EDSA und EDSB: Gemeinsame Stellungnahme 1/2026 zum Digitalen Omnibus zur KI

Der Digitale Omnibus umfasst mehrere Rechtsakte. Die Digital-Omnibus-Verordnung zur KI ist am 27. Juli 2026 in Kraft getreten; ein weiterer Teil betrifft die DSGVO, die ePrivacy-Richtlinie und den Data Act.

Zum Vorschlag für den Digitalen Omnibus zur KI haben der Europäische Datenschutzausschuss und der Europäische Datenschutzbeauftragte gemeinsam Stellung genommen, in der gemeinsamen Stellungnahme 1/2026. Der Vorschlag betraf die KI-Verordnung und die Verordnung (EU) 2018/1139. Die Kommission hatte beide Stellen am 25. November 2025 nach Art. 42 Abs. 2 der Verordnung (EU) 2018/1725 förmlich konsultiert.

Den Teil des Omnibus, der die DSGVO, die ePrivacy-Richtlinie und den Data Act ändert, behandelt die Stellungnahme nicht. Dazu gibt es eine gesonderte gemeinsame Stellungnahme.

Wann die Stellungnahme abgegeben wurde

Erwägungsgrund 47 der Verordnung (EU) 2026/1744 hält fest, dass der Europäische Datenschutzbeauftragte und der Europäische Datenschutzausschuss nach Art. 42 Abs. 1 und 2 der Verordnung (EU) 2018/1725 angehört wurden und ihre gemeinsame Stellungnahme am 20. Januar 2026 abgegeben haben. Die Stellungnahme selbst nennt denselben Tag als Datum ihrer Annahme.

Der Maßstab, den beide Stellen anlegen

Sie tragen das Ziel mit, Umsetzungsschwierigkeiten der KI-Verordnung zu beheben und den Verwaltungsaufwand zu verringern — solange das nicht dazu führt, den Schutz der Grundrechte abzusenken, insbesondere des Rechts auf Schutz personenbezogener Daten.

Dazu erinnern sie daran, dass schon bei der ursprünglichen Ausarbeitung der KI-Verordnung mehrere Änderungen eingeführt wurden, um den Verwaltungsaufwand zu verringern, ohne die Grundrechte preiszugeben. Zwischen beidem sei ein sorgfältiges Gleichgewicht zu halten.

Die Stellungnahme bewertet ausdrücklich nicht alle vorgeschlagenen Änderungen, sondern die für die Rechte und Freiheiten von Personen bedeutsamsten.

Zeitplan der Hochrisiko-Vorschriften

Der Vorschlag sah vor, den Geltungsbeginn vom 2. August 2026 auf spätestens den 2. Dezember 2027 für Anhang-III-Systeme und vom 2. August 2027 auf den 2. August 2028 für Anhang-I-Systeme zu verschieben.

Beide Stellen räumen ein, dass einige Gründe für die Verzögerung zumindest teilweise sachlich und nicht vollständig von der Kommission zu steuern seien. Sie äußern sich aber aufrichtig besorgt über die möglichen Auswirkungen auf den Grundrechtsschutz.

Der eigentliche Einwand betrifft die Bestandsschutzklausel. Nach Art. 111 Abs. 2 KI-VO bleiben Hochrisiko-Systeme, die bereits in Verkehr waren, weitgehend außerhalb der Verordnung, sofern sie nicht wesentlich geändert werden. Der Vorschlag verschiebt den dafür maßgeblichen Stichtag vom 2. August 2026 auf den 2. Dezember 2027 — und lässt damit mehr Systeme als Altsysteme durchgehen.

Beide Stellen erinnern daran, dass sie dieser Ausnahme bereits in ihrer gemeinsamen Stellungnahme 5/2021 zum Entwurf der KI-Verordnung widersprochen hatten.

Sie regen an zu prüfen, ob der bisherige Zeitplan für einzelne Pflichten beibehalten werden könnte — etwa für die Transparenzpflichten. Und sie fragen, ob ein beweglicher Termin nicht die Rechtssicherheit untergrabe.

