Die von der EU-Kommission skizzierte digitale „Omnibus“-Initiative für Daten und Künstliche Intelligenz könnte für Unternehmen in der DACH-Region zu einem Wendepunkt werden. Der Ansatz, mehrere bestehende Regelwerke rund um Datenzugang, Datennutzung und Governance zu bündeln und zu vereinfachen, adressiert ein reales Problem: Viele Unternehmen kämpfen heute mit einer fragmentierten Regulierungslandschaft, in der unterschiedliche Vorgaben parallel beachtet, interpretiert und operativ umgesetzt werden müssen. Gerade für mittelgroße und große Organisationen in regulierten oder datenintensiven Branchen ist dies nicht nur eine juristische, sondern vor allem eine operative Herausforderung.
Gleichzeitig zeigt die politische Debatte bereits deutlich, dass ein solches Omnibus-Paket nicht automatisch zu mehr Klarheit führt. Vielmehr droht kurzfristig das Gegenteil: zusätzliche Unsicherheit in einer Phase, in der die Umsetzung des AI Act bereits begonnen hat und Unternehmen ohnehin ihre Governance-Strukturen neu ausrichten. Für Entscheiderinnen und Entscheider in Compliance, Datenschutz, Informationssicherheit, IT und Fachbereichen stellt sich daher nicht die Frage, ob sie reagieren sollten, sondern wie sie sich auf verschiedene regulatorische Entwicklungspfade vorbereitet und belastbar aufstellen können.
Was der digitale „Omnibus“ erreichen soll
Nach den bisherigen politischen Signalen verfolgt die EU-Kommission das Ziel, mehrere bestehende Rechtsakte zusammenzuführen oder zumindest stärker zu harmonisieren. Dazu zählen insbesondere die Verordnung zum freien Verkehr nicht-personenbezogener Daten, die Open-Data-Richtlinie, der Data Governance Act und der Data Act. Hinzu kommt die Idee, verstreute Meldepflichten bei Datenverlusten oder datennahem Fehlverhalten zu zentralisieren und Unternehmen eine einzige Anlaufstelle bereitzustellen.
Aus Unternehmenssicht klingt dieser Ansatz zunächst attraktiv. Weniger Fragmentierung kann die Compliance-Kosten senken, Doppelarbeiten reduzieren und interne Prozesse vereinfachen. Wenn Meldeverfahren vereinheitlicht, Begriffe klarer abgegrenzt und Zuständigkeiten besser strukturiert werden, ließe sich die regulatorische Steuerung in vielen Organisationen deutlich effizienter gestalten. Insbesondere in international tätigen Konzernen mit komplexen Datenflüssen, mehreren Geschäftseinheiten und heterogenen Technologie-Landschaften wäre dies ein relevanter Fortschritt.
Doch zwischen dem politischen Zielbild und einer tatsächlich belastbaren Rechts- und Umsetzungssicherheit liegt ein weiter Weg. Gerade weil unterschiedliche Materien zusammengeführt werden sollen, besteht das Risiko, dass etablierte Schutzstandards relativiert oder unklare Übergänge geschaffen werden. Unternehmen sollten die Initiative deshalb nicht nur als potenzielle Vereinfachung betrachten, sondern als Veränderungsvorhaben mit erheblichem Prüf- und Anpassungsbedarf.
Warum das Paket politisch und praktisch umstritten ist
Im Europäischen Parlament stößt der Ansatz bereits auf breite Kritik. Ein zentraler Vorwurf lautet, dass Schutzstandards zugunsten großer Plattformen oder datenstarker Akteure aufgeweicht werden könnten. Besonders sensibel ist die Diskussion dort, wo bestehende Abgrenzungen zwischen personenbezogenen, pseudonymisierten und nicht-personenbezogenen Daten neu interpretiert werden könnten. Für Unternehmen ist das kein akademisches Detail, sondern ein Punkt mit unmittelbaren Auswirkungen auf Datennutzung, Weitergabe, Vertragsgestaltung und Risikoanalysen.
Kritisch gesehen wird insbesondere die mögliche erleichterte Weitergabe pseudonymisierter Daten. Wenn „sichere“ Verfahren erst später durch Durchführungsakte konkretisiert werden, entsteht zunächst ein Schwebezustand: Unternehmen müssten sich strategisch auf neue Möglichkeiten einstellen, ohne die finalen technischen und organisatorischen Anforderungen vollständig zu kennen. Das schafft Unsicherheit bei Investitionen, Produktentscheidungen und Governance-Vorgaben.
Ebenso umstritten ist die mögliche Selbsteinstufung von KI-Systemen als „High Risk“. Auf den ersten Blick könnte dies Prozesse beschleunigen und operativen Spielraum schaffen. Ohne robuste interne Prüfmechanismen birgt ein solches Modell jedoch erhebliche Risiken. Unterklassifizierungen können zu regulatorischen Verstößen, Reputationsschäden und fehlerhaften Marktentscheidungen führen; Überklassifizierungen wiederum erzeugen unnötige Kosten, längere Freigabeprozesse und Innovationshemmnisse.
Zusätzlich wird diskutiert, KI-Anbietern unter bestimmten Voraussetzungen eine privilegierte Verarbeitung sensibler Daten zu ermöglichen. Auch wenn dies aus Innovationsperspektive in einzelnen Anwendungsfällen nachvollziehbar erscheinen mag, ist die praktische Tragweite erheblich. Für Unternehmen würde sich die Frage stellen, unter welchen rechtlichen, technischen und organisatorischen Bedingungen ein solcher Einsatz tatsächlich zulässig, verhältnismäßig und beherrschbar wäre.
Was das für die Unternehmens-Compliance in der DACH-Region bedeutet
Für Unternehmen in Deutschland, Österreich und der Schweiz ist das Thema besonders relevant, weil viele Organisationen bereits jetzt hohe Anforderungen aus Datenschutz, IT-Sicherheit, branchenspezifischer Regulierung und AI-Governance parallel erfüllen müssen. Ein vereinheitlichender europäischer Rahmen könnte hier perspektivisch helfen, Schnittstellen sauberer zu definieren und operative Reibungsverluste zu reduzieren. Kurzfristig überwiegt jedoch die Notwendigkeit, mit regulatorischer Unsicherheit professionell umzugehen.
Besonders betroffen sind Unternehmen in Branchen wie Industrie, Finanzdienstleistungen, Gesundheitswesen und Handel. Dort werden Daten nicht nur in großem Umfang verarbeitet, sondern zunehmend auch für KI-gestützte Prozesse genutzt, etwa in der Produktionsoptimierung, im Risikomanagement, in Diagnostik- und Unterstützungsprozessen oder in der Personalisierung von Angeboten. Jede Veränderung bei Datenkategorien, Zugriffsrechten, Meldemechanismen und Risikoklassifizierungen wirkt sich direkt auf bestehende und geplante Use Cases aus.
Entscheidend ist daher eine Governance-Perspektive, die regulatorische Änderungen nicht isoliert betrachtet. Unternehmen sollten nicht nur fragen, welche Norm künftig gilt, sondern wie sich neue Anforderungen auf Dateninventare, Kontrollsysteme, technische Architektur, Verantwortlichkeiten und Entscheidungsprozesse auswirken. Genau an dieser Stelle zeigt sich, ob Compliance als reine Pflichtübung oder als belastbarer Steuerungsmechanismus verstanden wird.
Datenklassifizierung und Pseudonymisierung rücken in den Mittelpunkt
Eine der voraussichtlich wichtigsten Auswirkungen des Omnibus-Pakets betrifft die Datenklassifizierung. Wenn pseudonymisierte Daten regulatorisch stärker in den Fokus rücken, müssen Unternehmen ihre bisherigen Annahmen und Kategorisierungen überprüfen. In vielen Organisationen existieren zwar Verzeichnisse von Verarbeitungstätigkeiten, Datenkataloge oder Berechtigungskonzepte, doch die tatsächliche Trennschärfe zwischen personenbezogenen, pseudonymisierten, anonymisierten und nicht-personenbezogenen Daten ist häufig geringer, als formale Dokumentationen vermuten lassen.
Genau hier entsteht ein wesentliches Risiko: Pseudonymisierung ist kein Freibrief. Entscheidend ist, ob Re-Identifikation mit vernünftigen Mitteln möglich bleibt und welche zusätzlichen Informationen intern oder extern verfügbar sind. Unternehmen sollten deshalb technische und organisatorische Verfahren etablieren, mit denen Re-Identifikationsrisiken realistisch bewertet werden. Dazu gehören unter anderem Risiko-Tests, Zugriffsbeschränkungen, Schlüsselmanagement, Trennung von Datenbeständen, Logging, Kontrollen entlang der Datenpipeline sowie klare Regeln zur Zweckbindung und Weitergabe.
