen." Beide sind falsch.

Richtig ist: Am 24. Juli 2026 wurde die Verordnung (EU) 2026/1744, der sogenannte Digital Omnibus on AI, im Amtsblatt der EU veröffentlicht. Seit dem 27. Juli 2026 ist sie in Kraft und hat die KI-Verordnung an 43 Stellen geändert. Einige Fristen wurden tatsächlich verschoben. Andere Pflichten gelten unverändert weiter und werden seit dem 2. August 2026 von den Marktüberwachungsbehörden beaufsichtigt. Und ein paar Dinge sind komplett neu, darunter zwei zusätzliche Verbote und ein neu gefasster Artikel 4.

Dieser Beitrag sortiert die Lage für deutsche kleine und mittlere Unternehmen: was verschoben wurde, was nicht, was neu ist, was auf deutscher Ebene mit dem KI-MIG dazugekommen ist, und was Sie diese Woche konkret tun sollten. Alle Angaben beruhen auf dem amtlichen Verordnungstext in der konsolidierten Fassung, nicht auf Sekundärquellen. Das ist wichtiger als es klingt: Selbst offizielle Behördenseiten zeigten im August 2026 teilweise noch die alten Fristen an.

Was ist der Digital Omnibus überhaupt?

Der Digital Omnibus on AI ist eine Änderungsverordnung. Sie schreibt die Verordnung (EU) 2024/1689 (den EU AI Act) sowie die Luftfahrt- und die Maschinenverordnung um, mit dem erklärten Ziel, die Umsetzung der KI-Regeln zu vereinfachen. Das Europäische Parlament hat sie am 16. Juni 2026 endgültig angenommen, unterzeichnet wurde sie am 8. Juli 2026, und drei Tage nach der Amtsblatt-Veröffentlichung vom 24. Juli 2026 trat sie in Kraft. Als EU-Verordnung gilt sie unmittelbar; ein deutsches Umsetzungsgesetz braucht es dafür nicht.

Eine Verwechslung sollten Sie von Anfang an ausräumen: Es gibt einen zweiten „Digital Omnibus", der DSGVO, Data Act und ePrivacy-Regeln ändern soll (COM(2025) 837). Dieser Vorschlag ist nicht verabschiedet und hängt im Gesetzgebungsverfahren fest. An der DSGVO hat sich also kein Wort geändert. Wer Ihnen erzählt, Cookie-Banner oder KI-Training auf Personendaten seien „jetzt erlaubt", verwechselt einen Vorschlag mit geltendem Recht.

Die neue Zeitleiste im Überblick

So sieht der verbindliche Zeitplan des EU AI Act nach dem Digital Omnibus aus, direkt aus dem geänderten Artikel 113 der konsolidierten Verordnung:

Die Details zu allen Stichtagen und ihrer Vorgeschichte finden Sie in unserem laufend aktualisierten Beitrag EU AI Act Fristen: Der vollständige Compliance-Zeitplan.

Was wirklich verschoben wurde

Die Verschiebung betrifft einen präzise abgegrenzten Block: die Abschnitte 1 bis 3 des Kapitels III, also die Einstufungsregeln und die Anforderungen an Hochrisiko-KI samt der Pflichten für deren Anbieter und Betreiber.

Anhang-III-Systeme: 2. Dezember 2027. Das ist die Verschiebung, die für KMU am meisten zählt. KI in der Personalauswahl, bei der Bewertung von Beschäftigten, in der Kreditwürdigkeitsprüfung oder in der Bildung, kurz: die klassischen Hochrisiko-Fälle nach Anhang III, fällt erst ab dem 2. Dezember 2027 unter die Hochrisiko-Pflichten. Damit rutschen auch die Betreiberpflichten des Artikel 26 (Nutzung nach Betriebsanleitung, menschliche Aufsicht, Protokollpflichten, Information der Beschäftigten) und die Grundrechte-Folgenabschätzung des Artikel 27 auf dieses Datum. Wer noch behauptet, diese Pflichten gälten „seit August 2026", arbeitet mit veraltetem Stand.