Registrierung: der Einwand mit der Rechnung

Der Vorschlag wollte die Pflicht streichen, auch solche Systeme in der EU-Datenbank zu registrieren, die zwar in Anhang III aufgeführt sind, die der Anbieter nach Art. 6 Abs. 3 KI-VO aber selbst als nicht hochriskant einstuft.

Dem widersprechen beide Stellen deutlich. Die Streichung würde die Rechenschaftspflicht der Anbieter erheblich mindern und einen unerwünschten Anreiz setzen, die Ausnahme ohne kritische Prüfung in Anspruch zu nehmen.

Die Registrierung erfüllt nach ihrer Darstellung drei Zwecke: Sie macht öffentlich, auf welchen Gründen die Einstufung beruht; sie erlaubt Betreibern die eigene Prüfung vor dem Einsatz; und sie informiert die zuständigen nationalen Behörden sowie die Stellen zum Schutz der Grundrechte, bevor ein System in Verkehr kommt.

Dem stellen sie eine Zahl aus den Unterlagen der Kommission selbst gegenüber: Die Änderung käme höchstens 1.485 Unternehmen zugute und erspart jedem davon 100 Euro — zusammen bis zu 148.500 Euro im Jahr.

Zur Ausweitung der Erleichterungen auf kleine Midcap-Unternehmen merken sie an, dass Beschäftigtenzahl und Unternehmensgröße angesichts der Skalierbarkeit und Selbsttätigkeit von KI kein tauglicher Maßstab für den möglichen Schaden seien.

KI-Kompetenz: die Pflicht soll nicht verschwinden

Der Vorschlag wollte die Pflicht der Anbieter und Betreiber aus Art. 4 KI-VO, für ausreichende KI-Kompetenz ihres Personals zu sorgen, durch eine Aufgabe von Kommission und Mitgliedstaaten ersetzen, die Unternehmen dazu zu ermutigen.

Beide Stellen halten das für eine erhebliche Abschwächung, die den Zweck der Vorschrift letztlich untergrabe. KI-Kompetenz befähige Menschen, kritisch über die Technik nachzudenken und ihre Entscheidungen begründet zu treffen.

Ihr Vorschlag: Statt die Pflicht zu streichen, sollten Kommission und Aufsichtsbehörden verpflichtet werden, Hinweise zu ihrer Umsetzung herauszugeben. Bleibe es bei der Ermutigungsaufgabe, solle sie neben die bestehende Pflicht treten, nicht an ihre Stelle.

Besondere Kategorien personenbezogener Daten

Der Vorschlag ersetzt Art. 10 Abs. 5 KI-VO durch einen neuen Art. 4a und weitet ihn aus: von Anbietern von Hochrisiko-Systemen auf Anbieter und Betreiber aller KI-Systeme und -Modelle.

Beide Stellen tragen das im Grundsatz mit — unterbleibt die Erkennung von Verzerrungen, könne die Verzerrung selbst ein breiteres Risiko darstellen, bis hin zur Gesellschaft als Ganzer. Und die Liste der Hochrisiko-Systeme könne nie erschöpfend sein.

Zwei Einwände haben sie gleichwohl.

Die Verarbeitung besonderer Datenkategorien ist nach Unionsrecht grundsätzlich untersagt; Ausnahmen sind eng zu fassen. Für Systeme, die nicht hochriskant sind, solle der Rückgriff daher auf Fälle beschränkt werden, in denen das Risiko nachteiliger Auswirkungen hinreichend schwer wiegt.

Und: Art. 10 Abs. 5 verlangt bislang, dass die Verarbeitung unbedingt erforderlich ist. Der neue Art. 4a Abs. 1 spricht nur von „erforderlich”. Beide Stellen empfehlen, den strengeren Maßstab wiederherzustellen.

Aufsicht durch das Büro für Künstliche Intelligenz

Der Vorschlag dehnt die ausschließliche Zuständigkeit des Büros für Künstliche Intelligenz (englisch AI Office) auf Systeme aus, die Teil sehr großer Online-Plattformen oder -Suchmaschinen sind.

