Compliance mit dem EU-KI-Gesetz: Frist im August 2026 und die Governance-Lücke

Die Governance-Lücke im August 2026

Das EU-KI-Gesetz entwickelt sich von einer politischen Diskussion zu einer operativen Realität. Für Unternehmen, die mit der Europäischen Union verbundene KI-Systeme entwickeln, kaufen, einsetzen oder integrieren, lautet die zentrale Frage nicht mehr, ob KI-Governance wichtig ist. Es geht darum, ob die Organisation nachweisen kann, dass ihre KI-Systeme klassifiziert, dokumentiert, überwacht und so verwaltet werden, dass dies dem von ihnen ausgehenden Risiko entspricht.

Das KI-Gesetz trat am 1. August 2024 in Kraft. Seine Anforderungen gelten schrittweise. Allgemeine Bestimmungen, Pflichten zur KI-Kompetenz und verbotene KI-Praktiken gelten seit dem 2. Februar 2025. Die Vorschriften für KI-Modelle mit allgemeinem Verwendungszweck gelten seit dem 2. August 2025. Das Gesetz gilt ab dem 2. August 2026 grundsätzlich vollständig, mit einigen Ausnahmen und späteren Fristen für bestimmte Kategorien von Hochrisikosystemen, darunter einige in regulierte Produkte integrierte Systeme.

Dieser Zeitplan ist wichtig, weil der August 2026 nah genug ist, dass Organisationen die Arbeiten bereits durchführen sollten. Für viele Unternehmen wird die schwierige Aufgabe nicht darin bestehen, die Verordnung zu lesen. Es wird darum gehen, jedes eingesetzte KI-System zu finden, Risiken zu klassifizieren, Abhängigkeiten von Anbietern zu verstehen, technisches Verhalten zu dokumentieren und Governance-Prozesse aufzubauen, die sich im echten Betrieb bewähren.

Dieser Artikel stellt keine Rechtsberatung dar. Organisationen sollten bei der Auslegung des EU-KI-Gesetzes und ihrer Pflichten mit qualifizierten Rechtsberatern zusammenarbeiten. Viele der schwierigsten Aufgaben zur Vorbereitung sind jedoch operativer und technischer Natur. Daher müssen Teams aus Engineering, Produktentwicklung, Sicherheit, Datenmanagement, Einkauf, Compliance und den Geschäftsbereichen tätig werden.

Warum der August 2026 wichtig ist

Der 2. August 2026 ist das Datum, an dem die meisten noch ausstehenden Bestimmungen des KI-Gesetzes anwendbar werden. Für viele Hochrisiko-KI-Systeme ist dies der Zeitpunkt, ab dem Pflichten in Bezug auf Risikomanagement, Data Governance, technische Dokumentation, Protokollierung, Transparenz, menschliche Aufsicht, Genauigkeit, Robustheit, Cybersicherheit und die Verantwortlichkeiten der Betreiber operativ relevant werden.

Das KI-Gesetz verpflichtet außerdem jeden EU-Mitgliedstaat, bis zum 2. August 2026 mindestens eine regulatorische KI-Sandbox einzurichten. Diese Sandboxes sollen kontrollierte Umgebungen bereitstellen, in denen Anbieter und potenzielle Anbieter KI-Systeme unter regulatorischer Aufsicht entwickeln, testen und validieren können. Sie ersetzen keine Compliance, sind aber Teil der umfassenderen Implementierungsarchitektur, die die EU rund um die KI-Governance aufbaut.

Der entscheidende Punkt für Unternehmen ist, dass die Compliance-Arbeit nicht erst zum Stichtag beginnen kann. Ein Unternehmen, das bis August 2026 wartet, wird wahrscheinlich feststellen, dass sein eigentliches Problem nicht in einer fehlenden Richtlinie besteht. Es fehlt an Transparenz.

