Künstliche Intelligenz entwickelt sich wahnsinnig schnell. Neue Anwendungen entstehen oft innerhalb weniger Monate – von Chatbots über Bildgeneratoren bis hin zu Systemen, die Bewerbungen vorsortieren oder Kreditentscheidungen unterstützen. Regulierung kann mit dieser Geschwindigkeit nicht Schritt halten, ohne regelmäßig angepasst zu werden.
Gleichzeitig braucht Regulierung aber Stabilität. Unternehmen müssen wissen, welche Regeln gelten, wenn sie neue Produkte entwickeln oder bestehende Systeme in Europa anbieten wollen. Wer etwa eine KI für die medizinische Bildauswertung entwickelt, muss frühzeitig einschätzen können, welche Prüf- und Dokumentationspflichten später auf ihn zukommen.
Auch für Verbraucherinnen und Verbraucher ist Verlässlichkeit wichtig. Sie müssen darauf vertrauen können, dass einmal beschlossene Schutzstandards nicht kurzfristig wieder abgeschwächt oder verschoben werden, bevor sie überhaupt vollständig greifen.
Mit dem sogenannten AI Omnibus hat die Europäische Union eine Änderungsverordnung nach langen Verhandlungen verabschiedet, die konkrete Veränderungen des AI-Acts der EU nach sich zieht.
1. Der AI Omnibus: Anpassung des AI Acts
Der AI Act, der 2024 beschlossen wurde, ist der zentrale europäische Rechtsrahmen für Künstliche Intelligenz. Er folgt einem risikobasierten Ansatz: Je höher das Risiko eines KI-Systems für Gesundheit, Sicherheit oder Grundrechte, desto strenger sind die Anforderungen. Gleichzeitig soll der AI Act Innovation ermöglichen, also die Entwicklung neuer Technologien nicht unnötig behindern.
Der sogenannte AI Omnibus 2026 nimmt nun punktuelle Anpassungen an diesem Regelwerk vor. Dabei geht es nicht um eine komplette Neuausrichtung, sondern vor allem um technische und zeitliche Änderungen. Dazu gehören: Verschiebungen einzelner Fristen, Vereinfachungen bei Dokumentations- und Nachweispflichten, Klarstellungen unklarer Regelungen.
Die Europäische Union begründet diese Anpassungen vor allem mit praktischen Problemen: Es fehlen teilweise technische Standards, die Umsetzung ist komplex, und Unternehmen – insbesondere kleine und mittlere – sehen sich mit hohem Aufwand konfrontiert. Außerdem soll Doppelregulierung vermieden werden.
Konkret betrifft das unter anderem:
- eine spätere Anwendung bestimmter Pflichten für Hochrisiko-KI,
- weniger komplexe Dokumentations- und Transparenzanforderungen in einzelnen Bereichen,
- Anpassungen bei Anforderungen an KI-Kompetenz,
- sowie punktuelle Verschärfungen bei besonders schädlichen Anwendungen.
2. Was bedeutet die Vereinfachung für Verbraucher?
2.1 Manipulation, emotionale Beeinflussung und sensible Daten
Ein zentraler Grundsatz des AI Acts bleibt bestehen: Besonders schädliche manipulative KI-Praktiken sind verboten. Dazu gehören etwa Systeme, die gezielt Schwächen von Menschen ausnutzen, um ihr Verhalten in unzulässiger Weise zu steuern. In der Praxis ist die Abgrenzung jedoch nicht immer eindeutig.
Ein Beispiel sind sogenannte AI Companions – Chatbots, die als digitale Gesprächspartner auftreten. Sie können bewusst eine sehr empathische, bestätigende oder „verständnisvolle“ Sprache verwenden. Ziel kann es sein, Nutzer emotional zu binden oder die Nutzungsdauer zu erhöhen. Solche Mechanismen können Einfluss auf Entscheidungen und Verhalten haben, gelten aber nicht automatisch als verbotene Manipulation im rechtlichen Sinne. Reguliert sind nur Systeme, in denen biometrische Daten verarbeitet werden, reine Textdaten zählen nicht dazu.
