Digital Omnibus on AI: Was die neuen Fristen der EU-KI-Verordnung für KI-Compliance bedeuten

Doch bei der praktischen Umsetzung zeigt sich ein Problem: Viele Unternehmen, Behörden und öffentliche Organisationen sollen Anforderungen erfüllen, obwohl wichtige Standards, Leitlinien und Prüfstrukturen noch nicht vollständig bereitstehen.

Genau hier setzt der „Digital Omnibus on AI“ an. Er soll die EU-KI-Verordnung nicht abschaffen und auch nicht grundlegend neu schreiben. Stattdessen sollen bestimmte Fristen, Pflichten und Zuständigkeiten angepasst werden, damit die Umsetzung besser planbar und praktikabler wird.

Für Unternehmen, Verwaltungen und öffentliche Organisationen bedeutet das: Die Anforderungen an KI-Compliance verschwinden nicht. Sie werden voraussichtlich später praktisch anwendbar, müssen aber schon heute vorbereitet werden.

Was bedeuten die neuen Fristen des EU AI Acts für KI-Comliance?

Der „Digital Omnibus on AI“ ist ein Änderungsvorhaben zur EU-KI-Verordnung. Er soll bestimmte Regeln der Verordnung gezielt anpassen, insbesondere dort, wo Unternehmen, Behörden und Anbieter sonst mit Anforderungen konfrontiert wären, für deren Umsetzung wichtige Grundlagen noch nicht vollständig bereitstehen.

Dazu gehören harmonisierte Standards, technische Leitlinien, Compliance-Tools, zuständige nationale Behörden und Konformitätsbewertungsstellen. Gerade bei Hochrisiko-KI-Systemen sind diese Elemente entscheidend. Denn solche Systeme müssen nicht nur rechtlich bewertet, sondern auch technisch dokumentiert, geprüft, überwacht und organisatorisch eingebettet werden.

Der “Digital Omnibus“ reagiert damit auf ein praktisches Problem: Die KI-Verordnung ist beschlossen, aber die Umsetzungsinfrastruktur ist noch nicht in allen Bereichen ausgereift.

Die EU-KI-Verordnung verfolgt weiterhin ein klares Ziel: KI soll sicher, vertrauenswürdig und menschenzentriert eingesetzt werden. Sie soll Innovation ermöglichen, aber gleichzeitig Gesundheit, Sicherheit, Grundrechte, Demokratie und Rechtsstaatlichkeit schützen.

Dieses Ziel stellt der „Digital Omnibus“ nicht infrage. Er setzt bei der Frage an, wie Unternehmen und öffentliche Stellen die Anforderungen tatsächlich erfüllen können.

Gerade bei Hochrisiko-KI-Systemen sind die Pflichten anspruchsvoll. Anbieter müssen unter anderem Risikomanagement betreiben, Datenqualität sicherstellen, technische Dokumentation erstellen, menschliche Aufsicht ermöglichen, Protokollierung vorsehen, Cybersicherheit berücksichtigen und Systeme nach dem Inverkehrbringen überwachen.

Das ist sinnvoll, aber nur dann praktikabel, wenn klar ist, welche technischen Standards gelten, welche Nachweise erwartet werden und welche Behörden zuständig sind. Fehlen diese Orientierungspunkte, entsteht Unsicherheit. Unternehmen wissen dann zwar, dass sie compliant sein müssen, aber nicht immer, wie diese Compliance konkret aussehen soll.

Ein zentraler Punkt des „Digital Omnibus“ betrifft den Zeitplan für Hochrisiko-KI-Systeme. Nach der vorläufigen politischen Einigung vom 7. Mai 2026 sollen bestimmte Pflichten nicht mehr wie ursprünglich ab dem 2. August 2026 greifen.

Für Hochrisiko-KI-Systeme nach Anhang III der EU-KI-Verordnung soll stattdessen der 2. Dezember 2027 gelten. Das betrifft zum Beispiel bestimmte KI-Systeme in Bereichen wie Bildung, Beschäftigung, kritische Infrastruktur, Strafverfolgung, Migration, Grenzkontrolle oder Zugang zu wichtigen privaten und öffentlichen Diensten.

Für Hochrisiko-KI-Systeme, die als regulierte Produkte oder als Sicherheitskomponenten solcher Produkte nach Anhang I eingestuft werden, soll der Anwendungsbeginn auf den 2. August 2028 verschoben werden. Das betrifft insbesondere Bereiche, in denen KI mit bestehenden Produkt- und Sicherheitsvorschriften zusammenspielt.

Damit geht es um eine Verschiebung von rund anderthalb bis zwei Jahren. Diese zusätzliche Zeit soll Unternehmen, Behörden und Anbietern ermöglichen, sich auf die Anforderungen vorzubereiten, sobald Standards, Leitlinien und praktische Compliance-Instrumente besser verfügbar sind.

Das bedeutet aber nicht, dass Hochrisiko-KI aus der Regulierung herausgenommen wird. Die Anforderungen bleiben grundsätzlich bestehen. Angepasst wird vor allem der Zeitpunkt, zu dem bestimmte Pflichten praktisch anwendbar werden sollen.
Daneben sieht der „Digital Omnibus“ weitere Vereinfachungen vor. Kleine und mittlere Unternehmen sowie kleinere Midcap-Unternehmen sollen entlastet werden. Dokumentationspflichten sollen teilweise vereinfacht werden. Doppelte Anforderungen im Zusammenspiel mit anderen Regelwerken sollen reduziert werden.

