Am 29. Juni 2026 gab der EU-Rat seine endgültige Zustimmung zum sogenannten „Digital Omnibus", einem Paket gezielter Änderungen am EU KI-Gesetz (Verordnung EU 2024/1689). Monatelang hatten Rat, Parlament und Kommission in Trilog-Verhandlungen gerungen: Nach einem gescheiterten ersten Anlauf Ende April 2026 folgte die vorläufige politische Einigung am 6.-7. Mai, das Europäische Parlament stimmte am 16. Juni zu, der Rat gab am 29. Juni seinen formellen Segen. Laut dem EU-Ratswebsite tritt das Gesetz drei Tage nach Veröffentlichung im EU-Amtsblatt in Kraft, voraussichtlich noch im Juli 2026.
Für Unternehmen, die lokale Sprachmodelle einsetzen, ergeben sich aus dem Omnibus zwei wesentliche Neuerungen: verschobene Fristen für Hochrisiko-KI und ein deutlich erweiterter KMU-Schutz.
Neue Hochrisiko-Fristen: Dezember 2027 statt August 2026
Der zentrale Inhalt des Omnibus ist die Verschiebung der Compliance-Fristen für Hochrisiko-KI-Systeme. Laut verfügbaren Berichten von Rechtskanzleien und Regulierungsblogs wie aiactblog.nl gelten nun folgende Termine:
- Anhang-III-Systeme (eigenständige Hochrisiko-KI in Bereichen wie Personalwesen, Kreditvergabe, Bildung, Biometrie, kritische Infrastruktur): neue Compliance-Frist 2. Dezember 2027: bisher war der 2. August 2026 vorgesehen.
- Anhang-I-Systeme (in regulierte Produkte eingebettete KI, z.B. Medizingeräte, Fahrzeugtechnik, Industrieanlagen): neue Frist 2. August 2028.
Gemäß unserem Verständnis bedeutet das: Wer heute ein Hochrisiko-System plant oder betreibt, gewinnt 16 zusätzliche Monate, um die Anforderungen aus Kapitel III vollständig umzusetzen, Datenverwaltungspflichten, Risikomanagementsystem, technische Dokumentation nach Anhang IV, menschliche Aufsicht und Markttransparenz.
Hintergrund der Verschiebung: Harmonisierte technische Normen (CEN/CENELEC) sind für viele Bereiche noch nicht verabschiedet, die nationalen Marktüberwachungsbehörden befinden sich im Aufbau. Rat und Parlament reagierten pragmatisch statt konfrontativ.
Erweiterter KMU-Schutz: Bis zu 750 Mitarbeiter
Bislang galten erleichterte Regelungen im EU AI Act nur für klassische EU-KMU (unter 250 Mitarbeiter, Jahresumsatz unter 50 Mio. €). Der Omnibus weitet diesen Schutz erheblich aus. Unternehmen mit bis zu 750 Mitarbeitern und einem Jahresumsatz von bis zu 150 Mio. Euro: sogenannte „Small Mid-Caps", profitieren nun ebenfalls von:
- Vereinfachter Guidance der Aufsichtsbehörden
- Niedrigeren Bußgeldobergrenzen im Vergleich zu Großunternehmen
- Zugang zu Regulatory Sandboxes für Pilottests
- Standardisierten Dokumentationsvorlagen
Diese Unternehmen fielen bisher zwischen den Stühlen: zu groß für KMU-Schutz, zu klein für eigene Compliance-Abteilungen. Für viele mittelständische Unternehmen in Deutschland ist das eine echte strukturelle Entlastung.
DSGVO und KI-Training: Bias-Erkennung als Ausnahmetatbestand
Gemäß verfügbaren Berichten erlaubt der Omnibus unter der Bedingung strikter Notwendigkeit die Verarbeitung besonderer Kategorien personenbezogener Daten, Gesundheitsdaten, biometrische Daten, ethnische Herkunft, für den Zweck der Bias-Erkennung und -Korrektur in KI-Modellen. Das ist keine Blankoerlaubnis, sondern ein eng gefasster Ausnahmetatbestand.
