EU-KI-Verordnung Omnibus: Was sich geändert hat, was nicht, und was KMU jetzt tun sollten

Update (Juli 2026): Der Digital Omnibus wurde inzwischen angenommen. Das Europäische Parlament hat ihn am 16. Juni 2026 gebilligt (423–57–174), der Rat hat am 29. Juni 2026 endgültig zugestimmt; die Veröffentlichung im Amtsblatt wird für Juli erwartet, das Inkrafttreten drei Tage danach. Die unten genannten verschobenen Fristen stehen damit fest: Hochrisiko nach Anhang III gilt ab 2. Dezember 2027, nach Anhang I ab 2. August 2028, und die Frist für nationale KI-Reallabore verschiebt sich auf 2. August 2027. Die Transparenzpflichten nach Art. 50 gelten weiterhin ab 2. August 2026. Den aktuellen Stand finden Sie in Der Digital Omnibus ist angenommen.

Am 7. Mai 2026 haben sich Europäisches Parlament und Rat auf den Digital Omnibus geeinigt — vorläufig, politisch, aber ernst gemeint. Nach dem gescheiterten Trilog vom 28. April hat dieser hier Konsens erzeugt. Die meisten Schlagzeilen lasen sich gleich: Hochrisiko-KI-Regeln um 16 Monate verschoben. Das stimmt. Es ist aber nicht die ganze Geschichte. Hier ist, was sich tatsächlich geändert hat, was exakt da bleibt, wo es war, und was europäische KMU diese Woche tun sollten.

Die neuen Fristen

Pflicht	Alte Frist	Neue Frist
Transparenzpflichten nach Art. 50(2) / KI-Inhaltskennzeichnung	2. Aug 2026	2. Aug 2026 (unverändert) — 3-Monats-Übergang für Systeme, die bereits am Markt sind, Compliance bis 2. Dez 2026
Neues Art.-5-Verbot (nicht-einvernehmliche sexuelle Inhalte, CSAM)	—	2. Dez 2026
Nationale KI-Reallabore	2. Aug 2026	2. Aug 2027
Hochrisiko-KI nach Anhang III (HR, Finanzen, Bildung, Gesundheit, etc.)	2. Aug 2026	2. Dez 2027
Hochrisiko-KI nach Anhang I (in regulierten Produkten eingebettet)	2. Aug 2027	2. Aug 2028

Die formellen Abstimmungen in Rat und Parlament werden für Juni oder Juli 2026 erwartet, um den Omnibus rechtsverbindlich zu machen. Bis dahin steht die ursprüngliche Frist 2. August 2026 weiterhin auf dem Papier. Praktisch: Die Verschiebung passiert, ist aber noch nicht rechtsverbindlich.

Was den Omnibus überlebt hat

Drei Dinge sind nicht mit der Schlagzeilen-Frist mitgewandert, und eines wurde strenger.

Die Transparenzpflichten nach Art. 50(2) bleiben. Jeder Anbieter generativer KI, der in die EU liefert, schuldet weiterhin die Frist 2. August 2026 für Inhaltskennzeichnung, Watermarking und Offenlegung KI-generierter Inhalte. Wer einen ChatGPT-Wrapper, einen Bildgenerator, ein Sprachtool oder einen Agenten betreibt, der auf Kundennachrichten antwortet — die Uhr ist am 7. Mai nicht stehengeblieben. Die Übergangsfrist für Bestandssysteme wurde sogar von sechs auf drei Monate verkürzt: Compliance spätestens bis 2. Dezember 2026.

Die KI-Kompetenzpflicht nach Art. 4 war ohnehin schon durchsetzbar. Seit 2. Februar 2025. Jeder Betreiber von KI-Systemen, unabhängig von der Risikoklasse, muss sicherstellen, dass das Personal die Systeme ausreichend versteht. Der Omnibus hat hier nichts geändert.

