Blog
•
9 Min. Lesezeit
Die EU-Regierungen und das Europäische Parlament haben sich in den frühen Morgenstunden des 7. Mai 2026 nach neunstündigen nächtlichen Verhandlungen vorläufig auf den Digital-Omnibus geeinigt. Drei Punkte haben sich geändert: (i) zwei Umsetzungsfristen für Hochrisiko-KI-Systeme wurden nach hinten verschoben; (ii) in Maschinen eingebettete KI fällt nicht mehr unter den AI Act; und (iii) zwei neue Verbote kamen hinzu. Damit wird der Rückstand aufgeholt, der entstand, als die Triloge am 28. April am Streit über den Anwendungsbereich für Maschinen scheiterten. Die Einigung bleibt vorläufig, bis sie förmlich gebilligt ist.
Organisationen, die KI entwickeln, betreiben oder nutzen, sollten diese neuen Termine als Grundlage ihrer Planung behandeln. Die Einigung kam unter anhaltendem Druck der Ratspräsidentschaft zustande, mit einer Wettbewerbsargumentation im Sinne des Draghi-Berichts als Rückendeckung. In der nächsten Legislaturperiode wird sie nicht wieder aufgeschnürt.
Die wesentlichen Änderungen
Die Verhandlungen haben drei wesentliche Änderungen am EU AI Act gebracht, die wir im Folgenden nacheinander erläutern.
Zeitplan für die Umsetzung
Zwei Fristen wurden verschoben. Beide sind nun verbindlich festgelegt und ersetzen die frühere bedingte Übergangsfrist der Kommission, die an die Verfügbarkeit harmonisierter Normen geknüpft war.
Anwendungsbereich | Bisher | Neu |
|---|---|---|
Eigenständige Hochrisiko-KI-Systeme (Anhang III) | 2. August 2026 | 2. Dezember 2027 |
KI in regulierten Produkten (Anhang I) | 2. August 2027 | 2. August 2028 |
Zur Einordnung: Anhang III folgte dem allgemeinen Geltungsbeginn der Verordnung, während für Anhang I nach Artikel 113 Buchstabe c eine eigene Dreijahresfrist galt. Anhang III umfasst biometrische Identifizierung, kritische Infrastruktur, Beschäftigung, Bildung, Strafverfolgung, Migration und Rechtspflege. Anhang I erfasst KI in Produkten, die bereits sektoralem EU-Sicherheitsrecht unterliegen (Medizinprodukte, In-vitro-Diagnostika, Kraftfahrzeuge, Zivilluftfahrt, Eisenbahn). Die Verlängerung des Durchsetzungszeitplans war schon früher in den Verhandlungen vereinbart worden; zuletzt wurde darum gerungen, wie der AI Act Maschinen erfasst.
Maschinen
Die Industrie argumentierte, in Industrieanlagen eingebettete KI sei bereits durch die Maschinenverordnung (EU) 2023/1230 geregelt, und eine zusätzliche Ebene durch den AI Act würde die Konformitätsbewertung ohne verhältnismäßigen Mehrwert verdoppeln. Die Einigung vom Mai folgt diesem Argument: In Maschinen eingebettete KI, die in den Anwendungsbereich der Verordnung 2023/1230 fällt, ist vom AI Act ausgenommen.
Diese Ausnahme ist jedoch eng gefasst. Sie gilt nicht für KI zur Steuerung von Beschäftigten in der Produktion, für biometrische Komponenten oder für agentische Systeme, mit denen Maschinen betrieben werden; diese fallen je nach Sachlage weiterhin unter Anhang III.
Ein Beispiel: eine industrielle KI zur Sichtprüfung in einer CE-gekennzeichneten Maschine. Sie fällt nun unter die Maschinenverordnung statt unter den AI Act, die Pflichten wandern jedoch mit. Die Maschinenverordnung hat eigene grundlegende Sicherheits- und Gesundheitsschutzanforderungen, ein eigenes Konformitätsbewertungsverfahren und eigene Pflichten zur technischen Dokumentation. Drifterkennung und die Gestaltung menschlicher Aufsicht bleiben erforderlich, weil Anhang III für sich selbst weiterentwickelnde Maschinen Sicherheit über den gesamten Lebenszyklus sowie die Übersteuerung automatisierter Funktionen durch den Bediener verlangt. KI in Medizinprodukten nach der MDR ist verwandt, aber nicht identisch: Sie bleibt in Anhang I, und der AI Act tritt dort zur MDR hinzu, statt hinter ihr zurückzutreten.