Möglicherweise weiß es nicht, welche internen Tools KI-Funktionen enthalten. Vielleicht ist unbekannt, welche SaaS-Anbieter Daten mithilfe von KI-Systemen verarbeiten. Es ist eventuell unklar, ob sich ein Arbeitsablauf von der Entscheidungsunterstützung zur Entscheidungsbeeinflussung entwickelt hat. Möglicherweise ist nicht bekannt, welche Systeme in Hochrisikokategorien fallen. Vielleicht fehlen Protokolle, technische Dokumentation, Überwachung oder Abläufe für menschliche Prüfungen, die der tatsächlichen Nutzung dieser Systeme entsprechen.

Das Problem der Hochrisikoklassifizierung

Die Klassifizierung als Hochrisiko ist einer der wichtigsten Bestandteile der Vorbereitung auf das KI-Gesetz. Die Pflichten hängen maßgeblich davon ab, was das KI-System tut, wo es eingesetzt wird, wer es verwendet und welche Auswirkungen es auf Menschen haben kann.

Artikel 6 legt Klassifizierungsregeln für Hochrisiko-KI-Systeme fest, darunter Systeme, die Sicherheitskomponenten von Produkten sind, die unter bestimmte EU-Rechtsvorschriften fallen, sowie die in Anhang III aufgeführten Systeme, sofern keine begrenzten Ausnahmen gelten. Anhang III umfasst Bereiche wie Biometrie, kritische Infrastruktur, Bildung, Beschäftigung, Zugang zu wesentlichen Dienstleistungen, Strafverfolgung, Migration und Grenzkontrolle sowie die Rechtspflege. [oai_citation:1‡Gesetz über künstliche Intelligenz](https://artificialintelligenceact.eu/article/6/?utm_source=chatgpt.com)

Hier wird die Klassifizierung zu mehr als einem Etikett. Ein System, das isoliert betrachtet risikoarm erscheint, kann aufgrund seiner vorgesehenen Nutzung zu einem Hochrisikosystem werden. Ein KI-Tool, das Bewerber einstuft, die Beurteilung von Beschäftigten unterstützt, den Zugang zu Bildung beeinflusst oder Entscheidungen über wesentliche Dienstleistungen unterstützt, weist ein anderes regulatorisches Profil auf als ein Tool, das interne Notizen zusammenfasst.

Unternehmen sollten sich nicht auf beiläufige Beschreibungen wie “es ist nur ein Assistent” oder “der Mensch trifft die endgültige Entscheidung” verlassen. Diese Aussagen können relevant sein, ersetzen jedoch keine strukturierte Analyse von Anwendungsfall, Daten, Ausgabe, menschlicher Aufsicht und Auswirkungen.

Compliance ist nicht nur eine rechtliche Aufgabe

Die Vorbereitung auf das EU-KI-Gesetz erfordert rechtliche Auslegung, aber die Arbeit endet nicht bei der Rechtsabteilung. Die Pflichten für Hochrisiko-KI erstrecken sich auf Systemdesign und Betrieb.

Ein Rechtsteam kann bei der Auslegung der Pflichten helfen. Engineering- und Produktteams müssen jedoch verstehen, wie das System funktioniert. Datenteams müssen erklären, woher die Daten stammen und wie ihre Qualität kontrolliert wird. Sicherheitsteams müssen Zugriff, Überwachung und Cybersicherheit bewerten. Der Einkauf muss die Pflichten und Dokumentation von Anbietern verstehen. Fachlich Verantwortliche müssen die vorgesehene Nutzung und das akzeptable Risiko festlegen. Compliance-Teams benötigen Nachweise, dass der Prozess tatsächlich eingehalten wird.

Deshalb muss KI-Governance bereichsübergreifend organisiert sein. Wenn eine einzelne Abteilung die gesamte Aufgabe allein übernimmt, wird die Organisation mit ziemlicher Sicherheit etwas Wichtiges übersehen.

