AI, Data & Technology

EU AI Act 2026: Fristen, Pflichten und offene Baustellen

Sebastian Addicks

October 14, 2026

EU AI Act 2026: Fristen, Pflichten und offene Baustellen

Am 21. April 2021 wurde das erste Proposal zur Regulierung von künstlicher Intelligenz in der EU veröffentlicht. Schnell wurden Stimmen laut, die die geplanten Pflichten als Innovationsbremsen und wirtschaftliche Belastung bezeichneten. Befürworter argumentieren mit dem Schutz der Grundrechte (z. B. Verbot von Social Scoring) und einem möglichen strategischen Vorsprung, der Nachhaltigkeit verspricht. Erleben ließ sich diese Diskrepanz auf einschlägigen Tech-Konferenzen. Das Tech-Bro-KI-Startup-Panel bestärkt sich gegenseitig darin, dass die EU ihnen nur Steine in den Weg lege, während nebenan über mögliche Folgen, Diskriminierung, Datenschutz und Ethik diskutiert wird.

Eins ist klar, die Entwicklung im KI-Bereich rechtlich einzufangen ist ein Mammutprojekt. Während der Fortschritt einen Meilenstein nach dem anderen erreichte, mussten sich die zuständigen Stellen in der EU erst mal darüber im Klaren werden, was sie da eigentlich versuchen zu regulieren. Als weltweit erstes umfassendes KI-Gesetz spielt der EU AI Act eine zentrale Rolle in der zukünftigen Entwicklung und Implementierung von KI, nicht nur in Europa, sondern weltweit.

Dieser Artikel gibt einen Überblick über die momentane Situation. Was muss bei der Nutzung von KI in Unternehmen heute beachtet werden? Wie sollte ich meine Lösungen als Unternehmen aufstellen, um auch zukünftig geplante Umsetzungen des Gesetzes bereits abzudecken? Welche Chancen bieten sich?

Insgesamt sei erwähnt, dass der Inhalt dieses Artikels schnell seine Aktualität verlieren kann. Besonders in Bezug auf konkrete Inhalte des EU AI Acts, lohnt es sich daher die aktuellen Entwicklungen direkt in den entsprechenden Primärquellen zu verfolgen.

EU AI Act

Aktueller Stand

Der EU AI Act ist offiziell am 1. August 2024 in Kraft getreten. Die rechtliche Umsetzung der einzelnen Vorgaben erfolgt allerdings zeitlich gestaffelt. Bis zum Inkrafttreten wurde mehr als drei Jahre lang vorgeschlagen, diskutiert, umkämpft und dann doch noch in letzter Minute nachverhandelt. Die wesentlichen Etappen vor 2024 hat das Future of Life Institute in einem historischen Zeitstrahl dokumentiert. Es bietet zusätzlich eine Übersicht der Anwendungsfristen, die auch Ereignisse jenseits der reinen Stichtage aufführt. Allerdings hinken sie hier leider hinterher, da das aktuelle Bearbeitungsdatum einen Stand vom 1. August 2024 anzeigt. Der Zeitstrahl beinhaltet also die ursprüngliche Staffelung und nicht die inzwischen deutlich angepasste. Der verbindliche aktuelle Stand und zukünftige Fristen finden sich im „Zeitplan für die Umsetzung“ der Europäischen Kommission.

Am 2. August 2026 wurde der EU AI Act weitgehend anwendbar. Nur 6 Tage vorher, am 27. Juli 2026, trat der KI-Omnibus (Sammeländerungsgesetz mit Bezug zu KI) und damit die erste substanzielle Änderung der Vorschriften in Kraft. Die Eilmaßnahme war vor dem Stichtag im August nötig, da ansonsten Hochrisiko-Pflichten gegolten hätten, obwohl dafür nötige harmonisierte Normen (technische Spezifikationen) noch nicht vorlagen. Deshalb wurden die Pflichten für Hochrisiko-KI-Systeme in den Dezember 2027 verschoben. Hier wird noch zwischen eigenständigen Systemen und Systemen, die in regulierten Produkten eingebettet sind unterschieden. Die Pflichten für Letztere kommen erst im August 2028 zum Tragen. Neu hinzu kam außerdem ein Verbot für KI-Systeme, die nicht-einvernehmliche sexualisierte Darstellungen oder Missbrauchsdarstellungen von Kindern erzeugen. Neu gefasst und in Artikel 4averschoben wurde die Erlaubnis, sensible Datenkategorien zur Erkennung und Korrektur von Verzerrungen zu verarbeiten. Der Adressatenkreis wurde erweitert, die Schwelle der unbedingten Erforderlichkeit blieb.

