EU-Digitalpaket: Brüssel will KI-Regeln lockern

Weniger Bürokratie oder Ausverkauf der Datenschutzrechte? Die EU-Kommission hat gestern ein umfassendes Gesetzespaket vorgestellt, das die europäische Digitalregulierung grundlegend vereinfachen soll. Das sogenannte „Digital Omnibus” greift tief in die KI-Verordnung und die Datenschutz-Grundverordnung (DSGVO) ein – angeblich, um Unternehmen zu entlasten und Innovation zu fördern. Doch Datenschützer schlagen Alarm: Die Änderungen könnten den bisher schärfsten Rückschritt bei digitalen Bürgerrechten seit einer Generation bedeuten.

Das Vorhaben steht nun vor einer heftigen Debatte im Europaparlament und unter den Mitgliedstaaten. Brüssel verspricht Unternehmen Einsparungen von bis zu fünf Milliarden Euro bei Verwaltungskosten bis 2029. Doch die Kritiker warnen: Der Preis könnte am Ende zu hoch sein – bezahlt mit dem Verlust fundamentaler Schutzrechte.

Im Kern will das Paket überlappende Pflichten aus verschiedenen Verordnungen harmonisieren – von der KI-Verordnung über die DSGVO bis hin zu Cybersicherheitsgesetzen. Unternehmen sollen künftig Sicherheitsvorfälle nur noch an einer zentralen Stelle melden müssen, statt wie bisher bei mehreren Behörden. Klingt sinnvoll, könnte aber auch bedeuten: weniger Kontrolle, weniger Transparenz.

Unternehmen stehen durch die EU‑KI‑Verordnung vor neuen, konkreten Pflichten – und viele riskieren bei Fehlklassifizierung oder fehlender Dokumentation empfindliche Strafen. Unser kostenloser Umsetzungsleitfaden erklärt praxisnah Kennzeichnungspflichten, Risikoklassen, erforderliche Dokumentation und die wichtigen Übergangsfristen, damit Sie rechtssicher handeln können. Ideal für Entwickler, Anbieter und Verantwortliche, die kurzfristig Klarheit und umsetzbare Schritte brauchen. Erfahren Sie außerdem, welche Fristen jetzt gelten und welche Maßnahmen sofort umzusetzen sind. KI-Verordnung: Kostenlosen Umsetzungsleitfaden herunterladen

Besonders umstritten ist die geplante Integration der seit Jahren verzögerten ePrivacy-Regeln – bekannt als „Cookie-Gesetz” – in die DSGVO. Nutzer sollen ihre Tracking-Präferenzen künftig direkt über Browser-Einstellungen verwalten können, was die nervigen Cookie-Banner reduzieren soll. Datenschützer befürchten allerdings, dass die EU damit heimlich vom Opt-in- zum Opt-out-Modell wechselt. Mit anderen Worten: Tracking würde zum Standard, Ablehnung zur Ausnahme.

KI-Regeln auf Eis gelegt

Für die erst kürzlich verabschiedete KI-Verordnung sieht das Paket eine entscheidende Änderung vor: Die strengen Regeln für Hochrisiko-KI-Systeme sollen erst dann greifen, wenn die entsprechenden technischen Standards verfügbar sind. Das verschafft Unternehmen eine Schonfrist von bis zu 16 Monaten – Zeit, die die Industrie dringend eingefordert hatte. Auch Deutschland hatte sich für diese Verzögerung stark gemacht.

Gleichzeitig will Brüssel das neu geschaffene EU AI Office mit mehr Befugnissen ausstatten und kleinere Unternehmen von bestimmten Pflichten befreien. Klingt nach Pragmatismus – oder nach Zugeständnissen an Lobbyinteressen? Die Grenze verschwimmt zusehends.

DSGVO: Die Büchse der Pandora öffnet sich

Die explosivste Neuerung betrifft die DSGVO selbst. Durchgesickerte Entwürfe, die nun offiziell bestätigt wurden, zeigen: Unternehmen sollen persönliche Daten für die Entwicklung und das Training von KI-Systemen auf Basis „berechtigter Interessen” verarbeiten dürfen – ohne explizite Zustimmung der Nutzer.