Das betrifft die Emotionserkennung in Dialogen. Wenn ein Chatbot aus Texten ableitet, dass eine Person „traurig“ wirkt, und darauf reagiert, fällt das nicht zwingend unter die strengeren Regeln für biometrische Emotionserkennung. Entscheidend ist hier, welche Datenart verwendet wird und wie das System technisch funktioniert.
Gleichzeitig erweitert der Omnibus unter engen Bedingungen die Möglichkeit, sensible personenbezogene Daten zu verarbeiten, um sogenannte Bias – also systematische Verzerrungen – zu erkennen. Das kann beispielsweise bei KI-Systemen zur Bewerberauswahl relevant sein. Dort werden Trainings- oder Testdaten analysiert, um zu prüfen, ob bestimmte Gruppen benachteiligt werden.
Diese Nutzung ist jedoch streng begrenzt. Sie ist nur zulässig, wenn der Zweck klar definiert ist, Daten möglichst sparsam und oft pseudonymisiert verwendet werden, eine Datenschutz-Folgenabschätzung durchgeführt wird, die Nutzung zeitlich und sachlich begrenzt bleibt und unabhängige Kontrolle vorgesehen ist. Wichtig ist außerdem: Eine Nutzung zur Entscheidung über einzelne Personen ist ausgeschlossen, ebenso wie eine Re-Identifizierung.
Grundsätzlich zeigt sich hier ein zentrales Prinzip des europäischen KI-Rechts: Schutz bedeutet häufig nicht ein vollständiges Verbot, sondern eine kontrollierte Nutzung mit Auflagen, Transparenz und Aufsicht.
2.2 Verschiebung von Pflichten für Hochrisiko-KI-Systeme
Besonders deutlich wird die praktische Bedeutung des AI Omnibus bei sogenannten Hochrisiko-KI-Systemen. Dazu gehören Anwendungen, die etwa in automatisierten Bewerbungsverfahren oder bei Kreditentscheidungen eingesetzt werden und dort darüber entscheiden können, ob eine Person einen Job erhält oder einen Kredit bekommt – mit entsprechend erheblichen Auswirkungen auf das Leben der Betroffenen.
Ursprünglich sollten zentrale Pflichten ab 2026 schrittweise vollständig gelten. Dazu zählen unter anderem die technische Dokumentation, ein umfassendes Risikomanagement, Vorgaben zur Daten-Governance, die Protokollierung von Systementscheidungen, Nutzerinformationen, Konformitätsprüfungen sowie Maßnahmen der Marktüberwachung.
Der AI Omnibus verschiebt Teile dieser Anforderungen um bis zu zwei Jahre nach hinten. Begründet wird dies damit, dass technische Standards und Prüfverfahren in vielen Bereichen noch nicht ausreichend entwickelt seien. Betroffen sind insbesondere Anwendungen in der medizinischen Diagnostik, bei Kreditwürdigkeitsprüfungen, in der automatisierten Bewerberauswahl, in kritischer Infrastruktur sowie bei teilautonomen Fahrassistenzsystemen.
In der Praxis reicht der Einsatz solcher Systeme jedoch deutlich weiter. So kommen etwa Kredit-Scoring-Systeme zum Einsatz, die automatisiert die Wahrscheinlichkeit eines Zahlungsausfalls berechnen, Bewerbermanagementsysteme, die Lebensläufe vorsortieren oder Rankinglisten erstellen, oder Systeme in der Spieleindustrie, die Matchmaking steuern, Schwierigkeitsgrade anpassen oder Spielverhalten analysieren, etwa um Monetarisierungsstrategien zu optimieren.
Für Verbraucherinnen und Verbraucher bedeutet die Verschiebung konkret, dass bestimmte Transparenz- und Sicherheitsanforderungen erst später verbindlich greifen. Dadurch können Produkte zwar früher auf den Markt kommen, jedoch unter Umständen mit weniger geprüfter Nachvollziehbarkeit in der Anfangsphase.
