Die KI-Verordnung (besser bekannt als AI Act) wurde schon vor Wirksamkeit vieler Vorschriften wieder geändert. Wir erklären, was es mit der Reform der KI-Verordnung auf sich hat und welche Unternehmen von den Änderungen profitieren.
Was bedeutet der Digitale Omnibus für die KI-Verordnung?
So alt ist die KI-Verordnung noch gar nicht und dennoch nimmt die EU bereits jetzt eine sehr umfangreiche Überarbeitung vor. Am 24. Juli 2026 wurde die Verordnung (EU) 2026/1744 (Digital-Omnibus-Verordnung zur KI) im Amtsblatt der EU verkündet und trat am 27. Juli 2026 in Kraft.
Anders als vielleicht zu erwarten, werden die Anforderungen nicht verschärft, sondern in wesentlichen Bereichen erheblich abgeschwächt. Allerdings wird gleichzeitig die europäische KI-Aufsicht deutlich gestärkt.
Im Folgenden erklären wir die wichtigsten Änderungen der KI-Verordnung:
Hochrisiko-KI
Der Begriff der Hochrisiko-KI ist künftig enger und die mit einer entsprechenden Einordnung verbundenen Pflichten werden aufgeschoben.
Etliche Systeme, die bislang erfasst wurden, gelten nun zumindest grundsätzlich nicht mehr als hochriskant. KI-Komponenten zur Unterstützung von Anwendern, zur Effizienzsteigerung, zur Automatisierung oder zur Qualitätskontrolle werden nur noch entsprechend eingeordnet, wenn ihr Ausfall oder ihre Fehlfunktion tatsächlich Risiken für die Gesundheit oder Sicherheit verursachen kann. Die korrekte Beurteilung der entsprechenden Risiken wird also für Organisationen deutlich relevanter.
Betroffenen Organisationen wird zudem deutlich mehr Zeit eingeräumt. Der ursprüngliche Stichtag vom August 2026 verschiebt sich mindestens auf den 2. Dezember 2027. Sind die betroffenen Produkte nach Anhang 1 der Verordnung reguliert, bleibt sogar noch mehr Zeit, dann gilt der 2. August 2028.
Doppelregulierung
Künftig soll es weniger Nebeneinander von Vorschriften aus dem Bereich der Produktsicherheit und der KI-Verordnung geben. Die EU-Kommission hat die Möglichkeit, Anforderungen der KI Verordnung einzuschränken, wenn es bereits sektorale Regelungen gibt, die ein gleichwertiges oder sogar höheres Schutzniveau gewährleisten. Die Verfahren zur Konformitätsbewertung sollen enger mit bestehenden Produktregelungen verzahnt werden.
Besonders relevant dürften diese Änderungen für Branchen sein, in denen bereits eine hohe Regulierungsdichte besteht; namentlich Medizinprodukte, Maschinenbau, Automobil- und Luftfahrtindustrie. Mehrfachprüfungen und redundante Dokumentationspflichten sollen damit ohne Auswirkungen auf das Schutzniveau reduziert werden.
KI-Kompetenz
Bislang war unklar, wie genau es sich mit dem ausreichenden KI-Kompetenzniveau von Beschäftigten verhält, das Unternehmen sicherstellen müssen. Anbieter und Betreiber von KI-Systemen müssen nun künftig lediglich Maßnahmen zur Förderung von KI-Kompetenz ergreifen. Es wird ausdrücklich klargestellt, dass ein bestimmter Wissensstand einzelner Personen nicht garantiert werden muss.
Praktisch bleiben Schulungen, Sensibilisierungsmaßnahmen und interne Leitlinien zur KI-Nutzung weiter wichtig. Das Risiko, wegen eines vermeintlich unzureichenden individuellen Kenntnisstandes gegen die KI-Verordnung zu verstoßen, wird aber reduziert.
Die im Ergebnis eingeräumte Möglichkeit, risikoorientiert zu schulen, ist gleichzeitig Chance und Risiko.
- Man kann freier entscheiden, wen und was man schult.
- Man trägt aber eben auch das Risiko, kräftig danebenzuliegen.
Ob sich der ursprünglich bezweckte Schutz der Allgemeinheit damit weiterhin erreichen lässt, könnte man hinterfragen. In der Praxis führt mehr Spielraum typischerweise nicht unbedingt zu einer gewissenhafteren Auseinandersetzung mit einer Thematik. Vielmehr spielen in der Diskussion dann schnell andere Faktoren eine entscheidende Rolle, wie Unternehmensziele, Kosten und Bequemlichkeit.
Datenschutz-Rechtsgrundlagen
Im Zusammenhang mit der Erkennung und Vermeidung von Diskriminierungsrisiken ist es nun allgemein leichter möglich, auch besondere Kategorien personenbezogener Daten zur Erkennung und Korrektur von Verzerrungen zu verarbeiten, soweit dies unbedingt erforderlich ist. Selbstverständlich werden durch eine erweiterte Erlaubnis andere datenschutzrechtliche Pflichten nicht verringert. Wer verarbeiten darf, muss sich auch um alle damit zusammenhängenden Anforderungen kümmern.
Mittelstand
Neu ist die Einführung der Unternehmenskategorie SMC (Small Midcap Companies). Unter dem Begriff fallen Unternehmen, die die klassische KMU-Schwelle bereits überschreiten, aber eben noch nicht als Großunternehmen gelten.
Die Pflichten solcher SMC-Unternehmen werden künftig denen von KMU-Unternehmen teilweise gleichgestellt. Vorgesehen ist eine vereinfachte technische Dokumentation sowie Vereinfachungen bei Qualitäts-Managementsystemen. Betroffene Unternehmen sollen privilegierten Zugang zu Sandboxes erhalten und besser durch Behörden unterstützt werden. Auch bei Sanktionen und Bußgeldern soll die Einstufung berücksichtigt werden, indem wirtschaftliche Auswirkungen stärker zu betrachten sind.
KI-Verbote
KI-Systeme zur Erzeugung von intimen Deepfakes dürfen ohne ausdrückliche Einwilligung von betroffenen Personen nicht mehr angeboten oder eingesetzt werden. Systeme zur Darstellung des Missbrauchs von Kindern sind ganz verboten.
Beides steht unter der Einschränkung, dass generative KI-Dienste nur erfasst werden, wenn entweder eine entsprechende Zweckbestimmung besteht oder aber eine relevante Nutzung vorhersehbar ist und keine Schutzmechanismen bestehen.
Diese Verbote gelten bereits ab 2. Dezember 2026.
AI Office
Die diskutierten Erleichterungen bei der KI-Verordnung gehen mit einer deutlich gestärkten Aufsicht mit wirksameren Durchsetzungsmöglichkeiten für verbleibende Pflichten einher.
Das AI Office erhält zusätzliche Ressourcen, neue Zuständigkeiten und neue, sehr weitreichende Ermittlungsbefugnisse, die natürlich verhältnismäßig sein müssen und der gerichtlichen Kontrolle unterliegen. Es können etwa vorhersehbar umfangreich Auskünfte erfragt werden, aber schlussendlich auch durchsetzbare Vor-Ort-Besuche sind möglich.
Fazit
Mit der Reform der KI-Verordnung verfolgt die EU erkennbar das Ziel, Lasten für Unternehmen abzuschwächen und die Umsetzung von Pflichten praktikabler zu gestalten.
Gleichzeitig wird allerdings auf EU-Ebene eine deutlich stärkere zentrale Aufsichtsstruktur geschaffen. Zusammengefasst sollte man damit nicht über weniger Regulierung sprechen, sondern über gezieltere und wirksamere Regulierung.