Für Datenschützer ist das der Super-GAU. „Diese Änderungen geben Behörden und mächtigen Konzernen deutlich mehr Spielraum, persönliche Informationen mit begrenzter Aufsicht und reduzierter Transparenz zu sammeln”, warnt die Bürgerrechtsorganisation European Digital Rights (EDRi). Tatsächlich würde damit die Grundannahme der DSGVO auf den Kopf gestellt: Nicht mehr der Nutzer kontrolliert seine Daten, sondern die Unternehmen definieren, was „berechtigt” ist.

Hinzu kommt eine engere Definition personenbezogener Daten. Pseudonymisierte Informationen könnten künftig komplett aus dem DSGVO-Schutzbereich herausfallen – ein Freifahrtschein für datengetriebene Geschäftsmodelle.

Hochrisiko-KI ohne Aufsicht?

Noch brisanter: Die Pflicht für Anbieter, selbst deklarierte „unkritische” Hochrisiko-KI-Systeme in der EU-Datenbank zu registrieren, soll entfallen. Klingt technisch, hat aber weitreichende Folgen. Unternehmen könnten faktisch selbst entscheiden, welche Systeme als gefährlich gelten – ohne dass Behörden davon erfahren. Ein im vergangenen Jahr hart erkämpfter Kompromiss würde damit kassiert.

Michael Birtwistle vom Ada Lovelace Institute spricht von einer „außergewöhnlichen Kehrtwende bei digitalen Rechten”. Seine Prognose: Falls das Paket durchgeht, hätte die EU schwächere Datenschutzstandards als manche US-Bundesstaaten. Ausgerechnet.

Industrie erleichtert, Aktivisten entsetzt

Die Wirtschaft reagiert verhalten positiv. Verbände wie die Computer & Communications Industry Association (CCIA Europe) bezeichnen das Paket als „willkommenen Schritt”, betonen aber, dass größere Reformen etwa beim Digital Services Act (DSA) und Digital Markets Act (DMA) weiterhin ausstehen. Die Botschaft: gut, aber nicht gut genug.

Auf der Gegenseite formiert sich massiver Widerstand. 127 zivilgesellschaftliche Organisationen und Gewerkschaften fordern in einem offenen Brief, die Pläne zu stoppen. Ihre Befürchtung: Das Omnibus-Paket würde die DSGVO „aushöhlen”, die KI-Verordnung „untergraben” und die Macht großer Tech-Konzerne weiter zementieren.

Showdown im Parlament

Das Paket muss nun durch Europaparlament und Rat der Mitgliedstaaten – und dort dürfte es heiß hergehen. Die Grünen/EFA-Fraktion hat bereits angekündigt, entschieden Widerstand zu leisten. Ihre Kritik: Die Änderungen würden Europas digitale Souveränität schwächen und die Abhängigkeit von außereuropäischen Tech-Giganten verstärken.

Für Unternehmen bedeutet das Paket zunächst Unsicherheit. Die versprochenen vereinfachten Regeln klingen verlockend, doch die mögliche Aufweichung des Datenschutzes könnte die gesamte digitale Landschaft neu ordnen. Wird Europa seinen einflussreichen, auf Grundrechten basierenden Ansatz verteidigen oder opfert die Union ihre Standards auf dem Altar der Wettbewerbsfähigkeit? Die Antwort darauf wird in den kommenden Monaten fallen – und sie wird weitreichende Konsequenzen haben.

PS: Die vorgeschlagene Schonfrist für Teile der KI-Verordnung mag nach Entlastung für Unternehmen klingen, schafft aber erhebliche Rechtsunsicherheit. Unser kostenloser Leitfaden zur KI-Verordnung fasst die wichtigsten Umsetzungsmaßnahmen zusammen, zeigt auf, welche Nachweise Prüfer erwarten und liefert eine praktische Checkliste für die erforderliche Dokumentation und Kennzeichnung. So sind Sie vorbereitet, sobald die technischen Standards tatsächlich greifen. Jetzt kostenlosen KI-Umsetzungsleitfaden sichern