EU-Regierungen und das Europäische Parlament haben in den frühen Morgenstunden des 7. Mai 2026 nach neunstündigen Verhandlungen über Nacht eine vorläufige Einigung über den Digital Omnibus erzielt. Drei Dinge haben sich geändert: (i) Zwei Fristen für die Umsetzung von Hochrisiko-Systemen wurden nach hinten verschoben; (ii) in Maschinen eingebettete KI fällt nicht unter das KI-Gesetz (AI Act); und (iii) zwei neue Verbote wurden hinzugefügt. Die Vereinbarung macht Boden gut, der verloren ging, als die Triloge am 28. April wegen des Geltungsbereichs für Maschinen scheiterten. Sie bleibt bis zur formellen Billigung vorläufig.

Organisationen, die KI entwickeln, einführen oder nutzen, sollten diese neuen Termine als Grundlage für ihre Planung heranziehen. Diese Einigung wurde unter dem anhaltenden Druck der Ratspräsidentschaft erzielt, unter dem Deckmantel einer Wettbewerbsformulierung im Stile von Draghi. Sie wird im nächsten Mandat nicht wieder aufgerollt.

Die wesentlichen Änderungen

Diese Verhandlungen führten zu drei wesentlichen Änderungen am EU-KI-Gesetz, die im Folgenden im Einzelnen erläutert werden.

1. Zeitplan für die Umsetzung

Zwei Fristen wurden verschoben. Beide sind nun fest vorgegeben und ersetzen die frühere, an die Verfügbarkeit harmonisierter Normen gekoppelte Übergangsfrist der Kommission.

Zum Hintergrund: Anhang III orientierte sich am allgemeinen Anwendungsdatum des Gesetzes, und Anhang I hatte eine eigene Dreijahresfrist gemäß Artikel 113 Buchstabe c. Anhang III betrifft biometrische Identifizierung, kritische Infrastrukturen, Beschäftigung, Bildung, Strafverfolgung, Migration und Rechtspflege. Anhang I betrifft KI in Produkten, die bereits dem EU-Sicherheitsrecht für bestimmte Sektoren unterliegen (Medizinprodukte, In-vitro-Diagnostika, Kraftfahrzeuge, Zivilluftfahrt, Eisenbahn). Der verlängerte Zeitrahmen für die Durchsetzung wurde bereits zu einem früheren Zeitpunkt der Verhandlungen vereinbart, während es bei den jüngsten Auseinandersetzungen darum ging, wie das KI-Gesetz Maschinen erfasst.

1. Maschinen

Die Industrie argumentierte, dass in Industrieanlagen eingebettete KI bereits durch die Maschinenverordnung (EU) 2023/1230 geregelt sei und eine parallele Regulierungsebene durch das KI-Gesetz zu einer doppelten Konformitätsbewertung ohne angemessenen Nutzen führen würde. Der Beschluss vom Mai akzeptiert dieses Argument: KI, die in Maschinen im Anwendungsbereich der Verordnung 2023/1230 eingebettet ist, ist vom KI-Gesetz ausgenommen.

Diese Ausnahme ist jedoch eng gefasst. Sie gilt nicht für KI zur Verwaltung von Arbeitskräften in Fabrikhallen, biometrische Komponenten oder agentenbasierte Systeme (Agentic Systems), die für den Betrieb von Maschinen eingesetzt werden; diese fallen je nach Sachlage weiterhin unter Anhang III.

Ein Beispiel: Eine KI zur industriellen optischen Inspektion in einer Maschine mit CE-Kennzeichnung fällt nun unter die Maschinenverordnung und nicht mehr unter das KI-Gesetz, aber die Verpflichtungen bleiben bestehen. Die Maschinenverordnung enthält eigene grundlegende Sicherheits- und Gesundheitsschutzanforderungen, Verfahren zur Konformitätsbewertung und Pflichten zur technischen Dokumentation. Die Erkennung von Konzeptverschiebungen (Drift Detection) und Vorgaben zur menschlichen Aufsicht gelten weiterhin, da Anhang III eine Sicherheitsleistung über den gesamten Lebenszyklus für selbstlernende Maschinen und die Möglichkeit des manuellen Eingreifens durch den Bediener vorschreibt. Medizinprodukte-KI unter der MDR ist ähnlich, aber nicht identisch – sie verbleibt in Anhang I, wobei das KI-Gesetz die MDR ergänzt, statt hinter ihr zurückzutreten.

