16. September 2026 von Tabea Kugler
Mit dem sogenannten Digital Omnibus sollen verschiedene Regelungen des europäischen Digitalrechts vereinfacht und besser aufeinander abgestimmt werden. Der Omnibus wurde durch die Europäische Kommission in zwei separate, aber eng miteinander verknüpfte Gesetzentwürfe unterteilt. So gibt es neben dem allgemeinen Digital Omnibus den Digital Omnibus on AI, der gezielt Änderungen an der KI-Verordnung vorsieht.
Im Mittelpunkt stehen dabei die Reduzierung von Compliance-Kosten, insbesondere für kleine und mittelständische Unternehmen, die Beseitigung von Doppelregulierungen und die Schaffung größerer Rechtssicherheit.
Ziel ist es, die Wettbewerbs- und Innovationsfähigkeit des europäischen digitalen Binnenmarktes zu stärken und gleichzeitig die Anwendung des europäischen Digitalrechts praktikabler zu gestalten. Betroffen sind unter anderem die Regelungen zu Hochrisiko-KI, KI-Kompetenz, der Zuständigkeit des EU AI Office, Datenschutz und Bias-Erkennung sowie verschiedene Verfahrens- und Compliancepflichten.
Eine wesentliche Änderung betrifft den Anwendungsbereich von Art. 6 KI-VO und damit die Einstufung bestimmter KI-Systeme als Hochrisiko-KI.
Der Anwendungsbereich soll insbesondere bei KI-Systemen, die als Sicherheitsbauteile eingesetzt werden, eingeschränkt werden. Künftig sollen nur solche Systeme erfasst werden, die für sicherheitsrelevante Aspekte eingesetzt werden und aufgrund der mit ihnen verbundenen Risiken für die Gesundheit und Sicherheit von Personen einer Konformitätsbewertung unterliegen.
Damit soll verhindert werden, dass KI-Systeme allein aufgrund ihrer Einordnung als Sicherheitsbauteil umfangreichen Hochrisiko-Anforderungen unterfallen, obwohl von ihnen tatsächlich keine entsprechenden erheblichen Risiken ausgehen.
Auch die Vorgaben zur KI-Kompetenz nach Art. 4 KI-VO wurden angepasst.
Nach der bisherigen Regelung waren Anbieter und Betreiber von KI-Systemen verpflichtet, ein ausreichendes Maß an KI-Kompetenz bei denjenigen Personen sicherzustellen, die mit dem Betrieb und der Nutzung der Systeme befasst sind. Der Digital Omnibus sieht hier eine Abschwächung vor. Anbieter und Betreiber sollen künftig insbesondere dazu verpflichtet sein, die Entwicklung von KI-Kompetenz zu unterstützen.
Gleichzeitig erhalten die Europäische Kommission und die Mitgliedstaaten eine stärkere Unterstützungsfunktion. Sie sollen Unternehmen unter anderem durch die Veröffentlichung praktischer Beispiele dabei unterstützen, geeignete Maßnahmen zur Förderung von KI-Kompetenz umzusetzen.
Die Änderung soll insbesondere kleineren Unternehmen mehr Flexibilität bei der praktischen Umsetzung der Vorgaben geben.
Verändert werden zudem die Zuständigkeiten des EU AI Office. Nach der bisherigen KI-VO unterlagen bestimmte KI-Systeme, die auf General-Purpose-AI-Modellen beruhen und bei denen Modell und System vom selben Anbieter stammen, der Aufsicht des EU AI Office.
Von dieser Zuständigkeit sollen künftig bestimmte Kategorien von KI-Systemen ausgenommen werden. Dazu zählen unter anderem KI-Systeme nach Anhang I und Anhang III Nr. 2 KI-VO. Ebenfalls ausgenommen werden sollen bestimmte KI-Systeme, die von Strafverfolgungsbehörden, Grenzverwaltungsbehörden oder Finanzinstituten bereitgestellt werden, sofern sie unter Art. 74 Abs. 6 KI-VO fallen. Darüber hinaus sollen bestimmte KI-Systeme nach Anhang III Nr. 8 KI-VO im Bereich der Rechtspflege nicht mehr der entsprechenden Aufsicht des EU AI Office unterliegen.
Gleichzeitig wird die Zuständigkeit des EU AI Office an anderer Stelle erweitert. Künftig sollen auch KI-Systeme erfasst werden, die in sehr große Online-Plattformen und Suchmaschinen eingebettet sind und damit in den Anwendungsbereich des Digital Services Act fallen.
Der Digital Omnibus sieht zudem eine ausdrückliche Erweiterung der verbotenen KI-Praktiken vor. Künftig sollen KI-Systeme verboten sein, die darauf ausgerichtet sind, nicht einvernehmliche sexuell explizite oder intime Inhalte zu generieren.
Dies umfasst insbesondere sogenannte „Nudifizierungs-Apps", mit denen sich Bilder realer Personen mithilfe von KI künstlich entkleiden oder in sexuell explizite Darstellungen umwandeln lassen.
Darüber hinaus soll auch die Generierung von Material über sexuellen Kindesmissbrauch durch KI-Systeme ausdrücklich untersagt werden. Damit soll der Einsatz generativer KI für besonders schwerwiegende Eingriffe in die sexuelle Selbstbestimmung und für den sexuellen Missbrauch von Kindern stärker reguliert werden. Die Regelung ergänzt damit die bestehenden Verbote der KI-VO um weitere besonders schädliche Anwendungen generativer KI.