Digitalpolitik-Expertin Egle Markeviciute wies auf X auf die Kernspannung hin, die der Omnibus adressiert: "some air for AI dev in the heavy room of the GDPR" (Quelle). Lokale LLM-Setups entschärfen diese Spannung strukturell: Wer Daten auf eigener Infrastruktur verarbeitet, muss keine grenzüberschreitenden Transfers in US-Rechenzentren rechtfertigen, eine ganze Kategorie DSGVO-Risiken entfällt damit von vornherein.
Was ab 2. August 2026 weiterhin gilt
Die Verschiebungen betreffen ausschließlich die Hochrisiko-Pflichten. Folgende Verpflichtungen treten planmäßig am 2. August 2026 in Kraft oder gelten bereits:
- Art. 5, Verbotene KI-Praktiken: seit 2. Februar 2025 in Kraft, keine Änderung
- Art. 4, KI-Kompetenzpflicht: gilt bereits seit 2. Februar 2025 und ist ab 2. August 2026 behördlich durchsetzbar; Unternehmen müssen nachweisbare KI-Schulungen für Mitarbeiter sicherstellen
- Art. 50, Chatbot-Kennzeichnung: KI-Systeme im Nutzerkontakt müssen sich als KI ausweisen, Details dazu in unserem Artikel vom 8. Juli
- Kapitel V, GPAI-Pflichten: Anbieter allgemeiner KI-Modelle unterliegen ab August 2026 Transparenz- und Dokumentationspflichten
Was das für lokale LLM-Betreiber bedeutet
Die wichtigste Botschaft: Die meisten internen Anwendungsfälle mit lokalen LLMs fallen nicht unter Hochrisiko. Ein Sprachmodell wie Llama 3.3, Qwen 2.5-72B oder Mistral-Small-3.1, das intern für Dokumentensuche, Zusammenfassungen, Protokollierung oder interne Q&A genutzt wird, ist in der Regel kein Hochrisiko-System im Sinne von Anhang III.
Hochrisiko-Anwendungen sind im Anhang III abschließend aufgelistet: autonome HR-Entscheidungen ohne menschliche Kontrolle, automatisiertes Kreditscoring, biometrische Kategorisierung, Strafverfolgungsanwendungen, Bildungsbewertungen. Typische lokale KI-Deployments in KMU treffen diese Kategorien selten.
Handlungsliste für KMU und Mid-Caps
Bis August 2026:
- Bestandsaufnahme: Alle eingesetzten KI-Systeme erfassen, interne Tools und externe SaaS-Dienste
- Kategorisierung: Fällt eines davon unter eine Hochrisiko-Kategorie in Anhang III?
- KI-Schulung (Art. 4): Nachweisbare KI-Kompetenzmaßnahmen für betroffene Mitarbeiter einführen
- Chatbot-Label (Art. 50): Falls KI im Kundenkontakt eingesetzt wird, Disclosure-Label implementieren
Bis Dezember 2027 (falls Hochrisiko-Systeme im Einsatz):
- Datenverwaltungsdokumentation nach Art. 10
- Risikomanagementsystem nach Art. 9
- Technische Dokumentation nach Anhang IV
- Logging und Post-Market-Monitoring
Wer heute einen KI-Piloten aufsetzt, sollte Dokumentationsgewohnheiten von Beginn an einführen, auch wenn die formale Frist erst 2027 gilt. Die Datenspur, die heute entsteht, ist das, was 2027 eingereicht wird.
Lokale KI als Compliance-Architektur
Der EU KI-Omnibus verschafft Unternehmen mehr Zeit, er macht Compliance nicht optional. Wer die Hochrisiko-Anforderungen 2027 mit solidem Fundament angehen will, sollte heute die Architekturentscheidungen treffen, die morgen Compliance ermöglichen.
Lokale LLMs haben dabei einen strukturellen Vorteil: keine Datentransfers in Drittländer, volle Kontrolle über Modell und Daten, lückenlose Auditierbarkeit. Das sind keine Nebeneffekte, das sind Compliance-Features, die mit der Infrastrukturentscheidung entstehen.
Wollen Sie wissen, welche Ihrer KI-Vorhaben als Hochrisiko einzustufen sind und wie Sie jetzt die richtigen Grundlagen legen? Kontaktieren Sie uns, wir begleiten KMU und mittelständische Unternehmen beim rechtskonformen, lokalen KI-Einsatz.