Ein neues Art.-5-Verbot landet zum 2. Dezember 2026. KI zur Erzeugung nicht-einvernehmlicher sexueller oder intimer Inhalte, einschließlich CSAM, wird zur Liste der verbotenen Praktiken hinzugefügt. Bußgeldrisiko nach Art. 99(3): bis zu 35 Millionen € oder 7 % des weltweiten Jahresumsatzes. Wer ein Produkt mit Bild- oder Videogenerierung betreibt, hat sieben Monate, um sicherzustellen, dass die Sicherungen halten.

Die Hochrisiko-Klassifizierungs-Leitlinien wurden strenger, nicht laxer. Am 19. Mai 2026 hat die Europäische Kommission ihre lange überfälligen Entwurfs-Leitlinien zur Klassifizierung nach Art. 6 und Anhang III veröffentlicht. Drei Dokumente, öffentliche Konsultation bis 23. Juni 2026. Die Klarstellungen haben Gewicht:

• Human in the Loop allein entfernt ein System nicht aus dem Hochrisiko-Regime. Fällt der Verwendungszweck in einen Anhang-III-Anwendungsfall, ist eine menschliche Prüferin kein Ausweg.
• Der Art.-6(3)-Filter (Ausnahme „kein wesentlicher Einfluss auf die Entscheidung") ist eng auszulegen und gilt überhaupt nicht für Profiling-Systeme.
• Die Definition des „Sicherheitsbauteils" für Anhang-I-Produkte wurde verengt: KI, die Nutzer:innen lediglich assistiert oder die Performance optimiert, ohne Gesundheits- oder Sicherheitsrisiken zu erzeugen, sitzt jetzt außerhalb von Hochrisiko.

Anders gesagt: Compliance wurde anspruchsvoller, nicht laxer. Die Frist hat sich verschoben. Der Standard wurde verschärft.

Das Beschaffungs-Problem

Hier ist der Teil, den die juristische Berichterstattung übersehen hat.

Europäische KMU, die KI in B2B-Kontexte verkaufen, haben bereits Kunden, die nach KI-Verordnungs-Readiness fragen. Sie haben im April gefragt, vor dem Omnibus. Sie fragen jetzt im Mai, nach dem Omnibus. Beschaffungsteams in Großunternehmen schreiben Anforderungen mit Zeitplänen, die nichts mit dem Zeitplan des Regulators zu tun haben. Eine Bank, die ihren Lieferanten-Onboarding-Zyklus durchläuft, pausiert ihren Compliance-Fragebogen nicht, weil der Rat etwas verschoben hat. Ein Krankenhaus, das einen Fünfjahresvertrag für Triage-KI unterzeichnet, will die Grundrechte-Folgenabschätzung heute sehen, nicht Ende 2027.

Die Frist 2. Dezember 2027 gilt für den Regulator. Die Frist des Kunden ist sein Beschaffungszyklus. Das sind zwei verschiedene Uhren.

Wer als KMU KI in HR, Finanzen, Gesundheit, Bildung, Recht, öffentliche Dienste oder kritische Infrastruktur verkauft, dem hat sich die Beschaffungsrealität nicht verschoben. Enterprise-Kunden werden weiter nach der Dokumentation fragen, nach der Klassifizierung, nach dem Kompetenzprogramm, nach dem Audit-Trail. Der Omnibus hat Atemraum gegenüber dem Regulator gegeben. Er hat keinen Atemraum gegenüber dem Käufer gegeben.

Es gibt noch eine leisere Konsequenz. Die 16-monatige Verschiebung bedeutet, dass Käufer wählerischer sein können. Vor sechs Monaten hätte ein Compliance-Team unter Fristdruck vielleicht eine halbfertige Compliance-Story akzeptiert. Jetzt können sie auf den Anbieter warten, der die vollständige Anhang-IV-Dokumentation tatsächlich vorliegen hat. Die Verschiebung neigt das Spielfeld zugunsten der Vorbereiteten.

Was KMU heute tun sollten

Der Omnibus ist keine Ausrede zum Vertagen. Er ist eine Chance, das beim ersten Mal richtig zu machen.