Zwei neue Verbote, beide gültig ab 2. Dezember 2026
Das Parlament brauchte konkrete Ergänzungen, um belegen zu können, dass die Verordnung nicht ausgehöhlt wurde, und es bekam zwei.
Nicht einvernehmliche KI-generierte sexuelle Darstellungen werden verboten. Die Vorschrift reagiert auf dieselbe politische Sorge wie die jüngsten Deepfake-Kontroversen (darunter Inhalte des Grok-Chatbots von xAI) und auf die Bestimmungen gegen den Missbrauch intimer Bilder im britischen Online Safety Act. Wo genau die Vorschrift verankert wird, dürfte der konsolidierte Text zeigen.
Wasserzeichen für KI-generierte Ausgaben werden für Anbieter verpflichtend. Erfasst sind Bilder, Audio und Video; ob auch synthetischer Text dazugehört, ist die offene Frage für die Durchführungsrechtsakte (siehe Bird & Bird und AOShearman). Der C2PA-Standard Content Credentials ist der wahrscheinlichste Bezugspunkt, aber noch nicht bestätigt. Das geht über die Kennzeichnungspflicht nach Artikel 50 Absatz 2 hinaus, weil der technische Mechanismus vorgegeben und nicht den Anbietern überlassen wird.
Die zweite Ergänzung hat die größte Tragweite, und die meisten Anbieter und Betreiber haben sie noch nicht in ihre Entwicklungsabläufe eingebaut.
Was sich mit den Fristen nicht verschoben hat
Der Omnibus hat die regulatorische Untergrenze an einer Stelle um sechzehn und an einer anderen um zwölf Monate verschoben. Darüber hat er nichts verschoben, und die Obergrenze steigt unabhängig davon weiter. Die Risikoprüfung durch Versicherer, die Aufsicht durch die Leitungsorgane, ISO/IEC 42001 und die Nachweise, die Kunden im Einkauf verlangen, verschärfen sich in ihrem eigenen Tempo; Fragebögen von Versicherern verlangen inzwischen routinemäßig Nachweise für die Pflege des Inventars und die Risikoklassifizierung. Bojana Bellamy hat es in Folge 15 des Podcasts über KI-Governance auf den Punkt gebracht: Compliance ist die Untergrenze, Rechenschaftspflicht alles, was darüber liegt.
Wer die Einigung nur als Fristverschiebung liest, setzt bei den Arbeitspaketen die falschen Prioritäten. Die Pflichten, die während des Aufschubs am ehesten die Aufmerksamkeit der Aufsichtsbehörden auf sich ziehen, gelten bereits. Die in Artikel 4 geregelte KI-Kompetenz steht an erster Stelle und ist in diesem Quartal ein konkreter Budgetposten. Die Verbote nach Artikel 5 und die Transparenzpflichten nach Artikel 50 gelten weiter, ebenso die Pflichten für KI-Modelle mit allgemeinem Verwendungszweck nach dem Verhaltenskodex. Das KI-Büro baut seine zentralen Kapazitäten noch auf, die Benennungen nach Artikel 70 müssen sich noch einspielen, und die strukturelle Durchsetzungslücke, die Sophie in 't Veld im Februar in unserem Podcast beschrieben hat, besteht weiter. Die Anforderungen des sektoralen Sicherheitsrechts bei Finanzdienstleistungen, Medizinprodukten und der funktionalen Sicherheit im Automobilbereich bleiben unberührt.
Bellamy formulierte es so: In weitsichtigen Organisationen verlagert sich die Sorge vom Bußgeld von vier Prozent hin zu den entgangenen Chancen, wenn KI nicht gut eingesetzt wird und keine Produkte entstehen, denen Kunden vertrauen.
Fünf Maßnahmen für diese Woche
Im Folgenden stellen wir fünf Maßnahmen vor, mit denen Sie sich schon heute vorbereiten können, geordnet nach Dringlichkeit. Die ersten beiden sichern Arbeiten ab, die in Ihrer Organisation bereits laufen sollten; die letzten drei richten die Planung neu aus, bevor sich die neuen Termine verfestigen.
Unterbrechen Sie den Aufbau Ihres KI-Inventars nicht.