1. Zwei neue Verbote, beide wirksam ab dem 2. Dezember 2026

Das Parlament benötigte konkrete Ergänzungen, um zu beweisen, dass das Gesetz nicht ausgehöhlt wurde, und erhielt zwei.

1. Nicht einvernehmliche, durch KI generierte sexuelle Darstellungen sind verboten. Die Bestimmung reagiert auf dieselben politischen Bedenken wie die jüngsten Deepfake-Kontroversen (einschließlich Inhalten des Grok-Chatbots von xAI) und auf die Bestimmungen zum Missbrauch intimer Bilder im britischen Online Safety Act. Die genaue Platzierung wird voraussichtlich im konsolidierten Text bestätigt.

2. Die Kennzeichnung von KI-generierten Inhalten mittels Wasserzeichen wird für Anbieter verpflichtend. Bilder, Audio und Video sind davon betroffen; synthetischer Text ist die noch offene Frage für die Durchführungsrechtsakte (siehe Bird & Bird und AOShearman). Der C2PA Content Credentials Standard ist der wahrscheinlichste Bezugspunkt, wurde jedoch noch nicht bestätigt. Dies geht über die Kennzeichnungspflicht nach Artikel 50 Absatz 2 hinaus, indem der technische Mechanismus vorgeschrieben wird, anstatt ihn den Anbietern zu überlassen.

Die zweite Ergänzung hat die weitreichendsten Auswirkungen und ist etwas, das die meisten Anbieter und Anwender noch nicht in ihre Entwicklungsprozesse integriert haben.

Was sich mit den Fristen nicht verschoben hat

Der Omnibus hat die regulatorische Mindestanforderung an einer Stelle um sechzehn Monate und an einer anderen um zwölf Monate verschoben. Oberhalb dieser Mindestanforderung hat sich jedoch nichts geändert, und die Obergrenze hat sich von selbst weiter verschoben. Versicherungsprüfungen, Aufsichtsratskontrollen, ISO/IEC 42001 und Erklärungen zur Kundenbeschaffung verschärfen sich nach ihrem eigenen Zeitplan; Fragebögen von Versicherern fordern inzwischen routinemäßig Nachweise über die Bestandsführung und Risikoklassifizierung. Bojana Bellamys Formulierung in Episode 15 des AI Governance Podcasts bringt es auf den Punkt: Compliance ist das Minimum, Verantwortung (Accountability) ist alles darüber.

Betrachten Sie die Vereinbarung lediglich als eine Fristverschiebung, werden Sie die falschen Arbeitsschritte depriorisieren. Die Verpflichtungen, die während des Aufschubs am ehesten die Aufmerksamkeit der Regulierungsbehörden auf sich ziehen werden, sind bereits in Kraft. Die KI-Kompetenz (AI literacy) gemäß Artikel 4 steht ganz oben auf der Liste und ist in diesem Quartal ein aktiver Budgetposten. Die Verbote nach Artikel 5 und die Transparenzpflichten nach Artikel 50 gelten weiterhin, ebenso wie die GPAI-Verpflichtungen im Rahmen des Praxiskooperationskodex (Code of Practice). Das KI-Amt (AI Office) baut weiterhin zentrale Kapazitäten auf, die Benennungen nach Artikel 70 festigen sich, und die strukturelle Durchsetzungslücke, die Sophie in 't Veld im Februar in unserem Podcast dargelegt hat, ist nicht geschlossen. Die Anforderungen des sektoralen Sicherheitsrechts im Finanzdienstleistungsbereich, bei Medizinprodukten und der funktionalen Sicherheit im Automobilbereich bleiben unberührt.

Wie Bellamy es ausdrückte: Der Fokus fortschrittlicher Organisationen verschiebt sich von der Sorge vor einer Strafe in Höhe von vier Prozent hin zur Sorge über den Verlust von Chancen, wenn KI nicht effektiv eingesetzt und keine Produkte entwickelt werden, denen die Kunden vertrauen.

Fünf Aufgaben für diese Woche

Im Folgenden führen wir fünf Maßnahmen auf, die Sie heute ergreifen können, um sich vorzubereiten, geordnet nach Dringlichkeit. Die ersten beiden sichern Arbeiten, die in Ihrem Unternehmen bereits laufen sollten, und die letzten drei richten die Planung neu aus, bevor die neuen Termine verbindlich werden.

