Digital Omnibus: Die neuen KI-Fristen für den Mittelstand

Am 2. August 2026 sollte der EU AI Act für die meisten Unternehmen ernst werden. Dann kam der Digital Omnibus. Der KI-Teil des Vereinfachungspakets ist politisch beschlossen, der Datenteil steckt noch im Parlament — und viele Mittelständler im DACH-Raum haben daraus die falsche Botschaft mitgenommen: „Wir haben ja jetzt Zeit." Dieser Artikel sortiert, was tatsächlich verschoben wurde, was unverändert gilt und welche Vorarbeit sich unabhängig vom finalen Gesetzestext auszahlt.

1. Was der Digital Omnibus eigentlich ist

Am 19. November 2025 hat die Europäische Kommission zwei Verordnungsvorschläge vorgelegt, die seither gemeinsam als Digital Omnibus firmieren. Der eine, formal COM(2025) 836, betrifft ausschließlich die KI-Verordnung und die Luftfahrt-Grundverordnung. Der andere, COM(2025) 837, greift sehr viel breiter aus: Er ändert unter anderem die DSGVO, die ePrivacy-Richtlinie, den Data Act, die NIS-2-Richtlinie und die CER-Richtlinie und hebt gleich mehrere ältere Rechtsakte auf, darunter die Datenschutz-Governance-Verordnung und die Open-Data-Richtlinie.

Diese Zweiteilung ist keine bürokratische Spitzfindigkeit, sondern der Grund für die meisten Missverständnisse, die uns derzeit in Beratungsgesprächen begegnen. Die beiden Vorschläge laufen in unterschiedlichem Tempo durch das Gesetzgebungsverfahren. Am 7. Mai 2026 haben sich Europäisches Parlament und Rat auf eine vorläufige politische Einigung zum Digital Omnibus on AI verständigt. Der Datenomnibus dagegen war zu diesem Zeitpunkt noch nicht so weit: Die federführenden Ausschüsse für Industrie, Forschung und Energie sowie für bürgerliche Freiheiten, Justiz und Inneres legten ihren gemeinsamen Berichtsentwurf erst am 22. Juni 2026 vor und debattierten ihn am 14. Juli 2026.

Für ein mittelständisches Unternehmen bedeutet das konkret: Aussagen über verschobene Fristen gelten für die KI-Verordnung — nicht automatisch für DSGVO-Erleichterungen, nicht für Data-Act-Pflichten und nicht für die Meldewege nach NIS-2. Wer eine Compliance-Roadmap auf Basis von Schlagzeilen baut, mischt dort zwangsläufig Zeitachsen, die nichts miteinander zu tun haben.

2. Die neue Fristenlandkarte

Die ursprüngliche Architektur der KI-Verordnung war gestaffelt: verbotene Praktiken und KI-Kompetenz ab Februar 2025, Pflichten für Allzweck-KI-Modelle ab August 2025, Transparenzpflichten nach Artikel 50 und die Anforderungen an Systeme nach Anhang III ab dem 2. August 2026. Genau diese dritte Stufe ist es, die der KI-Omnibus streckt. Die Einigung vom Mai 2026 verschiebt einzelne Pflichtenbündel in den Dezember 2026 sowie auf den 2. August 2027, den 2. Dezember 2027 und den 2. August 2028.

Der wichtigste Satz zu dieser Zeitleiste lautet: Eine vorläufige politische Einigung ist kein geltendes Recht. Bis der geänderte Text im Amtsblatt der Europäischen Union veröffentlicht ist, bleibt die KI-Verordnung in ihrer bisherigen Fassung anwendbar. Wer heute eine interne Weisung schreibt, sollte sie deshalb an den Sachverhalt knüpfen — „unser Chatbot wird als KI gekennzeichnet\" — und nicht an ein Datum, das sich noch bewegen kann.

3. Was unverändert gilt

Es gibt drei Pflichtenblöcke, die von der gesamten Omnibus-Debatte unberührt bleiben und die deshalb heute schon durchgesetzt werden können.

Hinzu kommt eine praktische Erwägung, die mit Recht wenig zu tun hat: Auch Kunden, Versicherer und Auftraggeber fragen inzwischen nach KI-Governance. Wer in einer Ausschreibung nicht darlegen kann, welche KI-Funktionen in seiner Wertschöpfung stecken, verliert Punkte — lange bevor eine Behörde jemals fragt. Dasselbe Muster beobachten wir bei den Cybersicherheitsanforderungen, die inzwischen über die Lieferkette weitergereicht werden; wir haben das im Beitrag NIS2 in der Lieferkette ausführlich beschrieben.

