EU Digital Omnibus: Was das Vereinfachungspaket am AI Act ändert, wer als Small Mid-Cap neue Erleichterungen bekommt und warum Warten trotzdem riskant ist

Die kurze Antwort zuerst: Der Digital Omnibus würde zwei Dinge ändern, die für den Mittelstand zählen. Die Hochrisiko-Pflichten des AI Act würden nicht mehr an feste Kalenderdaten gekoppelt, sondern beginnen, sobald die Kommission bestätigt, dass harmonisierte Standards und Unterstützungsinstrumente vorliegen, in einem Rahmen von maximal 16 Monaten. Und die Erleichterungen, die heute nur KMU genießen, würden auf Unternehmen bis knapp 750 Mitarbeiter ausgeweitet. Alles, was bereits gilt, bleibt unberührt: Die Verbote unannehmbarer KI-Praktiken und die Pflichten für Modelle mit allgemeinem Verwendungszweck sind anwendbar, egal was aus dem Vorschlag wird.

Dieser Beitrag ist für die Geschäftsführung geschrieben, die von der Brüsseler Entbürokratisierung gelesen hat und sich fragt, ob das Compliance-Projekt jetzt in die Schublade kann. Die ehrliche Antwort ist nein, und die Details erklären warum.

Was der Vorschlag tatsächlich tut

Am 19. November 2025 hat die Kommission COM(2025) 836 final vorgelegt, eine Verordnung zur Änderung der KI-Verordnung mit dem Ziel einer vereinfachten Umsetzung. Die offizielle Begründung ist praktisch: Harmonisierte Standards, Leitlinien und Konformitätswerkzeuge kamen langsamer als die festen Anwendungstermine am 2. August 2026 und 2. August 2027, sodass Unternehmen Pflichten ohne die Instrumente zu ihrer Erfüllung getroffen hätten. Der Vorschlag koppelt den Beginn der Hochrisiko-Regeln deshalb an die Verfügbarkeit dieser Instrumente und deckelt den Übergang auf 16 Monate.

Die neue Größenklasse, die entscheidet, wer profitiert

Die strukturellere Änderung steckt in den Größenklassen. Die Kommissionsempfehlung (EU) 2025/1099 vom 21. Mai 2025 hat eine neue Kategorie geschaffen: Small mid-cap enterprises sind Unternehmen, die über die KMU-Definition hinausgewachsen sind, weniger als 750 Beschäftigte haben und unter 150 Millionen Euro Jahresumsatz oder 129 Millionen Euro Bilanzsumme bleiben. Die Kommission zählt rund 38.000 davon in der EU. Bisher fiel ein Unternehmen mit dem 250. Mitarbeiter von einer Kante ins volle Großunternehmensregime. Der Omnibus nutzt die neue Kategorie, um KMU-Privilegien nach oben zu tragen: vereinfachte technische Dokumentation, ein an die Größe angepasstes Qualitätsmanagementsystem nach Artikel 17, mildere Bußgeldbemessung nach Artikel 99 und vorrangige Beratung durch nationale Behörden.

Für den deutschen Mittelstand ist das die konkret prüfbare Frage: Unternehmen zwischen 250 und 749 Mitarbeitern sitzen genau in diesem Band. Sie bekämen den leichteren Compliance-Pfad exakt dort, wo der klassische Mittelstand aus der Kleinunternehmensklasse herauswächst, also dort, wo die meisten Organisationen unserer Leser stehen.

Das größere Paket jenseits des AI Act

Der KI-Omnibus ist ein Teil eines breiteren Digitalpakets, das die Kommission am selben Tag vorgelegt und in ihrer offiziellen Pressemitteilung zusammengefasst hat. Für den Betrieb am relevantesten ist ein einheitlicher Meldeeingang für Cybersicherheitsvorfälle: Heute kann derselbe Vorfall Pflichten nach NIS2, Cyber Resilience Act und DSGVO gleichzeitig auslösen, eine Last, die wir in den Beiträgen zu den NIS2-Meldefristen und zur seit September 2026 aktiven CRA-Pflicht dokumentiert haben. Das Paket enthält außerdem gezielte DSGVO-Nachschärfungen, eine Cookie-Modernisierung hin zu Einwilligung auf Browser-Ebene, European Business Wallets und eine Datenunion-Strategie. Die Kommission schätzt die Einsparungen auf fünf Milliarden Euro Verwaltungskosten bis 2029.

Die ehrliche Risikorechnung

Drei Einschränkungen halten das nüchtern. Erstens ist der Omnibus ein Vorschlag: Parlament und Rat beraten seit November 2025 und können ihn ändern oder ablehnen; scheitert er, gelten die August-Daten. Zweitens ist Erleichterung keine Befreiung: SMCs behalten dieselben Pflichten, sie erfüllen sie nur mit weniger Papierkram. Drittens wurden die bereits geltenden Teile nie angefasst, sodass ein Unternehmen, das seine KI-Bestandsaufnahme wegen Schlagzeilen pausiert hat, nichts gewonnen hat. Die praktische Haltung ist dieselbe wie im Leitfaden zu den Betreiberpflichten: Systeme einordnen, den Dokumentationspfad vorbereiten und jede Verzögerung als geliehene Zeit lesen statt als erlassene Pflicht.

Wer nur einen Satz aus diesem Beitrag mitnimmt: Der Digital Omnibus würde die Uhr strecken und den Papieraufwand für die meisten Mittelständler senken, aber er ändert den Kalender, nicht das Ziel.

Häufige Fragen zum Digital Omnibus