Die Europäische Union hat die Verordnung (EU) 2026/1744, den Digital Omnibus zur KI, am 24. Juli 2026 im Amtsblatt veröffentlicht und damit den Compliance-Kalender des KI-Gesetzes (Verordnung (EU) 2024/1689) neu geordnet. Die Maßnahme verschiebt die Hochrisiko-Pflichten, ändert die Verordnungen (EU) 2018/1139 und (EU) 2023/1230 und erweitert die Verbote des Artikels 5 auf KI-Systeme, die intime Bilder ohne Einvernehmen der abgebildeten Person sowie Darstellungen sexuellen Kindesmissbrauchs erzeugen. Sie bindet jeden Anbieter und Betreiber im Binnenmarkt.
Was die Verordnung ändert
Die Verordnung (EU) 2026/1744 verfolgt das formale Ziel, die harmonisierten Vorschriften über künstliche Intelligenz zu vereinfachen. Sie schreibt das KI-Gesetz über mehrere tragende Bestimmungen um, und die zentrale Verschiebung betrifft den Zeitplan. Die Pflichten für eigenständige Hochrisiko-Systeme des Anhangs III verlagern sich vom 2. August 2026 auf den 2. Dezember 2027, eine Verschiebung um sechzehn Monate. Die Pflichten für Hochrisiko-Systeme, die in regulierte Produkte des Anhangs I eingebettet sind, verlagern sich vom 2. August 2027 auf den 2. August 2028, eine Verlängerung um zwölf Monate. Die Kommission beschreibt die Neukalibrierung als Angleichung an die Reife der harmonisierten Normen und die Verfügbarkeit der Konformitätsbewertungs-Infrastruktur in den Mitgliedstaaten. Der Digital Omnibus bündelt diese KI-Gesetz-Überarbeitungen mit parallelen Anpassungen der Luftverkehrssicherheits-Verordnung (EU) 2018/1139 und der Maschinen-Verordnung (EU) 2023/1230 und richtet drei Produktsicherheitsregime an einem einheitlichen Zeitplan aus.
Die Verordnung fügt der obersten Stufe der Risikopyramide eine neue verbotene Praxis hinzu. Der geänderte Artikel 5 untersagt KI-Systeme, die intime Bilder, Videos und Audiodateien einer Person ohne deren Einvernehmen erzeugen oder manipulieren, sowie Darstellungen sexuellen Kindesmissbrauchs. Das Verbot erfasst Anbieter auch dort, wo eine solche Ausgabe außerhalb der erklärten Zweckbestimmung liegt, sofern die Erzeugung ein vernünftigerweise vorhersehbares und reproduzierbares Ergebnis darstellt, das ohne wesentliche technische Änderung erreichbar ist. Diese Formulierung erfasst universelle Bild- und Videogeneratoren, die "Nudifier"-Anwendungen, die Datenschutzbehörden in ganz Europa wiederholt als Durchsetzungspriorität benannt haben. Die Entscheidung über den Anwendungsbereich zählt für Anbieter von Basismodellen, deren Systeme solche Inhalte über einen breiten Prompt-Raum erzeugen können, was die Compliance-Last auf die Modellebene statt nachgelagert verlagert.
Wer handeln muss und bis wann
Die Verschiebung betrifft ausschließlich die Hochrisiko-Einstufung. Die Transparenzpflichten laufen nach dem ursprünglichen Zeitplan weiter. Die Pflichten des Artikels 50, Offenlegung der KI-Interaktion, maschinell erzeugter Inhalte, von Deepfakes sowie von Systemen zur Emotionserkennung oder biometrischen Kategorisierung, treten am 2. August 2026 in Kraft. Anbieter, die generative Systeme vor diesem Datum in Verkehr bringen, erhalten ein viermonatiges Übergangsfenster für die Kennzeichnungspflicht des Artikels 50(2), das am 2. Dezember 2026 schließt. Diese Trennung schafft eine Compliance-Realität mit zwei Geschwindigkeiten: Kennzeichnungs- und Offenlegungspflichten binden binnen Wochen, während die klassifizierungsgetriebene Ingenieursarbeit Luft gewinnt.
