Zusammenfassung KI-Omnibus-Vorschlag

Der KI-Omnibus-Vorschlag stellt eine bedeutende Initiative zur Harmonisierung der EU-Digitalgesetzgebung dar. Er zeichnet sich durch einen pragmatischen Ansatz aus, der die Compliance an die Verfügbarkeit technischer Standards knüpft, gezielte Erleichterungen für KMU bietet und die Aufsicht über Big-Tech-Unternehmen im neuen AI Office zentralisiert.

Trotz dieser Stärken identifizieren die Quellen erhebliche Lücken und Unstimmigkeiten, die die praktische Umsetzung gefährden könnten:

1. Regulatorische Inkohärenz und Belastung

• Meldepflichten: Unternehmen stehen vor einer massiven kumulativen Belastung durch parallele Meldepflichten in verschiedenen Rechtsakten wie dem AI Act, NIS-2, DORA und der DSGVO. Es wird die Einführung eines „Single Digital Incident Reporting Hub“ auf EU-Ebene vorgeschlagen, um Meldungen automatisiert an alle relevanten Behörden zu verteilen.
• Begriffs-Dschungel: Es fehlt eine Harmonisierung zwischen Begriffen wie „Hochrisiko“ (AI Act), „wesentlich/wichtig“ (NIS-2) und „kritisch“ (DORA/CRA). Eine neue „EU Digital Risk Assessment Matrix“ soll hier Klarheit schaffen.
• Zeitliche Diskrepanz: Die unterschiedlichen Anwendungszeitpunkte (z. B. DORA bereits 2025, AI Act teils erst 2028) führen zu regulatorischen Lücken, insbesondere im Finanzsektor.

2. Vorschläge zur administrativen Straffung

Um Ineffizienzen zu vermeiden, werden integrierte Ansätze empfohlen:

• Integrierte Risikobewertung: Statt separater Prüfungen für Datenschutz, KI-Risiken und Cybersicherheit sollte eine modulare Methodik („Integrated Digital Risk Assessment“) etabliert werden.
• Modulare Dokumentation: Ein einheitliches „Digital Systems Documentation Template“ würde es ermöglichen, Systembeschreibungen einmal zu erstellen und für verschiedene Gesetze (AI Act, DSGVO, NIS-2) zu nutzen.
• Digitale Produktpässe: Diese könnten alle Compliance-Informationen maschinenlesbar bündeln und Behörden den Zugriff erleichtern.

3. Governance und Verantwortlichkeit

• Aufsichtsbehörden: Die Kompetenzabgrenzung zwischen dem AI Office und nationalen Behörden bei grenzüberschreitenden Fällen bleibt unklar. Vorgeschlagen wird ein „Lead Supervisory Authority“-Prinzip analog zum One-Stop-Shop der DSGVO.
• KI-Lieferketten: Die Verantwortlichkeit zwischen Anbietern, Betreibern und Importeuren ist oft diffus. Ein neues „Digital Supply Chain Responsibility Framework“ soll die Haftung und Pflichten in komplexen Wertschöpfungsketten klären.
• AI Office Kapazitäten: Die geplanten 53 Vollzeitstellen (FTE) werden als unzureichend kritisiert, um hochkomplexe Modelle wie GPT-4 oder Gemini effektiv zu beaufsichtigen – im Vergleich dazu verfügt etwa die irische Datenschutzbehörde über mehr als 200 Mitarbeiter:innen für Big-Tech-Enforcement.

4. Grundrechte und gesellschaftliche Aspekte

• Abschwächung der AI Literacy: Kritisch gesehen wird die Umwandlung der KI-Kompetenz-Pflicht von einer Anbieterverpflichtung in eine bloße Förderaufgabe. Dies könnte den Grundrechtsschutz gefährden, da informierte Betroffene und kompetente Anwender für die Wahrung von Datenschutz und Rechtsbehelfen essenziell sind.
• Bias Detection: Der Omnibus sieht wichtige Ausnahmen zur Diskriminierungserkennung vor. Es mangelt jedoch an technischen Standards und Leitlinien, wie Bias in unstrukturierten oder multimodalen Daten rechtssicher gemessen werden kann.

5. Internationale Dimension

Da der AI Act oft als globaler Standard („Brüssel-Effekt“) fungiert, warnt die Analyse, dass Abschwächungen im Omnibus diesen Status untergraben könnten. Es wird empfohlen, Angemessenheitsbeschlüsse für Drittstaaten einzuführen, um die Zusammenarbeit mit Ländern mit gleichwertiger KI-Governance zu erleichtern.

Zusammenfassend ist der Omnibus ein notwendiger Schritt zur Entbürokratisierung, bedarf aber einer stärkeren Verzahnung der Einzelgesetze durch zentrale Meldesysteme, integrierte Dokumentationsstandards und eine personell deutlich stärkere Aufsichtsstruktur.