Digital Omnibus und EU AI Act: Einfachere Umsetzung, gleichbleibende KI-Verantwortung

Die Digital-Omnibus-Verordnung ändert nicht die Anforderungen des EU AI Acts, sondern vor allem den Zeitplan ihrer Umsetzung. Eine der sichtbaren Änderungen sind die verschobenen Fristen. Ursprünglich sollten die umfangreichen Pflichten für Hochrisiko-KI bereits ab August 2026 gelten. Die Digital-Omnibus-Verordnung reagiert darauf, dass Normen, Leitlinien und nationale Zuständigkeiten später fertig werden als geplant.

Konkret gilt künftig:

• Die allgemeinen Teile des EU AI Act (Kapitel I und II) gelten unverändert ab dem 2. Februar 2025; nur die neuen Verbote zu bestimmten Deepfakes treten erst ab dem 2. Dezember 2026 in Kraft.
• Die zentralen Pflichten für Hochrisiko-KI-Systeme (Kapitel III Abschnitte 1–3) gelten ab dem 2. Dezember 2027 für Hochrisiko-KI nach Artikel 6 Absatz 2 und Anhang III (hierzu zählen etwa Kreditwürdigkeitsprüfungen), ab dem 2. August 2028 für produktgebundene Hochrisiko-KI nach Artikel 6 Absatz 1 und Anhang I.

Das bedeutet: Es gibt mehr Zeit, um Governance, Prozesse und Dokumentation aufzubauen – insbesondere für komplexe Hochrisiko-Use-Cases. Gleichzeitig ist klar, dass die Richtung nicht mehr verhandelbar ist. Institute, die jetzt „warten“, laufen Gefahr, später in kurzer Zeit sehr tiefgreifende Anpassungen vornehmen zu müssen. Sinnvoll ist daher, die verlängerten Fristen als Puffer für eine saubere, strategisch geplante Implementierung zu nutzen – nicht als Pausentaste.

Ein oft unterschätzter, für Banken aber sehr praxisnaher Punkt ist Artikel 4 EU AI Act – die Vorschrift zur KI‑Kompetenz.

Im ursprünglichen EU-AI‑Act‑Text sind Anbieter und Betreiber verpflichtet, sicherzustellen, dass das eigene Personal über ein „ausreichendes Maß an KI‑Kompetenz“ verfügt. Die Digital‑Omnibus‑Verordnung stuft dies nun deutlich praxistauglicher ein: Artikel 4 wird so geändert, dass Anbieter und Betreiber „Maßnahmen ergreifen, um die Entwicklung der KI‑Kompetenz ihres Personals und anderer Personen zu unterstützen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI‑Systemen befasst sind“. Die Vorschrift verlangt ausdrücklich nicht mehr, ein bestimmtes Kompetenzniveau zu „garantieren“.

Zugleich verpflichtet die Omnibus‑Verordnung Kommission und Mitgliedstaaten, diese Bemühungen aktiv zu unterstützen – etwa durch praktische Beispiele, Schulungsangebote und Informationsressourcen auf einer zentralen Plattform.

Das ist eine wichtige Kurskorrektur:

• Die Pflicht verschiebt sich von einer schwer messbaren Ergebnisverantwortung („Stelle sicher, dass …“) hin zu einer verhaltensbezogenen Pflicht, gezielt Maßnahmen zur Kompetenzentwicklung zu ergreifen.
• KI‑Kompetenz wird damit noch klarer zu einem strategischen Thema: Es reicht nicht, dass einzelne Expertenteams die Vorgaben kennen. Entscheider in Risiko, Compliance, IT, Vertrieb und Produktmanagement müssen verstehen, wie KI‑Systeme klassifiziert werden, welche Pflichten Hochrisiko‑Systeme auslösen und wie sich dies auf Prozesse, Modelle und Kundeninteraktion auswirkt.

Praktisch können Banken diese Änderung nutzen, um ein stufenweises Schulungskonzept aufzubauen: von grundlegenden Awareness‑Formaten für Management und Fachbereiche bis zu Expertenschulungen.

Während die Grundprinzipien des EU AI Acts unverändert bleiben, schafft die Digital-Omnibus-Verordnung an einigen Stellen mehr Rechtssicherheit. Das gilt insbesondere für das Zusammenspiel von KI-Regulierung und Datenschutz.

