Was die Digital-Omnibus-Verordnung zur KI für Unternehmen ändert, die KI nutzen (Verordnung (EU) 2026/1744)

Die Verordnung (EU) 2026/1744 ändert die KI-Verordnung, Verordnung (EU) 2024/1689, in 43 Punkten. Die Tabelle nennt die Änderungen, die für ein Unternehmen zählen, das KI-Systeme nutzt und keine Hochrisiko-Produkte baut.

Artikel 5 Absatz 1 Buchstabe ba verbietet „das Inverkehrbringen, die Inbetriebnahme oder die Verwendung eines KI-Systems, das realistische Bild-, Video-, Ton- oder ähnliche Inhalte erzeugt oder manipuliert, in denen intime Körperteile einer bestimmbaren natürlichen Person dargestellt werden oder eine an eindeutig sexuellen Handlungen beteiligte bestimmbare Person dargestellt wird, ohne dass die betreffende Person eine aus freien Stücken erfolgende, spezifische, aufgeklärte, eindeutige und ausdrückliche Zustimmung zu dieser Erzeugung oder Manipulation erteilt hat“.

Buchstabe bb verbietet „das Inverkehrbringen, die Inbetriebnahme oder die Verwendung eines KI-Systems, das Material oder Darbietungen im Sinne von Artikel 2 Buchstaben c und e der Richtlinie 2011/93/EU erzeugt oder manipuliert, es sei denn, nach nationalem Recht gilt das ‚unrechtmäßige‘ Verhalten als gerechtfertigt“. Die Richtlinie 2011/93/EU ist die EU-Richtlinie zur Bekämpfung des sexuellen Missbrauchs und der sexuellen Ausbeutung von Kindern.

Für ein Unternehmen, das KI nutzt, ist die Betreiberregel in Artikel 5 Absatz 1a Buchstabe b maßgeblich: „Die Verwendung eines KI-Systems, mit dem Material oder Darbietungen im Sinne von Absatz 1 Unterabsatz 1 Buchstaben ba und bb erzeugt oder manipuliert werden, ist nur verboten, wenn der Betreiber das System zum Zwecke der Erzeugung oder der Manipulation solchen Materials oder solcher Darbietungen verwendet.“ Absatz 1b ergänzt, dass eine Manipulation, die die Sichtbarkeit dargestellter intimer Körperteile nicht erhöht und die Art dargestellter sexueller Handlungen nicht verändert, für Buchstabe ba nicht als Manipulation gilt.

Der Termin steht im geänderten Artikel 113 Absatz 3 Buchstabe a: „Die Kapitel I und II gelten ab dem 2. Februar 2025, mit Ausnahme von Artikel 5 Absatz 1 Unterabsatz 1 Buchstaben ba und bb und Artikel 5 Absätze 1a und 1b, die ab dem 2. Dezember 2026 gelten.“ Bei Verstößen gegen ein Verbot nach Artikel 5 drohen Geldbußen von bis zu 35 Millionen EUR oder 7 % des gesamten weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist (Artikel 99 Absatz 3, nicht geändert). Für KMU und jetzt auch für kleine Midcap-Unternehmen gilt der niedrigere Betrag.

Eine verwandte Pflicht gilt bereits. Seit dem 2. August 2026 bestimmt Artikel 50 Absatz 4: „Betreiber eines KI-Systems, das Bild-, Ton- oder Videoinhalte erzeugt oder manipuliert, die ein Deepfake sind, müssen offenlegen, dass die Inhalte künstlich erzeugt oder manipuliert wurden.“

Artikel 4 wurde ersetzt. Anbieter und Betreiber ergreifen weiterhin Maßnahmen, um die KI-Kompetenz ihres Personals und anderer Personen in ihrem Auftrag zu unterstützen, und Artikel 4 Absatz 1 endet jetzt: „Diese Verpflichtung verpflichtet Anbieter oder Betreiber nicht, für irgendeine Person ein bestimmtes Niveau an KI-Kompetenz zu garantieren.“ Die frühere Fassung, „nach besten Kräften sicherzustellen“, dass ein „ausreichendes Maß an KI-Kompetenz“ besteht, ist entfallen.

Was die Pflicht heute verlangt, was die Fragen und Antworten der Kommission erwarten und eine Checkliste mit Schulungsnachweisen stehen auf der Seite zur KI-Kompetenz nach Artikel 4. Die neuen Verbote gehören in diese Schulung: Wer Bilder, Videos oder Ton erzeugt, sollte wissen, was verboten ist.

Artikel 26, die Pflichten der Betreiber von Hochrisiko-KI-Systemen. Kein Punkt der Verordnung 2026/1744 ändert ihn. Betreiber verwenden das System gemäß der Betriebsanleitung, übertragen die menschliche Aufsicht Personen mit der nötigen Kompetenz, Ausbildung und Befugnis (Artikel 26 Absatz 2), überwachen das System, bewahren die Protokolle unter ihrer Kontrolle mindestens sechs Monate auf (Artikel 26 Absatz 6) und informieren die Beschäftigten, bevor ein Hochrisiko-System am Arbeitsplatz eingesetzt wird. Nur der Geltungsbeginn hat sich über Artikel 113 verschoben.

Die Transparenzpflichten in Artikel 50. Ersetzt wurde nur Artikel 50 Absatz 7 zu den Praxisleitfäden. Die Offenlegung von Deepfakes nach Absatz 4 und die Kennzeichnungspflicht nach Absatz 2 lauten wie zuvor.

Die ursprünglichen verbotenen Praktiken in Artikel 5 Absatz 1 Buchstaben a bis h, die seit dem 2. Februar 2025 gelten, die Begriffsbestimmungen von Betreiber (Artikel 3 Nummer 4) und KI-Kompetenz (Artikel 3 Nummer 56), die Liste der Hochrisiko-Verwendungen in Anhang III und die Obergrenze der Geldbußen für verbotene Praktiken in Artikel 99 Absatz 3.

Wie diese Pflichten für ein Unternehmen gelten, das LLMs nutzt, steht auf der Seite zu den Pflichten nach der KI-Verordnung.

Die neuen Verbote gelten ab dem 2. Dezember 2026. Diese Schritte passen in die Dokumente, die die meisten Unternehmen schon führen.

Nutzungsregeln lassen sich leichter einhalten, wenn der Zugang zu Modellen über eine Stelle läuft. Standard Compute ist eine Möglichkeit dafür, für Modell-APIs, Claude Code und Claude Desktop: Jede Person und jede Anwendung erhält einen eigenen Schlüssel, alles unter einem Unternehmenskonto. Legen Sie fest, welche Modelle jeder Schlüssel nutzen darf, sodass jede Anwendung und jedes Teammitglied genau die freigegebenen Modelle erhält.

Wählen Sie genau aus, welche Inferenzanbieter Ihre Daten verarbeiten dürfen, für das ganze Unternehmen, ein Team oder einen einzelnen Schlüssel. Jede Änderung durch Administratoren wird mit dem Wert davor und danach protokolliert, sodass der Nachweis, wer welches Modell nutzen konnte, neben Ihrer Richtlinie liegt.

Diese Einstellungen legen fest, welche Modelle und Anbieter genutzt werden können. Sie prüfen keine Prompts oder Ausgaben und machen keine Verwendung rechtmäßig.