Digital Omnibus: EU bremst KI-Verordnung aus

Brüssel steht vor einer Kehrtwende bei der Durchsetzung des KI-Gesetzes. Während „inakzeptable” KI-Systeme seit Februar streng verboten sind, könnte eine neue Initiative der Europäischen Kommission die Fristen für Hochrisiko-Anwendungen massiv verlängern – und zwar abhängig davon, wann technische Standards überhaupt verfügbar werden.

Die am 8. Dezember veröffentlichten Rechtsanalysen zeigen: Das sogenannte „Digital Omnibus”-Paket führt einen „Stop-the-Clock”-Mechanismus ein, der Unternehmen mehr Zeit verschaffen soll. Was steckt dahinter? Die EU-Kommission reagiert auf einen kritischen Engpass – viele harmonisierte Standards existieren schlicht noch nicht. Firmen sollen nun nicht mehr zu Compliance-Maßnahmen gezwungen werden, für die es keine technischen Leitlinien gibt.

Doch während Brüssel bei Hochrisiko-Systemen auf die Bremse tritt, bleiben die härtesten Verbote eisern bestehen. Seit zehn Monaten sind bestimmte KI-Praktiken komplett untersagt – mit drakonischen Strafen von bis zu 35 Millionen Euro oder sieben Prozent des weltweiten Jahresumsatzes.

Das Digital Omnibus-Paket, erstmals am 19. November 2025 vorgeschlagen, ändert das Spiel für Hochrisiko-KI-Systeme fundamental. Bislang galten feste Deadlines – August 2026 oder August 2027, je nach Systemtyp. Jetzt bindet die Kommission die Verpflichtungen an die tatsächliche Verfügbarkeit harmonisierter Standards.

Viele Unternehmen stehen jetzt vor unklaren Übergangsregeln: Wenn Pflichten an die Verfügbarkeit harmonisierter Standards gekoppelt werden, ändern sich Zeitpläne und Dokumentationsanforderungen plötzlich. Die EU-KI-Verordnung enthält komplexe Vorgaben zu Risikoklassen, Transparenzpflichten und hohen Sanktionen (bis zu 35 Mio. € oder 7 % des Jahresumsatzes). Unser kostenloses Umsetzungs-E-Book fasst die wichtigsten Anforderungen, Übergangsfristen und praktische Maßnahmen zur Compliance zusammen – speziell für Entwickler und Anbieter in der EU. Jetzt kostenlosen KI-Umsetzungsleitfaden herunterladen

Konkret bedeutet das:

• Annex-III-Systeme: Compliance wird sechs Monate nach Bestätigung der Standards fällig.
• Annex-I-Systeme: Unternehmen haben zwölf Monate Zeit nach der Entscheidung.

„Statt eines fixen Datums sind die Pflichten jetzt an die Verfügbarkeit harmonisierter Standards gekoppelt”, analysierte White & Case am 5. Dezember. Die Botschaft an die Wirtschaft: Ihr müsst nicht das Unmögliche leisten.

Als Notfallmechanismus bleiben allerdings „Long-Stop”-Daten bestehen: Dezember 2027 für Annex III und August 2028 für Annex I. Spätestens dann müssen alle liefern – Standards hin oder her.

Zusätzlich profitieren kleinere mittelständische Unternehmen mit bis zu 750 Mitarbeitern und 150 Millionen Euro Umsatz von vereinfachten Dokumentationspflichten. Ein kleiner Lichtblick für den europäischen Mittelstand, der bei der digitalen Transformation oft zwischen Compliance-Kosten und Innovationsdruck zerrieben wird.

Verbote ohne Kompromisse: Zehn Monate Null-Toleranz

Während Brüssel bei Hochrisiko-Systemen Flexibilität zeigt, bleibt die EU bei „inakzeptablen” KI-Praktiken kompromisslos. Seit dem 2. Februar 2025 – also seit über zehn Monaten – gelten strikte Verbote ohne jede Aufweichung.

Was ist konkret untersagt?

• Social Scoring: Bewertung von Menschen nach sozialem Verhalten oder persönlichen Merkmalen.
• Biometrische Kategorisierung: Ableitung sensibler Daten wie ethnische Herkunft oder politische Überzeugungen aus biometrischen Informationen.
• Emotionserkennung: KI-gestützte Gefühlsanalyse am Arbeitsplatz oder in Bildungseinrichtungen (Ausnahmen nur für Medizin und Sicherheit).
• Ungezieltes Scraping: Aufbau von Gesichtserkennungsdatenbanken durch massenhafte Erfassung von Bildern aus Internet oder Überwachungskameras.
• Predictive Policing: Vorhersage kriminellen Verhaltens allein auf Basis von Profiling oder Persönlichkeitsmerkmalen.