Beide Stellen begrüßen die Bündelung auf Unionsebene, bezweifeln aber, dass die vorgesehene aktive Zusammenarbeit genügt, um den nationalen Behörden ein eigenes Tätigwerden zu erhalten, wenn das Büro nicht handelt. Sie empfehlen, die Arten von Modellen, die diese ausschließliche Zuständigkeit auslösen, klar abzugrenzen.

Ferner: Der Erwägungsgrund stellt klar, dass das Büro für Systeme der Unionsorgane nicht zuständig ist — das solle auch im verfügenden Teil stehen.

Grundrechtsstellen und Marktüberwachung

Nach Art. 77 KI-VO können Stellen zum Schutz der Grundrechte Unterlagen unmittelbar bei Anbietern und Betreibern anfordern. Der Vorschlag schaltet die Marktüberwachungsbehörden dazwischen.

Beide Stellen begrüßen die einheitliche Anlaufstelle, weisen aber darauf hin, dass der Umweg in der Praxis auch zu Ineffizienz führen könne. Ihre Empfehlung: Die Rolle der Marktüberwachungsbehörde solle ausdrücklich auf die einer verwaltungsmäßigen Anlaufstelle beschränkt werden — sie solle Erforderlichkeit und Verhältnismäßigkeit der Anfrage nicht prüfen.

Außerdem solle der Vorschlag klarstellen, dass er die Unabhängigkeit und die bestehenden Befugnisse der Datenschutzbehörden nicht berührt, und dass Auskünfte ohne unangemessene Verzögerung zu erteilen sind.

Reallabore auf Unionsebene

Für nationale Reallabore verlangt Art. 57 Abs. 10 KI-VO, die Datenschutzbehörden zu beteiligen. Für die neuen Reallabore auf Unionsebene fehlt eine entsprechende Vorschrift. Beide Stellen empfehlen, sie unmittelbar in der KI-Verordnung zu ergänzen, und dem Ausschuss zusätzlich den Beobachterstatus im KI-Gremium einzuräumen.

Was daraus wurde

Zwei Punkte lassen sich bereits zuordnen.

Der Zeitplan wurde wie vorgeschlagen verschoben. Art. 113 Abs. 3 Buchstabe c in der Fassung der Verordnung (EU) 2026/1744 nennt den 2. Dezember 2027 und den 2. August 2028. Die Anregung, den bisherigen Zeitplan für einzelne Pflichten beizubehalten, ist nicht erkennbar aufgegriffen worden.

Der neue Art. 4a wurde eingeführt. Ob dabei der Maßstab der unbedingten Erforderlichkeit wiederhergestellt wurde, ist in diesem Eintrag nicht dargestellt.

Bei der KI-Kompetenz hat sich der Kern der Empfehlung durchgesetzt. Der Kommissionsvorschlag wollte die Verantwortung weitgehend auf Union und Mitgliedstaaten verlagern. Das ist nicht geschehen: Die Pflicht verbleibt nach der Neufassung des Art. 4 bei Anbietern und Betreibern.

Abgemildert wurde sie gleichwohl. Aus der Pflicht, Maßnahmen zu ergreifen, um nach besten Kräften sicherzustellen, dass das Personal über ein ausreichendes Maß an KI-Kompetenz verfügt, wurde die Pflicht, Maßnahmen zu ergreifen, die die Entwicklung der KI-Kompetenz unterstützen — mit der ausdrücklichen Klarstellung, dass niemand für irgendeine Person ein bestimmtes Niveau zu garantieren hat.

Die von beiden Stellen vorgeschlagene Hilfestellung ist ebenfalls gekommen: Kommission und Mitgliedstaaten sollen bei der Umsetzung unterstützen, unter anderem mit praktischen Beispielen, und das KI-Gremium soll Empfehlungen zur Förderung der KI-Kompetenz annehmen.

Für die übrigen Empfehlungen — Registrierung, Reallabore, Zuständigkeitsabgrenzung — ist der verabschiedete Text hier nicht abgeglichen.