2.3 KI-Kompetenz
Ursprünglich verlangte der AI Act von Anbietern und Betreibern von KI-Systemen, dass ihr Personal über ausreichende KI-Kenntnisse verfügt. Diese Pflicht war verbindlich: Sie mussten nachweisen, dass ihr Personal die notwendige Expertise für den sicheren Umgang mit KI besitzt. Der Digital Omnibus hat diese Regelung nun deutlich gelockert.
Für Einrichtungen, die mit KI arbeiten – etwa bei der Entwicklung von KI-Systemen oder ihrem Einsatz in Bildung, Lehre und Verwaltung –, reicht es nun, wenn sie Maßnahmen zur Förderung von KI-Kompetenz ergreifen – etwa Schulungen, Leitfäden oder interne Richtlinien anbieten. Ein bestimmtes Kompetenzniveau ist nicht mehr vorgeschrieben, und es gibt keine Sanktionen, wenn Mitarbeiter es nicht erreichen.
Parallel dazu sollen die EU und die Mitgliedstaaten ihre Bildungs- und Informationsangebote ausbauen. Allerdings gilt: Auch wenn die EU die Rahmenbedingungen verbessert, haben Verbraucher und Nutzer keinen individuellen Anspruch auf ein bestimmtes Kompetenzniveau. Damit verlagert sich ein Teil der Verantwortung für den sicheren Umgang mit KI auf die Nutzer – und auf die Einrichtungen, die KI-Systeme einsetzen.
3. Planungssicherheit für wen?
Die Interessen der Wirtschaft sind insofern nachvollziehbar, als Unternehmen frühzeitig wissen müssen, welche konkreten Pflichten auf sie zukommen, etwa bei Dokumentationsanforderungen für Hochrisiko-KI oder bei der technischen Umsetzung von Transparenzpflichten. Gerade im internationalen Wettbewerb mit den USA und China kann eine zu frühe oder zu detaillierte Regulierung ohne verfügbare technische Standards tatsächlich dazu führen, dass Entwicklungs- und Investitionsentscheidungen verschoben oder außerhalb der EU getroffen werden. Jedoch waren die Fristen seit August 2024 bekannt, weswegen die pauschale Verschiebung der Fristen im AI-Act fragwürdig erscheinen. Schließlich ging es weniger um fehlende Umsetzbarkeit als um ausstehende Leitlinien und Standards, die auch ohne Fristverlängerung hätten nachgereicht werden können.
Demgegenüber steht das Interesse der Verbraucherinnen und Verbraucher an stabilen Schutzstandards. Diese schaffen Vertrauen in digitale Technologien und sind eine Voraussetzung dafür, dass KI-Systeme im Alltag akzeptiert werden. Für Verbraucherinnen und Verbraucher haben die Anpassungen des AI Omnibus daher vor allem zwei konkrete Auswirkungen: Zum einen werden bestimmte Schutzpflichten – etwa im Bereich hochriskanter KI-Systeme – zeitlich nach hinten verschoben oder in ihrer Ausgestaltung flexibilisiert. Das bedeutet, dass zentrale Sicherheits- und Transparenzanforderungen später greifen als ursprünglich vorgesehen. Zum anderen werden einzelne Vorgaben vereinfacht, etwa bei Dokumentations- und Nachweispflichten, was zwar die Umsetzung für Anbieter erleichtert, aber zugleich die Nachvollziehbarkeit von KI-Entscheidungen für Nutzerinnen und Nutzer erschweren kann.
4. Schlussgedanke
Die zentrale Frage des AI Omnibus ist nicht, ob KI Regulierung braucht. Entscheidend ist vielmehr, ob Regulierungen so stabil und verlässlich gestaltet werden können, dass sie Innovation ermöglichen und gleichzeitig Vertrauen schaffen.
Denn je stärker Schutzmechanismen zeitlich verschoben oder flexibilisiert werden, desto mehr hängt die tatsächliche Sicherheit im Alltag davon ab, wie schnell technische Standards nachziehen – und wie gut Verbraucherinnen und Verbraucher selbst in der Lage sind, mit den Risiken neuer KI-Systeme umzugehen. KI-Kompetenz wird unter diesen Vorzeichen immer wichtiger.