4. Das KI-Inventar als Fundament

Wenn wir mit mittelständischen Unternehmen über KI-Compliance sprechen, beginnt das Gespräch fast immer mit derselben Fehleinschätzung: Man glaubt zu wissen, wo KI im Einsatz ist. Tatsächlich lässt sich in den meisten Häusern die Server- und Lizenzlandschaft sauber auflisten, die KI-Landschaft aber nicht. Der Grund ist strukturell. KI kommt selten als „KI-Projekt\" ins Unternehmen, sondern als Funktion in einer Software, die schon da war: die Zusammenfassung im Ticketsystem, der Vorschlagstext im CRM, die Anomalieerkennung im Buchhaltungstool, der Vorfilter im Bewerbermanagement.

Genau dieser letzte Fall ist der heikelste. Ein automatisierter Vorfilter für Bewerbungen fällt nach Anhang III potenziell in die Kategorie Hochrisiko-KI-System — mit Pflichten zu Risikomanagement, technischer Dokumentation und menschlicher Aufsicht. Ein Übersetzungstool im selben Haus fällt in keine dieser Kategorien. Der Unterschied entscheidet über den Aufwand eines ganzen Jahres, und er lässt sich nicht raten. Er ergibt sich aus dem Zweck und dem Kontext der Nutzung.

Ein brauchbares KI-Inventar hat je Eintrag mindestens sieben Spalten: System und Version, konkreter Einsatzzweck, betroffene Datenkategorien, Anbieter und Vertragsgrundlage, Rolle des eigenen Hauses (Anbieter oder Betreiber), fachlich verantwortliche Person und vorläufige Risikoeinstufung. Mehr braucht es zu Beginn nicht — aber weniger reicht nicht, um daraus eine Entscheidung abzuleiten.

5. Die DSGVO-Schnittstelle

Der interessanteste Teil des Digital Omnibus ist nicht die Fristenverschiebung, sondern der Versuch, das Verhältnis von DSGVO und KI-Verordnung neu auszutarieren. Drei Punkte sind für die Praxis besonders relevant.

Der Europäische Datenschutzausschuss und der Europäische Datenschutzbeauftragte haben in ihren Stellungnahmen vom Januar und Februar 2026 grundsätzlich Zustimmung signalisiert, gleichzeitig aber deutlich gemacht, dass gerade die Neudefinition des Personenbezugs politisch umstritten bleibt. Für Unternehmen heißt das: Auf die geplanten Erleichterungen lässt sich heute keine Verarbeitung stützen. Wer ein KI-Vorhaben plant, das ohne diese Erleichterungen nicht funktionieren würde, plant ein Vorhaben mit offenem Rechtsrisiko.

Der praktikable Weg bleibt der, den wir auch in Projekten mit sensiblen Beständen gehen: so viel Verarbeitung wie möglich innerhalb der eigenen Infrastruktur, klare Trennung zwischen Trainings- und Betriebsdaten, Pseudonymisierung an der Quelle. Wie das technisch aussieht, wenn Firmendaten durchsuchbar gemacht werden sollen, haben wir im Beitrag Lokales Enterprise RAG beschrieben.

6. Deutschland: Durchführung und Aufsicht

Eine EU-Verordnung gilt unmittelbar. Trotzdem braucht es national ergänzende Regeln, damit Zuständigkeiten, Verfahren und Aufsicht funktionieren. Genau daran arbeitet das Bundesministerium für Digitales und Staatsmodernisierung mit einem Gesetz zur Durchführung der KI-Verordnung. Das Ministerium verweist darauf, dass die Regelungen grundsätzlich unmittelbar ab dem 2. August 2026 gelten — ein Hinweis, den man nicht als Entwarnung lesen sollte, nur weil auf europäischer Ebene einzelne Fristen gestreckt werden.

Die Bundesnetzagentur hat für Unternehmen bereits eine Informationsstruktur zur KI-Verordnung aufgebaut. Für die Praxis ist vor allem eine Frage relevant, die das Durchführungsgesetz beantworten muss: Welche Stelle prüft, und wie fühlt sich ein Verfahren konkret an? Solange das nicht abschließend geklärt ist, gilt dieselbe Regel wie bei jeder neuen Aufsicht — die Unternehmen, die ihre Unterlagen beisammen haben, verhandeln aus einer anderen Position als die, die erst anfangen zu suchen.

7. Roadmap: 90 Tage bis zur belastbaren Governance

Die folgende Reihenfolge hat sich in unseren Projekten bewährt. Sie ist bewusst so geschnitten, dass jeder Schritt einen eigenständigen Nutzen hat — auch dann, wenn sich der Gesetzestext noch einmal ändert.