Die Pflichten nach Anhang III gelten ab Dezember 2027 statt ab August 2026, doch Aufbau und Pflege Ihres Inventars sind kein Selbstläufer. Nutzen Sie die zusätzlichen sechzehn Monate, um Vollständigkeit über alle Geschäftsbereiche, agentischen Systeme und Einsätze von Schatten-KI hinweg zu erreichen. Die Signale aus Einkauf, Leitungsorganen und Versicherungswirtschaft, die das Inventar 2025 eingefordert haben, haben nicht an Gewicht verloren.
Legen Sie vor September den Rahmen für einen Wasserzeichen-Proof-of-Concept nach C2PA fest.
Der Rahmen ist ab dem 2. Dezember 2026 verbindlich (in sieben Monaten); die technische Spezifikation folgt über Durchführungsrechtsakte. Bei sauberer Aufstellung verantwortet die Entwicklung die Umsetzung, das Governance-Team prüft die Abgrenzung der Ausgabeklassen (Bild, Audio, Video, möglicherweise Text) und die Rechtsabteilung verfolgt die Konsultation.
Erstellen Sie eine Checkliste für die Übertragung von Nachweisen zwischen den Konformitätsverfahren nach AI Act und Maschinenverordnung.
Ermitteln Sie für jedes System im Anwendungsbereich der Verordnung 2023/1230, was sich übertragen lässt (Risikomanagementakten, Beobachtung nach dem Inverkehrbringen, Teile der technischen Dokumentation), was überarbeitet werden muss (Referenzsatz harmonisierter Normen, grundlegende Sicherheits- und Gesundheitsschutzanforderungen) und an welche zuständige Behörde Sie berichten. Machen Sie daraus ein gemeinsames Arbeitspaket mit der Produktsicherheit, denn Lücken entstehen meist bei der Übergabe der Dokumentation.
Prüfen Sie die Einstufung nach Anhang III für jedes System neu, das den Anwendungsbereich für Maschinen berührt.
Die grundlegende Einstufungslogik in Artikel 6 bleibt unverändert, der Anwendungsbereich erweitert sich jedoch. Dokumentieren Sie die Begründung und die Konstellationen, bei denen sich die Einstufung am ehesten ändert: KI-Funktionen in CE-gekennzeichneten Maschinen (jetzt Maschinenverordnung), KI zur Steuerung von Beschäftigten an Industriestandorten (weiterhin Anhang III), biometrische Komponenten in ansonsten ausgenommenen Anlagen (weiterhin Anhang III).
Formulieren Sie die Kernbotschaften für die Führungsebene.
Damit die Geschäftsleitung im Bild bleibt, sollte ein Briefing für die Führungsebene diese vier Punkte abdecken:
Die Durchsetzungsfristen haben sich verschoben. Die Erwartungen von Leitungsorganen, Kunden und Versicherern nicht.
Die KI-Kompetenz nach Artikel 4 gilt bereits und ist während des Aufschubs das wahrscheinlichste Ziel von Durchsetzungsmaßnahmen.
Wasserzeichen sind jetzt sowohl eine Compliance-Pflicht als auch ein Entwicklungsvorhaben. Der neue Rahmen ist ab Dezember 2026 verbindlich, die technische Spezifikation folgt danach. Bauen Sie die Pipeline jetzt auf und verfolgen Sie parallel die Konsultation.
ISO 42001, sektorales Sicherheitsrecht und Einkaufsbestätigungen folgen ihrem eigenen Zeitplan, und Ihre bisherige Arbeit am Inventar bildet für alle die Grundlage.
Was wir als Nächstes beobachten
Bis die Position im Digital-Omnibus endgültig ist, stehen noch einige Schritte aus. Das sollte Ihre Planung nicht verzögern, denn die eigentliche Arbeit auf regulatorischer Seite ist getan. Einige Termine und Entwicklungen sollten Sie dennoch im Blick behalten:
Die förmlichen Abstimmungen zur Billigung in Rat und Parlament, voraussichtlich vor dem 30. Juni.
Durchführungsrechtsakte zu Wasserzeichen, insbesondere die Frage, ob synthetischer Text erfasst ist; das erste Signal ist voraussichtlich eine öffentliche Konsultation.
Sektorale Leitlinien zu KI in Maschinen von der GD GROW und den Produktbehörden der Mitgliedstaaten.
Leitlinien des KI-Büros vor dem Geltungsbeginn sowie die Entscheidungen der Mitgliedstaaten Frankreich, Deutschland und Niederlande, wo nationale Leitlinien bisher meist zuerst erschienen sind.
