Digital Omnibus (EU) 2026/1744: Was sich an der KI-VO wirklich geändert hat

01Was der Digital Omnibus überhaupt ist

Der Digital Omnibus ist kein neues Gesetz neben der KI-Verordnung, sondern ein Änderungsrechtsakt: Die Verordnung (EU) 2026/1744 greift in bestehende Digitalgesetze ein und verschiebt, präzisiert und entschlackt einzelne Pflichten. Für die KI-VO bedeutet das vor allem eines: Die Grundarchitektur aus verbotenen Praktiken, Hochrisiko-Systemen, Transparenzpflichten und GPAI-Regeln bleibt unverändert. Verschoben haben sich die Fristen für die kostenintensivsten Pflichten.

Die politische Logik dahinter ist offen kommuniziert: Harmonisierte Normen und die technische Infrastruktur der Marktüberwachung waren zum ursprünglichen Stichtag nicht fertig. Statt Unternehmen gegen einen Standard prüfen zu lassen, den es noch nicht gibt, koppelt der Omnibus den Geltungsbeginn stärker an die Verfügbarkeit der Normen. Wer daraus ableitet, die KI-VO sei entschärft worden, liest den Text falsch.

02Die neuen Fristen im Überblick

Am stärksten betroffen sind die Hochrisiko-Regime. Anhang-III-Systeme (u. a. Beschäftigung, Kreditwürdigkeit, kritische Infrastruktur, Bildung) und Anhang-I-Systeme (KI als Sicherheitsbauteil in bereits regulierten Produkten) bekommen deutlich mehr Zeit. Verbote und Transparenzpflichten bleiben, wo sie waren.

Wichtig für die Planung: Die Verschiebung ist teilweise an Bedingungen geknüpft. Sind die harmonisierten Normen und Unterstützungswerkzeuge früher verfügbar, kann die Kommission den Geltungsbeginn per Durchführungsrechtsakt vorziehen. Ein Projektplan, der fest auf Dezember 2027 kalkuliert, trägt dieses Risiko.

03Was sich inhaltlich wirklich geändert hat

Neben den Fristen enthält der Omnibus eine Reihe von Detailänderungen, die im Tagesgeschäft mehr ausmachen als die Terminverschiebung. Sie betreffen vor allem Registrierung, Dokumentationstiefe für kleinere Anbieter und das Verhältnis zur DSGVO.

04Was das für die deutsche Umsetzung bedeutet

Die Bundesnetzagentur ist als zentrale Marktüberwachungsbehörde benannt und hat ihre Prüfpraxis bereits im August 2026 aufgenommen. Der Omnibus ändert daran nichts: Verbote, Transparenzpflichten und KI-Kompetenz sind prüfbar, unabhängig davon, dass die Hochrisiko-Konformitätsbewertung später greift. Wer die Verschiebung als Freibrief liest, riskiert eine Prüfung an genau den Punkten, die weiterhin gelten.

Hinzu kommt die Überlagerung mit dem NIS2UmsuCG. Die Registrierungsnachfrist beim BSI ist Ende Juli 2026 abgelaufen; Nachweispflichten laufen unabhängig von der KI-VO. Für ein Unternehmen, das ein KI-System in einer besonders wichtigen Einrichtung betreibt, gilt der frühere der beiden Termine — und das ist derzeit fast immer NIS2.

05Die drei häufigsten Fehlschlüsse

In der Beratungspraxis tauchen seit Ende Juli drei Reaktionen auf, die alle teuer werden können.

Der dritte Punkt ist der gefährlichste. Wer ein zugekauftes Modell feintunt, unter eigenem Namen betreibt oder den Zweck ändert, rutscht nach Art. 25 in die Anbieterrolle — mit technischer Dokumentation, Konformitätsbewertung und Registrierungspflicht. Das passiert in RAG- und Fine-Tuning-Projekten häufiger, als die Projektteams annehmen.

06Wie Sie die gewonnene Zeit sinnvoll nutzen

15 zusätzliche Monate sind kein Puffer, sondern ein Umsetzungsfenster. Der teuerste Teil der KI-VO ist nicht die Konformitätsbewertung, sondern die Datenspur, die sie voraussetzt: Trainings- und Testdatenherkunft, Versionsstände, Evaluationsergebnisse, Vorfallhistorie. Wer diese Spur erst kurz vor dem Stichtag anlegt, kann sie nicht rückwirkend erzeugen.

Praktisch heißt das: Logging und Modellversionierung sofort produktiv schalten, Bias- und Robustheitstests in die CI-Kette hängen und die technische Dokumentation im selben Repository führen wie den Code. Der Aufwand fällt ohnehin an — nur eben verteilt statt gebündelt.

Häufige Fragen