Insgesamt zielt die Anpassung auf eine Vereinfachung des KI-Regelwerks ab, während Garantien für Sicherheit und Grundrechte beibehalten werden. In der Konsequenz verlängern sich Fristen, Test- und Experimentiermöglichkeiten sollen erweitert werden und Unternehmen, die KI in Europa entwickeln und deployen, sollen von mehr rechtlicher Klarheit profitieren.

Fristen im Überblick

2. Februar 2025

Anwendungsfälle gegen die Verbotsliste prüfen (z. B. Emotionserkennung am Arbeitsplatz oder Social Scoring)
Beschäftigte im Umgang mit KI qualifizieren. Ein bestimmtes Kompetenzniveau muss seit der KI-Omnibus-Änderung (Juli 2026) nicht garantiert werden. Die ergriffenen Maßnahmen sollten aber dokumentiert sein.

2. August 2025

Wer eigene Universalmodelle (GPAI) anbietet:

Modelldokumentation erstellen und pflegen
Offenlegung einer detaillierten Zusammenfassung der Trainingsdaten
Strategie zum Umgang mit Urheberrechten (z. B. Schutz von Trainingsmaterial)
Kontakt und Modellinformationen müssen öffentlich sein
Mögliche Umsetzung: dokumentierte Daten auf Richtigkeit prüfen, unveränderlich archivieren, 10 Jahre aufbewahren und auf Anfrage nachgelagerter Anbieter innerhalb von 14 Tagen antworten

Nachgelagerte Anbieter (Downstream-Provider):

Zugang zu aktueller Modelldokumentation schaffen
Klare Kontakt- und Fristenregelung beim Anbieter einfordern
Qualitäts- und Integritätsgarantie für bereitgestellte Informationen vom direkten Anbieter

2. August 2026

Chatbots und KI-Inhalte müssen gekennzeichnet werden (Transparenzpflichten)
Mitgliedstaaten müssen Sanktionsregeln umgesetzt haben. Behörden können ab hier prüfen und Bußgelder verhängen.
Anforderungen, die nicht durch den KI-Omnibus verschoben wurden, gelten.

2. Dezember 2026

Verbote für KI-Systeme, die sexualisierte Deepfakes ohne Einwilligung der Abgebildeten oder Darstellungen sexuellen Kindesmissbrauchs erzeugen, gelten.
Ende der Übergangsfrist für die maschinenlesbare Kennzeichnung. Anbieter generativer KI-Systeme, die vor dem 2. August 2026 in Verkehr gebracht wurden, müssen diese jetzt erfüllen. Für Systeme, die nach dem 2. August 2026 veröffentlicht wurden, galt diese Pflicht schon seit August 2026.

2. August 2027

Ende des Bestandsschutzes für GPAI-Modelle
Anbieter von Modellen, die vor dem 2. August 2025 in Verkehr gebracht wurden, müssen die GPAI-Pflichten ab hier erfüllen. Für später in Verkehr gebrachte Modelle gelten sie bereits seit August 2025.

2. Dezember 2027

Anforderungen gelten für Hochrisiko-KI-Systeme nach Anhang III:

z. B. in den Bereichen Beschäftigung und Personalmanagement, Bildung, Biometrie
Ausgenommen sind KI-Systeme, die in eine Kategorie des Anhang III fallen, allerdings kein erhebliches Risiko für die Gesundheit, Sicherheit oder Grundrechte natürlicher Personen darstellen. Profiling natürlicher Personen gilt allerdings immer als hochriskant.
Anforderungen im Detail

2. August 2028

Anforderungen gelten für Hochrisiko-KI-Systeme nach Anhang I:

KI-Systeme, die selbst ein reguliertes Produkt sind oder als Sicherheitsbauteil darin stecken. Aber nur, wenn dieses Produkt ohnehin von einer externen Stelle geprüft werden muss, nicht bei Selbstbewertung.
Betroffen sind zwanzig Produktgesetze, z. B. zu Maschinen, Medizinprodukten, Spielzeug und Funkanlagen.
Für Maschinen entfällt die separate KI-Konformitätsbewertung. Die Anforderungen wandern in die Maschinenverordnung und werden von der dort zuständigen Stelle geprüft (Art. 1 Nr. 41 Verordnung (EU) 2026/1744). Das vereinfacht den Prozess, weil eine Doppelprüfung entfällt, der Inhalt aber gleichwertig bleiben soll.
Anforderungen im Detail

Quelle: Eigene Darstellung auf Basis von Verordnung (EU) 2024/1689 i. d. F. der Verordnung (EU) 2026/1744 sowie des Zeitplans für die Umsetzung und der Einordnung der Bundesnetzagentur. Stand: August 2026.

Was gilt es nun also zu beachten?

Die Einordnung des eigenen KI-Angebots oder der eigenen KI-Nutzung in Bezug auf den EU AI Act kann schnell verwirrend und überfordernd werden. Unter welche Risikostufe fällt meine KI-Anwendung? Welche konkreten Fristen müssen eingehalten werden? Welche Pflichten muss ich als Anbieter oder Betreiber erfüllen? Fragen dieser Art stellen sich momentan viele Unternehmen.

Seit Juli 2026 hat die Bundesnetzagentur die Rolle der Marktüberwachungsbehörde für die KI-Verordnung in Deutschland übernommen. Gleichzeitig ist sie die zentrale Anlaufstelle für Fragen und Beschwerden. Die Aufsicht über GPAI-Modelle liegt dagegen beim KI-Büro der Europäischen Kommission, welches dazu einen Praxisleitfaden, Leitlinien und ein Template zur Dokumentation der Datenbasis anbietet.

Zur ersten Einordnung des eigenen Anwendungsfalls bieten sich also direkt von der Bundesnetzagentur bereitgestellte Hilfestellungen an. Einen guten Ausgangspunkt bietet der dafür eigens eingerichtete KI-Service Desk. Hier findet sich unter anderem der KI-Compliance Kompass, der mit Hilfe einiger weniger Fragen eine unverbindliche Prüfung ermöglicht. Ein ähnliches Tool bietet die Europäische Kommission in Form des EU AI Act Compliance Checkers an. Zum jetzigen Zeitpunkt befindet sich das Tool in der Beta-Phase und ist ein laufendes Projekt.

Als zentrales Organ in der Umsetzung der KI-Verordnung bietet die Bundesnetzagentur außerdem detaillierte Informationen über Teilgebiete der KI-Verordnung, deren Auswirkungen und die damit verbundenen Verpflichtungen. Die behandelten Themen finden sich ebenfalls auf dem KI-Service Desk und wurden in diesem Artikel teilweise bereits referenziert.

Wer über die Einordnung hinaus im Rechtstext selbst nachlesen möchte, findet zwei aufbereitete Fassungen, die sich zum Suchen von Inhalten eignen. Die Europäische Kommission stellt im Rahmen ihrer Plattform einen AI Act Explorer bereit, mit dem sich Kapitel, Artikel, Anhänge und Erwägungsgründe durchsuchen lassen.

Praktischer ist aus meiner Sicht allerdings der AI Act Explorer des Future of Life Institute. Er hat einen größeren Funktionsumfang und lässt sich intuitiver bedienen. Beispielsweise sind Änderungen direkt ersichtlich und lassen sich auf einen Blick mit älteren Versionen vergleichen (besonders sinnvoll für die Anpassungen durch den KI-Omnibus). Dazu bietet das Tool absatzgenaue Permalinks und einen Sprachvergleich über alle 24 Amtssprachen.

Zu beachten ist, dass es sich beim Future of Life Institute nicht um eine offizielle EU-Stelle handelt, sondern um eine im EU-Transparenzregister eingetragene NGO, die den Gesetzgebungsprozess mit eigenen Positionen begleitet hat. Für verbindliche Zitate bleibt daher die konsolidierte Fassung auf EUR-Lex maßgeblich.