Für diese Verstöße gibt es keine Gnadenfrist. Die Strafen erreichen das Maximum: bis zu 35 Millionen Euro oder sieben Prozent des weltweiten Jahresumsatzes. Zum Vergleich: Für SAP mit einem Jahresumsatz von rund 30 Milliarden Euro würde das theoretisch über zwei Milliarden Euro bedeuten.

KI-Modelle unter Beobachtung: Oktober brachte Klarheit

Für Anbieter von General-Purpose-AI-Modellen (GPAI) – also Systemen wie GPT oder Claude – verschärfte sich die Lage bereits im August 2025. Transparenzpflichten und Urheberrechtsvorgaben traten am 2. August in Kraft.

Das entscheidende Instrument: Der GPAI Code of Practice. Nach monatelangen Verhandlungen wurde die finale Version in puncto Sicherheit und Schutzmaßnahmen im Oktober 2025 verabschiedet.

Was fordert der Kodex?

• Transparenz: Detaillierte Dokumentation von Trainingsdaten und Modellfähigkeiten.
• Urheberrecht: Konzepte zur Wahrung europäischer Copyright-Gesetze und Opt-out-Möglichkeiten für Rechteinhaber.
• Systemisches Risiko: Für besonders leistungsstarke Modelle (über 10^25 FLOPs Rechenleistung) sind rigorose Evaluierungen und Red-Teaming-Tests vorgeschrieben.

Zwar bleibt die Teilnahme am Kodex freiwillig, doch wer sich daran hält, genießt eine Konformitätsvermutung. De facto wird der Code damit zum Standard für alle großen Modell-Anbieter, die im EU-Markt aktiv sein wollen.

Fitness-Check: Regulierungs-Dschungel wird durchforstet

Das Digital Omnibus ist Teil eines größeren Projekts: Der „Digital Fitness Check” läuft noch bis März 2026 und untersucht Widersprüche zwischen KI-Verordnung, DSGVO und Data Act.

Die Reaktionen aus der Industrie fallen überwiegend positiv aus. „Die Vorschläge schaffen eine Rechtsgrundlage für die Verarbeitung besonderer Kategorien personenbezogener Daten zur Bias-Erkennung”, lobten Rechtsexperten diese Woche. Auch die erweiterten Erleichterungen für KMU werden begrüßt.

Trotzdem entsteht neue Unsicherheit. Ohne feste Termine für Hochrisiko-Compliance müssen Unternehmen nun permanent die Ankündigungen der Kommission zu harmonisierten Standards im Blick behalten. Standardisierungsgremien wie CEN und CENELEC halten faktisch die Stoppuhr in der Hand – eine ungewohnte Machtposition für technische Normungsorganisationen.

Was kommt 2026?

Das erste Quartal 2026 wird richtungsweisend. Im März endet die Konsultationsphase des Digital Fitness Check – danach dürften weitere Anpassungen folgen, besonders im Verhältnis zur DSGVO.

Der ursprünglich für August 2026 geplante Vollzug des KI-Gesetzes bleibt zwar formell bestehen, könnte aber durch das Digital Omnibus für bestimmte Hochrisiko-Bereiche verschoben werden.

Unternehmen stehen vor einem Dilemma: Einerseits winkt mehr Zeit durch den Stop-the-Clock-Mechanismus. Andererseits können Standards schneller als erwartet veröffentlicht werden – dann öffnet sich das Compliance-Fenster plötzlich. Wer die Vorbereitung jetzt verschläft, riskiert später Zeitdruck und Strafzahlungen.

Für deutsche Unternehmen bedeutet das konkret: Gap-Analysen weiterlaufen lassen, Hochrisiko-Konformität vorbereiten – aber mit einem Auge auf die Normungsgremien, die nun den Takt vorgeben.

PS: Das Digital Omnibus kann Übergangsfristen verlängern – aber nicht die grundlegenden Pflichten aufheben. Sichern Sie sich daher das kompakte E-Book zur EU-KI-Verordnung mit praxisnahen Checklisten zur Risikoklassifizierung, Dokumentationspflichten und Übergangsfristen. Das Gratis-Paket hilft Entwicklern, Anbietern und Compliance-Verantwortlichen, Gap-Analysen zu konkretisieren und Maßnahmen für Hochrisiko-Systeme umzusetzen. Kostenloses KI-Umsetzungs-E-Book sichern