AI Act verschoben – können Unternehmen jetzt abwarten?

Mit dem sogenannten Digital Omnibus arbeitet die Europäische Union an einer Vereinfachung ihrer digitalen Regulierung. Besonders im Fokus steht dabei der AI Act: Für bestimmte Pflichten, insbesondere im Bereich der Hochrisiko-KI, sollen Fristen verschoben und Umsetzungsanforderungen praxistauglicher gestaltet werden.

Viele Unternehmen fragen sich derzeit: Wenn die EU zentrale Anforderungen des AI Acts verschiebt, kann man das Thema KI-Compliance vorerst auf später verschieben?

Die Antwort lautet: Nein. Unternehmen gewinnen möglicherweise Zeit, aber keine Entwarnung.

Außerdem gelten einzelne Verpflichtungen des AI Acts bereits. Dazu gehören insbesondere das Verbot bestimmter KI-Praktiken und die Pflicht aus Art. 4 AI Act, sicherzustellen, dass Personen, die mit KI-Systemen arbeiten, über ein angemessenes Maß an KI-Kompetenz verfügen.

Was ist der Digital Omnibus?

Der Digital Omnibus ist ein Gesetzgebungspaket der Europäischen Union, mit dem mehrere digitale Regelwerke überarbeitet und vereinfacht werden sollen. Der Begriff „Omnibus“ bedeutet dabei Folgendes: Es geht nicht um ein einzelnes neues Gesetz, sondern um ein Paket, das mehrere bestehende oder bereits beschlossene Regelungen gleichzeitig betrifft.

Dazu zählen unter anderem der AI Act, die DSGVO, der Data Act und Vorgaben zur Cybersicherheit.

Hintergrund ist, dass die digitale Regulierung in Europa in den vergangenen Jahren stark gewachsen ist. Unternehmen müssen Anforderungen aus Datenschutz, KI-Regulierung, Informationssicherheit, Datenwirtschaft und Plattformregulierung parallel berücksichtigen. Das führt in der Praxis zu Überschneidungen, hohem Abstimmungsaufwand und teilweise unklaren Zuständigkeiten.

Der Digital Omnibus soll diese Komplexität reduzieren. Ziel ist es, Bürokratie abzubauen, Regelwerke besser aufeinander abzustimmen und die Umsetzung für Unternehmen planbarer zu machen.

Warum betrifft das den AI Act?

Der AI Act ist das zentrale europäische Regelwerk für Künstliche Intelligenz. Er verfolgt einen risikobasierten Ansatz: Je höher das Risiko eines KI-Systems ist, desto umfangreicher sind die Anforderungen.

Besonders anspruchsvoll sind die Pflichten für sogenannte Hochrisiko-KI-Systeme nach Art. 6 des AI Acts. Unternehmen müssen hier unter anderem Anforderungen an Risikomanagement, technische Dokumentation, Transparenz, menschliche Aufsicht und Datenqualität erfüllen.

Genau an dieser Stelle setzt der Digital Omnibus an. Die Umsetzung dieser Pflichten ist für viele Unternehmen komplex. Hinzu kommt, dass wichtige praktische Grundlagen noch nicht vollständig vorliegen, etwa harmonisierte Normen, die Unternehmen als Orientierung bei der Umsetzung der Anforderungen benötigen. 

Die EU reagiert mit dem Digital Omnibus also nicht auf ein einzelnes Detailproblem, sondern auf die Frage, wie umfangreiche digitale Regulierung in der Praxis umsetzbar bleibt.

Mehr Zeit hebelt das Risiko nicht aus

Für Unternehmen kann eine Fristverschiebung eine spürbare Entlastung sein. Gerade kleine und mittelständische Unternehmen erhalten dadurch mehr Zeit, Zuständigkeiten zu klären, interne Prozesse aufzubauen und notwendige Dokumentationen vorzubereiten.

Trotzdem sollten Unternehmen den AI Act nicht beiseitelegen. Denn die Verschiebung einzelner Pflichten bedeutet nicht, dass mit dem Einsatz von KI aktuell keine rechtlichen oder organisatorischen Risiken verbunden sind.

Viele Unternehmen nutzen KI bereits heute im Arbeitsalltag, etwa für Texterstellung, Recherche, Datenanalyse, Kundenkommunikation oder interne Prozessoptimierung. Dabei stellen sich schon jetzt zentrale Fragen:

• Welche KI-Systeme werden eingesetzt?
• Welche Daten werden verarbeitet?
• Werden personenbezogene oder vertrauliche Informationen eingegeben?
• Wer prüft die Ergebnisse der KI?
• Gibt es interne Vorgaben für Mitarbeitende?

