EU Digital Omnibus: Was das Vereinfachungspaket am AI Act ändert, wer als Small Mid-Cap neue Erleichterungen bekommt und warum Warten trotzdem riskant ist

Die kurze Antwort zuerst: Der KI-Teil des Digital Omnibus ist kein Vorschlag mehr. Er ist seit dem 27. Juli 2026 geltendes Recht, als Verordnung (EU) 2026/1744 vom 8. Juli 2026. Für den Mittelstand ändert er vor allem zwei Dinge. Die Hochrisiko-Pflichten des AI Act greifen später, aber zu festen Terminen: ab dem 2. Dezember 2027 für Systeme nach Anhang III und ab dem 2. August 2028 für KI in Produkten nach Anhang I. Und die vereinfachte Dokumentation, die bisher nur KMU zustand, gilt jetzt auch für Small Mid-Caps: Unternehmen mit weniger als 750 Beschäftigten und höchstens 150 Millionen Euro Jahresumsatz oder höchstens 129 Millionen Euro Bilanzsumme. Alles, was bereits galt, gilt weiter: die Verbote unannehmbarer KI-Praktiken, die Pflichten für Modelle mit allgemeinem Verwendungszweck und die Transparenzpflichten nach Artikel 50.

Dieser Beitrag ist für die Geschäftsführung geschrieben, die von der Brüsseler Entbürokratisierung gelesen hat und sich fragt, ob das Compliance-Projekt jetzt in die Schublade kann. Die ehrliche Antwort ist nein, und die Details erklären warum.

Was die Verordnung (EU) 2026/1744 tatsächlich ändert

Die Kommission hatte den Omnibus am 19. November 2025 als COM(2025) 836 final vorgelegt. Die Begründung war praktisch: Harmonisierte Normen, Leitlinien und nationale Aufsichtsstrukturen kamen langsamer als die Anwendungstermine der KI-Verordnung, sodass Unternehmen Pflichten ohne die Instrumente zu ihrer Erfüllung getroffen hätten. Der Vorschlag wollte den Start der Hochrisiko-Regeln deshalb an die Verfügbarkeit dieser Instrumente koppeln. Parlament und Rat haben diesen Mechanismus nicht übernommen und stattdessen feste Termine gesetzt. Für ein Unternehmen ist das die bessere Nachricht: Ein Datum lässt sich planen, eine Bestätigung der Kommission zu einem unbekannten Zeitpunkt nicht.

Die neue Größenklasse, die entscheidet, wer profitiert

Die strukturellere Änderung steckt in den Größenklassen. Die Kommissionsempfehlung (EU) 2025/1099 vom 21. Mai 2025 hat eine neue Kategorie geschaffen: Small mid-cap enterprises sind Unternehmen, die über die KMU-Definition hinausgewachsen sind, weniger als 750 Beschäftigte haben und höchstens 150 Millionen Euro Jahresumsatz oder höchstens 129 Millionen Euro Bilanzsumme erreichen. Die Kommission zählt rund 38.000 davon in der EU. Bisher fiel ein Unternehmen mit dem 250. Mitarbeiter von einer Kante ins volle Großunternehmensregime. Der Omnibus nutzt die neue Kategorie, um die vereinfachte technische Dokumentation der KMU nach oben zu tragen.

Für den deutschen Mittelstand ist das die konkret prüfbare Frage: Unternehmen zwischen 250 und 749 Mitarbeitern sitzen genau in diesem Band, also dort, wo der klassische Mittelstand aus der Kleinunternehmensklasse herauswächst. Die Erleichterung betrifft allerdings Anbieter, also Unternehmen, die ein Hochrisiko-System selbst entwickeln oder unter eigenem Namen in Verkehr bringen. Wer ein eingekauftes System nur einsetzt, hat Betreiberpflichten, und die beschreibt unser Leitfaden zu den Betreiberpflichten.

