EU einigt sich auf Digital Omnibus: Hochrisiko-Pflichten erst ab Dezember 2027

Worum es geht

In der Nacht zum 7. Mai 2026 hat die belgische Ratspräsidentschaft mit Verhandlern des Europäischen Parlaments einen vorläufigen Kompromiss zum Digital Omnibus on AI erzielt. Damit liegt erstmals der konkrete Inhalt jenes Pakets vor, über das in den Vorwochen viel spekuliert wurde. Wesentliche Punkte: Die Pflichten für Hochrisiko-KI nach Artikel 6(1) AI Act gelten erst ab dem 2. Dezember 2027 statt ab dem 2. August 2026. Erleichterungen für kleine und mittlere Unternehmen werden auf sogenannte Small Mid-Caps mit bis zu 500 Mitarbeitenden ausgedehnt. Neu im Text ist ein eindeutiges Verbot für Anwendungen, die nicht-einvernehmliche sexuelle oder intime Bilder erzeugen, sogenannte „Nudification"-Apps, sowie für die Erzeugung von Material, das sexuellen Kindesmissbrauch zeigt.

Was die Einigung tatsächlich macht

Drei Bausteine prägen das Paket. Erstens die Verschiebung. Hochrisiko-Anwendungen in den Bereichen Biometrie, kritische Infrastruktur, Bildung, Beschäftigung, Migration und Grenzkontrolle bekommen 16 Monate mehr Zeit, ihre Konformitätsbewertung, Risikoanalysen und Datenqualitäts-Pflichten umzusetzen. Für KI in physischen Produkten wie Aufzügen oder Spielzeug verlängert sich der Stichtag sogar bis zum 2. August 2028.

Zweitens die KMU-Schiene. Bislang galten vereinfachte Dokumentationsanforderungen nur für Unternehmen unter 250 Mitarbeitenden. Mit dem Omnibus werden diese Erleichterungen, einschließlich vereinfachter technischer Dokumentation, auf Small Mid-Caps mit bis zu 500 Beschäftigten erweitert. Das ist eine spürbare Entlastung im deutschen Mittelstand und in vergleichbaren Strukturen in Frankreich und Italien.

Drittens die neuen Verbote. Das ausdrückliche Verbot für KI-Praktiken zur Erzeugung von „Non-Consensual Intimate Imagery" und kindlichem Missbrauchsmaterial gilt schon ab dem 2. Dezember 2026. Die Übergangsfrist für Transparenzpflichten bei KI-generierten Inhalten verkürzt sich von sechs auf drei Monate, ebenfalls mit Frist 2. Dezember 2026.

Warum das wichtig ist

Der Beschluss ist die größte inhaltliche Korrektur am AI Act seit dessen Inkrafttreten am 1. August 2024. Für Unternehmen verändert sich die Compliance-Roadmap. Wer 2026 in einer Vorbereitungsphase steckte, bekommt mehr Luft, muss die Zeit aber sinnvoll nutzen, weil 2027 die Pflichten dann scharf gestellt werden. Wer in den Mittelstand zwischen 250 und 500 Mitarbeitenden fällt, hat erstmals echte Erleichterungen, vor allem bei der technischen Dokumentation und der Logging-Pflicht für Hochrisiko-KI. Für europäische Politik ist die Einigung Ergebnis monatelanger Industrieproteste und gleichzeitig ein klares Signal an Wahlkämpfer und Bürgerrechtsorganisationen, dass missbräuchliche generative KI – speziell synthetische sexuelle Inhalte – nicht reguliert „passieren" wird.

Die Einigung muss noch von Rat und Parlament formal bestätigt werden, danach folgt eine sprachjuristische Schlussfassung. Mit der formalen Annahme wird laut Lewis Silkin und IAPP innerhalb weniger Wochen gerechnet, nicht erst Monate.

Einfach erklärt

Stell dir vor, eine Stadt hat ein neues, sehr striktes Bauordnungsgesetz beschlossen. Die Architekten und Handwerker sagen: Wir kriegen das bis zum Stichtag nicht hin. Die Stadt antwortet: Okay, wir schieben den Stichtag um etwa 16 Monate. Im Gegenzug sagt sie: Wer aber wissentlich gefährliche Häuser baut, wird sofort bestraft. Genau diese Logik – mehr Zeit für die ehrlichen Bauherren, härtere Hand bei klar Schädlichem – steckt im Digital Omnibus.

Praktisches Beispiel

Ein süddeutscher Maschinenbauer mit 380 Mitarbeitenden plant für 2026 ein KI-System zur automatisierten Sichtprüfung in der Endmontage. Bisher fiel das Unternehmen aus dem KMU-Schema heraus, weil es über 250 Beschäftigte hat. Nach Inkrafttreten des Omnibus zählt es als Small Mid-Cap. Das Compliance-Team kann eine vereinfachte technische Dokumentation einreichen statt der vollen Hochrisiko-Akte. Gleichzeitig hat das Unternehmen 16 Monate länger Zeit, das System nach Artikel 6(1) abzunehmen. Der Praxisrat: Diese Zeit nicht verschenken, sondern für saubere Datenqualitäts-Audits, Logging-Konzepte und die Auswahl benannter Stellen nutzen.

Einordnung und Grenzen

• Die Einigung ist vorläufig. Erst nach formaler Annahme durch Rat und Parlament und sprachjuristischer Endfassung ist sie geltendes Recht. Bis dahin sollten Unternehmen ihre Roadmap nicht ohne Reservepuffer anpassen.
• Hochrisiko bleibt Hochrisiko. Die Pflichten verschwinden nicht, sie verschieben sich. Wer jetzt entspannt, hat 2027 dasselbe Compliance-Problem.
• Es gibt internationale Spannungen. US-Kommentatoren werten die Verschiebung als Eingeständnis europäischer Industrieschwäche. Diese Wahrnehmung kann sich in transatlantischen Verhandlungen, etwa über Handelsfragen, ungünstig auswirken.

SEO- und GEO-Schlüsselbegriffe

EU AI Act, Digital Omnibus, Hochrisiko-KI, Artikel 6(1), 2. Dezember 2027, Small Mid-Cap, KMU, Nudification, Compliance, EU-Rat, Europäisches Parlament, AI Office, 2026