Was sich von der Orientierung zur Durchsetzung verändert

Das KI-Gesetz verlagert die KI-Governance von freiwilligen Best Practices hin zu durchsetzbaren Pflichten. Das bedeutet nicht, dass jedes KI-System denselben Aufwand erfordert. Das Gesetz verfolgt einen risikobasierten Ansatz. Für Systeme, die in Hochrisikokategorien fallen, müssen Organisationen jedoch auf deutlich mehr als eine allgemeine Erklärung zu verantwortungsvoller KI vorbereitet sein.

Für Hochrisiko-KI-Systeme können erforderlich sein:

• Risikomanagementprozesse, die vorhersehbare Risiken identifizieren, bewerten und mindern
• Data-Governance-Praktiken für Relevanz, Repräsentativität, Qualität, Verzerrungen und eine angemessene Datennutzung
• Technische Dokumentation, die Systemdesign, vorgesehenen Zweck, Leistungsfähigkeit, Einschränkungen und Kontrollen erläutert
• Protokollierung und Aufbewahrung von Aufzeichnungen zur Unterstützung der Nachvollziehbarkeit und Überprüfung
• Transparenz und Gebrauchsanweisungen, damit Betreiber die Fähigkeiten und Einschränkungen des Systems verstehen
• Sinnvolle menschliche Aufsicht, sofern erforderlich
• Kontrollen für Genauigkeit, Robustheit und Cybersicherheit
• Überwachung nach dem Inverkehrbringen und Behandlung von Vorfällen, sofern zutreffend

Diese Anforderungen haben direkte technische Auswirkungen. Wenn ein System nicht dafür ausgelegt wurde, relevante Ereignisse zu protokollieren, Überprüfungen zu unterstützen, die Herkunft von Daten zu dokumentieren, das Modellverhalten nachzuverfolgen oder menschliche Aufsicht zu erläutern, kann eine nachträgliche Ergänzung dieser Funktionen schwierig sein.

Die Qualifikationslücke bei der KI-Governance

Viele Organisationen verfügen noch nicht über die interne Mischung an Kompetenzen, die sie für die Vorbereitung auf das KI-Gesetz benötigen. Das ist nicht einfach ein Einstellungsproblem. Es ist ein Problem des Kompetenzaufbaus.

KI-Governance liegt zwischen mehreren Fachbereichen. Teams benötigen Personen, die Vorschriften verstehen, aber auch Architektur, Datenpipelines, maschinelles Lernen, SaaS-Beschaffung, Sicherheit, Produktdesign, Nutzerabläufe und die betriebliche Überwachung beherrschen. Sie brauchen Personen, die eine Compliance-Anforderung in eine technische Kontrolle übersetzen und anschließend nachweisen können, dass diese Kontrolle funktioniert.

Diese Kombination ist nach wie vor selten. Ein Rechtsteam versteht möglicherweise das Gesetz, aber nicht die Systemarchitektur. Ein Engineering-Team versteht möglicherweise das System, aber nicht die regulatorischen Auswirkungen. Ein fachlich Verantwortlicher versteht möglicherweise den Arbeitsablauf, aber nicht das Verhalten der Daten oder des Modells. Governance funktioniert nur, wenn diese Perspektiven zusammengeführt werden.

Deshalb ist bereichsübergreifende KI-Governance kein Unternehmenstheater. Sie ist eine praktische Notwendigkeit.

Was Organisationen jetzt tun sollten

Der erste Schritt besteht nicht darin, eine Governance-Plattform zu kaufen. Der erste Schritt besteht darin, den aktuellen KI-Footprint zu verstehen.