1. Unterbrechen Sie nicht die Erstellung Ihres KI-Inventars. 

Die Verpflichtungen aus Anhang III gelten ab Dezember 2027 statt ab August 2026, aber der Aufwand für den Aufbau und die Pflege Ihres Inventars ist erheblich. Nutzen Sie die zusätzlichen sechzehn Monate, um Vollständigkeit über alle Geschäftsbereiche, agentenbasierten Systeme und Schatten-KI-Anwendungen hinweg zu erreichen. Die Signale von Beschaffung, Vorstand und Versicherern, die das Inventar im Jahr 2025 forderten, haben nicht an Bedeutung verloren.

1. Evaluieren Sie vor September ein Proof-of-Concept für Wasserzeichen auf Basis von C2PA.

Der Rahmen ist ab dem 2. Dezember 2026 verbindlich (sieben Monate); die technische Spezifikation folgt über Durchführungsrechtsakte. Bei richtiger Strukturierung sollte die Entwicklungsabteilung für die Umsetzung verantwortlich sein, das Governance-Team sollte die Definition der Ausgabeklassen (Bild, Audio, Video, eventuell Text) überprüfen und die Rechtsabteilung sollte die Konsultation verfolgen.

1. Erstellen Sie eine Checkliste für den Nachweistransfer zwischen den Konformitätswegen des KI-Gesetzes und der Maschinenverordnung. 

Identifizieren Sie für jedes System im Anwendungsbereich der Verordnung 2023/1230, was übertragen werden kann (Risikomanagement-Dateien, Überwachung nach dem Inverkehrbringen, Teile der technischen Dokumentation), was überarbeitet werden muss (Referenzsatz harmonisierter Normen, grundlegende Sicherheits- und Gesundheitsschutzanforderungen) und an welche zuständige Behörde Sie berichten. Machen Sie dies zu einem gemeinsamen Arbeitsschritt mit der Produktsicherheit, da Lücken meist bei der Übergabe der Dokumentation entstehen.

1. Führen Sie die Klassifizierungen nach Anhang III für alle Systeme, die den Maschinenbereich berühren, erneut durch. 

Die allgemeine Klassifizierungslogik in Artikel 6 bleibt unverändert, der Anwendungsbereich wird sich jedoch nun erweitern. Dokumentieren Sie die Begründung und die Muster, die sich am ehesten ändern werden: KI-Funktionen in CE-gekennzeichneten Maschinen (jetzt Maschinenverordnung), KI zur Verwaltung von Arbeitskräften an Industriestandorten (weiterhin Anhang III), biometrische Komponenten in ansonsten ausgenommenen Geräten (weiterhin Anhang III).

1. Formulieren Sie die Argumentationslinie für die Unternehmensführung. 

Um die Führungsebene zu informieren, sind hier die vier Punkte, die Sie in einem Executive Briefing ansprechen sollten:

• Die Durchsetzungsfristen haben sich verschoben. Die Erwartungen von Vorstand, Kunden und Versicherern jedoch nicht.

• Die KI-Kompetenz gemäß Artikel 4 ist in Kraft und das wahrscheinlichste Ziel von Durchsetzungsmaßnahmen während des Aufschubs.

• Die Kennzeichnung mit Wasserzeichen ist nun sowohl eine Compliance-Verpflichtung als auch eine technische Entwicklungsaufgabe. Der neue Rahmen ist ab Dezember 2026 verbindlich, die technische Spezifikation wird danach folgen. Bauen Sie die Pipeline jetzt auf und verfolgen Sie parallel dazu die Konsultation.

• ISO 42001, sektorales Sicherheitsrecht und Beschaffungsnachweise folgen ihrem eigenen Zeitplan, und die Arbeit, die Sie an dem Inventar geleistet haben, bildet die Grundlage für alle diese Bereiche.

Worauf wir als Nächstes achten

Es sind noch einige Schritte erforderlich, bis die Position im Digital Omnibus endgültig ist. Auch wenn dies Ihre Planung nicht verzögern sollte, da die schwierige Arbeit auf regulatorischer Seite nun getan ist, gibt es einige Termine und Aktualisierungen, die Sie im Auge behalten sollten:

• Formelle Billigungsvoten von Rat und Parlament, die vor dem 30. Juni erwartet werden.

• Durchführungsrechtsakte für Wasserzeichen, insbesondere die Frage des Geltungsbereichs für synthetischen Text; erstes Signal voraussichtlich eine öffentliche Konsultation.

