EU-KI-Verordnung: Omnibus verschiebt Hochrisiko-Regeln auf 2027 und 2028

Was der Omnibus ändert

Der Digitale Omnibus zur KI wurde im Amtsblatt veröffentlicht und gilt ab 27. Juli 2026. Er ändert die KI-Verordnung, Verordnung (EU) 2024/1689 vom 13. Juni 2024, die am 1. August 2024 in Kraft trat. Die Änderungen sollen die Umsetzung vereinfachen und Überschneidungen mit bestehenden Regeln verringern, teilte Mayer Brown mit.

Für Hochrisiko-KI-Systeme, die in Anhang III aufgeführt sind, gelten die Pflichten nun ab 2. Dezember 2027. Dazu zählen Biometrie, kritische Infrastruktur, Bildung, Beschäftigung, Strafverfolgung und Grenzmanagement. Hochrisiko-Systeme, die als Sicherheitskomponenten in Produkten nach EU-Sektorrecht eingesetzt werden, fallen ab 2. August 2028 darunter. Die Verschiebung soll dem EU-Normungsausschuss Zeit geben, die Normen der KI-Verordnung zu veröffentlichen. Sie legen fest, wie Anbieter die Vorgaben erfüllen, und begründen bei Veröffentlichung im Amtsblatt eine Konformitätsvermutung, berichtete der Data Protection Report.

Der Omnibus ordnet außerdem die EU-Maschinenverordnung 2023/1230 in Anhang I Abschnitt B ein. Damit laufen die KI-Anforderungen für KI-gestützte Maschinen über diese Verordnung und nicht mehr direkt über die KI-Verordnung. Die Kommission muss die entsprechenden Pflichten bis 2. August 2028 durch delegierte Rechtsakte übernehmen, so Mayer Brown.

Für Hochrisiko-Systeme, die vor den neuen Terminen bereits im Einsatz sind, gilt die Verordnung für Betreiber nur, wenn diese Systeme ab dem Termin wesentlich in ihrem Design geändert werden. Bei Betreibern, die öffentliche Stellen sind, ist unklar, ob sich die Geltungstermine verschieben, sagte Mayer Brown.

Neues Verbot von Nudifier-Apps

Der Omnibus ergänzt ein Verbot für KI-Systeme, die sexuellen Missbrauch von Kindern erzeugen oder intime Körperbereiche oder sexuelle Handlungen einer identifizierbaren Person ohne deren Einwilligung darstellen. Es umfasst das Inverkehrbringen solcher Systeme auf dem EU-Markt, das Inverkehrbringen ohne angemessene Sicherheitsmaßnahmen und den Einsatz durch Betreiber, die damit solche Inhalte erzeugen. Anbieter müssen die Vorgabe bis 2. Dezember 2026 erfüllen, so Mayer Brown.

Transparenzregeln behalten ihren Termin

Der Omnibus hat andere Transparenzpflichten nicht verschoben. Pflichten nach Artikel 50, etwa Menschen darauf hinzuweisen, dass sie mit KI interagieren, und Deepfakes offenzulegen, gelten ab 2. August 2026 für KI-Systeme, die nach diesem Datum in Verkehr gebracht werden. Für Anbieter, die synthetische Audiodaten, Bilder, Videos oder Texte erzeugen, gilt die Pflicht zur maschinenlesbaren Kennzeichnung mit einer begrenzten Übergangsfrist bis 2. Dezember 2026. Sie betrifft nur Systeme, die vor dem 2. August 2026 in Verkehr gebracht wurden, und nur diese Pflicht.

Die Kommission veröffentlichte am 20. Juli 2026 die endgültigen Leitlinien zu Artikel 50 und eine erste Liste mit mehr als 180 Organisationen, die den Verhaltenskodex zur Transparenz KI-generierter Inhalte unterzeichnet haben.

Durchsetzung beginnt

Die Durchsetzungsbefugnisse des AI Office gelten ab 2. August 2026, heißt es auf der Durchsetzungsseite der Kommission. Sie betreffen Anbieter von KI-Modellen für allgemeine Zwecke, KI-Systeme, die derselbe Anbieter oder ein Anbieter derselben Unternehmensgruppe entwickelt, sowie KI-Systeme, die in sehr große Online-Plattformen oder Suchmaschinen eingebunden sind, die nach dem Digital Services Act benannt wurden. Für andere KI-Systeme setzen die nationalen Behörden die Regeln durch. Bei Verstößen gegen verbotene Praktiken sind Bußgelder bis 35.000.000 Euro oder 7 Prozent des weltweiten Jahresumsatzes möglich, je nachdem, welcher Betrag höher liegt. Bei anderen Verstößen, auch gegen Pflichten für KI-Modelle für allgemeine Zwecke, sind es bis 15.000.000 Euro oder 3 Prozent. Wer eine Auskunftsanfrage falsch behandelt, riskiert bei KI-Systemen bis 7.500.000 Euro oder 1 Prozent.

Wie es weitergeht

Das neue Verbot ist die nächste Frist: Anbieter und Betreiber der betroffenen Systeme müssen die Vorgabe bis 2. Dezember 2026 erfüllen. Danach reiht sie sich in die bestehenden Verbote der Verordnung ein, die seit 2. Februar 2025 gelten. Diese Verbote setzen die nationalen Marktüberwachungsbehörden durch. Einige Mitgliedstaaten erließen noch nach der Frist vom 2. August 2025 Umsetzungsvorschriften, berichtete der Data Protection Report.