• Ein KI-Inventar erstellen: Intern entwickelte Systeme, Tools von Anbietern, SaaS-Funktionen, Modell-APIs, Workflows zur Entscheidungsunterstützung, Analysetools, Chatbots, Entwicklerassistenten und Automatisierungen mit KI identifizieren.
• Systeme nach Risiko klassifizieren: Feststellen, ob jedes System offenbar ein unannehmbares Risiko, ein hohes Risiko, ein begrenztes Risiko, ein minimales Risiko darstellt oder außerhalb des Anwendungsbereichs liegt, und die Begründung dokumentieren.
• Unternehmensrollen abbilden: Feststellen, ob die Organisation bei jedem System als Anbieter, Betreiber, Importeur, Händler, Produkthersteller oder nachgelagerter Integrator auftritt.
• Kandidaten für hohes Risiko identifizieren: Systeme priorisieren, die in Beschäftigung, Bildung, wesentlichen Diensten, kritischer Infrastruktur, sicherheitsrelevanten Produkten, im Gesundheitswesen, im Finanzwesen oder in anderen sensiblen Kontexten eingesetzt werden.
• Abhängigkeiten von Anbietern überprüfen: Feststellen, welche Anbieter KI-Funktionen bereitstellen, welche Dokumentation sie anbieten, wie sie mit Daten umgehen und welche Unterstützung sie für Compliance-Nachweise leisten.
• Data Governance bewerten: Datenquellen, Qualitätskontrollen, Zugriffsregeln, Aufbewahrung, Herkunft, Bias-Prüfung und Monitoring verstehen.
• Menschliche Aufsicht konzipieren: Festlegen, wer Ergebnisse überprüft, wann eine Überprüfung erforderlich ist, welche Befugnisse die Prüfenden haben und wie Eskalationen ablaufen.
• Workflows für Dokumentation und Monitoring erstellen: Prozesse für technische Dokumentation, Protokollierung, Überprüfungen nach der Bereitstellung, den Umgang mit Vorfällen und das Änderungsmanagement aufbauen.

Dies muss nicht als umfassendes Transformationsprogramm für das gesamte Unternehmen beginnen. Ein gezieltes Inventar und eine risikobasierte Klassifizierung können zeigen, wo die tatsächliche Gefährdung liegt und welche Systeme zuerst einer eingehenderen Prüfung bedürfen.

KI von Anbietern schafft verborgene Risiken

Viele Unternehmen entwickeln KI-Systeme nicht von Grund auf selbst. Sie aktivieren KI-Funktionen in bestehenden Plattformen, kaufen SaaS-Produkte mit integrierter KI, nutzen Modell-APIs, führen Programmierassistenten ein oder integrieren von Anbietern bereitgestellte Automatisierungen in interne Workflows.

Das schafft ein praktisches Governance-Problem. Ein Unternehmen betrachtet sich möglicherweise nicht als KI-Anbieter, kann aber dennoch Betreiber sein. Es verlässt sich vielleicht auf Angaben des Anbieters, muss aber trotzdem verstehen, wie das Tool intern eingesetzt wird. Es mag davon ausgehen, dass der Anbieter Eigentümer des Modells ist, doch das Unternehmen kann weiterhin für den Workflow, die menschliche Aufsicht, den Umgang mit Daten und die Auswirkungen auf Beschäftigte, Kunden, Bewerber oder Nutzer verantwortlich sein.

Das Anbietermanagement muss Teil der KI-Governance werden. Der Einkauf sollte vor der Einführung bessere Fragen stellen:

• Welche KI-Funktionen sind enthalten?
• Welche Daten werden verarbeitet, aufbewahrt oder zur Verbesserung verwendet?
• Wo werden die Daten verarbeitet?
• Welche Dokumentation ist verfügbar?
• Wie werden Modelländerungen kommuniziert?
• Welche Protokolle oder Prüfpfade sind verfügbar?
• Kann der Kunde die menschliche Aufsicht, Zugriffskontrollen und Aufbewahrungsfristen konfigurieren?
• Was geschieht, wenn das Tool in einem Kontext mit hohem Risiko eingesetzt wird?

Diese Fragen gehören an den Anfang des Beschaffungsprozesses, nicht erst dann, wenn ein Tool in den täglichen Abläufen verankert ist.

