Seit 27. Juli ist der AI-Omnibus in Kraft, ein Gesetz, mit dem die in Deutschland bereits geltende KI-Verordnung der EU erstmals geändert wurde. Mit dem sogenannten Digital-Omnibus hat das nichts zu tun.
Die häufige Rede vom „Omnibus“ als dem von der EU geplanten Reformpaket ist missverständlich. Tatsächlich handelte es sich bei dem 2025 von der EU-Kommission vorgestellten Omnisbus-Komplex um mehrere getrennte Vorhaben: Der noch geplante und lang diskutierte Digital-Omnibus soll eine ganze Reihe Regulierungsgesetze ändern, darunter die DSGVO.
Mit einem eigenständigen AI-Omnibus-Gesetz wurde die KI-Verordnung (KI-VO auch AI Act genannt) geändert: Dies geschah ausdrücklich mit dem Ziel, die Wirtschaft bei der Umsetzung der KI-VO von bürokratischen Pflichten zu entlasten. Die risikobasierte Struktur der KI-VO mit Verboten, Hochrisiko-KI, Transparenzpflichten, Aufsicht und Bußgeldern bleibt bestehen. Der AI-Omnibus soll die Anwendung vereinfachen und Fristen an die praktische Umsetzbarkeit anpassen.
Der AI-Omnibus ändert die KI-Verordnung, nicht jedoch die Datenschutz-Grundverordnung (DSGVO). Zwar werden einzelne AI-Act-Fristen, insbesondere für Hochrisiko-KI, verschoben. Die DSGVO bleibt jedoch unverändert anwendbar und ist weiterhin bei jedem Einsatz von KI zur Verarbeitung personenbezogener Daten zu beachten.
Allerdings trifft auch der Der KI-Omnibus eine für den Datenschutz relevante Änderung. Diese findet sich nicht in der DSGVO, sondern in der in der KI-Verordnung selbst: In die KI-VO wurde ein neuer Artikel 4a KI-VO eingefügt. Dieser erlaubt unter bestimmten Voraussetzungen die Verarbeitung besonderer Kategorien personenbezogener Daten zur Erkennung, Überwachung und Korrektur von Verzerrungen (Bias) in KI-Modellen und KI-Systemen.
Bereits die ursprüngliche KI-Verordnung regelt in Artikel 10 Abs. 5 KI-VO eine eng begrenzte Möglichkeit für Anbieter von Hochrisiko-KI, besondere Kategorien personenbezogener Daten zu verarbeiten, soweit dies zur Erkennung und Korrektur von Verzerrungen in Trainings-, Validierungs- und Testdatensätzen unbedingt erforderlich war. Der neue Artikel 4a KI-VO erweitert diese Möglichkeit erheblich. Die Verarbeitung besonderer Kategorien personenbezogener Daten kann nun auch für Bias Detection und Bias Mitigation bei KI-Modellen und KI-Systemen außerhalb des ursprünglichen engen Anwendungsbereichs erfolgen, allerdings nur unter strengen Voraussetzungen und mit Schutzmaßnahmen.
Damit wird außerhalb der DSGVO ein zusätzlicher Erlaubnistatbestand geschaffen, der dabei weiterhin im Einklang mit der DSGVO angewendet werden muss. Die DSGVO selbst, insbesondere Artikel 9 DSGVO, wird dadurch nicht geändert.
Im Weiteren verändert der AI-Omnibus noch eine Reihe weiterer Vorgaben, von den Anforderungen an die KI-Kompetenz über die Dokumentationspflichten bis hin zum Zeitrahmen für die Umsetzung von Hochrisiko-Systemen. Wir fassen das Wichtigste zusammen:
