KI-Verordnung: Fristen verschoben, Erleichterungen für kleine Midcaps

Am 27. Juli 2026 ist die Verordnung (EU) 2026/1744 zur Vereinfachung der Umsetzung harmonisierter Vorschriften für künstliche Intelligenz (Digital-Omnibus-Verordnung zur KI) in Kraft getreten. Sie ändert die Verordnung (EU) 2024/1689, verschiebt den Geltungsbeginn wesentlicher Vorschriften und dehnt Sonderregelungen für KMU auf kleine Midcap-Unternehmen aus. Dies hatte die DIHK auch in einer Stellungnahme gefordert.

Erleichterungen für kleine Midcaps

Die KI-Verordnung sieht mehrere bürokratische Erleichterungsmaßnahmen für KMU vor. Diese Erleichterungen werden nun auf kleine Midcap-Unternehmen (Unternehmen mit weniger als 750 Beschäftigten und entweder bis zu 150 Mio. Euro Umsatz oder bis zu 129 Mio. Euro Bilanzsumme) ausgeweitet:
  • Reduzierte Gebühren: Bei Konformitätsbewertungen und behördlichen Verfahren müssen die Bedürfnisse von KMU berücksichtigt werden. Gebühren sollen verhältnismäßig ausgestaltet werden.
  • Vorrangiger Zugang zu KI-Reallaboren (Sandboxes): Mitgliedstaaten müssen regulatorische KI-Reallabore schaffen. KMU und Start-ups sollen hierbei bevorzugten Zugang erhalten, um KI-Systeme vor Markteinführung unter Aufsicht testen zu können.
  • Unterstützung durch Behörden: Die nationalen Marktaufsichtsbehörden und die Europäische Kommission sollen Leitlinien, technische Hilfen und Unterstützungsmaßnahmen insbesondere für KMU bereitstellen.
  • Verhältnismäßigkeitsprinzip: Bei der Anwendung vieler Anforderungen ist die Unternehmensgröße zu berücksichtigen. Die Verordnung betont ausdrücklich, dass die Innovationsfähigkeit kleiner Unternehmen nicht unnötig beeinträchtigt werden soll.
  • Vereinfachte technische Dokumentation: Die Kommission soll für KMU und Small Mid-Caps ein vereinfachtes Formular für die technische Dokumentation nach Anhang IV bereitstellen, um den Dokumentationsaufwand bei Hochrisiko-KI-Systemen zu senken. Die notifizierten Stellen akzeptieren das Formular für die Zwecke der Konformitätsbewertung.
  • Qualitätsmanagement gemäß Artikel 17 bei Hochrisiko-KI-Systemen: Die Umsetzung erfolgt in einem angemessenen Verhältnis zur Größe der Organisation des Anbieters, insbesondere wenn es sich um ein KMU, einschließlich Start-up-Unternehmen, oder ein kleines Midcap-Unternehmen handelt. Die Kommission erarbeitet Leitlinien zu den Elementen des vereinfachten Qualitätsmanagementsystems aus. Das Schutzniveau oder die Notwendigkeit zur Einhaltung der Anforderungen darf nicht beeinträchtigt werden.
  • Sanktionen: Für KMU, Start-up-Unternehmen und kleine Midcap-Unternehmen sollen angemessen niedrigere Bußgeld-Obergrenzen vorgesehen werden.

Begriffsbestimmung für „Sicherheitsbauteile“

Der Begriff des „Sicherheitsbauteils“, der unter anderem für die Einstufung von Hochrisiko-KI-Systemen von entscheidender Bedeutung ist, wird in der KI-VO neu legal definiert. Hierbei soll es sich nunmehr um einen Bestandteil eines Produkts oder KI-Systems handeln, der eine Sicherheitsfunktion für dieses Produkt oder KI-System erfüllt oder dessen Ausfall oder Störung die Gesundheit und Sicherheit von Personen oder Eigentum gefährdet. Für die Zwecke dieser Begriffsbestimmung soll ein Bauteil jedoch nur dann eine Sicherheitsfunktion erfüllen, wenn seine “Zweckbestimmung” darin besteht, Risiken für die Gesundheit und Sicherheit von Personen oder Eigentum abzuwenden oder zu mindern. Dadurch soll sichergestellt werden, dass KI-Systeme umfasst werden, die sich nachteilig auf die Gesundheit und Sicherheit von Personen oder Eigentum auswirken könnten.

