Digital Omnibus AI Act: Was sich für KMU ab Mai 2026 ändert

Am 7. Mai 2026 haben der Rat der EU und das Europäische Parlament den Digital Omnibus beschlossen -- ein Gesetzespaket, das unter anderem die Fristen und Regelungen der KI-Verordnung (Verordnung 2024/1689) anpasst. Für KMU bringt der Omnibus sowohl Erleichterungen als auch neue Pflichten. Dieser Artikel fasst die wichtigsten Änderungen zusammen und zeigt, was Sie jetzt konkret tun müssen.

Was ist der Digital Omnibus?

Der Digital Omnibus ist ein legislatives Paket der EU, das mehrere bestehende Digitalgesetze vereinfacht und aufeinander abstimmt -- darunter auch die KI-Verordnung (AI Act). Ziel ist es, die Regulierung praxistauglicher zu machen, ohne das Schutzniveau abzusenken. [Omnibus-Vereinbarung vom 7. Mai 2026]

Am 7. Mai 2026 haben Rat und Parlament die politische Einigung erzielt; das EU-Parlament hat den Text am 16. Juni 2026 im Plenum angenommen (423:57:174), der Rat hat ihn am 29. Juni 2026 final angenommen. Unterzeichnet am 8. Juli 2026, veröffentlicht im Amtsblatt am 24. Juli 2026 und in Kraft seit dem 27. Juli 2026 als Verordnung (EU) 2026/1744. Da es sich um eine Verordnung handelt, gilt sie unmittelbar in allen Mitgliedstaaten -- ohne Umsetzung in nationales Recht.

Die neuen Fristen im Überblick

Der Omnibus verschiebt mehrere Fristen der KI-Verordnung. Die folgende Tabelle zeigt die ursprünglichen und die neuen Termine:

[Art. 113 KI-VO -- Übergangsbestimmungen; Digital Omnibus on AI, Procedure 2025/0359(COD), politische Einigung im Trilog 07.05.2026 -- vom Rat am 29.06.2026 final angenommen, im Amtsblatt veröffentlicht am 24.07.2026, in Kraft seit 27.07.2026]

Neue Verbote: Deepfakes und Nudification (ab 02.12.2026)

Der Omnibus erweitert die Liste der verbotenen KI-Praktiken in Art. 5 KI-VO um einen neuen Tatbestand: die KI-gestützte Erzeugung nicht-einvernehmlicher intimer Bildaufnahmen, sogenannte Nudifier. [Art. 5 KI-VO, ergänzt durch Digital Omnibus]

Das bedeutet konkret: KI-Systeme, die auf Basis realer Fotos intime oder sexualisierte Bilder einer Person erzeugen -- ohne deren ausdrückliche Zustimmung -- sind künftig verboten. Dieses Verbot gab es in der ursprünglichen KI-Verordnung nicht. Es ist eine direkte Reaktion auf die zunehmende Verbreitung solcher Tools. Wichtig: Die neuen Verbotstatbestände (Art. 5 Abs. 1 lit. ba und bb sowie die neuen Absätze 1a und 1b) gelten nicht bereits seit Inkrafttreten der Änderungsverordnung am 27.07.2026, sondern erst ab dem 2. Dezember 2026.

Was bedeutet das für KMU?

Der Omnibus hat unterschiedliche Auswirkungen je nach Pflichtenkategorie. Hier die Einordnung für mittelständische Unternehmen:

Verbote und Kompetenzpflicht: Gelten JETZT

Art. 4 (KI-Kompetenz) und Art. 5 (Verbote) sind seit dem 2. Februar 2025 in Kraft. Am Stichtag ändert der Omnibus nichts, am Maßstab von Art. 4 schon: Seit dem 27.07.2026 gilt die Neufassung, die statt „sicherstellen" nur noch „Maßnahmen ergreifen, um die Entwicklung zu unterstützen" verlangt und ausdrücklich kein garantiertes Kompetenzniveau fordert. Wenn Sie noch keine Schulungen für Ihre Mitarbeiter dokumentiert haben, verstoßen Sie bereits gegen die Verordnung. Das ist keine theoretische Gefahr -- die nationalen Aufsichtsbehörden nehmen ihre Arbeit auf. [Art. 4, Art. 5, Art. 113 KI-VO]

Transparenzpflichten: Ab August 2026: Watermarking-Übergangsfrist bis Dezember 2026

Die allgemeinen Transparenzpflichten nach Art. 50 (Chatbot-Offenlegung, Deepfake-Kennzeichnung) gelten ab dem 2. August 2026, daran ändert der Omnibus nichts. Auch die maschinenlesbare Kennzeichnung durch Anbieter synthetischer Inhalte (Art. 50 Abs. 2) gilt seit dem 2. August 2026. Der Omnibus gewährt lediglich eine Übergangsfrist bis zum 2. Dezember 2026 – und zwar nur für generative Systeme, die vor dem 2. August 2026 in Verkehr gebracht wurden (Art. 111 Abs. 4). Systeme, die ab dem 2. August 2026 neu auf den Markt kommen, müssen sofort konform sein. Wenn Sie Chatbots betreiben oder KI zur Kundenkommunikation einsetzen, müssen Ihre Prozesse bis August 2026 stehen. [Art. 50 KI-VO; Omnibus]