Das neue Verbot des Artikels 5 sieht eine Übergangsfrist bis zum 2. Dezember 2026 vor und gewährt Anbietern eine definierte Frist, um Funktionen, die verbotene Ausgaben erzeugen, zurückzuziehen oder umzugestalten. Ab diesem Datum greift die schärfste Sanktionsstufe des KI-Gesetzes: Geldbußen von bis zu 35 Millionen Euro oder 7 % des gesamten weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ausfällt. Die nationalen Marktüberwachungsbehörden und das Europäische KI-Büro teilen sich die Zuständigkeit für diese Sanktionen, und die Obergrenze gilt je Verstoß. Die erhöhte Obergrenze signalisiert, dass die Mitgesetzgeber synthetische Missbrauchsinhalte als Rote-Linie-Praxis behandeln, gleichrangig mit Social Scoring und dem ungezielten Auslesen für die Gesichtserkennung.
Die betroffenen Einheiten umfassen die gesamte Wertschöpfungskette. Die Pflichten erreichen Anbieter von universellen KI-Modellen, Entwickler von als hochriskant eingestuften Systemen, Betreiber, die Modelle Dritter in regulierte Produkte integrieren, sowie Händler, die Bild- und Videogenerierungswerkzeuge auf dem europäischen Markt bereitstellen. Importeure, die Drittland-Modelle in den Markt einführen, erben Prüfpflichten, die denen inländischer Anbieter entsprechen. Die Verordnung verfeinert außerdem die KI-Kompetenzpflicht des Artikels 4 und die Regulierungssandbox-Regelung des Artikels 57 und erlaubt die Verarbeitung besonderer Kategorien personenbezogener Daten, soweit dies zur Erkennung und Minderung von Verzerrungen in KI-Modellen erforderlich ist, eine gezielte Öffnung innerhalb des DSGVO-Rahmens, die zuvor durch Datenminimierungsgrenzen eingeschränkte Fairness-Tests freigibt.
Die Entscheidung auf Vorstandsebene
Verantwortliche gewinnen technischen Spielraum neben einem schärferen Verbot, und beide Entwicklungen verlangen eine einzige koordinierte Antwort. Der Governance-Meilenstein dreht sich um eine dokumentierte Neuausrichtung der KI-Compliance-Roadmap an den überarbeiteten Ankerdaten. Vorstände sollten den General Counsel und den Chief Risk Officer anweisen, jedes inventarisierte System neu einzustufen und zu bestätigen, welche unter Anhang III (Dezember 2027), Anhang I (August 2028) oder das ab August 2026 bindende Transparenzregime fallen. Die Übung trägt ein zweites Mandat: eine Prüfung jeder eingesetzten oder beschafften generativen Funktion am erweiterten Verbot des Artikels 5, abgeschlossen vor der Übergangsfrist des 2. Dezember 2026. Organisationen, die sich auf Basismodelle Dritter stützen, sollten vertragliche Zusicherungen einholen, die bestätigen, dass der Modellanbieter vernünftigerweise vorhersehbare verbotene Ausgaben bewertet hat und über Kontrollen verfügt. Die Verschiebung verwandelt sich in Wert, sobald Verantwortliche die zurückgewonnene Zeit in belastbare Konformitätsdokumentation reinvestieren und sie als Chance behandeln. Das Verbot hingegen verlangt sofortige rechtliche Aufmerksamkeit. Beide gehören als ein einziger datierter, mit Verantwortlichen versehener Aktionspunkt auf die nächste Vorstandsagenda, mit vierteljährlicher Berichterstattung an den Prüfungsausschuss bis 2027.
Artikel von ATLASGovernance & Compliance
ATLAS berichtet über KI-Regulierung aus primären Rechtsquellen. Jede Pflicht wird dem amtlichen Dokument zugeordnet.