Digital-Omnibus: was sich an der KI-Verordnung ändert

Am 8. Juli 2026 haben Europäisches Parlament und Rat die Verordnung (EU) 2026/1744 erlassen, den sogenannten Digital-Omnibus zur KI-Verordnung. Sie wurde am 24. Juli 2026 im Amtsblatt veröffentlicht und ist am 27. Juli 2026 in Kraft getreten. Hier lesen Sie, welche Fristen sich verschoben haben, wie Artikel 4 zur KI-Kompetenz jetzt lautet, welche Verbote dazukommen und was das für Unternehmen bedeutet, die KI-Agenten einsetzen oder selbst bauen.

Was ist der Digital-Omnibus zur KI-Verordnung?

Die Verordnung (EU) 2026/1744 ist eine Änderungsverordnung. Sie ersetzt die KI-Verordnung (EU) 2024/1689 nicht, sondern ändert einzelne Artikel, Anhänge und Fristen. Wie die KI-Verordnung selbst gilt sie unmittelbar in jedem Mitgliedstaat, ohne dass Deutschland sie umsetzen muss.

Maßgeblich ist deshalb die konsolidierte Fassung der KI-Verordnung auf EUR-Lex mit Stand 27. Juli 2026. Sie zeigt den aktuellen Wortlaut mit allen Änderungen. Wer mit älteren Übersichten, Schulungsunterlagen oder Checklisten arbeitet, sollte jede Frist dagegen prüfen: Viele Termine, die 2024 und 2025 kursierten, stimmen nicht mehr.

Unverändert bleiben die Grundpfeiler. Die ursprünglichen Verbote aus Artikel 5 gelten seit dem 2. Februar 2025, die Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck seit dem 2. August 2025, die Transparenzpflichten aus Artikel 50 seit dem 2. August 2026. Einen Überblick über Rollen, Risikostufen und Aufsicht gibt der Leitfaden zur KI-Verordnung für Unternehmen mit KI-Agenten.

Neue Fristen für Hochrisiko-KI-Systeme

Die größte Änderung betrifft den Zeitplan. Nach der ursprünglichen Fassung von Artikel 113 hätten die Pflichten für Hochrisiko-KI-Systeme nach Anhang III ab dem 2. August 2026 gegolten, für Systeme nach Anhang I ab dem 2. August 2027. Der Digital-Omnibus hat beide Termine verschoben.

Für Unternehmen mit KI-Agenten ist vor allem Anhang III wichtig. Ein Agent, der Bewerbungen filtert, Leistung bewertet oder über Kredite mitentscheidet, ist dort erfasst. Die Betreiberpflichten aus Artikel 26, etwa menschliche Aufsicht durch befugte Personen und die Aufbewahrung von Protokollen, greifen für solche Systeme jetzt ab dem 2. Dezember 2027.

Die zusätzliche Zeit gilt nicht unbegrenzt für Bestandssysteme. Nach Artikel 111 Absatz 2 fallen Hochrisiko-Systeme, die vor dem Geltungsbeginn in Verkehr kamen, nur unter die Pflichten, wenn sie danach in ihrer Konzeption erheblich verändert werden. Wer einen Agenten in diesem Bereich regelmäßig umbaut, sollte das bei der Planung berücksichtigen.

Artikel 4: Was sich bei der KI-Kompetenz ändert

Artikel 4 gilt seit dem 2. Februar 2025 für alle Anbieter und Betreiber, also auch für jedes Unternehmen, das KI-Assistenten oder KI-Agenten beruflich nutzt. In der ursprünglichen Fassung mussten sie Maßnahmen ergreifen, um „nach besten Kräften sicherzustellen“, dass ihr Personal „über ein ausreichendes Maß an KI-Kompetenz“ verfügt.

Die neue Fassung verlangt Maßnahmen, „um die Entwicklung der KI-Kompetenz ihres Personals und anderer Personen zu unterstützen“, die in ihrem Auftrag mit KI-Systemen arbeiten. Ein neuer Satz stellt klar, dass die Pflicht nicht verlangt, „für irgendeine Person ein bestimmtes Niveau an KI-Kompetenz zu garantieren“. Nach dem neuen Absatz 2 unterstützen Kommission und Mitgliedstaaten die Unternehmen dabei, besonders KMU, und die Kommission veröffentlicht praktische Beispiele.

Die Pflicht bleibt bestehen, sie ist nur anders formuliert. Ein Unternehmen muss weiterhin handeln und sollte nachweisen können, was es getan hat: Schulungen nach Rolle, Regeln für den Umgang mit Agenten, Ansprechpersonen. Artikel 99 Absatz 4 nennt Artikel 4 nicht unter den Pflichten mit eigenem Bußgeldrahmen. Wie Schulungen und Regeln im Alltag aussehen, beschreibt die Seite zur KI-Sicherheit im Unternehmen.