Gerade bei KI-Workflows ist diese Differenzierung zentral. Trainings-, Test- und Produktionsdaten durchlaufen häufig mehrere Systeme, Dienstleister und Verarbeitungsschritte. Wenn in diesem Kontext künftig neue Spielräume oder neue Unsicherheiten bei der Nutzung pseudonymisierter Daten entstehen, benötigen Unternehmen belastbare Entscheidungsgrundlagen. Wer hier nur auf formale Begriffe vertraut, ohne die technische Realität zu prüfen, erhöht sein Compliance- und Geschäftsrisiko erheblich.
KI-Risikoklassifizierung, sensible Daten und interne Kontrollmechanismen
Sollte die diskutierte Möglichkeit zur Selbsteinstufung von KI-Systemen als „High Risk“ tatsächlich kommen, werden interne Governance-Modelle noch wichtiger. Unternehmen brauchen dann Verfahren, die eine konsistente, nachvollziehbare und überprüfbare Klassifizierung sicherstellen. Dazu gehört insbesondere eine fachliche Erstbewertung, ergänzt um eine unabhängige Zweitprüfung durch Compliance-, Rechts-, Datenschutz- oder Risikofunktionen. Die Entscheidungskriterien müssen dokumentiert, versioniert und in die Freigabeprozesse für KI-Systeme eingebettet werden.
Ein solches High-Risk-Assessment sollte nicht nur den unmittelbaren Verwendungszweck eines Systems betrachten, sondern auch Kontextfaktoren wie Datenarten, betroffene Personengruppen, Automatisierungsgrad, Eingriffstiefe, mögliche Fehlentscheidungen, menschliche Übersteuerbarkeit und Lieferkettenabhängigkeiten. Auf diese Weise lässt sich das Risiko von Unter- oder Überklassifizierungen deutlich reduzieren.
Besondere Aufmerksamkeit verdient zudem die mögliche Verarbeitung sensibler Daten in KI-Workflows. Unternehmen sollten schon jetzt strukturiert prüfen, in welchen Use Cases solche Daten überhaupt verarbeitet werden oder perspektivisch verarbeitet werden könnten. Maßgeblich sind dabei drei Ebenen: erstens die rechtliche Zulässigkeit, zweitens die Verhältnismäßigkeit des Einsatzes und drittens die technische Absicherung. Privacy-by-Design, Datensparsamkeit, strikte Zweckbindung, Zugriffskontrollen, Verschlüsselung, saubere Löschkonzepte und Datenschutz-Folgenabschätzungen sind in diesem Kontext keine optionalen Maßnahmen, sondern Grundvoraussetzungen.
Incident-Management und Lieferketten müssen zusammen gedacht werden
Ein weiterer Kernpunkt des Omnibus-Ansatzes ist die Zentralisierung von Meldepflichten. Sollte tatsächlich eine zentrale Meldestelle geschaffen werden, wäre das langfristig eine Erleichterung. Kurzfristig setzt es jedoch voraus, dass Unternehmen ihre bisherigen Melde- und Eskalationsprozesse harmonisieren. In vielen Organisationen existieren heute getrennte Pfade für Datenschutzvorfälle, IT-Sicherheitsereignisse, Modellfehler, Drittanbieterprobleme oder operative Störungen mit Datenbezug. Diese Trennung ist historisch gewachsen, führt aber in komplexen Vorfällen oft zu Verzögerungen, Doppelmeldungen oder unklaren Verantwortlichkeiten.
Sinnvoll ist deshalb ein integrierter Incident-Management-Ansatz mit klaren Rollen, Verantwortlichkeiten und Eskalationslogiken. Ein RACI-Modell kann helfen, Verantwortungen zwischen Datenschutz, Informationssicherheit, KI-Governance, Fachbereich, IT-Betrieb und Kommunikation eindeutig festzulegen. Ergänzend sollten Unternehmen Table-Top-Exercises durchführen, um Meldewege, Entscheidungslogiken und Schnittstellen unter realistischen Bedingungen zu testen.
Ebenso wichtig ist die Vertrags- und Lieferantensorgfalt. Daten- und Modell-Lieferketten werden mit jeder regulatorischen Veränderung relevanter, weil Verantwortlichkeiten oft nicht an der Unternehmensgrenze enden. Unternehmen sollten deshalb Transparenz darüber schaffen, welche Datenquellen, Modelle, Vorverarbeitungsschritte, Plattformen und Dienstleister in KI- oder datengetriebenen Prozessen eingesetzt werden. Auf dieser Basis lassen sich Auftragsverarbeitungsverträge, Datenlizenzierungsregelungen, Audit-Rechte, Sicherheitsanforderungen und Dokumentationspflichten besser harmonisieren. Wer seine Lieferkette nicht kennt, kann regulatorische Verantwortung kaum belastbar steuern.