Was sich für Maschinenbauer ändert

Eine Änderung trifft eine Kernbranche des Mittelstands direkt und steht in kaum einer Zusammenfassung. Die Verordnung (EU) 2026/1744 nimmt Maschinen mit KI aus der direkten Anwendung des Hochrisiko-Regimes der KI-Verordnung heraus: Die Maschinenverordnung wandert in Anhang I der KI-Verordnung von Abschnitt A nach Abschnitt B. Für solche Produkte gilt damit der sektorale Weg der Maschinenverordnung. Die Kommission muss deren Anhang III per delegiertem Rechtsakt um Sicherheits- und Gesundheitsschutzanforderungen für Hochrisiko-KI-Systeme ergänzen, die Sicherheitsbauteile von Maschinen oder selbst Maschinen sind. Was die Maschinenverordnung schon ab dem 20. Januar 2027 von Software verlangt, steht in unserem Beitrag zur Maschinenverordnung und dem Software-Update.

Das größere Paket jenseits des AI Act

Der KI-Omnibus war Teil eines breiteren Digitalpakets, das die Kommission am selben Tag vorgelegt und in ihrer offiziellen Pressemitteilung zusammengefasst hat. Dessen zweiter Omnibus, der Vorschlag COM(2025) 837 zu Daten- und Cybersicherheitsregeln, ist ein eigenes Gesetzgebungsverfahren und war am 9. Oktober 2026 noch nicht verabschiedet. Für den Betrieb am relevantesten ist darin ein einheitlicher Meldeeingang für Cybersicherheitsvorfälle: Solange es ihn nicht gibt, kann derselbe Vorfall Pflichten nach NIS2, Cyber Resilience Act und DSGVO gleichzeitig auslösen, eine Last, die wir in den Beiträgen zu den NIS2-Meldefristen und zur seit September 2026 aktiven CRA-Pflicht dokumentiert haben. Dazu kommen gezielte DSGVO-Änderungen und eine Cookie-Modernisierung hin zu Einwilligung auf Browser-Ebene. Das Paket umfasst außerdem eine Datenunion-Strategie und einen Vorschlag für European Business Wallets; die Kommission schätzt die Einsparungen auf fünf Milliarden Euro Verwaltungskosten bis 2029. Anders als beim KI-Teil gilt hier weiterhin: Solange Parlament und Rat nicht zugestimmt haben, ändert sich nichts.

Die ehrliche Risikorechnung

Drei Einschränkungen halten das nüchtern. Erstens ist Aufschub keine Abschaffung: Der 2. Dezember 2027 liegt für Anhang-III-Systeme nur noch gut ein Jahr entfernt, und Risikomanagement, technische Dokumentation und Datenqualität lassen sich nicht im letzten Quartal nachholen. Zweitens ist Erleichterung keine Befreiung: Small Mid-Caps behalten dieselben Pflichten, sie erfüllen sie nur mit weniger Papierkram. Drittens wurden die bereits geltenden Teile nicht verschoben, Artikel 4 nur abgeschwächt, und am 2. Dezember 2026 kommen neue Verbote und das Ende der Kennzeichnungs-Übergangsfrist hinzu (Einzelheiten im Beitrag zur Kennzeichnungspflicht für Chatbots). Ein Unternehmen, das seine KI-Bestandsaufnahme wegen Schlagzeilen pausiert hat, hat nichts gewonnen. Die praktische Haltung ist dieselbe wie im Leitfaden zu den Betreiberpflichten: Systeme einordnen, den Dokumentationspfad vorbereiten und die gewonnene Zeit als geliehene Zeit lesen statt als erlassene Pflicht.

Wer nur einen Satz aus diesem Beitrag mitnimmt: Der Digital Omnibus hat die Uhr gestreckt und den Papieraufwand für einen Teil des Mittelstands gesenkt, aber er ändert den Kalender, nicht das Ziel.

Häufige Fragen zum Digital Omnibus