Digital Omnibus on AI: Konkrete Vorgaben für die KI‑Roadmap bis 12/2027 und 08/2028

Der „Digital Omnibus on AI“ (COM(2025)836, 19.11.2025) ist ein Nachbesserungsvorschlag der EU‑Kommission, der die Umsetzung des bereits verabschiedeten AI Act präzisiert und praktikabler gestaltet. Im Fokus stehen insbesondere:

• klare Fristen für Hochrisiko‑KI,
• präzisierte Governance‑Strukturen,
• angepasste Registrierungspflichten,
• innovationsfreundliche Reallabore (Sandboxes),
• sowie der eng begrenzte, datenschutzkonforme Einsatz besonderer Kategorien personenbezogener Daten zur Bias‑Erkennung und -Korrektur.

Das Dossier wurde im Europäischen Parlament den Ausschüssen für Binnenmarkt (IMCO) und Bürgerrechte (LIBE) zugewiesen. Ein gemeinsamer Berichtsentwurf wurde am 05.02.2026 angenommen (mit 24 Änderungen). Seit dem 25.02.2026 laufen technische Verhandlungen, um Paragraphen, Querverweise und Fristen zu harmonisieren und Widersprüche zu anderen Digitalgesetzen zu vermeiden. Für Unternehmen in der DACH‑Region, insbesondere in Fertigung, Finanzwesen, Gesundheitswesen und Handel, ist dies ein Signal: Die regulatorischen Leitplanken für Planung, Budgetierung und Implementierung von KI‑Systemen werden konkret.

Kernpunkte und Streitfragen im Überblick

1) Feste Fristen für Hochrisiko‑KI

• Für Systeme nach Art. 6(2) i. V. m. Anhang III: vorgeschlagen ist der 02.12.2027.
• Für sicherheitskritische Produkte nach Art. 6(1) i. V. m. Anhang I: vorgeschlagen ist der 02.08.2028.
  Ziel ist Rechts- und Planungssicherheit, unabhängig vom Stand harmonisierter Normen.

2) Verpflichtende KI‑Kompetenz
Anbieter und Anwender sollen Personal, das KI betreibt, überwacht oder nutzt, verpflichtend schulen. Gefordert sind rollenbasierte Trainings und dokumentierte Nachweise.

3) Bias‑Korrektur unter strengen Datenschutzauflagen
Die Verarbeitung besonderer Kategorien personenbezogener Daten zur Erkennung und Minderung von Verzerrungen soll in eng begrenzten Fällen zulässig sein – vorbehaltlich Erforderlichkeitsprüfung, geeigneter Schutzmaßnahmen, klarer Zweckbindung und Einbindung der Datenschutzaufsicht.

4) Reallabore (Sandboxes)
Erleichterte, praxisnahe Regeln sollen sichere Tests fördern, Validierung beschleunigen und Innovation begünstigen – unter aufsichtsbehördlicher Begleitung.

5) Registrierungspflichten
Für flexibel als hochriskant eingestufte Systeme nach Art. 6(3) ist eine Entschärfung bzw. Streichung einzelner Einträge im öffentlichen Register vorgesehen. Unberührt bleibt die Pflicht zu vollständiger interner Dokumentation und einer nachvollziehbaren Begründung der Risikoeinstufung.

6) Governance und Zuständigkeiten
Das EU‑KI‑Amt soll bei allgemeinen KI‑Modellen und bei KI auf sehr großen Plattformen/Suchmaschinen gestärkt werden. Klare Abgrenzung der Zuständigkeiten und enge Kooperation mit nationalen Aufsichten sollen Fragmentierung vermeiden.

7) Ergänzungen bei Verboten
Vorgesehen sind punktuelle Erweiterungen für grundrechtssensitive Anwendungen, u. a. ein ausdrückliches Verbot nicht‑einvernehmlicher KI‑gestützter Entkleidung auf Bildern.

