Zusammenfassung zeigen Zusammenfassung verbergen
- Wichtigste Fristverschiebungen im Überblick
- Wen die Aufschübe wirklich entlasten
- Neue Verbote und zusätzliche Pflichten bei generativer KI
- Datenschutz: eingeschränkte Öffnung für sensible Trainingsdaten
- AI-Kompetenz: weniger Pflicht, aber gleiche Risiken
- Erleichterung für Maschinenbauer und Produktanbieter
- Was bleibt ungelöst — und warum das jetzt wichtig ist
Die EU hat mit dem sogenannten AI Omnibus zentrale Teile des AI Act nachverhandelt – mit spürbaren Folgen für Unternehmen, Entwicklerinnen und Anwender. Vor allem Fristverschiebungen, neue Verbote für bestimmte generative Anwendungen und gezielte Erleichterungen für Produkthersteller verändern den Zeitplan und die Compliance-Praxis unmittelbar.
- Fristen verlängert: Pflichten für viele Hochrisiko-KI-Systeme wurden aufgeschoben, geben Unternehmen aber nur zeitlich begrenzten Spielraum.
- Neue Verbote und Auflagen gegen missbräuchliche Generierung (etwa sogenannte Nudifier-Apps) sowie schärfere Vorgaben für Bild-/Audio-/Video-Generatoren.
- Datenschutz-Ausnahmen für das Training mit besonders sensiblen Daten in engen Fällen, um Bias zu korrigieren.
- AI-Literacy-Pflicht wird von Firmen zu öffentlichen Stellen verschoben – praktisch aber kaum sanktioniert.
- Erleichterungen für Produkthersteller: Bei vielen Maschinentypen verlagert sich die Compliance stärker in bestehende Produktregeln.
Amazon-Phishing gefährdet Kundendaten: Nutzer sollten sofort Konten prüfen
PS6, Xbox Helix: Daten zeigen höhere Kosten und Streamingzwang für Spieler
Wichtigste Fristverschiebungen im Überblick
| Regelbereich | ursprünglicher Beginn | neues Datum |
|---|---|---|
| Standalone Hochrisiko-KI (z. B. Personalauswahl) | 2. Aug. 2026 | 2. Dez. 2027 |
| Produktintegrierte KI (z. B. Spielzeug, Medizinprodukte) | 2. Aug. 2027 | 2. Aug. 2028 |
| Kennzeichnung KI-generierter Inhalte (Watermarking) für Systeme vor dem 2. Aug. 2026 | ab 2. Aug. 2026 | ab 2. Dez. 2026 |
Wen die Aufschübe wirklich entlasten
Die Fristverlängerungen schaffen zunächst vor allem Planungsspielraum: Softwareanbieter und Start-ups gewinnen Zeit, Compliance-Prozesse, Dokumentation und Testverfahren zu entwickeln. Für viele Technologie-Teams heißt das: Umstrukturieren statt Panik. Doch die inhaltlichen Regeln an sich bleiben größtenteils bestehen – die Verschiebung ist also kein Abschied von Pflichten, sondern ein späterer Termin.
Besonders sensibel ist der Bereich Personalwesen. KI-Tools, die bei Einstellung, Beförderung oder Aufgabenvergabe eingesetzt werden, fallen zügig unter die Kategorie Hochrisiko-KI. Entscheidend bleibt, ob ein System tatsächlich für diese Zwecke verwendet wird: Unbeabsichtigte Nutzung (etwa ein Chatbot, in den Lebensläufe hochgeladen werden) kann Firmen in die Rolle eines Anbieters drängen – mit den dann fälligen Compliance-Aufgaben.
Neue Verbote und zusätzliche Pflichten bei generativer KI
Der Omnibus verbietet ausdrücklich KI-Anwendungen, die Menschen ohne Einwilligung nackt oder in sexualisierter Form darstellen oder Werkzeuge erzeugen, die sexuellen Kindesmissbrauch erleichtern. Darüber hinaus verpflichtet das Paket Anbieter generativer Bild-, Video- und Audio-Systeme zu technischen und organisatorischen Schutzmaßnahmen.
