EU-Parlament zur AI-Omnibus‑Verordnung: Fester Hochrisiko-Stichtag und Verbot von „Nudification“-Apps – was Unternehmen jetzt konkret erwartet

1. Was das Parlament am 26. März 2026 entschieden hat

Das EU-Parlament hat seine Verhandlungsposition zur sogenannten Digital bzw. AI‑Omnibus‑Verordnung angenommen. Diese ändert gezielt den bestehenden EU AI Act und adressiert insbesondere drei Punkte:

1. Fester Stichtag für Hochrisiko‑KI: Die Hochrisiko‑Pflichten des AI Act werden nicht mehr gleitend an die Bereitstellung einzelner Systeme gekoppelt, sondern an ein fixes Datum gebunden (Kernlinie: Verschiebung der Anwendung für Annex‑III‑Systeme in Richtung Dezember 2027, parallel zur Ratslinie). Dadurch entfällt die Möglichkeit, durch frühe Inverkehrbringung dauerhaft in einer „Vor‑AI‑Act‑Generation“ zu bleiben.

2. Verbot von „Nudification“-Apps: Systeme, die aus nicht‑intimen Bildern nicht‑einvernehmliche Nackt‑ oder sexualisierte Darstellungen erzeugen („nudifier“/„nudification apps“), sollen als verbotene KI‑Praktik ausdrücklich in Artikel 5 AI Act aufgenommen werden.([techpolicy.press](https://www.techpolicy.press/eus-ai-act-delays-let-highrisk-systems-dodge-oversight?utm_source=openai))

3. Verschärfung bei Deepfakes und synthetischen Medien: Parlamentarische Änderungsanträge ziehen die Schrauben bei Kennzeichnung, Logging und Erkennbarkeit von KI‑generierten oder manipulierten Bildern und Videos an, inklusive Fokus auf Opferschutz bei nicht‑einvernehmlichen Intiminhalten.

Gleichzeitig lehnt das Parlament zusätzliche pauschale Schonfristen für Anbieter generativer KI ab und positioniert sich damit strenger als Teile der Industrie, die teils längere Übergangszeiten gefordert hatten.([convios.com](https://www.convios.com/en/insights/ki-regulierung-mittelstand-2026?utm_source=openai))

2. Fester Hochrisiko-Stichtag: Was sich gegenüber dem bisherigen AI Act ändert

2.1 Wegfall der „Flucht nach vorn“

Im ursprünglichen AI‑Act‑Rahmen war entscheidend, wann ein Hochrisiko‑System in Verkehr gebracht wird. Früh bereitgestellte Systeme konnten unter erleichterten Bedingungen teilweise dauerhaft weiterlaufen.

Mit der Omnibus‑Position des Parlaments wird nun ein einheitliches Datum für die Anwendung der Hochrisiko‑Pflichten eingeführt (politisch diskutiert wird die Verschiebung auf Ende 2027, wobei Parlament und Rat im Grundsatz einheitlich argumentieren).([eversheds-sutherland.com](https://www.eversheds-sutherland.com/de/germany/insights/eu-legislation-roundup-march-2026?utm_source=openai))

Implikation:

• Der Spielraum, durch frühe Produkteinführung „unter dem Radar“ des AI Act zu bleiben, entfällt.

• Compliance‑Roadmaps können dafür präziser geplant werden, weil der Referenzzeitpunkt klarer wird.

2.2 Klare Deadlines, aber keine materielle Entschärfung

Wichtig für Unternehmen: Die Parlamentposition reduziert die materiellen Anforderungen nicht, sondern verschiebt und präzisiert sie lediglich zeitlich. Hochrisiko‑Systeme (z. B. im Personalwesen, Kredit‑Scoring, kritischer Infrastruktur, Gesundheitssektor) müssen weiterhin:

• Risikomanagement, Data‑Governance und Human‑Oversight nachweisen,

• technische Robustheit und Cybersecurity sicherstellen,

• umfangreiche Dokumentations‑ und Protokollierungspflichten erfüllen,

• in das EU‑Register für Hochrisiko‑KI eingetragen werden.

