AI Omnibus: Was jetzt politisch entschieden wurde
Die Europäische Union treibt mit dem sogenannten AI Omnibus eine Anpassung und Bündelung von Vorgaben rund um Künstliche Intelligenz voran. Praktisch relevant ist dabei vor allem, dass sowohl der Rat der Europäischen Union als auch das Europäische Parlament jeweils ein Verhandlungsmandat beschlossen haben. Ein Verhandlungsmandat ist die offiziell festgelegte Position eines EU-Organs für die anstehenden Trilogverhandlungen, also die Abstimmung zwischen Rat, Parlament und Kommission, bis ein endgültiger Gesetzestext verabschiedet ist. Da die Mandate nach derzeitigem Stand inhaltlich nah beieinanderliegen, ist aus Unternehmenssicht mit einer vergleichsweise zügigen Finalisierung zu rechnen.
Für Unternehmende, Steuerberatende und Finanzinstitutionen ist der Kernnutzen dieser Zwischenstände klar: Es zeichnen sich konkrete Zeitachsen und Pflichten ab, die bereits heute in die Governance, in die IT-Roadmaps und in die Risikosteuerung gehören. Das betrifft nicht nur große Konzerne. Auch kleine und mittelständische Unternehmen, Onlinehändler oder hoch regulierte Bereiche wie Pflegeeinrichtungen, Krankenhäuser oder Medizintechnik-Anbieter nutzen zunehmend KI in Standardsoftware, im Kundenservice, in der Personalplanung oder im Controlling. Damit wird die Frage, ob ein System in die Kategorie der Hochrisiko-KI fällt, zu einer operativen Compliance-Frage und nicht nur zu einem abstrakten Rechtsproblem.
Wichtig ist außerdem die klare Rollenperspektive. Wer KI-Lösungen entwickelt oder bereitstellt, agiert typischerweise als Anbieter. Wer KI im eigenen Betrieb einsetzt, ist regelmäßig Betreiber oder Nutzer. Diese Rollenverteilung beeinflusst, welche Pflichten in der Praxis intern zu erfüllen sind und welche man über Verträge, Dokumentation und Nachweise von Dienstleistern absichert. Genau an dieser Schnittstelle setzt der AI Omnibus an, indem er Fristen, Registrierungspflichten und einzelne Anforderungen nachschärft oder neu justiert.
Hochrisiko-KI: neue Anwendungsfristen und Übergangsregeln
Ein zentraler Punkt der Mandate ist die Verschiebung von Anwendungsfristen für Regelungen zur Hochrisiko-KI. Unter Hochrisiko-KI werden KI-Systeme verstanden, deren Einsatz typischerweise erhebliche Auswirkungen auf Sicherheit, Gesundheit oder Grundrechte haben kann und die deshalb strengeren Anforderungen unterliegen. Nach den nun vorgesehenen Zeitlinien sollen die Pflichten für sogenannte stand alone Hochrisiko-KI-Systeme ab dem 2. Dezember 2027 gelten. Für Hochrisiko-KI-Systeme, die in Produkte integriert sind, ist der 2. August 2028 als Startpunkt vorgesehen.
Für die Praxis bedeutet das zweierlei. Erstens ist „mehr Zeit“ kein Freifahrtschein, sondern eine Planungsressource. Wer heute KI in Kernprozessen einführt, sollte nicht auf einen späteren Stichtag spekulieren, sondern frühzeitig klären, ob die spätere Einstufung als Hochrisiko-KI wahrscheinlich ist. Das gilt etwa für Systeme, die Entscheidungen im Personalbereich vorbereiten, die Zugangs- oder Kreditwürdigkeitsprüfungen unterstützen oder in sicherheitsrelevanten Umgebungen eingesetzt werden. Zweitens werden viele Unternehmen KI nicht selbst als Hochrisiko-KI entwickeln, aber als Betreiber in Lieferketten eingebunden sein. Dann wird es entscheidend, bereits bei Beschaffung und Implementierung die Nachweisfähigkeit mitzudenken, weil Audits und Anfragen von Geschäftspartnern typischerweise deutlich vor dem Stichtag beginnen.