Als Einstieg zur Einordnung des eigenen Use-Cases empfehle ich die Nutzung eines der zuvor erwähnten Prüfungstools und eine eigenständige Kategorisierung der zu prüfenden KI-Systeme in die vier Risikostufen, die sich aus der Verordnung ergeben:

Inakzeptabel – verboten, z. B. Social Scoring oder Echtzeitüberwachung
Hoch – Konformitätsbewertung erforderlich
Begrenzt – Transparenzpflichten
Minimal – keine besonderen Pflichten

Im Hochrisiko-Bereich wird zwischen zwei Systemarten unterschieden:

Systeme in regulierten Produkten mit Drittprüfung
Systeme in sensiblen Anwendungsbereichen

Wichtig zu beachten ist, dass sich die Stufen nicht gegenseitig ausschließen. Für Systeme, die unter die Hochrisiko-Kategorie fallen, gelten trotzdem die Transparenzpflichten. Außerdem greifen für GPAI-Modelle eigene Regeln unabhängig von der Systemeinstufung.

Steht die Einstufung, folgt daraus der Pflichtenkatalog. Aus der eigenen Rolle als Anbieter oder Betreiber lässt sich ableiten, welcher Teil davon greift. Wer nach der Einschätzung im Hochrisiko-Bereich landet, sollte die Vorbereitung nicht an den Stichtagen im Dezember 2027 und August 2028 ausrichten. Dafür gibt es drei Gründe.

Erstens fehlen weiterhin die bereits erwähnten harmonisierten Normen, die konkretisieren, was Anforderungen wie z. B. „angemessene Genauigkeit“ technisch bedeuten. CEN und CENELEC (europäische Normungsorganisationen), die mit der Ausarbeitung betraut wurden, peilen momentan eine Veröffentlichung für Ende 2026 an. Erfüllt das Produkt eines Unternehmens die veröffentlichten Normen, gilt es als rechtskonform (Konformitätsvermutung). Ohne entsprechende Normen bleibt einem Unternehmen nur, die eigene Auslegung zu begründen. Allerdings ist dies deutlich aufwendiger und mit offenem Ergebnis, weil Prüfstelle und Behörde die eigene Auslegung teilen müssen.

Zweitens ist der Prüfmarkt noch im Aufbau. Konformitätsbewertungen für Hochrisiko-Systeme dürfen nur notifizierte Stellen durchführen. Die Regelungen dazu gelten seit dem 2. August 2025. Eine Überprüfung der NANDO-Datenbankder Kommission (Abfrage am 2. September 2026), die alle benannten notifizierten Stellen verzeichnet, hat ergeben, dass unter der bereits angelegten Rechtsvorschrift der KI-Verordnung bisher keine Stellen existieren. Wer im Hochrisiko-Bereich auf eine Fremdprüfung angewiesen ist, findet derzeit also keinen Prüfer. Das ist kein Grund zu warten, sondern ein Anlass bereits vorzuarbeiten. Die technische Dokumentation, das Risikomanagement und das Qualitätsmanagementsystem müssen ohnehin stehen, bevor eine Prüfstelle überhaupt tätig werden kann.

Drittens lässt sich ein Teil der Anforderungen nicht nachträglich erfüllen. Artikel 10 – Daten und Daten-Governanceverlangt Angaben zu Datenerhebung, Herkunft und Aufbereitungsschritten wie Annotation und Bereinigung sowie eine Untersuchung möglicher Verzerrungen. Wer sich um diese Dokumentation nicht von Anfang an kümmert, kann sie später kaum rekonstruieren.

Dasselbe gilt für die Protokollierung nach Artikel 12 – Aufzeichnungspflichten. Er verlangt, dass das KI-System technisch dazu in der Lage ist, Ereignisse zu protokollieren. Die dafür nötigen Architekturentscheidungen sollten frühzeitig getroffen werden, um eine aufwendige Nachrüstung zu vermeiden. Damit gekoppelt ist die Aufbewahrungspflicht nach Artikel 19 – Automatisch erzeugte Protokolle. Logs, die nie geschrieben wurden, existieren nicht.