Auch die Rolle des AI-Office der Europäischen Kommission soll in bestimmten Fällen gestärkt werden. Das ist vor allem bei sehr großen KI-Anbietern relevant, deren Systeme europaweit eingesetzt werden. Wenn ein Anbieter zum Beispiel ein eigenes KI-Modell entwickelt und dieses direkt in eine große Plattform oder Suchmaschine integriert, soll die Aufsicht stärker auf EU-Ebene koordiniert werden. So sollen unterschiedliche nationale Bewertungen vermieden werden.

Ein weiterer wichtiger Punkt betrifft KI-Kompetenz. Auch wenn einzelne Pflichten möglicherweise anders ausgestaltet werden, bleibt klar: Wer KI verantwortungsvoll einsetzen will, braucht intern Wissen über Funktionsweise, Risiken, Datenschutz, Sicherheit und rechtliche Rahmenbedingungen. KI-Kompetenz ist kein formales Randthema, sondern eine Voraussetzung für belastbare Entscheidungen.

Der „Digital Omnibus“ kann Unternehmen entlasten. Er kann helfen, überhastete Umsetzung zu vermeiden und Compliance besser planbar zu machen. Gerade für Organisationen, die KI-Systeme entwickeln oder in sensiblen Bereichen einsetzen, ist das wichtig.

Aber mehr Zeit darf nicht mit Stillstand verwechselt werden.

Wer jetzt abwartet, bis alle Details endgültig beschlossen und alle Standards vollständig veröffentlicht sind, verliert wertvolle Vorbereitungszeit. Denn KI-Compliance entsteht nicht erst durch ein finales Template. Sie beginnt viel früher: mit Transparenz über die eingesetzten Systeme, mit klaren Verantwortlichkeiten, mit sauberer Dokumentation, mit Datenschutzprüfung, mit Sicherheitsbewertung und mit interner Kompetenz.

Die entscheidende Frage lautet daher nicht: Müssen wir jetzt schon alles vollständig umsetzen?

Die bessere Frage lautet: Welche Grundlagen müssen wir heute schaffen, damit wir später handlungsfähig sind?

Für Unternehmen und öffentliche Organisationen bedeutet der „Digital Omnibus“ vor allem: KI-Governance bleibt notwendig, aber sie muss dynamisch geplant werden.

Zunächst sollte bekannt sein, welche KI-Systeme überhaupt eingesetzt oder entwickelt werden. Viele Organisationen nutzen bereits KI, ohne ein vollständiges Bild darüber zu haben: in Office-Anwendungen, in Entwicklungstools, in Dokumentenanalyse, in Chatbots, in Übersetzungssystemen oder in Fachverfahren.

Der nächste Schritt ist eine erste Einordnung. Handelt es sich um ein Hochrisiko-KI-System? Bestehen Transparenzpflichten? Werden personenbezogene oder besonders sensible Daten verarbeitet? Wer ist Anbieter, Betreiber oder möglicherweise beides? Wird ein System nur genutzt oder durch eigene Anpassungen wesentlich verändert?

Gerade im öffentlichen Sektor und in der Justiz kommt hinzu: Hier geht es nicht nur um Effizienz. Es geht um Vertrauen, Nachvollziehbarkeit, Rechtssicherheit und den Schutz sensibler Informationen. KI kann Prozesse unterstützen, aber sie darf fachliche Verantwortung nicht ersetzen.

Genau in diesem Spannungsfeld zwischen technologischer Innovation, regulatorischen Anforderungen und besonderen Schutzinteressen bewegt sich auch Westernacher Solutions. Als Anbieter digitaler Lösungen für Verwaltung, Justiz und öffentliche Organisationen beschäftigen wir uns täglich mit der Frage, wie sich KI verantwortungsvoll, rechtssicher und praxisnah einsetzen lässt. Entscheidend ist dabei nicht der Einsatz von KI um ihrer selbst willen, sondern die Frage, welchen konkreten Nutzen sie schafft, welche Risiken entstehen und wie sich digitale Lösungen langfristig belastbar gestalten lassen.

Auch wenn der „Digital Omnibus“ Erleichterungen bringen kann, sollten Organisationen jetzt mit den Grundlagen beginnen:

• KI-Inventar: Welche Systeme werden eingesetzt, von wem, zu welchem Zweck und mit welchen Daten?
• Erste Risikoklassifizierung: Welche Systeme sind potenziell hochriskant, welche unterliegen Transparenzpflichten, welche sind eher niedrigschwellig?
• Rollenklärung: Sind wir Anbieter, Betreiber, Importeur, Händler oder verändern wir ein System so wesentlich, dass sich unsere Rolle verschiebt?
• Datenschutz und Informationssicherheit: Welche Daten dürfen verwendet werden, welche nicht, und welche Schutzmaßnahmen sind erforderlich?
• KI-Kompetenz: Mitarbeitende müssen verstehen, was KI leisten kann, wo ihre Grenzen liegen und wann menschliche Prüfung zwingend erforderlich ist.Governance-Struktur: Wer entscheidet über neue KI-Tools? Wer prüft Risiken? Wer dokumentiert? Wer reagiert bei Fehlern, Beschwerden oder Sicherheitsvorfällen?