Was die Fristen für Ihre Roadmap bedeuten

Die vorgeschlagenen Stichtage 02.12.2027 (Anhang III) und 02.08.2028 (Anhang I) verlangen rückwärtsgerichtete Planung mit messbaren Meilensteinen:

• Gap‑Analyse: Identifizieren Sie alle bestehenden und geplanten KI‑Anwendungsfälle, insbesondere solche mit Hochrisiko‑Bezug. Priorisieren Sie Use Cases, die in Produktivumgebung sind oder kurz davor stehen.
• Ressourcenzuteilung: Budgetieren Sie technische Remediation (z. B. Datenqualität, Logging, Robustheit), Dokumentation, Schulungen und Audits im Mehrjahresplan 2026–2028.
• Abhängigkeiten managen: Synchronisieren Sie KI‑Compliance mit branchenspezifischen Normen (z. B. Luftfahrt, Medtech), IT‑Security‑Roadmaps und Datenschutzanforderungen (DPIAs).
• Lieferkette einbinden: Verankern Sie Fristen und Compliance‑Artefakte (Konformitätserklärung, technische Dokumentation, Risikoakte, Testberichte) vertraglich mit Anbietern und Integratoren.

Praxisempfehlung: Legen Sie quartalsweise Meilensteine fest (Policy‑Update, Trainingsquote, Testabdeckung, Dokumentationsreifegrade), die bis 12/2027 und 08/2028 auf vollständige Konformität zusteuern.

KI‑Kompetenzprogramm und Managementsystem für KI

Die Pflicht zu rollenbasierten Schulungen ist mehr als ein Häkchen im Audit:

• Rollen definieren: Betreiber, Überwacher, Entwickler, Fachanwender, Compliance/Legal, Risiko/Revision.
• Curricula zuordnen: Sicherheit/Robustheit, Daten- und Modellrisiken, Transparenz/Erklärbarkeit, Vorfallmanagement, Dokumentationspflichten, Menschen‑in‑der‑Schleife‑Kontrollen.
• Nachweise führen: Teilnahme, Lernerfolg, Rezertifizierung; Verknüpfung mit Berechtigungs- und Freigabeprozessen.
• Integration in Managementsysteme: Richten Sie ein KI‑Managementsystem nach anerkannten Frameworks (z. B. ISO/IEC 42001) ein, verzahnt mit Informationssicherheit (ISO/IEC 27001), Qualitätsmanagement (ISO 9001) und internen Kontrollsystemen.

Operative Verankerung: Definieren Sie Kontrollpunkte im Lebenszyklus (Design‑Review, Datensatzfreigabe, Pre‑Deployment‑Check, Post‑Market‑Monitoring) und machen Sie Trainingsnachweise zur Voraussetzung für Rollen mit erhöhtem Risiko.

Daten- und Bias‑Governance: Präzision statt Pauschalität

Der Vorschlag lässt eine eng umgrenzte Nutzung besonderer Kategorien personenbezogener Daten zur Bias‑Erkennung zu – jedoch nur, wenn:

• Erforderlichkeit nachgewiesen ist (keine milderen Mittel, klare Problemhypothese).
• strenge Schutzmaßnahmen greifen (Pseudonymisierung/Anonymisierung, Zugriffsbeschränkung, Verschlüsselung, Protokollierung).
• die Zweckbindung eindeutig ist (nur Bias‑Erkennung/-Korrektur, keine Zweckausweitung).
• Datenschutzaufsichten frühzeitig eingebunden werden und erforderliche DPIAs vorliegen.