Kritiker aus Zivilgesellschaft und Gesundheitswesen warnen, dass parallele Diskussionen über sektorale Ausnahmen (z. B. Medizinprodukte, Spielzeug) den Anwendungsbereich verwässern könnten.([beuc.eu](https://www.beuc.eu/letters/open-joint-letter-digital-omnibus-ai-preserving-scope-and-integrity-ai-act?utm_source=openai)) Für Unternehmen erhöht dies den Druck, die eigene Risikoklassifizierung nicht nur formal, sondern auch reputationsseitig belastbar aufzusetzen.

3. Verbot von „Nudification“-Apps und strengere Deepfake-Regeln

3.1 Neue verbotene KI‑Praktik

„Nudification“-Apps – also Tools, die etwa aus Alltagsfotos nicht‑einvernehmliche Nacktaufnahmen generieren – waren bislang nur mittelbar über Straf‑ und Datenschutzrecht angreifbar. Die Omnibus‑Position des Parlaments macht sie nun zu einer klar verbotenen KI‑Anwendung mit AI‑Act‑Sanktionsrahmen.([techpolicy.press](https://www.techpolicy.press/eus-ai-act-delays-let-highrisk-systems-dodge-oversight?utm_source=openai))

Konsequenzen:

• Plattformen mit UGC‑Fokus (Social Media, Messaging, Bildplattformen) müssen mit verstärkten Notice‑and‑Action‑Prozessen rechnen und sollten aktiv technische Detektion von Nudification‑Inhalten implementieren.

• Model‑Provider generativer Bild‑KI müssen prüfen, ob ihre Modelle faktisch als Nudification‑Systeme eingesetzt werden können, und ggf. Guardrails, Content‑Filter und Nutzungsbedingungen verschärfen.

3.2 Deepfakes: Kennzeichnung, Protokollierung, Detection

Die Parlamentposition adressiert ebenfalls Deepfake‑Inhalte breiter:

• Kennzeichnungspflicht: KI‑generierte oder ‑manipulierte Medien sollen klar als solche markiert werden (z. B. Wasserzeichen, Metadaten, Overlays).

• Protokollierung: Anbieter generativer KI müssen Logs über generierte Inhalte vorhalten, um Missbrauch rückverfolgen zu können.

• Detection‑Infrastruktur: Es wird deutlich, dass die EU mittelfristig flächendeckende Erkennungsmechanismen erwartet – etwa durch Standardisierung von Wasserzeichen und interoperablen Erkennungs‑APIs.

Für alle Geschäftsmodelle, die sich auf Bild‑ und Video‑Manipulation stützen (Marketing, Entertainment, virtuelle Try‑Ons, Creator‑Tools), entsteht damit ein erhöhtes Haftungs‑ und Governance‑Risiko: Schon heute eingesetzte Features können künftig als rechtlich sensibel gelten, wenn sie die Erstellung täuschend echter, personenbezogener Deepfakes erleichtern.

4. Wegfall zusätzlicher Schonfristen: Zeitdruck für generative KI

Die Ablehnung weitergehender Schon‑ und Übergangsfristen in der Parlamentposition bedeutet praktisch:

• Anbieter generativer KI müssen Kennzeichnung, Logging und Abuse‑Handling deutlich früher produktionsreif machen.

• Reine Policy‑Statements reichen nicht mehr; es geht um technisch nachweisbare Maßnahmen (Wasserzeichen, Audit‑Trails, Risk‑Controls auf API‑Ebene).

• Die Erwartung an Security‑ und GRC‑Teams: Ab 2026/27 wird der AI Act nicht nur Formalien, sondern auch operative Nachweise verlangen.([reddit.com](https://www.reddit.com/r/cybersecurity/comments/1sdil1c/the_eu_ai_acts_august_2026_deadline_is_5_months/?utm_source=openai))

Für Unternehmen mit starkem KI‑Footprint – etwa Plattformen, SaaS‑Anbieter oder Medienhäuser – reduziert das Parlament damit den Spielraum für „Abwarten bis zur Trilog‑Einigung“ deutlich.

