Mit dem am 27. Juli 2026 in Kraft getretenen KI-Omnibus hat die Europäische Union die KI-Verordnung (KI-VO) in wichtigen Punkten angepasst.

Ziel ist es, die Umsetzung für Unternehmen zu erleichtern, bürokratische Hürden abzubauen und gleichzeitig den Schutz von Sicherheit und Grundrechten sicherzustellen. Insbesondere die Fristen für Hochrisiko-KI wurden verlängert. Hinzu kommen Erleichterungen bei Dokumentationspflichten, neue Möglichkeiten zur Überprüfung diskriminierender KI-Ergebnisse und Anpassungen bei den Anforderungen an die KI-Kompetenz.

Neue Fristen: Mehr Zeit für Hochrisiko-KI

Eine wesentliche Änderung betrifft die verlängerten Umsetzungsfristen für Hochrisiko-KI-Systeme. Dabei unterscheidet die KI-Verordnung zwischen zwei Kategorien:

•  Ab 2. Dezember 2027: Hochrisiko-KI nach Anhang III
  Hierzu gehören beispielsweise KI-Systeme, die zur Bewerberauswahl oder zur Bewertung der Kreditwürdigkeit natürlicher Personen eingesetzt werden.

• Ab 2. August 2028: Produktbezogene Hochrisiko-KI nach Anhang I
  Dies betrifft beispielsweise sicherheitsrelevante KI-Systeme, die Bestandteil bestimmter Maschinen oder Medizinprodukte sind.

Entscheidend für die Einstufung ist nicht allein die eingesetzte Technologie, sondern insbesondere deren konkreter Verwendungszweck.

Wichtig: Die verlängerten Fristen betreffen nur bestimmte Hochrisiko-Anforderungen. Andere Verpflichtungen aus der KI-Verordnung gelten bereits.

Weniger Bürokratie – gezielte Erleichterungen

Der KI-Omnibus reduziert einzelne administrative Anforderungen. So werden bestimmte Erleichterungen für kleine und mittlere Unternehmen auf „kleinere Unternehmen mittlerer Größe“ ausgeweitet.

Dies betrifft unter anderem Anforderungen an die technische Dokumentation. Auch die Registrierung bestimmter KI-Systeme, die nicht als Hochrisiko-KI eingestuft werden, wird vereinfacht.

Zusätzlich wird der Zugang zu regulatorischen Erprobungsräumen erweitert. Schlussendlich werden die unternehmensbezogene Anforderung an die KI-Kompetenz vereinfacht: Kommission und Mitgliedstaaten übernehmen künftig eine stärkere Rolle bei deren Förderung.

Für die Praxis bedeutet dies: KI-Innovationen werden erleichtert, ohne auf notwendige Kontroll- und Schutzmaßnahmen zu verzichten.

Besonderheiten für Banken: Kreditprüfung, Betrugserkennung und Geldwäscheprävention

Für Banken ist die Abgrenzung zwischen unterschiedlichen KI-Anwendungsfällen besonders relevant. KI-Systeme zur Bewertung der Kreditwürdigkeit natürlicher Personen können grundsätzlich als Hochrisiko-KI eingestuft werden.

Anders verhält es sich bei KI-Systemen, die ausschließlich zur Betrugserkennung (Fraud Detection) und Geldwäscheprävention (Anti-Money Laundering) eingesetzt werden. Diese sind explizit von den Hochrisiko-Pflichten ausgenommen.

Eine pauschale Ausnahme von sämtlichen Anforderungen der KI-Verordnung besteht nicht. Bei Einsatz von KI im direkten Kundenkontakt (z. B. KI-Chatbots in der Kundenberatung, siehe unten) sind Kunden darüber aufzuklären, dass sie mit KI interagieren.

Entscheidend bleibt deshalb die Prüfung des konkreten Einsatzzwecks.

Diskriminierung erkennen: Neue datenschutzrechtliche Möglichkeiten

KI-Systeme können bestehende Verzerrungen in Daten übernehmen und dadurch unbeabsichtigt diskriminierende Ergebnisse erzeugen. Gerade bei sensiblen Entscheidungen, beispielsweise im Zusammenhang mit einer Kreditwürdigkeitsprüfung,  ist die frühzeitige Erkennung solcher Verzerrungen wichtig.

Mit dem KI-Omnibus wurde hierfür eine spezielle datenschutzrechtliche Regelung geschaffen.

Unter engen Voraussetzungen dürfen Anbieter von Hochrisiko-KI-Systemen besondere Kategorien personenbezogener Daten verarbeiten, soweit dies zur Erkennung und Korrektur von Verzerrungen unbedingt erforderlich ist. Dabei gelten strenge Anforderungen an Zweckbindung, Erforderlichkeit und Schutzmaßnahmen.

Wichtig: Die neue Regelung ist keine generelle Erlaubnis  zur Verarbeitung sensibler Daten. Sie eröffnet vielmehr einen eng begrenzten rechtlichen Rahmen zur Vermeidung diskriminierender KI-Ergebnisse.