Praktische Schritte:

• Bias‑Use‑Case‑Katalog: Legen Sie fest, in welchen Modellen Verzerrungsrisiken material sind (z. B. Kreditvergabe, Triage, Personaleinsatzplanung).
• Datensatz‑Governance: Führen Sie Datenkarten für Trainings-, Validierungs- und Monitoring‑Datensätze; dokumentieren Sie Attribute, Herkunft, Rechtsgrundlagen und Sperrvermerke.
• Evaluationsprotokolle: Definieren und versionieren Sie Metriken (Fairness, Performance, Drift), Schwellenwerte und Eskalationsroutinen.
• Lösch- und Rückbaufähigkeit: Planen Sie Rücknahme und Löschung sensibler Attribute nach Abschluss der Bias‑Korrektur; minimieren Sie Persistenz.
• Lieferantensteuerung: Verlangen Sie von Modell‑ und Datenlieferanten belastbare Auskünfte zu Datengrundlagen, Fairness‑Tests und Einschränkungen.

Wichtig: Wenn der Einsatz sensibler Daten nicht zwingend ist, vermeiden Sie ihn. Setzen Sie vorrangig auf repräsentative Stichproben, Re‑Weighting, Balanced Splits und Kausaltests ohne Rückgriff auf besondere Kategorien.

Reallabore, Registrierung und Aufsicht: Chancen sicher nutzen

Reallabore bieten die Möglichkeit, risikosensitive KI‑Funktionen unter realen Bedingungen zu testen – mit klaren Leitplanken:

• Teilnahme: Prüfen Sie nationale oder behördliche Sandboxes; bereiten Sie Testpläne, Risikoanalysen und Schutzkonzepte vor.
• Nutzen: Schnellere Validierung, engere Abstimmung mit Aufsichten, belastbare Evidenz für spätere Konformitätsbewertungen.
• Governance: Definieren Sie interne „Exit‑Kriterien“ von Sandbox in Produktion (Metrikerfüllung, Abnahme, Drittreviews).

Registrierung: Selbst wenn einzelne Einträge im öffentlichen Register für Art. 6(3) gelockert werden, bleibt interne Vollständigkeit Pflicht:

• Risikoklassifizierung mit Begründung,
• technische Dokumentation, Logbücher,
• Transparenz- und Nutzerinformationen,
• Post‑Market‑Monitoring.

Aufsichtslandschaft: Rechnen Sie mit einem gestärkten EU‑KI‑Amt für allgemeine KI‑Modelle und KI auf sehr großen Plattformen/Suchmaschinen. Halten Sie Schnittstellen zu nationalen Behörden bereit, um Mehrfachanforderungen koordiniert zu bedienen.

Branchenperspektiven: Konkrete Ansatzpunkte

• Fertigung

  • Qualitätsprüfung: Validieren Sie visuelle Inspektion als potenziell hochriskant, etablieren Sie robuste Testdatensätze (Varianten, Beleuchtung, Drift).
  • Vorausschauende Wartung: Transparenzinfos zu Entscheidungsunterstützung für Instandhalter; klare Mensch‑in‑der‑Schleife‑Kontrollen.
  • Lieferantenintegration: Fordern Sie Konformitätsartefakte von Maschinen‑ und Sensorikzulieferern frühzeitig ein.

• Finanzwesen

  • Kreditvergabe und Betrugsprävention: Bias‑Risiken systematisch prüfen; DPIAs und Fairness‑Metriken verbindlich machen.
  • Modellrisikomanagement: Alignment mit interner Revision, MaRisk/BAIT‑Vorgaben; lückenlose Protokollierung und Modell‑Inventar.

• Gesundheitswesen

  • Klinische Entscheidungsunterstützung: Für sicherheitskritische Produkte Frist 02.08.2028 beachten; Koordination mit Medizinprodukterecht.
  • Datennutzung: Strikte Zweckbindung, Patientenschutz und Einbindung von Ethik‑Gremien; Logging für Nachvollziehbarkeit am Point of Care.

• Handel

  • Personalplanung und Dynamic Pricing: Bewerten Sie Grundrechtsrisiken (Diskriminierung, Transparenz); klare Nutzerhinweise und Opt‑Out‑Mechanismen.
  • Kundenerlebnis: Content‑Moderation und Marken‑Safety stärken; technische Schranken gegen verbotene Anwendungen (z. B. nicht‑einvernehmliche Deepfakes).