Zusammenfassend lohnt es sich, alles, was sich schon jetzt umsetzen lässt, in Angriff zu nehmen oder zumindest einzuplanen, statt auf die Normen zu warten. Risikomanagement, Qualitätsmanagementsystem, Dokumentation der Datenherkunft und die Protokollierungsfähigkeit sind unabhängig von den ausstehenden Normen aufbaubar und teilweise nur während der Entwicklung überhaupt zu erfüllen.

Für den Einstieg entsteht über die genannten Quellen und Tools bereits eine gute Grundlage für die KI-Strategie eines Unternehmens. Dennoch empfehle ich, die eigene Einschätzung rechtlich abklären zu lassen.

Was für Vorteile bietet der EU AI Act?

Wer sich den bisherigen Teil dieses Artikels durchgelesen hat, wundert sich vielleicht über diesen Abschnitt. Noch nicht ausgearbeitete Normen, verschobene Fristen, bisher keine benannten Prüfstellen. Diese offenen Baustellen sind durchaus zu kritisieren. Chancen bietet die Verordnung trotzdem. Einige wirken bereits jetzt, andere erst, wenn die Umsetzung vollständig ist.

Eine Verordnung für ganz Europa

Besonders kleinere und mittlere Unternehmen würden sich schwertun, ein Produkt europaweit auf den Markt zu bringen, wenn damit einherginge, dass die nationale Rechtslage in allen Mitgliedstaaten geprüft und erfüllt werden müsste. Als Verordnung gilt der EU AI Act für alle Mitgliedstaaten und bietet im Kern keinen nationalen Spielraum, zumindest für die inhaltlichen Anforderungen. Behördenstruktur und Verfahren bleiben, wie vorher beschrieben, national. Für die inhaltlichen Anforderungen heißt das: Rechtssicherheit, geringere Kosten und keine Fragmentierung des Marktes.

Ethik in Recht gegossen

KI-Modelle lernen aus historischen Daten und reproduzieren Strukturen, die in diesen Daten stecken. Enthalten Trainingsdaten diskriminierende Muster, erkennt das Modell diese als Regel und gibt sie wieder. Ein Modell, das Bewerbungen auf Grundlage vergangener Einstellungen bewertet, kann so beispielsweise Frauen systematisch schlechter bewerten.

Wer sich mit dem Bias von Daten tiefer beschäftigen möchte, dem empfehle ich das Buch Data Feminism von Catherine D'Ignazio und Lauren F. Klein. Keine juristische Lektüre, aber eine Erklärung eines Problems, auf das der EU AI Act versucht, Antworten zu finden.

Der Anspruch, KI diskriminierungsfrei einzusetzen, war in vielen Unternehmen längst formuliert. Überprüfbar war er allerdings nicht. Der EU AI Act macht daraus überprüfbare Pflichten. Artikel 10 Absatz 2 verlangt eine Untersuchung möglicher Verzerrungen, die sich negativ auf die Grundrechte auswirken oder zu einer nach Unionsrecht verbotenen Diskriminierung führen könnten, samt geeigneter Maßnahmen zu deren Erkennung, Verhinderung und Abschwächung.

Für Unternehmen, die ethische Standards ernst nehmen, ist das eine Entlastung. Ohne Regeln ist moralische Sorgfalt ein Kostennachteil. Die Verpflichtung macht die Moral zur Voraussetzung. Man muss nicht mehr begründen, warum man Aufwand betreibt, den Wettbewerber sich sparen. Die Verordnung zieht die Untergrenze für alle.

Vertrauensvorsprung

Kauft man eine KI-Lösung ein, spielen Herkunft und Nachweisbarkeit eine nicht zu unterschätzende Rolle. Nach einer Bitkom-Befragung (2025) von 604 deutschen Unternehmen ist für 88 Prozent das Herkunftsland des KI-Anbieters wichtig. 93 Prozent würden einen Anbieter aus Deutschland bevorzugen, mit deutlichem Abstand folgen die USA mit 51 Prozent und EU-Länder außer Deutschland und Frankreich mit 40 Prozent. Ein europäischer Herkunftsvorteil lässt sich daraus allerdings nur begrenzt ableiten: Japan liegt mit 43 Prozent vor den übrigen EU-Ländern, Frankreich mit 38 Prozent dahinter. In der Bevölkerung nennen 62 Prozent das Vertrauen in den Anbieter als ausschlaggebendes Kriterium, noch vor der Qualität der Ergebnisse.

