KI-Verordnung nach dem Digital-Omnibus: Geltungsstufen, Verbote und Grundrechte-Folgenabschätzung

Ausgangspunkt

Die KI-Verordnung (Verordnung (EU) 2024/1689, „AI Act“) regelt KI-Systeme nach ihrem Risiko: verbotene Praktiken, Hochrisiko-Systeme, Transparenzpflichten und KI-Modelle mit allgemeinem Verwendungszweck. Mit der Digital-Omnibus-Verordnung zur KI (Verordnung (EU) 2026/1744 vom 8. Juli 2026) hat die EU die Verordnung geändert. Die Änderungsverordnung wurde am 24. Juli 2026 im Amtsblatt veröffentlicht und trat am dritten Tag danach in Kraft (Art. 4).

Geltungsstufen nach der Änderung

Nach Art. 113 der KI-Verordnung in der geänderten Fassung gilt:

• seit 2. Februar 2025: allgemeine Bestimmungen und Verbote nach Art. 5 (Kapitel I und II),
• seit 2. August 2025: unter anderem Vorschriften zu KI-Modellen mit allgemeinem Verwendungszweck, Governance und Sanktionen,
• seit 2. August 2026: allgemeiner Geltungsbeginn,
• ab 2. Dezember 2026: neue Verbote nach Art. 5 Abs. 1 Buchst. ba und bb (siehe unten); bis dahin müssen Anbieter von Systemen, die synthetische Inhalte erzeugen und vor dem 2. August 2026 in Verkehr gebracht wurden, die Kennzeichnungspflicht nach Art. 50 Abs. 2 erfüllen,
• ab 2. Dezember 2027: Pflichten für Hochrisiko-Systeme nach Anhang III (zuvor 2. August 2026),
• ab 2. August 2028: Pflichten für Hochrisiko-Systeme als Bestandteil von Produkten nach Anhang I (zuvor 2. August 2027).

Begründet wird die Verschiebung unter anderem mit der verzögerten Verfügbarkeit harmonisierter Normen und Leitlinien (Erwägungsgründe der VO 2026/1744).

Verbotene Praktiken (Art. 5)

Seit Februar 2025 verboten sind insbesondere manipulative oder täuschende Techniken, die Ausnutzung von Schutzbedürftigkeit, Social Scoring, Straftatrisikobewertungen allein auf Grundlage von Profiling und das ungezielte Auslesen von Gesichtsbildern für Gesichtserkennungsdatenbanken. Hinzu kommen Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen, biometrische Kategorisierung nach sensiblen Merkmalen und biometrische Echtzeit-Fernidentifizierung zu Strafverfolgungszwecken in öffentlichen Räumen, diese mit eng begrenzten Ausnahmen. Die Kommission hat dazu am 4. Februar 2025 Leitlinien veröffentlicht.

Der Omnibus ergänzt zwei Verbote. Ab dem 2. Dezember 2026 untersagt sind KI-Systeme, die ohne ausdrückliche Zustimmung realistische intime oder sexuelle Darstellungen einer bestimmbaren Person erzeugen oder manipulieren (Buchst. ba). Ebenso untersagt sind Systeme, die Darstellungen sexuellen Kindesmissbrauchs erzeugen (Buchst. bb). Für Anbieter greifen die Verbote nach Art. 5 Abs. 1a, wenn eine solche Erzeugung Zweckbestimmung des Systems ist oder ohne wirksame Schutzvorkehrungen absehbar und reproduzierbar möglich ist. Verstöße gegen Art. 5 können mit Geldbußen von bis zu 35 Mio. Euro oder 7 % des weltweiten Jahresumsatzes geahndet werden (Art. 99 Abs. 3).

Grundrechte-Folgenabschätzung (Art. 27)

Art. 27 verpflichtet bestimmte Betreiber von Hochrisiko-Systemen nach Anhang III, vor der Inbetriebnahme abzuschätzen, wie sich die Nutzung auf Grundrechte auswirken kann. Betroffen sind Einrichtungen des öffentlichen Rechts, private Einrichtungen, die öffentliche Dienste erbringen, sowie Betreiber von Systemen zur Kreditwürdigkeitsprüfung und zur Risikobewertung und Preisbildung bei Lebens- und Krankenversicherungen (Anhang III Nr. 5 Buchst. b und c). Die Abschätzung umfasst unter anderem die betroffenen Personengruppen, die spezifischen Schadensrisiken und die Maßnahmen menschlicher Aufsicht.

Nach der Änderung können Betreiber auf eine bereits durchgeführte Datenschutz-Folgenabschätzung verweisen (Art. 27 Abs. 4). Das Büro für Künstliche Intelligenz erarbeitet einen Musterfragebogen (Art. 27 Abs. 5). Da Art. 27 zu den Hochrisiko-Vorschriften gehört, gilt er nach der Verschiebung ab dem 2. Dezember 2027.

Bezug zu Menschenrechten

Die KI-Verordnung ist Produktsicherheitsrecht, schützt aber ausdrücklich auch Grundrechte. Für Unternehmen mit menschenrechtlichen Sorgfaltsprozessen ergeben sich Berührungspunkte. Das gilt etwa für KI in Personalprozessen, in der Lieferantenbewertung oder bei der Kreditvergabe: Risiken der Diskriminierung, Überwachung oder Intransparenz lassen sich in bestehende Risikoanalysen einbeziehen. Auch die Pflicht zur Förderung der KI-Kompetenz des Personals (Art. 4) wurde durch den Omnibus neu gefasst. Anbieter und Betreiber müssen nun Maßnahmen ergreifen, um die Entwicklung dieser Kompetenz zu unterstützen.

Was Unternehmen typischerweise prüfen

1. Bestandsaufnahme: Welche KI-Systeme werden entwickelt oder eingesetzt, und in welche Risikoklasse fallen sie?
2. Verbote: Ist ausgeschlossen, dass eingesetzte Systeme unter Art. 5 fallen, auch unter die neuen Buchstaben ba und bb?
3. Rolle: Ist das Unternehmen Anbieter oder Betreiber, und ändert sich die Rolle durch Anpassungen am System?
4. Fristen: Welche Pflichten greifen ab Dezember 2027 bzw. August 2028?
5. Verzahnung: Lassen sich Grundrechte-, Datenschutz- und menschenrechtliche Risikoanalysen aufeinander abstimmen?

Dieser Beitrag gibt einen allgemeinen Überblick über die Rechtslage und ersetzt keine Rechtsberatung im Einzelfall.

← Alle Beiträge