Wie Ridiculous Engineering die Governance-Lücke betrachtet

Bei Ridiculous Engineering betrachten wir die Vorbereitung auf den KI-Rechtsakt als ein praktisches Governance- und Umsetzungsproblem. Die rechtliche Auslegung ist wichtig, und Organisationen sollten mit qualifizierten Rechtsberatern zusammenarbeiten. Die schwierige Arbeit findet jedoch auch in den Systemen statt: Inventarisierung, Klassifizierung, Datenflüsse, Dokumentation, Monitoring, Anbieterintegration, Zugriffskontrolle und menschliche Aufsicht.

Wir unterstützen Organisationen dabei, Governance-Ziele in operative und technische Realität zu übersetzen. Das kann bedeuten, KI-Systeme abzubilden, Anwendungsfälle zu dokumentieren, Kandidaten für hohes Risiko zu identifizieren, Datenpipelines zu überprüfen, Abhängigkeiten von Anbietern zu bewerten, Governance-Workflows zu konzipieren oder die technischen Kontrollen aufzubauen, die für Prüfbarkeit und Aufsicht erforderlich sind.

Das Ziel besteht nicht darin, um ihrer selbst willen Papierarbeit zu erzeugen. Das Ziel ist, ein Betriebsmodell für KI aufzubauen, das die Führung verstehen kann, dem Teams folgen können und dem Kunden oder Aufsichtsbehörden vertrauen können.

Für viele Organisationen ist ein strukturiertes KI-Inventar mit Risikoprüfung der erste sinnvolle Schritt. Dadurch erhält die Führung einen klareren Überblick darüber, wo KI bereits eingesetzt wird, welche Systeme eine eingehendere Analyse benötigen und worauf die Organisation ihre Abhilfemaßnahmen konzentrieren sollte, bevor Fristen unnötigen Druck erzeugen.

Compliance sollte Vertrauen schaffen, nicht nur Nachweise

Der EU-KI-Rechtsakt ist eines der deutlichsten Signale dafür, dass KI-Systeme in eine reifere Phase eintreten. Die frühe Frage lautete, ob Organisationen KI einsetzen können. Die nächste Frage ist, ob sie sie verantwortungsvoll einsetzen, dokumentieren und überwachen können und ob sie die damit verbundenen Kontrollen erklären können.

Organisationen, die den KI-Rechtsakt als kurzfristige Compliance-Maßnahme behandeln, können möglicherweise Dokumente erstellen. Sie werden jedoch Schwierigkeiten haben, wenn diese Dokumente nicht damit verknüpft sind, wie die Systeme tatsächlich funktionieren.

Der bessere Weg besteht darin, Governance schon jetzt in die Arbeit zu integrieren. Die Systeme inventarisieren. Das Risiko klassifizieren. Die Daten verstehen. Die Verantwortlichkeiten abbilden. Die Anbieter überprüfen. Aufsicht konzipieren. Monitoring aufbauen. Aufzeichnungen führen, die der Realität entsprechen.

Wenn Ihr Unternehmen sich auf die Pflichten aus dem EU-KI-Gesetz vorbereitet, seinen KI-Fußabdruck verstehen möchte oder Governance-Anforderungen mit der praktischen technischen Umsetzung verknüpfen will, kann Ridiculous Engineering helfen. Wir unterstützen unsere Kunden dabei, KI-Governance von einem Richtliniendokument in ein praxisnahes Betriebsmodell zu überführen.

Die Frist im August 2026 ist wichtig. Die größere Herausforderung ist nachhaltiger: Vertrauen in KI muss jetzt konzipiert, umgesetzt und nachgewiesen werden.

Quellen und weiterführende Informationen: Europäische Kommission: Regulierungsrahmen und Zeitplan des KI-Gesetzes, Servicestelle der Europäischen Kommission zum KI-Gesetz: Zeitplan für die Umsetzung, EU-KI-Gesetz: Artikel 6 – Einstufungsregeln für Hochrisiko-KI-Systeme, EU-KI-Gesetz: Artikel 57 – regulatorische Reallabore, Cloud Security Alliance: Vorbereitung auf die Frist für Hochrisiko-KI nach dem EU-KI-Gesetz, Holland & Knight: US-Unternehmen und die Frist des EU-KI-Gesetzes im August 2026