Neue Rechtsgrundlage für die Verarbeitung besonderer Kategorien personenbezogener Daten

Es wird eine Rechtsgrundlage eingeführt, die es Anbietern von Hochrisiko-KI-Systemen in bestimmten Ausnahmefällen und vorbehaltlich strenger Schutzmaßnahmen gestattet, besondere Kategorien personenbezogener Daten zu verarbeiten. Diese Rechtsgrundlage ist jedoch mit der Verpflichtung der Anbieter verknüpft, Verfahren zur Erkennung, Vermeidung und Korrektur jener Verzerrungen festzulegen, bei denen es wahrscheinlich ist, dass sie die Gesundheit und Sicherheit von Personen beeinträchtigen, negative Auswirkungen hinsichtlich der Grundrechte haben oder zu Diskriminierungen führen, die nach dem Unionsrecht verboten sind.

Verschiebung des Geltungsbeginns

Für den Geltungsbeginn der Vorschriften der unterschiedlichen KI-Formen und -Anwendungen gilt folgender, teilweise geänderter Zeitplan:
  • seit 2. Februar 2025: KI mit inakzeptablem Risiko ist verboten
  • seit 2. August 2025: Regeln zu Governance und General Purpose AI (GPAI) für Hochrisiko-KI
  • ab 2. August 2026: Allgemeiner Anwendungsbeginn großer Teile des AI Act, insbesondere Transparenzpflichten nach Art. 50
  • 2. Dezember 2026: Ende der Übergangsfrist für bestimmte Kennzeichnungspflichten (Watermarking) von vor dem 02. August 2026 in Verkehr gebrachten generativen KI-Systemen
  • ab 2. Dezember 2027: Anforderungen an Hochrisiko-KI-Systeme nach Art. 6 Abs. 2 i. V. m. Anhang III (z. B. Personalarbeit, Bildung, Kreditwürdigkeit, Strafverfolgung)
  • ab 2. August 2028: Anforderungen an Hochrisiko-KI-Systeme in regulierten Produkten nach Art. 6 Abs. 1 i. V. m. Anhang I (z. B. Medizinprodukte, Maschinen, Luftfahrt)

KI-Kompetenz

Nach Artikel 4 KI-VO waren bislang alle Anbieter und Betreiber von KI-Systemen verpflichtet, die KI-Kompetenz ihres Personals sicherzustellen. Diese Pflicht wurde jetzt dahingehend eingeschränkt, dass die Anbieter und Betreiber lediglich verpflichtet sein sollen, Maßnahmen zu ergreifen, um die KI-Kompetenz der Personen, die in ihrem Auftrag tatsächlich mit dem Betrieb und der Nutzung von KI-Systemen befasst sind, zu fördern. Es gibt ausdrücklich keine Pflicht, für alle Mitarbeitenden ein bestimmtes Niveau an KI-Kompetenz zu garantieren.

Verbot von Nudify-Apps

Das Inverkehrbringen, die Inbetriebnahme oder die Verwendung eines KI-Systems, das realistische Bild-, Video-, Ton- oder ähnliche Inhalte erzeugt oder manipuliert, in denen intime Körperteile einer bestimmbaren natürlichen Person dargestellt werden oder eine an eindeutig sexuellen Handlungen beteiligte bestimmbare Person dargestellt wird, ohne dass die betreffende Person eine Zustimmung erteilt hat, wird verboten.
(Quelle DIHK)