Hochrisiko: Mehr Zeit, aber jetzt anfangen

Die Hochrisiko-Pflichten nach Anhang III wurden auf den 2. Dezember 2027 verschoben -- das sind 16 Monate mehr als ursprünglich geplant. Klingt nach viel. Ist es nicht. Risikomanagementsysteme, technische Dokumentation, Logging, Human Oversight und Grundrechte-Folgenabschätzungen (FRIA) sind komplex und brauchen Vorlauf. [Art. 6 Abs. 2, Art. 9-15, Art. 27 KI-VO; Omnibus]

Was Sie jetzt tun sollten

Vier konkrete Schritte, die Sie als KMU jetzt angehen sollten -- priorisiert nach Dringlichkeit:

1. KI-Inventar erstellen

Listen Sie alle KI-Systeme auf, die in Ihrem Unternehmen im Einsatz sind -- ob eingekauft, selbst entwickelt oder als Service genutzt. Ohne Inventar können Sie weder Risiken bewerten noch Pflichten zuordnen. Diese Pflicht ergibt sich implizit aus den Betreiberpflichten und ist Voraussetzung für alles Weitere. [Art. 26 KI-VO]

2. Schulungen dokumentieren

Die KI-Kompetenzpflicht nach Art. 4 gilt seit Februar 2025. Schulen Sie Geschäftsführung und alle Mitarbeiter, die KI-Systeme bedienen oder deren Einsatz verantworten. Dokumentieren Sie Datum, Teilnehmer und Inhalte. Eine formlose interne Schulung reicht -- aber sie muss nachweisbar sein. [Art. 4 KI-VO; ErwGr 20-21]

3. Transparenz-Prozesse aufbauen

Bis zum 2. August 2026 müssen die allgemeinen Transparenzpflichten umgesetzt sein: Chatbot-Offenlegung, Kennzeichnung KI-generierter Inhalte, Deepfake-Hinweise. Für das Watermarking nach Art. 50 Abs. 2 gilt eine Übergangsfrist bis zum 2. Dezember 2026 – aber nur für generative Systeme, die vor dem 2. August 2026 in Verkehr gebracht wurden (Art. 111 Abs. 4). Prüfen Sie, wo in Ihrem Unternehmen KI-Inhalte entstehen und an Kunden oder die Öffentlichkeit gelangen. Definieren Sie Kennzeichnungsstandards. [Art. 50 KI-VO; Omnibus]

4. Hochrisiko-Vorbereitung starten

Wenn Ihre KI-Systeme unter Anhang III fallen (z. B. HR-Recruiting, Kreditscoring, Zugangskontrollen), haben Sie bis Dezember 2027 Zeit. Nutzen Sie diese Zeit aktiv: Beginnen Sie mit der Risikoklassifizierung, bauen Sie ein Risikomanagementsystem auf und klären Sie die Zuständigkeiten intern. Die Anforderungen nach Art. 9-15 KI-VO sind umfangreich und erfordern technische und organisatorische Vorarbeit. [Art. 6 Abs. 2, Art. 9-15, Anhang III KI-VO; Omnibus]

Fazit: Der Omnibus gibt Zeit -- aber nicht für die Grundlagen

Der Digital Omnibus – seit dem 27. Juli 2026 als VO (EU) 2026/1744 in Kraft – bringt eine wichtige Neuordnung der AI-Act-Fristen. Die Hochrisiko-Pflichten nach Anhang III rücken auf Dezember 2027, die allgemeinen Transparenzpflichten bleiben bei August 2026 (Watermarking-Übergangsfrist für Bestandssysteme bis Dezember 2026), und die Produktpflichten nach Anhang I auf August 2028. Gleichzeitig wurden die Verbote um Nudification-KI erweitert.

Für KMU bedeutet das: Die Basispflichten -- Schulung, Verbote, KI-Inventar -- sind längst fällig. Die Transparenzfrist (Art. 50) greift in knapp drei Monaten. Und die zusätzliche Zeit bei Hochrisiko sollte nicht als Einladung zum Abwarten verstanden werden, sondern als Chance, die Vorbereitung sauber aufzusetzen.

Unternehmen, die jetzt strukturiert anfangen, werden die Fristen einhalten. Unternehmen, die warten, werden unter Zeitdruck schlechte Lösungen implementieren. Der Unterschied liegt nicht im Budget, sondern im Startpunkt.

Stand: Juli 2026. Dieser Artikel dient der Information und ersetzt keine Rechtsberatung. Alle Angaben beziehen sich auf die Verordnung (EU) 2024/1689 in der verabschiedeten Fassung sowie die politische Einigung zum Digital Omnibus vom 7. Mai 2026. Der Rat hat den Omnibus am 29. Juni 2026 final angenommen; die Veröffentlichung im Amtsblatt (Juli 2026) steht noch aus. Für spezifische Rechtsfragen konsultieren Sie einen auf KI-Recht spezialisierten Anwalt.