Anhang-I-Systeme: 2. August 2028. KI als Sicherheitsbauteil von Produkten, die ohnehin einer EU-Harmonisierung unterliegen (Maschinen, Medizinprodukte, Aufzüge), bekommt ein weiteres Jahr. Parallel wurde Anhang I umgebaut: Die Maschinenverordnung (EU) 2023/1230 steht jetzt in Abschnitt B, und die KI-Anforderungen sollen über delegierte Rechtsakte direkt in das Maschinenrecht integriert werden.

Reallabore: 2. August 2027. Die Mitgliedstaaten müssen ihre KI-Reallabore erst bis zum 2. August 2027 einsatzbereit haben. In Deutschland ist Stand August 2026 kein Reallabor operativ, und ein Antragsverfahren existiert noch nicht.

Wichtig für Bestandssysteme: Die Übergangsregel des Artikel 111 Absatz 2 wurde an die neuen Daten gekoppelt. Hochrisiko-Systeme, die vor dem jeweiligen Anwendungsbeginn in Verkehr gebracht wurden, bleiben grundsätzlich im Bestandsschutz, solange ihr Design nicht wesentlich geändert wird.

Was NICHT verschoben wurde

Hier liegt die eigentliche Nachricht dieses Beitrags, denn die Verschiebungs-Schlagzeilen haben vielerorts den Eindruck erzeugt, der ganze EU AI Act sei vertagt. Vier Blöcke gelten unverändert:

Artikel 4 (KI-Kompetenz) gilt seit dem 2. Februar 2025. Er wurde nicht gestrichen und nicht verschoben, sondern neu formuliert (dazu gleich mehr). Die Pflicht besteht durchgehend seit Februar 2025, und seit dem 2. August 2026 beaufsichtigen die nationalen Marktüberwachungsbehörden ihre Einhaltung.

Die Verbote des Artikel 5 gelten seit dem 2. Februar 2025. Manipulative Techniken, Social Scoring, Emotionserkennung am Arbeitsplatz, ungezieltes Scraping für Gesichtsdatenbanken: alle acht Verbotstatbestände sind in Kraft und mit der höchsten Bußgeldstufe bewehrt.

Artikel 50 (Transparenzpflichten) gilt seit dem 2. August 2026. Das ist der Punkt, der am häufigsten falsch berichtet wird. Artikel 50 steht in Kapitel IV, die Verschiebung betrifft aber nur Kapitel III Abschnitte 1 bis 3. Chatbot-Offenlegung, Kennzeichnung synthetischer Inhalte, Deepfake-Transparenz: All das ist geltendes Recht, ohne KMU-Ausnahme und ohne Ausnahme für rein interne Geschäftsprozesse.

Kapitel V (GPAI-Modelle) gilt seit dem 2. August 2025. Die Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck wurden vom Omnibus nicht angerührt, und seit dem 2. August 2026 kann die Kommission Verstöße von GPAI-Anbietern nach Artikel 101 mit Bußgeldern belegen. Für die meisten KMU heißt das nur: Ihr Modellanbieter schuldet Ihnen Dokumentation, Sie ihm nichts.

Was neu ist

Artikel 4 in neuer Fassung: Unterstützen statt sicherstellen

Die Kommission hatte ursprünglich vorgeschlagen, die direkte Unternehmenspflicht aus Artikel 4 ganz zu streichen. Das Parlament hat sie wiederhergestellt, aber weicher gefasst. Seit dem 27. Juli 2026 lautet Artikel 4 Absatz 1 in der amtlichen deutschen Fassung:

„Die Anbieter und Betreiber von KI-Systemen ergreifen Maßnahmen, um die Entwicklung der KI-Kompetenz ihres Personals und anderer Personen zu unterstützen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind, wobei ihre technischen Kenntnisse, ihre Erfahrung, ihre Aus- und Fortbildung und der Kontext, in dem die KI-Systeme eingesetzt werden sollen, sowie die Personen oder Personengruppen, bei denen die KI-Systeme eingesetzt werden sollen, zu berücksichtigen sind. Diese Verpflichtung verpflichtet Anbieter oder Betreiber nicht, für irgendeine Person ein bestimmtes Niveau an KI-Kompetenz zu garantieren."

Was hat sich geändert? Die alte Fassung verlangte, „nach besten Kräften" ein „ausreichendes Maß an KI-Kompetenz" sicherzustellen. Diese Formulierung ist seit dem 27. Juli 2026 Geschichte. Die neue Fassung ist eine klare Handlungspflicht: Unternehmen müssen Maßnahmen ergreifen, die die Entwicklung von KI-Kompetenz unterstützen, zugeschnitten auf Vorwissen, Rolle und Einsatzkontext. Ein bestimmtes Kompetenzniveau muss niemand garantieren, das stellt der zweite Satz ausdrücklich klar.

Drei Dinge sind gleich geblieben: Die Pflicht trifft weiterhin alle Anbieter und Betreiber, unabhängig von Größe und Risikoklasse der eingesetzten KI. Sie erfasst neben dem eigenen Personal auch Dritte, die im Auftrag des Unternehmens mit KI arbeiten. Und sie gilt seit dem 2. Februar 2025, daran hat der Omnibus nichts geändert. Neu hinzugekommen sind zwei flankierende Absätze: Die Kommission muss praktische Umsetzungsbeispiele auf einer zentralen Informationsplattform veröffentlichen, und das KI-Gremium soll Empfehlungen mit gemeinsamen Zielen erarbeiten. Beides verlagert die Pflicht nicht weg von den Unternehmen, macht die Erfüllung aber planbarer.

Bemerkenswert ist die Begründung des Gesetzgebers: Erwägungsgrund 8 der Änderungsverordnung erklärt, KI-Kompetenz solle eine strategische Priorität sein, unabhängig von regulatorischen Pflichten und möglichen Sanktionen. Das ist eine ungewöhnlich ehrliche Ansage, und sie deckt sich mit unserer Erfahrung: Der Nutzen von KI-Kompetenz liegt in der Produktivität und Urteilsfähigkeit der Teams, nicht in der Angst vor Aufsicht. Was Artikel 4 im Detail verlangt und wie Sie ihn praktisch umsetzen, lesen Sie in unserem Grundlagenbeitrag Artikel 4 EU AI Act erklärt.

Zwei neue Verbote ab dem 2. Dezember 2026

Der Omnibus fügt Artikel 5 zwei Verbotstatbestände hinzu, die ab dem 2. Dezember 2026 gelten: Verboten wird erstens das Inverkehrbringen und die Verwendung von KI-Systemen, die realistische intime oder sexuell explizite Bild-, Video- oder Tonaufnahmen einer bestimmbaren Person ohne deren ausdrückliche Zustimmung erzeugen oder manipulieren (Buchstabe ba), und zweitens dasselbe für Darstellungen von Kindesmissbrauch im Sinne der Richtlinie 2011/93/EU (Buchstabe bb).

Für Anbieter von Generatoren gilt eine Einschränkung: Sie sind nur erfasst, wenn solche Inhalte Zweckbestimmung des Systems sind oder ein vorhersehbares, reproduzierbares Ergebnis darstellen und zumutbare technische Schutzmaßnahmen fehlen. Nutzer sind erfasst, wenn sie ein System gezielt für solche Inhalte einsetzen. Für beide neuen Verbote gilt die höchste Bußgeldstufe des Artikel 99 Absatz 3, und einen Bestandsschutz für Altsysteme gibt es nicht.