Wo Enzai ansetzt
Die Kontinuität des Inventars ist der operative rote Faden dieser Einigung. Die Fristen haben sich verschoben, die Inventarpflicht nicht, und das meiste oberhalb der Untergrenze (Aufsicht durch die Leitungsorgane, Nachweise für Versicherer, ISO 42001, Einkaufsbestätigungen) baut darauf auf. Das KI-Inventar von Enzai hält das Register aktuell, wenn Systeme zwischen AI Act, Maschinenverordnung und sektoralem Sicherheitsrecht wechseln, und liefert das Signal zur Wasserzeichen-Bereitschaft, auf das Maßnahme 2 angewiesen ist.
Quellen
Rechtsgrundlagen und amtliche Quellen
Verordnung (EU) 2024/1689, der AI Act: https://eur-lex.europa.eu/eli/reg/2024/1689/oj
Verordnung (EU) 2023/1230, die Maschinenverordnung: https://eur-lex.europa.eu/eli/reg/2023/1230/oj
Europäische Kommission, KI-Büro: https://digital-strategy.ec.europa.eu/en/policies/ai-office
GPAI-Verhaltenskodex: https://digital-strategy.ec.europa.eu/en/policies/ai-code-practice
AI Act, Artikel 4 (KI-Kompetenz): https://artificialintelligenceact.eu/article/4/
AI Act, Artikel 5 (verbotene Praktiken): https://artificialintelligenceact.eu/article/5/
AI Act, Artikel 6 (Einstufung als Hochrisiko-KI-System): https://artificialintelligenceact.eu/article/6/
AI Act, Artikel 50 (Transparenzpflichten): https://artificialintelligenceact.eu/article/50/
AI Act, Anhang I (regulierte Produkte): https://artificialintelligenceact.eu/annex/1/
AI Act, Anhang III (Hochrisikobereiche): https://artificialintelligenceact.eu/annex/3/
Normen
ISO/IEC 42001:2023, KI-Managementsysteme: https://www.iso.org/standard/42001
C2PA Content Credentials: https://c2pa.org/
Nachrichten und Analysen
Reuters / Free Malaysia Today, „EU countries, lawmakers clinch provisional deal on watered-down AI rules“, 7. Mai 2026: https://www.freemalaysiatoday.com/category/world/2026/05/07/eu-countries-lawmakers-clinch-provisional-deal-on-watered-down-ai-rules
IAPP, „AI Act Omnibus: What just happened and what comes next?“: https://iapp.org/news/a/ai-act-omnibus-what-just-happened-and-what-comes-next
Cyprus Mail, „EU lawmakers back softer AI Act after pressure from industry“, 7. Mai 2026: https://cyprus-mail.com/2026/05/07/eu-lawmakers-back-softer-ai-act-after-pressure-from-industry
Bird & Bird, „Digital Omnibus on AI Trilogue Stalls Ahead of the AI Act Deadline“: https://www.twobirds.com/en/insights/2026/germany/digital-omnibus-on-ai-trilogue-stalls-ahead-of-the-ai-act-deadline
AOShearman, „Digital Omnibus on AI: what is really on the table as trilogues begin“: https://www.aoshearman.com/en/insights/digital-omnibus-on-ai-what-is-really-on-the-table-as-trilogues-begin
Hintergrund
Mario Draghi, The future of European competitiveness, September 2024: https://commission.europa.eu/topics/eu-competitiveness/draghi-report_en
Britischer Online Safety Act: https://www.gov.uk/government/collections/online-safety-act
Podcast über KI-Governance, Folge 15, „Compliance im Vergleich zu Rechenschaftspflicht mit Bojana Bellamy“: https://www.enz.ai/ai-governance-podcast-compliance-vs-accountability-with-bojana-bellamy
Podcast über KI-Governance, Folge 14, Sophie in 't Veld: https://www.enz.ai/ai-governance-podcast-fundamental-rights-and-digital-law-with-sophie-in-t-veld
Seit 2023 nach ISO 27001 zertifiziert, jährlich von NQA auditiert
An der DSGVO ausgerichtete Datenverarbeitung
Kundendaten auf AWS in mehreren Regionen gehostet
Eigenes KI-Modell über eine private Verbindung nutzen
Finden Sie die KI, die Ihre Teams nutzen, prüfen Sie sie vor der Einführung, bewerten Sie sie anhand der geltenden Vorschriften und kontrollieren Sie, was Agenten tun dürfen. Entwickelt für regulierte Organisationen.