• Sektorspezifische Leitlinien zu KI in Maschinen von der Generaldirektion GROW und den Produktbehörden der Mitgliedstaaten.

• Leitlinien des KI-Amtes vor der Umsetzung sowie Entscheidungen der Mitgliedstaaten in Frankreich, Deutschland und den Niederlanden, wo nationale Leitlinien traditionell zuerst veröffentlicht wurden.

Wo Enzai ins Spiel kommt

Die Kontinuität des Inventars ist der operative rote Faden dieser Vereinbarung. Die Fristen haben sich verschoben; die Pflicht zur Inventarisierung nicht, und das meiste, was über die Mindestanforderungen hinausgeht (Vorstandsaufsicht, Nachweise für Versicherer, ISO 42001, Beschaffungsnachweise), basiert darauf. Das KI-Inventar von Enzai hält das Register auf dem neuesten Stand, während Systeme zwischen dem KI-Gesetz, der Maschinenverordnung und dem sektoralen Sicherheitsrecht wechseln, und liefert das Signal für die Bereitschaft zur Wasserzeichenkennzeichnung, von dem Maßnahme 2 abhängt.

Referenzen

Primärgesetzgebung und offizielle Quellen

• Verordnung (EU) 2024/1689, das KI-Gesetz: https://eur-lex.europa.eu/eli/reg/2024/1689/oj

• Verordnung (EU) 2023/1230, die Maschinenverordnung: https://eur-lex.europa.eu/eli/reg/2023/1230/oj

• Europäische Kommission, KI-Amt: https://digital-strategy.ec.europa.eu/en/policies/ai-office

• GPAI-Praxiskooperationskodex: https://digital-strategy.ec.europa.eu/en/policies/ai-code-practice

• KI-Gesetz Artikel 4 (KI-Kompetenz): https://artificialintelligenceact.eu/article/4/

• KI-Gesetz Artikel 5 (verbotene Praktiken): https://artificialintelligenceact.eu/article/5/

• KI-Gesetz Artikel 6 (Klassifizierung als Hochrisiko-System): https://artificialintelligenceact.eu/article/6/

• KI-Gesetz Artikel 50 (Transparenz): https://artificialintelligenceact.eu/article/50/

• KI-Gesetz Anhang I (regulierte Produkte): https://artificialintelligenceact.eu/annex/1/

• KI-Gesetz Anhang III (Hochrisiko-Kategorien): https://artificialintelligenceact.eu/annex/3/

Standards

• ISO/IEC 42001:2023, KI-Managementsysteme: https://www.iso.org/standard/42001

• C2PA Content Credentials: https://c2pa.org/

News und Analysen

• Reuters / Free Malaysia Today, "EU countries, lawmakers clinch provisional deal on watered-down AI rules", 7. Mai 2026: https://www.freemalaysiatoday.com/category/world/2026/05/07/eu-countries-lawmakers-clinch-provisional-deal-on-watered-down-ai-rules

• IAPP, "AI Act Omnibus: What just happened and what comes next?": https://iapp.org/news/a/ai-act-omnibus-what-just-happened-and-what-comes-next

• Cyprus Mail, "EU lawmakers back softer AI Act after pressure from industry", 7. Mai 2026: https://cyprus-mail.com/2026/05/07/eu-lawmakers-back-softer-ai-act-after-pressure-from-industry

• Bird & Bird, "Digital Omnibus on AI Trilogue Stalls Ahead of the AI Act Deadline": https://www.twobirds.com/en/insights/2026/germany/digital-omnibus-on-ai-trilogue-stalls-ahead-of-the-ai-act-deadline

• AOShearman, "Digital Omnibus on AI: what is really on the table as trilogues begin": https://www.aoshearman.com/en/insights/digital-omnibus-on-ai-what-is-really-on-the-table-as-trilogues-begin

Hintergrund

• Mario Draghi, The future of European competitiveness, September 2024: https://commission.europa.eu/topics/eu-competitiveness/draghi-report_en

• UK Online Safety Act: https://www.gov.uk/government/collections/online-safety-act

• AI Governance Podcast EP15, Compliance vs. Accountability mit Bojana Bellamy: https://www.enz.ai/ai-governance-podcast-compliance-vs-accountability-with-bojana-bellamy

• AI Governance Podcast EP14, Sophie in 't Veld: https://www.enz.ai/ai-governance-podcast-fundamental-rights-and-digital-law-with-sophie-in-t-veld