Die Alt-System-Frist des Artikel 111 Absatz 4

Ebenfalls zum 2. Dezember 2026 endet eine Übergangsfrist, die viele übersehen: KI-Systeme, die bereits vor dem 2. August 2026 auf dem Markt waren, müssen ab dann die Kennzeichnungspflicht des Artikel 50 Absatz 2 erfüllen, also ihre synthetischen Ausgaben maschinenlesbar als KI-generiert markieren. Das ist primär eine Anbieterpflicht. Als Betreiber sollten Sie trotzdem jetzt bei Ihren Tool-Anbietern nachfragen, ob deren Bestandsprodukte die Kennzeichnung bis Dezember liefern.

Weitere Änderungen im Schnelldurchlauf

• Artikel 4a (neu): erlaubt Anbietern von Hochrisiko-KI unter engen Voraussetzungen die Verarbeitung besonderer Kategorien personenbezogener Daten zur Erkennung und Korrektur von Verzerrungen (Bias). Primär eine Anbieterregel, keine neue KMU-Pflicht.
• Engere Sicherheitsbauteil-Definition: Ein Bauteil ist nur noch dann Sicherheitsbauteil, wenn seine Zweckbestimmung eine Sicherheitsfunktion ist. Dass eine KI in einem harmonisierten Produkt steckt, macht sie für sich genommen nicht mehr zum Sicherheitsbauteil. Das entschärft die Anhang-I-Frage für viele Produkthersteller.
• KMU- und SMC-Kategorien: Die Verordnung definiert jetzt ausdrücklich KMU und „kleine Midcap-Unternehmen" (SMC). Beide profitieren von vereinfachter technischer Dokumentation, proportionalen Qualitätsmanagement-Anforderungen und der Deckelung der Bußgelder auf den jeweils niedrigeren der beiden Werte einer Bußgeldstufe.
• Artikel 27 vereinfacht: Die Grundrechte-Folgenabschätzung darf künftig auf einer DSGVO-Datenschutz-Folgenabschätzung aufbauen, und die Kommission muss ein Fragebogen-Template bereitstellen. Beides greift praktisch erst mit den Anhang-III-Pflichten ab Dezember 2027.

Die deutsche Ebene: KI-MIG, BNetzA und das Meldeformular

Fast zeitgleich mit dem Omnibus hat Deutschland seine Durchführungsstruktur geschaffen. Das KI-Marktüberwachungs-und-Innovationsförderungs-Gesetz (KI-MIG) vom 22. Juli 2026 (BGBl. 2026 I Nr. 223) ist am 29. Juli 2026 in Kraft getreten. Für KMU sind vier Punkte relevant:

1. Die Bundesnetzagentur ist die zentrale Marktüberwachungsbehörde mit Auffangzuständigkeit. Für die große Mehrheit der Unternehmen ist sie damit die KI-Aufsicht; Sonderzuständigkeiten bestehen etwa für die BaFin bei regulierten Finanztätigkeiten.
2. Es gibt eine zentrale Beschwerdestelle (§ 8 KI-MIG). Jede natürliche oder juristische Person kann vermutete Verstöße gegen die KI-Verordnung kostenlos über ein Online-Formular an die BNetzA melden, live seit dem 2. August 2026. Unzufriedene Kunden, Wettbewerber oder Ex-Mitarbeiter haben damit einen sehr niedrigschwelligen Meldeweg.
3. § 15 KI-MIG enthält den nationalen Bußgeldkatalog: bis zu 50.000 Euro, etwa für verweigerte Auskünfte gegenüber Behörden oder, sobald anwendbar, Verstöße gegen die Grundrechte-Folgenabschätzung. Die Millionenbeträge des Artikel 99 gelten daneben direkt aus der EU-Verordnung. Artikel 4 taucht übrigens in keinem der beiden Kataloge als Bußgeldtatbestand auf.
4. Das deutsche Reallabor existiert noch nicht. Die BNetzA muss es bis zum 2. August 2027 aufbauen; ein Antragsverfahren ist nicht geöffnet. Versprechungen über „Sandbox-Zugang ab sofort" sollten Sie entsprechend einordnen.