Ein weiterer Schwerpunkt des Digital Omnibus liegt auf der Entlastung kleinerer Unternehmen. Die bisherigen Erleichterungen der KI-VO, die insbesondere für kleine und mittlere Unternehmen vorgesehen waren, sollen unter bestimmten Voraussetzungen auf sogenannte Small Mid-Caps ausgeweitet werden. Damit können künftig auch Unternehmen mit mehr als 250 Beschäftigten von bestimmten Vereinfachungen profitieren.
Daneben sollen Dokumentations- und Nachweispflichten vereinfacht werden. Gerade für kleinere Unternehmen können die umfangreichen Dokumentationsanforderungen der KI-VO einen erheblichen administrativen Aufwand verursachen. Durch vereinfachte Anforderungen soll dieser Aufwand reduziert werden.
Auch die Registrierungspflichten für bestimmte KI-Systeme sollen erleichtert und stärker an der Größe des jeweiligen Unternehmens ausgerichtet werden.
Der Digital Omnibus sieht außerdem einen verbesserten Zugang zu sogenannten KI-Reallaboren vor.
Unternehmen sollen ihre KI-Systeme unter behördlicher Aufsicht in einer geschützten Umgebung entwickeln und erproben können. Dadurch soll es insbesondere innovativen Unternehmen erleichtert werden, neue Technologien zu testen, ohne bereits während der Entwicklungsphase mit sämtlichen regulären Compliance-Anforderungen konfrontiert zu sein.
Zusätzlich ist die Schaffung eines EU-weiten Reallabors vorgesehen. Dies soll dazu beitragen, Erfahrungen mit innovativen KI-Anwendungen zu sammeln und gleichzeitig eine einheitlichere Anwendung der regulatorischen Anforderungen zu fördern.
Die Verfahren zur Konformitätsbewertung und Grundrechte-Folgenabschätzung sollen vereinfacht und effizienter gestaltet werden.
Für die Konformitätsbewertung ist unter anderem ein einheitliches Antragsverfahren für notifizierte Stellen sowie eine klarere Strukturierung der Zuständigkeiten und Anforderungen vorgesehen.
Auch die Grundrechte-Folgenabschätzung soll insbesondere für Behörden verfahrensrechtlich erleichtert werden, um den administrativen Aufwand zu reduzieren.
Der Digital Omnibus sieht zudem Änderungen bei den Übergangsfristen für die Anwendung der Anforderungen an Hochrisiko-KI vor. Die Transparenzpflichten nach Art. 50 KI-VO gelten hingegen bereits seit August 2026.
Eine ausführliche Darstellung der einzelnen Fristverlängerungen und ihrer praktischen Auswirkungen finden Sie in unserem gesonderten Beitrag zu den Übergangsfristen der KI-VO (hier nachzulesen).
Mit dem neuen Art. 4a KI-VO wird die Möglichkeit erweitert, besondere Kategorien personenbezogener Daten zur Erkennung, Überwachung und Korrektur von Verzerrungen in KI-Modellen und KI-Systemen zu verarbeiten.
Bereits die ursprüngliche KI-VO enthielt in Art. 10 Abs. 5 KI-VO eine eng begrenzte Möglichkeit für Anbieter von Hochrisiko-KI, besondere Kategorien personenbezogener Daten zu verarbeiten. Dies war zulässig, soweit die Verarbeitung unbedingt erforderlich war, um Verzerrungen in Trainings-, Validierungs- und Testdatensätzen zu erkennen und zu korrigieren.
Der neue Art. 4a KI-VO geht darüber hinaus. Die Verarbeitung besonderer Kategorien personenbezogener Daten soll nun unter bestimmten Voraussetzungen auch zur Bias Detection und Bias Mitigation bei KI-Modellen und KI-Systemen außerhalb dieses ursprünglichen engen Anwendungsbereichs möglich sein.
Die Regelung ist jedoch an strenge Voraussetzungen und Schutzmaßnahmen geknüpft. Insbesondere führt sie nicht dazu, dass die DSGVO bei einer entsprechenden Verarbeitung unbeachtlich wäre.
Wichtig: Art. 4a KI-VO ersetzt nicht die DSGVO. Innerhalb der KI-VO entsteht ein zusätzlicher rechtlicher Anknüpfungspunkt für die Verarbeitung besonderer Kategorien personenbezogener Daten. Die Verarbeitung muss dennoch weiterhin im Einklang mit der DSGVO, insbesondere mit Art. 9 DSGVO, erfolgen.
Für Unternehmen bedeuten diese Änderungen, die eigenen KI-Anwendungen und bestehenden Compliance-Strukturen auf die neuen Vorgaben hin zu überprüfen und gegebenenfalls anzupassen. Da bei der Nutzung von KI-Systemen regelmäßig auch personenbezogene Daten verarbeitet werden, sind neben den Anforderungen der KI-VO in vielen Fällen zugleich die Vorgaben der DSGVO zu beachten und aufeinander abzustimmen.
Gerne unterstützen wir Sie bei der Einordnung der neuen Anforderungen und beraten Sie bei der datenschutzrechtlichen Umsetzung der Vorgaben der KI-Verordnung in Ihrem Unternehmen.