1. Tage 1 bis 15: Inventur über die Buchhaltung

   Auswertung der Kreditorenkonten und Kartenabrechnungen der letzten zwölf Monate sowie der freigegebenen OAuth-Anwendungen im Identitätsanbieter. Ergebnis ist eine Rohliste aller Werkzeuge mit KI-Funktion — inklusive der Schatten-IT, die in keiner Umfrage auftaucht.

2. Tage 16 bis 30: Zweck und Rolle je Eintrag klären

   Für jede Zeile wird festgehalten, wofür das System tatsächlich genutzt wird und ob das eigene Haus als Anbieter oder als Betreiber auftritt. Diese beiden Angaben entscheiden über nahezu alle nachfolgenden Pflichten und lassen sich nur im Gespräch mit dem Fachbereich klären.

3. Tage 31 bis 45: Vorläufige Risikoklassifizierung

   Abgleich gegen Artikel 5 und Anhang III. Ziel ist keine juristische Endgültigkeit, sondern eine belastbare Sortierung in drei Stapel: unkritisch, transparenzpflichtig, potenziell hochriskant. Der dritte Stapel bekommt einen Namen, ein Budget und einen Termin.

4. Tage 46 bis 60: Transparenz technisch umsetzen

   Kennzeichnung von Chatbots und KI-generierten Inhalten dort, wo Nutzer ihnen begegnen. Das ist der Teil mit dem besten Verhältnis von Aufwand zu Wirkung: technisch überschaubar, sofort sichtbar und in jeder späteren Prüfung als Nachweis verwendbar.

5. Tage 61 bis 75: Schulung und Eskalationsweg

   Dokumentierte KI-Kompetenzschulung für alle Rollen, die mit KI-Systemen arbeiten, plus ein klar benannter Eskalationsweg für auffällige Ergebnisse. Beides ist bereits geltende Pflicht und lässt sich ohne Abhängigkeit von offenen Gesetzgebungsverfahren erledigen.

6. Tage 76 bis 90: Governance verstetigen

   Festlegung, wer das Inventar pflegt, in welchem Rhythmus es überprüft wird und wie neue Werkzeuge hineinkommen. Ohne diesen Schritt ist die gesamte Vorarbeit in sechs Monaten wieder veraltet — das ist der häufigste Grund, warum Compliance-Projekte zweimal bezahlt werden.

Der Digital Omnibus verschafft Zeit. Er verschafft keine Klarheit. Klarheit entsteht erst, wenn ein Unternehmen weiß, welche KI es überhaupt betreibt — und diese Arbeit wird durch keine Fristverlängerung kürzer.

Fazit

Der 2. August 2026 war lange der Termin, an dem der EU AI Act für den Mittelstand konkret werden sollte. Der Digital Omnibus hat diesen Termin für Teile der Verordnung entschärft — und dabei ein neues Problem geschaffen: Aus einem Stichtag sind mehrere geworden, verteilt über zweieinhalb Jahre, in einem Verfahren, dessen Datenteil im Sommer 2026 noch offen war. Für Unternehmen, die auf Planungssicherheit gehofft hatten, ist das die schlechtere Nachricht.

Die gute Nachricht ist, dass der wesentliche Teil der Arbeit von alledem unabhängig ist. Ein Unternehmen, das weiß, welche KI-Funktionen es einsetzt, wer dafür verantwortlich ist und welchem Zweck sie dienen, kann jede Klassifizierung in Tagen statt in Monaten nachziehen — egal, welche Fassung des Textes am Ende im Amtsblatt steht. Ein Unternehmen ohne dieses Wissen wird jede Frist als Krise erleben, auch die verschobene.

Unsere Empfehlung ist deshalb unspektakulär: Nutzen Sie die gewonnene Zeit nicht zum Abwarten, sondern für die Inventur. Sie ist der einzige Schritt, der garantiert nicht umsonst war. Wie eine strukturierte Prüfung bestehender Workflows abläuft, zeigt unser 5-Schritte-Audit-Protokoll für KI-Workflows.

Unsere Expertise vor Ort

Wir sind Ihr digitaler Partner – regional verankert und überregional erfolgreich.

Kontaktanfrage in Ihrer Region starten →

Automatisierung BerlinAutomatisierung HamburgAutomatisierung MünchenAutomatisierung KölnAutomatisierung Frankfurt am MainAutomatisierung StuttgartAutomatisierung DüsseldorfAutomatisierung LeipzigAutomatisierung DortmundAutomatisierung EssenAutomatisierung BremenAutomatisierung HannoverAutomatisierung NürnbergAutomatisierung WienAutomatisierung GrazAutomatisierung LinzAutomatisierung SalzburgAutomatisierung ZürichAutomatisierung GenfAutomatisierung BaselAutomatisierung Bern

Erweitertes Fachglossar