Ein ehrlicher Hinweis zur Quellenlage: Einzelne BNetzA-Seiten zeigten im August 2026 noch die Fristen von vor dem Omnibus. Verlassen Sie sich bei Anwendungsdaten deshalb auf den konsolidierten Verordnungstext (CELEX 02024R1689-20260727), nicht auf Behörden-Webseiten oder Blogartikel, auch nicht auf unsere, ohne das Datum des Beitrags zu prüfen.

Was Sie diese Woche tun sollten

Der Digital Omnibus ist kein Grund zur Panik und keine Entwarnung, sondern ein Anlass, den eigenen Stand einmal sauber abzugleichen. Fünf Punkte, die sich in einer Woche erledigen lassen:

1. Fristen im Compliance-Plan korrigieren. Wenn Ihr interner Fahrplan noch „Hochrisiko ab August 2026" sagt, tragen Sie die neuen Daten ein: Anhang III ab 2. Dezember 2027, Anhang I ab 2. August 2028. Streichen Sie nichts, verschieben Sie nur.
2. Artikel-50-Check machen. Kundenchatbot ohne KI-Hinweis? KI-generierte Bilder oder Texte ohne Kennzeichnung veröffentlicht? Diese Pflichten gelten seit dem 2. August 2026. Das ist aktuell der realistischste Angriffspunkt, auch wettbewerbsrechtlich.
3. Tool-Anbieter zur Alt-System-Frist befragen. Lassen Sie sich bestätigen, dass die von Ihnen genutzten Generatoren die maschinenlesbare Kennzeichnung nach Artikel 50 Absatz 2 spätestens zum 2. Dezember 2026 auch für Bestandsversionen liefern.
4. Die neuen Verbote intern kommunizieren. Stellen Sie vor dem 2. Dezember 2026 klar, dass die Erzeugung intimer oder sexualisierter Darstellungen realer Personen mit KI-Tools im Unternehmen tabu ist, und verankern Sie das in Ihrer KI-Richtlinie.
5. Artikel-4-Maßnahmen dokumentieren, nicht pausieren. Die Pflicht gilt weiter, die Aufsicht läuft, und die neue Fassung belohnt genau das, was ohnehin sinnvoll ist: rollengerechte, dokumentierte Kompetenzmaßnahmen statt Einmal-Belehrung.

Fazit: Mehr Zeit für Hochrisiko, kein Freifahrtschein für den Rest

Der Digital Omnibus 2026 hat den EU AI Act nicht abgeschafft und nicht vertagt, sondern neu getaktet: Die aufwendigen Hochrisiko-Pflichten kommen später, die Alltagspflichten (KI-Kompetenz, Verbote, Transparenz) gelten längst, und mit den neuen Verboten und der Alt-System-Frist steht der nächste Stichtag schon am 2. Dezember 2026 im Kalender. Wer die neue Rechtslage nüchtern abarbeitet, ist mit überschaubarem Aufwand auf der sicheren Seite und kann sich dem eigentlich interessanten Teil widmen: KI so einzusetzen, dass das eigene Team schneller und besser wird.

Genau dabei unterstützt Forefront AI: mit einer rollenbasierten KI-Schulung auf dem Rechtsstand nach dem Digital Omnibus, dem AI Lab mit über 160 praxiserprobten Prompts und Anleitungen für den Arbeitsalltag, der monatlichen AI-Sprechstunde, in die Ihr Team jede KI-Frage mitbringen kann, und dem Nachweis-Center, das Ihre Kompetenzmaßnahmen sauber dokumentiert. Wenn Sie wissen wollen, wo Ihr Unternehmen nach dem Omnibus steht, schauen Sie sich unser Angebot an oder sprechen Sie uns an.