Welche „No-Regret“-Maßnahmen Unternehmen jetzt umsetzen sollten
Trotz der Unsicherheit gibt es eine Reihe von Maßnahmen, die sich unabhängig vom finalen Gesetzestext empfehlen. Erstens sollten Unternehmen den Gesetzgebungsverlauf eng monitoren, einschließlich geplanter Durchführungsakte. Besonders relevant sind dabei Kriterien für „sichere“ Pseudonymisierung sowie künftige Meldeverfahren und Zuständigkeitsstrukturen.
Zweitens ist jetzt der richtige Zeitpunkt, das Dateninventar zu aktualisieren. Datenbestände sollten systematisch danach eingeordnet werden, ob sie personenbezogen, nicht-personenbezogen, pseudonymisiert oder anonymisiert sind. Wichtig ist dabei nicht nur die formale Kategorisierung, sondern auch die Dokumentation der zugrunde liegenden Kriterien, technischen Schutzmaßnahmen und potenziellen Re-Identifikationspfade.
Drittens sollten Unternehmen ein belastbares Verfahren zur High-Risk-Bewertung von KI-Systemen aufbauen oder weiterentwickeln. Dazu gehören standardisierte Prüfkriterien, dokumentierte Entscheidungen, fachliche und technische Zweitprüfungen sowie eine klare Verankerung in den bestehenden Freigabe- und Governance-Prozessen.
Viertens sollte Privacy Engineering gestärkt werden. Praktisch bedeutet das: Re-Identifikationsrisiken testen, technische Kontrollen ausbauen, Datenschutz-Folgenabschätzungen sauber mit KI-Risikobewertungen verzahnen und die Umsetzung von Privacy-by-Design in Entwicklungs- und Betriebsprozessen verankern.
Fünftens ist eine Harmonisierung von Incident-Workflows über Datenschutz, IT-Sicherheit und KI-Governance hinweg sinnvoll. Je früher diese Silos aufgelöst werden, desto leichter lässt sich später auf vereinheitlichte Meldepflichten umstellen.
Sechstens sollten Unternehmen mit Szenarioplanung arbeiten. Empfehlenswert sind mindestens zwei Pfade: ein Szenario mit weitreichender Vereinheitlichung durch den Omnibus und ein Szenario mit stark überarbeitetem oder verzögertem Paket. So können Entscheidungen vorbereitet werden, ohne sich zu früh auf regulatorische Details festzulegen, die sich noch ändern können.
Fazit: Weniger Komplexität ist möglich, aber nicht sofort
Das digitale Omnibus-Paket der EU hat das Potenzial, die regulatorische Landschaft für Daten und KI mittelfristig übersichtlicher zu machen. Klarere Schnittstellen zwischen DSGVO, AI Act und datenbezogenen Regelwerken wären für viele Unternehmen ein echter Fortschritt. Gerade in der DACH-Region, wo Compliance-Anforderungen traditionell hoch und Umsetzungsstandards anspruchsvoll sind, könnte eine bessere Systematik zu mehr Effizienz und Steuerbarkeit führen.
Der kurzfristige Effekt dürfte jedoch zunächst in zusätzlicher Unsicherheit bestehen. Solange zentrale Detailfragen offen sind, insbesondere zur Pseudonymisierung, zu Meldeverfahren, zur High-Risk-Einstufung und zur Nutzung sensibler Daten, sollten Unternehmen weder abwarten noch vorschnell auf spekulative Auslegungen setzen. Der richtige Weg liegt in belastbaren „No-Regret“-Maßnahmen: Governance stärken, Datenbestände sauber klassifizieren, interne Prüfmechanismen aufbauen, Incident-Prozesse harmonisieren und regulatorische Entwicklungen strukturiert beobachten.
Für Unternehmens-Compliance bedeutet das vor allem eines: jetzt die Grundlagen schaffen, die in beiden möglichen Zukunftsbildern tragen. Denn unabhängig davon, wie weitreichend der Omnibus am Ende ausfällt, werden jene Organisationen im Vorteil sein, die ihre AI- und Daten-Governance frühzeitig mit Datenschutz, Informationssicherheit und operativer Steuerung verzahnen. Genau daraus entsteht in einer unsicheren Regulierungsphase die entscheidende Handlungsfähigkeit.