1. Klassifizieren Sie Ihre KI-Systeme jetzt, bevor die Beschaffung fragt. Lassen Sie sie durch einen Klassifikator laufen. Wissen Sie, welche unter Anhang III, welche unter Anhang I, welche unter Art. 50, welche minimal-riskant sind. Die Klassifizierung diktiert alles Weitere. Mit dem richtigen Tool ist das eine Fünf-Minuten-Aufgabe.
2. Sichern Sie Art. 50(2), wenn Sie GenAI ausliefern. Vorlagen, Watermarking-Strategie, Offenlegungssprache. Die Frist ist 2. August 2026 und sie hat sich nicht verschoben. Wer ein generatives Feature in die EU liefert, hat hier die einzige kurzfristige Uhr.
3. Starten Sie das Art.-4-KI-Kompetenzprogramm. Es ist seit Februar 2025 durchsetzbar. Die meisten Unternehmen haben es nicht. Prüferinnen und Kunden wissen das. Ein dokumentiertes Programm — selbst ein schlankes — ist ein Glaubwürdigkeits-Signal.
4. Dokumentieren Sie die KI-Systeme, die Sie bereits haben. Anhang-IV-Technische-Dokumentation, Risikomanagement nach Art. 9, Betreiberpflichten nach Art. 26, Grundrechte-Folgenabschätzung nach Art. 27 wo zutreffend. Der Omnibus gibt 16 Monate Zeit, das ordentlich aufzusetzen. Nutzen Sie sie. Nicht erst im Oktober 2027 unter Panikbedingungen entwerfen.
5. Überprüfen Sie die Klassifizierung jährlich. Die Kommission wird weiter Leitlinien veröffentlichen, die Entwurfs-Hochrisiko-Leitlinien werden finalisiert, die FRIA-Vorlage wird irgendwann landen. Ihre Klassifizierung heute kann sich nach einer einzigen Klarstellung der Kommission ändern. Behandeln Sie Compliance-Dokumentation als lebendig, nicht als erledigt.

Die Disziplin: Behandeln Sie den Omnibus als Vorlauf, nicht als Entlastung. 16 Monate Vorlauf erlauben, das ohne Hektik zu tun. 16 Monate Entlastung heißen, im Oktober 2027 im Panikmodus zu tun.

Wo Witness reinpasst

Witness ist die Self-Service-EU-AI-Act-Compliance-Plattform für europäische KMU. Der Klassifikator läuft in fünf Minuten und sagt Ihnen genau, welche Artikel auf Ihre Systeme zutreffen. Der Dokumentationsgenerator produziert einen Anhang-IV-Abschnitt, der den konkreten Absatz zitiert, auf dem er fußt. Der Audit-Trail ist manipulationssicher. Das Ganze ist von Tag eins zweisprachig DE und EN und wird in der EU gehostet.

Gründungsmitglied-Preise laufen bis 30. Juni 2026: Starter 99 € einmalig + 79 €/Jahr für Systeme mit begrenztem Risiko und Transparenzpflichten nach Art. 50(2). Professional 249 € einmalig + 199 €/Jahr für Hochrisiko-Systeme mit dem vollen Anhang IV, Art. 9, Art. 27 Stack. Team 499 € einmalig + 399 €/Jahr für Mehrnutzer-Organisationen.

Klassifikator starten — kostenlos, ohne E-Mail.

— Kevin Miller, Gründer · Witness · [email protected]

Quellen

• Pressemitteilung Europäischer Rat (7. Mai 2026): Artificial intelligence: Council and Parliament agree to simplify and streamline rules
• Entwurfs-Leitlinien der Europäischen Kommission zur Hochrisiko-Klassifizierung (19. Mai 2026): digital-strategy.ec.europa.eu
• Bird & Bird Analyse: Digital Omnibus on AI — provisional agreement reached at the May trilogue
• Hogan Lovells: EU legislators agree to delay for high-risk AI rules
• IAPP: AI Act Omnibus — what just happened and what comes next
• Inside Privacy Zusammenfassung: EU AI Act update — timeline relief, targeted simplification, and new prohibitions
• Konsolidierter Volltext der KI-Verordnung (Verordnung 2024/1689): EUR-Lex