5. Konkrete To‑dos für Unternehmen und Organisationen

5.1 Kurzfristig (nächste 3–6 Monate)

1. Regulatorisches Mapping aktualisieren

- AI‑Act‑Pflichten mit der Omnibus‑Position des Parlaments abgleichen.

- Prüfen, welche internen Systeme voraussichtlich als Hochrisiko gelten und ob der feste Stichtag Roadmaps beeinflusst.

1. Use‑Case‑Screening für Bild/Video‑Features

- Identifizieren, wo heute schon synthetische oder manipulierte Medien erzeugt werden (Filter, Avatare, Produktbilder, Werbung).

- Abschätzen, ob Funktionen missbraucht werden können, um nicht‑einvernehmliche Nackt‑ oder Deepfake‑Inhalte zu erstellen.

1. Policy‑Update für generative KI

- Verbot der Nutzung des eigenen Produkts für Nudification/harassment klar in AGB, Acceptable‑Use‑Policies und Entwickler‑TOS verankern.

- Interne Melde‑ und Reaktionsprozesse für betroffene Personen definieren.

5.2 Mittelfristig (6–18 Monate)

1. Technische Kennzeichnung & Detection aufbauen

- Wasserzeichen‑Technologie evaluieren (z. B. robuste, schwer entfern­bare Markierungen in Bild/Video/Audio).

- Detection‑Pipelines planen: Kombination aus eigenen Modellen, Drittanbieter‑Services und Moderations‑Workflows.

1. Logging‑ und Audit‑Fähigkeiten erweitern

- Sicherstellen, dass für generierte Inhalte nachvollziehbar ist, welches Modell, welcher Input und welcher Nutzer beteiligt waren.

- Governance‑Prozesse für Anfragen von Aufsichtsbehörden vorbereiten (Beauskunftung, Beweissicherung).

1. Produktdesign an Verbotstatbestände ausrichten

- Features mit besonders missbrauchsanfälligen Funktionen (Gesichts‑Swap, Entkleidungs‑Effekte, extreme Realismusgrade) kritisch hinterfragen.

- Gegebenenfalls bewusst abgespeckte oder gebrandete Varianten anbieten, die Missbrauch erschweren.

5.3 Strategisch (bis zum Hochrisiko‑Stichtag)

1. AI‑Risk‑Committee etablieren

- Interdisziplinäres Gremium (Legal, Compliance, Security, Produkt, Ethics), das Use Cases freigibt und überwacht.

1. AI‑Act‑Compliance in Produkt‑Lifecycle integrieren

- Anforderungen des AI Act (und der Omnibus‑Anpassungen) fest in Product‑Discovery, Architektur und Release‑Prozesse einbauen.

1. Kommunikationsstrategie vorbereiten

- Nach außen klar erklären, welche Schutzmechanismen gegen Missbrauch (v. a. Nudification, Deepfakes) implementiert sind.

- Proaktive Transparenz kann Reputations‑ und Litigation‑Risiken deutlich reduzieren.

6. Ausblick: Trilog und mögliche Änderungen

Die nun verabschiedete Parlamentposition ist noch nicht das finale Recht, sondern der Einstieg in die Trilog‑Verhandlungen mit Rat und Kommission. Gleichwohl zeichnen sich einige Konstanten ab:

• Ein fester Hochrisiko‑Stichtag gilt als politisch gesetzt – nur das genaue Datum kann sich im Trilog noch leicht verschieben.

• Ein explizites Verbot von Nudification‑Apps wird mit hoher Wahrscheinlichkeit in der Endfassung stehen, da sowohl Parlament als auch Rat inhaltlich in diese Richtung gehen.

• Die Richtung bei Deepfake‑Kennzeichnung und Detection ist eindeutig: Unternehmen sollten nicht darauf setzen, dass diese Anforderungen wieder abgeschwächt werden.