Aus den Verpflichtungen, die ein Anbieter durch den EU AI Act sowieso erfüllen muss, ergibt sich eine Vertrauenswürdigkeit, von der Kunden direkt profitieren. Setzt man im Unternehmen ein KI-System ein, ist man selbst nachweispflichtig. Nachweise, die schon beim Anbieter liegen, lassen sich direkt weiterverwenden.

Zusätzlich wirkt der Standort dabei in zwei Richtungen:

Systeme, die in der EU betrieben werden, unterliegen europäischem Recht und damit nicht nur dem EU AI Act, sondern auch dem Datenschutzrecht. Das erleichtert Lieferantenprüfungen.
Und es beantwortet die Frage, die sich Nutzerinnen und Nutzer stellen: Wo landen meine Eingaben und wer hat Zugriff darauf?

Vertrauen wiegt dabei schwerer als Leistung.

Einrichtung von KI-Reallaboren

Der EU AI Act sieht vor, dass die zuständigen Behörden der Mitgliedstaaten mindestens ein KI-Reallabor einrichten. Diese können auch in einer Gemeinschaftsleistung von mehreren Behörden verschiedener Mitgliedstaaten entstehen. Das Ziel der Labore ist es unter anderem, einen rechtssicheren, innovationsfördernden Rahmen zu schaffen, der es KI-Anbietern ermöglichen soll, ihre KI-Systeme in einer kontrollierten Umgebung zu entwickeln, zu trainieren, zu testen und zu validieren, bevor sie auf den Markt kommen. Außerdem sind mögliche Tests unter Realbedingungen geplant.

Ein besonderes Augenmerk wird auf die Unterstützung von Start-ups und kleineren Anbietern gelegt. Diese sollen vorrangig Zugang erhalten. Ein kleiner Dämpfer ist die durch den KI-Omnibus verschobene Frist für Mitgliedstaaten, ein KI-Reallabor national einzurichten oder sich daran zu beteiligen. Ursprünglich war der Stichtag für den 2. August 2026 geplant, wurde jetzt aber um ein Jahr auf den 2. August 2027 verschoben.

Zwei Dinge machen das Angebot interessant. Einerseits schützt die Zusammenarbeit vor etwaigen Bußgeldern. Befolgt man den mit der Behörde vereinbarten Plan in gutem Glauben, wird man für Verstöße gegen die Verordnung nicht belangt (für Schäden bei Dritten haftet man trotzdem).

Andererseits verlässt man die Phase im Reallabor nicht mit leeren Händen. Die Behörde bescheinigt auf Anfrage, was erfolgreich gelaufen ist, und dieser Nachweis muss später in der Konformitätsbewertung positiv gewertet werden. Das kann den Prozess, ein Produkt auf den Markt zu bringen, erheblich beschleunigen.

Für Deutschland ist die Bundesnetzagentur eine gute Adresse, um sich über den aktuellen Stand der KI-Labore zu informieren. Zusammen mit dem Hessischen Ministerium für Digitalisierung und Innovation wurde bereits ein Pilotprojekt zur Simulation eines KI-Reallabors durchgeführt, das am 17. März 2026 abgeschlossen wurde.

Dokumentation, die man einfordern kann

Wer KI-Modelle oder -Systeme einkauft, um sie bei sich im Unternehmen einzusetzen, sei es intern oder als Teil eines Produkts, ist nachweispflichtig. Um vollständige Nachweise zu erbringen, ist man dabei auf Unterlagen des Anbieters angewiesen. Vor dem EU AI Act war die Beschaffung dieser Dokumente eventuell mühsam und Verhandlungssache zwischen den beiden Parteien.

Jetzt schreibt Artikel 53 vor, was Anbieter von Universalmodellen bereitstellen müssen: technische Dokumentation, Informationen für nachgelagerte Anbieter, eine Urheberrechtsstrategie und eine Zusammenfassung der Trainingsinhalte.