Zusätzlich relevant ist die Übergangsregel zur Kennzeichnungspflicht für KI-generierte Inhalte, häufig als Wasserzeichen diskutiert. Für Inhalte, die vor dem 2. August 2026 auf den Markt gebracht wurden, soll die Übergangsfrist nach den Mandaten bis zum 2. November 2026 verlängert werden. Aus Unternehmenssicht ist das vor allem für Marketing, Kundenkommunikation und digitale Produktinhalte wichtig. Onlinehändler, Agenturen und alle Unternehmen mit hohem Content-Volumen sollten bereits jetzt prüfen, ob eingesetzte Tools Funktionen zur Kennzeichnung bieten und wie sich ein konsistenter Prozess über verschiedene Kanäle sicherstellen lässt. Denn die größte Fehlerquelle ist erfahrungsgemäß nicht das Fehlen eines Features, sondern die fehlende Prozessdisziplin bei dezentraler Content-Erstellung.
Registrierung, Bias und Schulung: was Unternehmen organisatorisch vorbereiten sollten
Die Mandate sehen außerdem die Wiedereinführung einer Registrierungspflicht für Anbieter von Hochrisiko-KI in einer EU-Datenbank vor, allerdings in vereinfachter und angemessenerer Form. Registrierung ist in diesem Kontext nicht nur eine Formalie, sondern Teil des Transparenz- und Marktüberwachungsmechanismus. Praktisch führt das dazu, dass Anbieter ihre Systemklassifizierung, Kerninformationen und gegebenenfalls Aktualisierungen strukturiert bereitstellen müssen. Für Unternehmen, die KI-Lösungen einkaufen, ist das ein zusätzlicher Hebel für die Lieferantenauswahl: Wo eine klare Registrierung und Dokumentation vorliegt, sinken in der Regel Implementierungsrisiken, weil Rollen, Verantwortlichkeiten und Systemgrenzen besser nachvollziehbar sind.
Ein weiterer Schwerpunkt ist der Umgang mit Bias, also systematischen Verzerrungen in KI-Ergebnissen, die insbesondere zu diskriminierenden Wirkungen führen können. Im Raum stand die Möglichkeit, besonders sensible personenbezogene Daten zur Bias-Erkennung und Bias-Korrektur nutzen zu dürfen. Besonders sensible personenbezogene Daten sind Daten, die aufgrund ihres Inhalts ein erhöhtes Missbrauchs- oder Diskriminierungsrisiko bergen und deshalb typischerweise strengeren Voraussetzungen unterliegen. Die Mandate von Rat und Parlament fügen hier das Kriterium der strikten Erforderlichkeit hinzu. Das heißt: Der Einsatz solcher Daten soll nur zulässig sein, wenn es für die Bias-Erkennung und Korrektur wirklich notwendig ist und mildere Mittel nicht ausreichen. Darüber hinaus sollen solche Daten nur eingesetzt werden, wenn der zugrunde liegende Bias Gesundheit, Sicherheit, Grundrechten oder dem Diskriminierungsverbot schaden würde. Zugleich ist ausdrücklich keine generelle Verpflichtung zur Bias-Kontrolle vorgesehen.
Für die Unternehmenspraxis ist das eine anspruchsvolle Abwägung. Gerade in Personalprozessen, im Kundenservice oder im Forderungsmanagement können Verzerrungen erhebliche Folgen haben, gleichzeitig erhöht der Umgang mit sensiblen Daten die Compliance-Anforderungen in Datenschutz und Informationssicherheit. Wer KI einsetzt, sollte daher organisatorisch festlegen, wie Risiken erkannt, dokumentiert und entschieden werden. Im Mittelstand empfiehlt sich ein pragmatisches Governance-Modell, das Verantwortlichkeiten zwischen Fachbereich, IT, Datenschutz und Compliance klärt und Entscheidungen nachvollziehbar protokolliert, ohne Innovationsprojekte durch Überregulierung zu blockieren.