KI-Kompetenz: Weniger starre Vorgaben, weiterhin Verantwortung

Auch die Anforderungen an die KI-Kompetenz wurden angepasst. Das Gesetz stellt nun ausdrücklich klar, dass Unternehmen kein bestimmtes Kompetenzniveau garantieren müssen.

Sie bleiben jedoch verpflichtet, Maßnahmen zur Förderung der KI-Kompetenz zu ergreifen. Dabei sind insbesondere der Wissensstand der Mitarbeitenden, ihre Aufgaben und die Risiken der eingesetzten KI-Anwendungen zu berücksichtigen.

 Die EU-Kommission weist in ihren „AI Literacy FAQs“ (abgerufen am 08.10.2026) darauf hin, dass das bloße Bereitstellen einer Bedienungsanleitung nicht ausreicht.

In der Praxis hat sich ein risikoorientiertes Stufenmodell bewährt:

• Stufe 1 – Grundlagen für alle
  Grundkenntnisse zur sicheren KI-Nutzung, zum Datenschutz, zum Schutz vertraulicher Informationen und zum kritischen Umgang mit KI-Ergebnissen.
• Stufe 2 – Vertiefung für Anwender
  Anwendungsbezogene Schulungen für Mitarbeitende, die KI regelmäßig in ihren Arbeitsprozessen einsetzen
• Stufe 3 – Spezialwissen für Verantwortliche
  Vertiefte Kenntnisse für KI-Beauftragte, Compliance, Datenschutz, Informationssicherheit und Verantwortliche für besonders risikorelevante KI-Anwendungen.

Ein solches Stufenmodell ist keine ausdrücklich vorgeschriebene gesetzliche Schulungsstruktur, kann aber eine angemessene und wirtschaftliche Umsetzung unterstützen (– unter anderem empfohlen vom Kompetenzzentrum KI
der Bundesnetzagentur und Branchen-Experten (abgerufen am 08.10.2026).

Transparenzpflichten gelten bereits

Während die Hochrisiko-Fristen verlängert wurden, gelten andere Vorgaben der KI-Verordnung bereits. Insbesondere die Transparenzpflichten sind seit dem 2. August 2026 anzuwenden.

Bei bestimmten KI-Anwendungen im direkten Kundenkontakt muss beispielsweise erkennbar sein, dass die Kommunikation mit einem KI-System erfolgt. Das betrifft unter anderem KI-Chatbots, sofern für den Kunden nicht ohnehin offensichtlich ist, dass er mit einer KI interagiert. Auch für KI-generierte oder manipulierte Inhalte, beispielsweise Deepfakes, bestehen besondere Transparenz- und Kennzeichnungsanforderungen.

Verstöße können aufsichtsrechtliche Maßnahmen und Bußgelder nach sich ziehen.

Die verlängerten Hochrisiko-Fristen sind daher kein allgemeiner Aufschub der KI-Compliance.

Fazit

Der KI-Omnibus schafft Erleichterungen und zusätzliche Vorbereitungszeit. Die Verantwortung für einen sicheren und regelkonformen KI-Einsatz bleibt bestehen.

Die zusätzliche Vorbereitungszeit sollte gezielt genutzt werden:

• Transparenz schaffen: Eingesetzte und geplante KI-Anwendungen sowie ihre Verwendungszwecke erfassen.
• Risiken bewerten: Prüfen, welche Anforderungen der KI-Verordnung für die jeweiligen Anwendungen gelten.
• Verantwortlichkeiten festlegen: Zuständigkeiten und erforderliche Prüf- und Freigabeprozesse definieren.
• KI-Kompetenz fördern: Mitarbeitende entsprechend ihrer Aufgaben und der eingesetzten KI-Anwendungen sensibilisieren und schulen.
• Fachbereiche einbinden: KI-Beauftragte, Datenschutz und Informationssicherheit frühzeitig bei neuen KI-Anwendungen beteiligen.

Sie möchten Ihre bestehenden KI-Prozesse überprüfen oder die neuen Anforderungen strukturiert umsetzen? Gerne unterstützen wir Sie mit unseren Expertinnen und Experten bei Ihrem KI-Projekt.

Sie brauchen Unterstützung in der sicheren Anwendung der KI-Verordnung? Sie erwägen, einen KI-Beauftragten für Ihr Haus einzurichten, um einen sicheren Einsatz von KI zu gewährleisten? Unsere Mitarbeitenden sind bereits als KI-Beauftragte zertifiziert. Wir begleiten, beraten und schulen Sie in allen regulativen Fragen zum Einsatz von KI-Produkten.

Erfahren Sie mehr zu unseren Unterstützungsangeboten in der KI-Compliance.

Bleiben Sie auf dem Laufenden und registrieren sich jetzt für die KI-Fachinfo.