Der Anbieter ist also ohnehin verpflichtet, diese Unterlagen vorzuhalten und muss dem Einkäufer auf Anfrage Teile davon zur Verfügung stellen. Die genauen Dokumente werden im Anhang XII der Verordnung aufgelistet.

Wichtig zu wissen ist allerdings, dass wer ein fremdes Modell erheblich weitertrainiert, selbst zum Anbieter wird und seinerseits die erwähnten Unterlagen vorhalten muss. Die Kommission zieht die Grenze bei einem Drittel der ursprünglichen Trainingsrechenleistung. Die Pflichten beschränken sich dann auf die vorgenommene Modifikation, nicht auf das gesamte Modell.

Potentielle Vorbildfunktion

Oft wird erwartet, andere Rechtsräume würden dem europäischen Modell folgen und europäische Anbieter dadurch einen Startvorteil erhalten. Dieser sogenannte Brüssel-Effekt, benannt nach der Rechtswissenschaftlerin Anu Bradford, ist bei der DSGVO weitgehend eingetreten: Bis 2024 hatten 172 Länder eigene Datenschutzgesetze, die überwiegend erkennbar von ihr beeinflusst sind.

Beim EU AI Act ist er bislang schwach belegt. Laut einer Analyse des Center for European Policy Analysis (CEPA) arbeiten nur Kanada und Brasilien an ähnlichen Rahmenwerken. Brasiliens Vorhaben steckt fest, während Kanadas Artificial Intelligence and Data Act (AIDA) gescheitert ist.

Vereinigtes Königreich, Schweiz, Singapur, Japan und weitere wählen einen weniger restriktiven Weg, und Südkorea übernahm nur Transparenz und Risikomanagement.

Für europäische Anbieter heißt das: Der Heimvorteil muss selbst erarbeitet werden, er ergibt sich nicht zwangsläufig aus dem Gesetz.

Fazit

Der EU AI Act ist ein Wegweiser in eine rechtssichere, nachvollziehbare und verantwortungsvolle KI-Zukunft. Noch steht er auf wackeligen Beinen, die Pläne für das Fundament sind aber schon gesetzt. Normen fehlen noch, Prüfstellen müssen implementiert werden und die Fristen wurden nicht nur einmal verschoben. Die Richtung lässt sich aber bereits ablesen. Auf die letzte Lackschicht muss niemand warten.

Die ersten Schritte, die jetzt gefragt sind:

Bestand aufnehmen. Welche KI läuft im Unternehmen, wo kommt sie her, wer nutzt sie? Klarheit schaffen und dokumentieren.
Einstufen. Verboten, hochriskant, transparenzpflichtig oder unkritisch? Der KI-Compliance Kompass der Bundesnetzagentur hilft beim Einstieg. Aus der Einstufung folgt der Rest.
Rolle klären. Anbieter oder Betreiber? Beide Rollen müssen unterschiedliche Pflichten erfüllen. Wer ein fremdes Modell erheblich weitertrainiert, wird selbst zum Anbieter.
Anfangen mit dem, was ohnehin fällig ist. Schulungen dokumentieren, Datenherkunft mitschreiben, Protokollierung einbauen, Unterlagen bei Lieferanten einfordern. All das braucht keine Normen und ist teilweise später kaum nachzuholen.

Und dann dranbleiben: Der Zeitplan der Kommission und der KI-Service Desk der Bundesnetzagentur sind die beiden Adressen, die man im Blick behalten sollte. Bei allem, was Geld oder Haftung kostet, lohnt sich eine Rechtsberatung, um auf der sicheren Seite zu sein.

So kompliziert und undurchsichtig die Verordnung wirken mag, aus meiner Sicht ist sie ein wichtiger Meilenstein, um eine sichere, ethische und wettbewerbsfähige Grundlage zu schaffen, auf der sich die Zukunft der KI in Unternehmen und Gesellschaft aufbauen lässt.

Quellen

‍

Sebastian Addicks

Senior Software Engineer

EU AI Act 2026: Fristen, Pflichten und offene Baustellen

EU AI Act 2026: Fristen, Pflichten und offene Baustellen