Auch bei der KI-Kompetenz, häufig als Schulungspflichten diskutiert, zeichnen sich Änderungen ab. Nach der Ratsposition sollen Mitgliedstaaten und Kommission Anbieter und Entwickler anregen, ein bestimmtes Niveau an KI-Kompetenz bei Mitarbeitenden sicherzustellen. Die Parlamentsposition verlagert den Schwerpunkt stärker zu Anbietern und Entwicklern, ohne jedoch eine Garantie eines bestimmten Kompetenzniveaus einzelner Personen zu verlangen. In der Praxis entsteht daraus trotzdem Handlungsdruck: Unternehmen, die KI beschaffen oder betreiben, sollten vertraglich und organisatorisch sicherstellen, dass Zuständige die Funktionslogik, Grenzen und Risiken der eingesetzten Systeme verstehen. Gerade bei automatisierten Auswertungen im Rechnungswesen oder in der Finanzplanung ist es entscheidend, dass Mitarbeitende Ergebnisse plausibilisieren können und wissen, welche Datenqualitäts- und Kontrollmechanismen erforderlich sind.
Doppelregulierung vermeiden: Folgen für Branchen und Compliance im Alltag
Ein zusätzlicher Akzent kommt aus dem Europäischen Parlament mit dem Ziel, Doppelregulierungen zwischen sektoraler EU-Produktsicherheitsgesetzgebung und den KI-Vorgaben zu vermeiden. Gemeint ist: Wenn Produkte bereits strengen, spezialgesetzlichen Sicherheitsregeln unterliegen, sollen die KI-Pflichten weniger streng ausgestaltet werden. Als Beispiele werden unter anderem Medizinprodukte, Funkanlagen oder Spielzeugsicherheit genannt. Gleichzeitig soll die Kommission verbleibende Regelungslücken gezielt schließen.
Für stark spezialisierte Unternehmen, etwa im Umfeld von Krankenhäusern, Pflegeeinrichtungen oder Medizintechnik, ist diese Stoßrichtung grundsätzlich entlastend, ersetzt aber keine Prüfung im Einzelfall. In der Praxis wird die Kernfrage sein, ob die bestehenden sektorspezifischen Pflichten die relevanten KI-Risiken tatsächlich abdecken oder ob zusätzliche Anforderungen aus dem KI-Regelwerk greifen. Für Finanzinstitutionen und regulierte Dienstleister gilt spiegelbildlich: Auch wenn nicht „Produktsicherheit“ im klassischen Sinne betroffen ist, wird die Erwartung steigen, dass KI-Risiken in das bestehende Risikomanagement integriert werden. Für Steuerberatende wird es wichtiger, Mandanten nicht nur steuerlich, sondern auch prozessual zu begleiten, weil KI-Einsatz im Rechnungswesen, bei Belegflüssen oder bei Analysen unmittelbar die Qualität der Buchführung und damit die Nachvollziehbarkeit der steuerlichen Grundlagen beeinflussen kann.
Der praktische Fokus für die nächsten Monate sollte daher weniger auf Spekulationen über den finalen Wortlaut gerichtet sein, sondern auf belastbare Vorarbeiten: saubere Systeminventare, klare Verantwortlichkeiten, belastbare Lieferantendokumentation und Prozesse, die Kennzeichnungspflichten, Datenverwendung und menschliche Kontrollpunkte verbindlich machen. Wer dies früh etabliert, reduziert späteren Anpassungsdruck, vermeidet Projektstopps und verbessert gleichzeitig die Datenqualität, die für verlässliche Auswertungen und für effiziente Buchhaltung ohnehin erforderlich ist.
Wenn Sie die kommenden KI-Vorgaben in Ihre Buchhaltungs- und Finanzprozesse integrieren möchten, unterstützen wir Sie dabei, praxistaugliche Abläufe, Kontrollen und digitale Workflows im Mittelstand aufzusetzen. Unsere Kanzlei betreut kleine und mittelständische Unternehmen mit einem klaren Schwerpunkt auf Digitalisierung und Prozessoptimierung in der Buchhaltung, um spürbare Effizienzgewinne und Kostenersparnisse nachhaltig zu realisieren.
Gerichtsentscheidung lesen