Für Entscheidungsträger heißt das: Jetzt ist der Zeitpunkt, um AI‑Act‑ und Omnibus‑Risiken nicht nur juristisch zu analysieren, sondern operativ in Architektur, Roadmaps und Budgetplanung zu verankern.

Häufig gestellte Fragen (FAQ)

Was regelt die AI-Omnibus-Verordnung in Bezug auf den EU AI Act konkret?

Die AI-Omnibus-Verordnung passt den bestehenden EU AI Act punktuell an und setzt vor allem einen festen Stichtag für Hochrisiko-KI-Systeme. Außerdem führt sie ein ausdrückliches Verbot von „Nudification“-Apps ein und verschärft die Kennzeichnungs-, Logging- und Erkennungspflichten für Deepfakes und andere synthetische Medien.

Was bedeutet der feste Hochrisiko-Stichtag für Unternehmen in der Praxis?

Der feste Stichtag beendet die Möglichkeit, Hochrisiko-KI durch besonders frühe Markteinführung dauerhaft außerhalb des vollen AI-Act-Regimes zu betreiben. Unternehmen gewinnen zwar mehr Planungssicherheit, müssen aber bis zum Stichtag sämtliche Hochrisiko-Anforderungen – von Risikomanagement über Dokumentation bis zur Eintragung ins EU-Register – vollständig umgesetzt haben.

Warum werden „Nudification“-Apps durch den AI Act ausdrücklich verboten?

„Nudification“-Apps erzeugen aus scheinbar harmlosen Bildern nicht-einvernehmliche Nackt- oder Sexualdarstellungen und verursachen massive Persönlichkeits- und Opferschutzrisiken. Durch ihre Einstufung als verbotene KI-Praktik können Aufsichtsbehörden künftig gezielt gegen Anbieter, Plattformen und missbräuchliche Geschäftsmodelle mit den Sanktionsinstrumenten des AI Act vorgehen.

Welche neuen Anforderungen gelten für Deepfakes und andere synthetische Medien?

Für Deepfakes werden klare Kennzeichnungspflichten, umfangreiche Protokollierung und der Aufbau technischer Erkennungsmechanismen gefordert. Anbieter generativer KI müssen sicherstellen, dass KI-generierte oder manipulierte Medien als solche erkennbar sind und dass Missbrauch – etwa täuschend echte Deepfakes von Personen – rückverfolgt und sanktioniert werden kann.

Was ist der Unterschied zwischen Hochrisiko-KI-Pflichten und dem Verbot von Nudification-Apps?

Hochrisiko-KI-Pflichten regeln zulässige, aber besonders risikobehaftete KI-Anwendungen und verlangen umfangreiche Governance-, Sicherheits- und Dokumentationsmaßnahmen. Das Verbot von Nudification-Apps betrifft dagegen einen klar abgegrenzten Anwendungsfall, der grundsätzlich unzulässig ist und daher nicht über Compliance, sondern nur über Unterlassen, Entfernung und Sanktionierung adressiert werden kann.

Welche kurzfristigen Schritte sollten Unternehmen jetzt einleiten?

Unternehmen sollten ihre AI-Act-Risikoklassifizierung aktualisieren, betroffene Hochrisiko-Use-Cases identifizieren und Roadmaps am festen Stichtag ausrichten. Parallel dazu sind Use-Case-Screenings für Bild- und Videofunktionen, Policy-Updates zu Nudification und Deepfakes sowie erste technische Maßnahmen für Kennzeichnung, Logging und Moderation vorzubereiten.

Wie sollten Unternehmen mittel- bis langfristig ihre KI-Governance anpassen?

Mittel- bis langfristig sollten Unternehmen Wasserzeichen- und Detection-Technologien aufbauen, Logging- und Audit-Fähigkeiten für generative KI stärken und produktseitig besonders missbrauchsanfällige Funktionen kritisch überprüfen. Strategisch empfiehlt sich die Einrichtung eines AI-Risk-Committees und die feste Verankerung von AI-Act- und Omnibus-Anforderungen im gesamten Produktlebenszyklus.