Content- und Missbrauchsprävention

Ergänzend zu Verbotstatbeständen benötigen Unternehmen robuste interne Maßnahmen:

• Richtlinien: Verbieten Sie explizit die Entwicklung, den Einsatz oder die Verbreitung nicht‑einvernehmlicher, entwürdigender oder sonst grundrechtsverletzender KI‑Anwendungen.
• Technische Kontrollen: Implementieren Sie Content‑Filter, Wasserzeichen/Provenance‑Nachweise und Missbrauchsdetektion in Generations‑Pipelines.
• Vorfallmanagement: Meldewege, Abschaltkriterien und Gegenmaßnahmen definieren; Dokumentation und Lessons Learned verpflichtend.

Nächste Schritte bis 12/2027 und 08/2028

• Monitoring: Verfolgen Sie den Fortgang der technischen Verhandlungen im Parlament sowie Leitlinien des EU‑KI‑Amts und der Datenschutzaufsichten.
• Lieferkettensteuerung: Passen Sie die Lieferanten- und Modellauswahl an künftige Governance‑Vorgaben an; verankern Sie Audit‑ und Offenlegungspflichten vertraglich.
• Meilenstein‑Programm aufsetzen:
  • Q3/2026: Vollständige Use‑Case‑ und Modell‑Inventarisierung; erste Gap‑Analyse.
  • Q4/2026: Einrichtung des KI‑Managementsystems (z. B. ISO/IEC 42001‑konform); Start rollenbasierter Trainings.
  • H1/2027: Remediation kritischer Lücken (Datenqualität, Robustheit, Transparenz); Start mindestens eines Sandbox‑Projekts.
  • H2/2027: Konformitätsunterlagen für Anhang‑III‑Systeme finalisieren; Testabdeckung und Monitoring‑Pläne abschließen (Stichtag 02.12.2027).
  • H1/2028: Branchenspezifische Abstimmungen für sicherheitskritische Produkte finalisieren; Nachweise und Post‑Market‑Set‑up abschließen (Stichtag 02.08.2028).
• Evidence first: Beweisen Sie über Dokumentation, Tests und Audits fortlaufend, dass Kontrollen wirksam sind – unabhängig von etwaig reduzierten Registerpflichten.

Wie AIStrategyConsult Sie dabei unterstützt

Als Beratung an der Schnittstelle von Technologie, Regulierung und Geschäftswert begleiten wir Sie mit:

• Custom AI Strategies: Roadmaps, die Ihre Prioritäten, Budgets und Fristen 12/2027 und 08/2028 präzise abbilden – inklusive Use‑Case‑Priorisierung und Business‑Case‑Quantifizierung.
• Compliance & Governance: Aufbau eines KI‑Managementsystems (z. B. ISO/IEC 42001‑orientiert), risikobasierte Kontrollen, Dokumentationspakete, DPIA‑Support und Schnittstellen zu Aufsichten.
• Prozessoptimierung & Datenstrategie: Von Datenqualität und Metrikdesign bis zu Monitoring‑Set‑ups für Drift, Fairness und Robustheit.
• Training & Workshops: Rollenbasierte Schulungsprogramme für Betreiber, Überwacher und Nutzer mit auditfesten Nachweisen.
• Sandbox‑Enablement: Vorbereitung, Begleitung und Auswertung von Reallabor‑Projekten zur beschleunigten Validierung.

Unsere Erstleistungen – Assessments, Strategie‑Workshops, Beratungen – starten ab 5.000 €. Umfassende Projekte inkl. Implementierung und Training werden transparent nach Umfang und Komplexität kalkuliert. Wenn Sie Ihre Compliance‑Roadmap aktualisieren, ein Kompetenzprogramm aufsetzen oder Ihre Daten‑ und Bias‑Governance schärfen möchten, stehen wir Ihnen als Partner für nachhaltige, regelkonforme KI‑Innovation zur Seite.