Schon der EU AI Act stellt klar, dass die Verordnung die DSGVO, die ePrivacy-Richtlinie und weitere Datenschutzinstrumente nicht verdrängt. Die neue Fassung von Artikel 2 Absatz 7 betont dies ausdrücklich und verweist dabei auch auf den neu eingefügten Artikel 4a.

Dieser schafft eine spezifische Rechtsgrundlage, die es Anbietern von Hochrisiko-KI-Systemen erlaubt, in eng begrenzten Fällen besondere Kategorien personenbezogener Daten (z. B. Angaben zur ethnischen Herkunft oder Religion) zu verarbeiten, wenn dies unbedingt erforderlich ist, um Verzerrungen (Bias) zu erkennen und zu korrigieren.

Daneben rücken Datenschutz-Folgenabschätzung und Grundrechte-Folgenabschätzung enger zusammen. Artikel 27 des EU AI Acts wird so geändert, dass Ergebnisse einer Datenschutz‑Folgenabschätzung nach DSGVO direkt in die Grundrechte‑Folgenabschätzung übernommen werden können.

Die Digital-Omnibus-Verordnung stärkt die Proportionalität insbesondere für kleinere Akteure. Technische Dokumentation und Qualitätsmanagementsysteme können in vereinfachter Form bereitgestellt werden, wenn es sich um KMU oder kleine Midcap-Unternehmen handelt. Für Banken selbst ist das meist weniger relevant, wohl aber für FinTech-Partner, Datenlieferanten und andere KI-Dienstleister in der Wertschöpfungskette. Hier lassen sich EU-AI-Act-Vorgaben künftig realistischer in Beschaffungs- und Drittparteienmanagement integrieren, ohne die kleineren Partner zu überfordern – bei gleichzeitig unverändertem Schutzniveau.

1. Die Kernidee des EU AI Acts bleibt bestehen

Am risikobasierten Ansatz des EU AI Acts ändert sich nichts. Hochrisiko-KI-Systeme müssen auch künftig hohe Anforderungen an Governance, Datenqualität, Transparenz, menschliche Aufsicht und Risikomanagement erfüllen. Gerade Banken werden daher weiterhin nachweisen müssen, dass eingesetzte KI-Systeme kontrolliert, nachvollziehbar und sicher betrieben werden.

Die regulatorische Richtung verändert sich somit nicht grundlegend. Vielmehr soll der Weg zur Umsetzung praktikabler werden, d. h. weniger Bürokratie, aber keine Abkehr von verantwortungsvoller KI. Die Digital-Omnibus-Verordnung verschafft Banken mehr Zeit, aber keinen Freifahrtschein. Wer heute plant, sollte die verlängerten Fristen in seine Roadmap einbauen, ohne in den Wartemodus zu gehen.

Ein erster wichtiger Schritt ist dabei bereits mit der seit dem 2. August 2026 geltenden Kennzeichnungspflicht für bestimmte KI-generierte Inhalte und Bilder getan. Entscheidend wird nun sein, wie sich diese Vorgabe in der Praxis bewährt und welche Standards sich daraus für Unternehmen – und Banken – entwickeln.

2. KI-Governance wird zum Wettbewerbsvorteil

Die eigentliche Herausforderung liegt heute weniger in der Technologie als in ihrer verantwortungsvollen Einführung. Institute benötigen eine Governance, die Innovation ermöglicht und gleichzeitig regulatorische Anforderungen erfüllt.

Dazu gehören insbesondere:

• klare Verantwortlichkeiten,
• transparente Entscheidungsprozesse,
• nachvollziehbare Daten- und Modellqualität,
• Human-in-the-Loop-Konzepte sowie
• ein kontinuierliches Monitoring der eingesetzten KI-Systeme.

Eine solche Governance sollte nicht ausschließlich als regulatorische Pflicht verstanden werden. Sie schafft Vertrauen – sowohl bei Aufsichtsbehörden als auch bei Kunden und Mitarbeitenden. Gleichzeitig ermöglicht sie es, neue KI-Anwendungen schneller und sicherer in den produktiven Betrieb zu überführen.
 
Generell ist die Digital-Omnibus-Verordnung aus unserer Sicht ein positives Signal: Weniger administrativer Aufwand kann Freiräume schaffen, um den Fokus stärker auf die eigentliche Wertschöpfung durch KI zu legen. Entscheidend bleibt jedoch, dass Governance, Transparenz und Verantwortlichkeit von Beginn an mitgedacht werden.