Diese Fragen hängen nicht allein vom AI Act ab. Sie betreffen auch Datenschutz, Informationssicherheit und interne Compliance.

Was ändert sich beim AI Act?

Nach aktuellem Stand ist vorgesehen, dass die Regeln für eigenständige Hochrisiko-KI-Systeme nach Anhang III des AI Act ab dem 2. Dezember 2027 gelten. Für Hochrisiko-KI-Systeme, die in bestimmte Produkte integriert sind, ist der 2. August 2028 vorgesehen.

Damit reagiert die EU auf die Kritik, dass Unternehmen mehr Zeit benötigen, um die Anforderungen belastbar umzusetzen. Die EU-Kommission beschreibt den Digital Omnibus als gezielte Vereinfachung, um eine rechtzeitige, reibungslose und verhältnismäßige Anwendung bestimmter AI-Act-Vorgaben zu ermöglichen.

Wichtig ist aber: Der Digital Omnibus hebt den AI Act nicht auf. Er verändert die grundsätzliche Richtung der Regulierung nicht. KI-Systeme sollen risikoorientiert, sicher, transparent und grundrechtskonform eingesetzt werden. 

Die DSGVO bleibt  relevant

Ein wichtiger Punkt wird in der Diskussion um den Digital Omnibus häufig übersehen: Die DSGVO wird durch mögliche Fristverschiebungen beim AI Act nicht ausgesetzt.

Sobald beim Einsatz von KI personenbezogene Daten verarbeitet werden, müssen Unternehmen weiterhin prüfen, ob dieser Einsatz datenschutzkonform erfolgt.

Das betrifft insbesondere:

• Rechtsgrundlagen für die Verarbeitung
• Transparenz- und Informationspflichten
• Auftragsverarbeitungsverträge mit KI-Anbietern
• technische und organisatorische Maßnahmen
• Prüfung von Drittlandtransfers
• Datenschutz-Folgenabschätzungen bei erhöhten Risiken

Ein Beispiel: Nutzt ein Unternehmen ein KI-Tool zur Auswertung von Kundenanfragen, Bewerbungsunterlagen oder Support-Tickets, können personenbezogene Daten betroffen sein. In diesem Fall muss bereits heute geprüft werden, ob und unter welchen Voraussetzungen der Einsatz zulässig ist.

Was Unternehmen jetzt tun sollten

Jetzt geht es vor allem darum, die vorhandene Zeit sinnvoll zu nutzen und Schritt für Schritt die Grundlagen für einen verantwortungsvollen KI-Einsatz zu schaffen. Unternehmen sollten aber die gewonnene Zeit nutzen, um die Grundlagen für einen verantwortungsvollen KI-Einsatz zu schaffen.

Sinnvolle erste Schritte sind:

• Übersicht über eingesetzte KI-Anwendungen erstellen
• Verantwortlichkeiten festlegen
• Datenschutzrisiken prüfen
• interne KI-Richtlinien und Freigabeprozesse entwickeln
• Fachwissen aufbauen, zum Beispiel durch unser KI-Webinar
• Mitarbeitende sensibilisieren
• KI-Risikoprüfungen durchführen
• Verträge mit KI-Anbietern prüfen
• regulatorische Entwicklungen beobachten

Diese Maßnahmen helfen nicht nur mit Blick auf den AI Act, sondern stärken auch bestehende Datenschutz-, Informationssicherheits- und Compliance-Strukturen. 

Fazit

Der Digital Omnibus zeigt, dass die EU ihre digitale Regulierung praxistauglicher gestalten möchte. Für Unternehmen kann das eine wichtige Entlastung bedeuten. Insbesondere bei komplexen Anforderungen des AI Acts.

Trotzdem ist eine mögliche Fristverschiebung kein Grund, KI-Compliance aufzuschieben. KI wird bereits heute eingesetzt, und damit entstehen schon jetzt Fragen zu Datenschutz, Informationssicherheit, Verantwortlichkeiten und internen Kontrollmechanismen.

Der Digital Omnibus verschafft Unternehmen möglicherweise mehr Zeit, ersetzt jedoch keine strukturierte Prüfung des eigenen KI-Einsatzes.

Wer die aktuelle Phase nutzt, um Transparenz zu schaffen, Risiken zu bewerten und interne Leitplanken zu entwickeln, legt die Grundlage für einen sicheren, rechtskonformen und verantwortungsvollen Einsatz von Künstlicher Intelligenz.

Autor

Markus Vatter, Head of Compliance, 19.06.2026