Neue Verbote und Übergangsfrist für die Kennzeichnung

Artikel 5 Absatz 1 hat zwei neue Buchstaben bekommen. Buchstabe ba verbietet KI-Systeme, die realistische Bild-, Video- oder Toninhalte mit intimen Darstellungen einer bestimmbaren Person erzeugen oder manipulieren, ohne dass diese ausdrücklich zugestimmt hat. Buchstabe bb verbietet Systeme, die Darstellungen sexuellen Kindesmissbrauchs erzeugen oder manipulieren. Beide Verbote gelten ab dem 2. Dezember 2026.

Für Anbieter generativer Systeme gilt eine Übergangsfrist. Wer ein System, das synthetische Audio-, Bild-, Video- oder Textinhalte erzeugt, vor dem 2. August 2026 in Verkehr gebracht hat, muss die maschinenlesbare Markierung nach Artikel 50 Absatz 2 erst bis zum 2. Dezember 2026 umsetzen. Die Leitlinien der Kommission zu Artikel 50 betonen, dass diese Frist nur für die Markierung gilt.

Für KI-Agenten heißt das: Die Offenlegung gegenüber Menschen nach Artikel 50 Absatz 1 gilt bereits seit dem 2. August 2026. Ein Agent, der Kundenmails beantwortet oder Termine vereinbart, muss sich als KI zu erkennen geben. Alle Fälle und Ausnahmen erklärt die Seite zur KI-Kennzeichnungspflicht.

Erleichterungen für KMU und kleine Midcap-Unternehmen

Der Digital-Omnibus führt eine neue Gruppe ein. Kleine Midcap-Unternehmen sind nach Artikel 3 Nummer 14b Unternehmen im Sinne der Empfehlung (EU) 2025/1099, also eine Stufe über den KMU. Mehrere Erleichterungen, die bisher nur für KMU galten, gelten jetzt auch für sie.

• Geldbußen: Nach dem neuen Artikel 99 Absatz 6a gilt für kleine Midcap-Unternehmen bei Bußgeldern nach Absatz 4 und 5 der jeweils niedrigere Betrag.
• Technische Dokumentation: KMU und kleine Midcap-Unternehmen dürfen die Angaben aus Anhang IV nach Artikel 11 in vereinfachter Form mit einem Formular der Kommission bereitstellen.
• Qualitätsmanagement: Nach Artikel 63 dürfen alle KMU ohne Partner- oder verbundene Unternehmen Teile des Qualitätsmanagements vereinfacht umsetzen.
• Reallabore: Das KI-Reallabor des Büros für Künstliche Intelligenz gewährt KMU und kleinen Midcap-Unternehmen nach Artikel 57 vorrangigen Zugang.

Zwei weitere Änderungen betreffen Anbieter. Der neue Artikel 4a erlaubt unter engen Bedingungen, besondere Kategorien personenbezogener Daten zu verarbeiten, um Verzerrungen zu erkennen und zu korrigieren. Und nach Artikel 75 Absatz 1 ist das Büro für Künstliche Intelligenz allein zuständig für KI-Systeme, die ein Anbieter auf seinem eigenen Modell mit allgemeinem Verwendungszweck anbietet, mit Ausnahmen etwa für Produkte nach Anhang I.

Was Unternehmen mit KI-Agenten jetzt tun

Der Digital-Omnibus zur KI-Verordnung verschafft Zeit bei Hochrisiko-Systemen, lässt aber die Pflichten unberührt, die heute schon gelten. Die Grafik ordnet sie nach Stichtag.

Welche Pflichten aus der geänderten KI-Verordnung für Unternehmen mit KI-Agenten wann greifen.

• Fristen aktualisieren: Projektpläne, Richtlinien und Schulungsfolien auf die Termine 2. Dezember 2026, 2. Dezember 2027 und 2. August 2028 umstellen.
• Artikel 4 dokumentieren: festhalten, welche Maßnahmen zur KI-Kompetenz es gibt und für welche Rollen.
• Agenten mit Außenkontakt prüfen: Jeder Agent, der mit Kunden, Bewerbern oder Partnern kommuniziert, legt offen, dass er eine KI ist.
• Hochrisiko-Einsätze markieren: Agenten in Personal, Kredit oder Bildung jetzt identifizieren und die Freigaben nach Artikel 26 vorbereiten, etwa nach dem Muster der Seite zu Human in the Loop.
• Generative Werkzeuge klären: bei Anbietern von Bild-, Video- und Textgeneratoren nachfragen, wie sie die Markierung bis zum 2. Dezember 2026 umsetzen.

Zuständig für die Aufsicht in Deutschland ist seit dem 29. Juli 2026 grundsätzlich die Bundesnetzagentur. Wer den Digital-Omnibus zur KI-Verordnung in seine Planung übernimmt, sollte jede Frist an der konsolidierten Fassung auf EUR-Lex prüfen. Diese Zusammenfassung ist eine sachliche Einordnung und ersetzt keine Rechtsberatung.

Den Hintergrund erklärt der Leitfaden KI-Verordnung im Bereich Recht.