Praktisch bedeutet das: Entwickler müssen robuste Prompt- und Output-Filter implementieren, Nutzungsregeln klar formulieren, Missbrauchserkennungssysteme betreiben und Entscheidungen zur Systemkonfiguration lückenlos dokumentieren. Die Pflichten zielen darauf ab, Missbrauch vorhersehbar zu verhindern – und treten ab dem neuen Stichtag in Kraft.
Datenschutz: eingeschränkte Öffnung für sensible Trainingsdaten
Eine relevante Ausnahme betrifft den Einsatz besonders schützenswerter personenbezogener Daten für Trainingszwecke. Unter engen Voraussetzungen dürfen solche Daten nun genutzt werden, wenn das erforderlich ist, um Verzerrungen in Modellen zu erkennen und zu korrigieren. Bislang war diese Erlaubnis auf Hochrisiko-Anwendungen beschränkt.
Wichtig: Die Erlaubnis ist eng begrenzt. Unternehmen müssen zuerst prüfen, ob Bias auch mit synthetischen oder anonymisierten Datensätzen behoben werden kann, und dokumentieren, warum der Einsatz sensibler Daten unvermeidbar ist.
AI-Kompetenz: weniger Pflicht, aber gleiche Risiken
Die Pflicht der Firmen, systematisch für KI-Kompetenz ihrer Beschäftigten zu sorgen, wurde abgeschwächt: Zuständigkeitsanteile verschieben sich stärker hin zu EU und Mitgliedstaaten. Auf dem Papier wirkt das wie Entlastung, faktisch ändert sich wenig. Es gab zuvor kaum Sanktionen für fehlende Schulungsprogramme, und Risiken durch falsche Nutzung – fehlerhafte Entscheidungen, Datenlecks, Haftungsfragen – bleiben bestehen.
Kurz: Auch ohne explizite gesetzliche Pflicht sollten Unternehmen weiterhin in Schulung und interne Richtlinien investieren, da Fehlanwendungen erhebliche Folgen haben können.
Erleichterung für Maschinenbauer und Produktanbieter
Der Omnibus bietet spürbare Vorteile für Hersteller, die KI in physische Produkte integrieren. Für Maschinenbauer und andere Hersteller, deren Erzeugnisse bereits strengen Produktvorgaben unterliegen, wird die Belastung künftig stärker über die jeweilige Produktregulierung abgewickelt statt ausschließlich über das KI-Regime.
Das bedeutet: Für viele Roboter- oder Medizingerätehersteller reduziert sich die Notwendigkeit, das volle Hochrisiko-Pflichtenpaket des AI Act zusätzlich anzuwenden — vorausgesetzt, die bestehende Produktgesetzgebung gewährleistet vergleichbaren Schutz von Gesundheit, Sicherheit und Grundrechten. Welche Produkte genau in diesen Erleichterungsrahmen fallen, soll die EU-Kommission klären.
Was bleibt ungelöst — und warum das jetzt wichtig ist
Der Omnibus geht einige Kritikpunkte nur unzureichend an. Drei Probleme bleiben zentral:
- Die rechtliche Definition von KI-System ist weiterhin weit gefasst und lässt viele Unklarheiten offen.
- Die Schwelle für Hochrisiko-Einstufungen ist in Teilen niedrig, weshalb typische HR-Anwendungen schnell einschlägig sind.
- Wesentliche Anforderungen setzen auf Leitlinien und Praxisstandards, deren Ausarbeitung hinter dem Gesetz nachhinkt.
Für Verantwortliche in Unternehmen heißt das konkret: Die jetzt gewonnenen Monate sollten genutzt werden, um Governance, Risikobewertungen und technische Schutzmaßnahmen vorzubereiten. Wer die Zeit verstreichen lässt, steht beim nächsten Stichtag oft schlechter da als heute — nur ohne den Aufschub.
Diese Analyse basiert auf der Auswertung der Änderungen durch mehrere auf Technologie- und Datenschutzrecht spezialisierte Juristinnen und Juristen. Für Entwickler, Compliance-Teams und Produktverantwortliche gilt: Rechtliche Änderungen sind jetzt konkret, die praktische Umsetzung aber weiterhin anspruchsvoll. Planung, Dokumentation und proaktive Risikovorbeugung bleiben die zentralen Aufgaben.
