Änderungen des EU-KI-Gesetzes: Was sie für verantwortungsvolle KI, Daten-Governance und Bereitschaft bedeuten

Änderungen des EU-KI-Gesetzes: Neue Fristen für die Einhaltung und strategische Neuausrichtung

Aktualisierte Fristen für die Einhaltung der Vorschriften für KI-Systeme mit hohem Risiko

Die Änderungen des EU-KI-Gesetzes von 2026 bringen eine bedeutende Verschiebung hinsichtlich des Zeitpunkts mit sich, zu dem Organisationen bestimmte Anforderungen im Bereich risikoreicher KI erfüllen müssen. Das KI-Omnibusgesetz trat am 27. Juli 2026 in Kraft., und ersetzt damit den Ansatz des früheren Vorschlags, der auf bedingter Bereitschaft basierte, durch feste Anwendungstermine.

Gemäß der geänderten EU-KI-Gesetz, Anforderungen für bestimmte KI-Systeme mit hohem Risiko, die in der Liste aufgeführt sind Anhang III gilt ab dem 2. Dezember 2027. Anforderungen an risikoreiche KI-Systeme im Zusammenhang mit regulierten Produkten gemäß Anhang I gilt ab dem 2. August 2028.

Diese Fristverlängerungen bieten zusätzliche Vorbereitungszeit, verschieben aber nicht alle Verpflichtungen des KI-Gesetzes. Verbotene KI-Praktiken und Bestimmungen zur KI-Kompetenz traten im Februar 2025 in Kraft, allgemeine KI-Verpflichtungen folgten im August 2025 und zusätzliche Transparenzanforderungen im August 2026.

Was die Änderungen des EU-KI-Gesetzes in der Praxis bedeuten

1. Die Fristen für die Einhaltung der Vorschriften werden verlängert, nicht aufgehoben.

Der geänderte EU-KI-Gesetzentwurf legt feste Fristen für zwei Kategorien von KI-Systemen mit hohem Risiko fest. Anforderungen an Systeme, die gemäß dem geänderten Gesetz als risikoreich eingestuft werden, Anhang III, einschließlich bestimmter Anträge in den Bereichen Beschäftigung, Bildung, Kreditwürdigkeit und Strafverfolgung, gelten ab 2. Dezember 2027.

Anforderungen an KI-Systeme mit hohem Risiko, die abgedeckt werden Anhang I, einschließlich KI im Zusammenhang mit bestimmten regulierten Produkten, gelten ab 2. August 2028.

Diese Termine ersetzen die im vorherigen Vorschlag vorgesehenen sechs- und zwölfmonatigen Vorbereitungsfristen. Sie geben Organisationen zusätzliche Zeit, sich auf die geltenden Anforderungen im Bereich risikoreicher KI vorzubereiten, während andere Verpflichtungen gemäß dem KI-Gesetz weiterhin nach ihren bestehenden Zeitplänen erfüllt werden.

Organisationen sollten diese zusätzliche Zeit nutzen, um Anwendungsfälle für KI zu bewerten, relevante Datenquellen zu dokumentieren, Risiken einzuschätzen und Kontrollmechanismen einzurichten, bevor die entsprechenden Fristen ablaufen.

2. Gezielte Vereinfachungen unterstreichen die Bedeutung der Daten-Governance.

Der KI-Omnibus 2026 führt gezielte Änderungen ein, die die Umsetzung vereinfachen und gleichzeitig die Sicherheit und die Grundrechte gewährleisten sollen. Zu den wichtigsten Änderungen gehören:

• Erweiterte Vereinfachungen für kleinere Unternehmen: Bestimmte vereinfachte Verpflichtungen, die bisher kleinen und mittleren Unternehmen vorbehalten waren, gelten nun auch für qualifizierte kleine mittelständische Unternehmen.
• Angepasste Bestimmungen zur KI-Kompetenz: Die Änderungen vereinfachen den bisherigen Rahmen für KI-Kompetenz, wobei die Europäische Kommission und die Mitgliedstaaten eine stärkere Rolle bei der Förderung von KI-Kompetenz übernehmen.
• Erweiterte Regulierungsaufsicht: Das EU-Büro für Künstliche Intelligenz erhält zusätzliche Aufsichtsverantwortung für bestimmte KI-Systeme, darunter Systeme, die auf allgemeinen KI-Modellen basieren.
• Erweiterte Testmöglichkeiten: Die Reformen erweitern die Bestimmungen für regulatorische Testumgebungen und die Möglichkeiten, KI-Systeme unter angemessenen Sicherheitsvorkehrungen zu testen.
• Bias-Erkennung und -Korrektur: Die Änderungen erlauben die Verarbeitung bestimmter besonderer Kategorien personenbezogener Daten zum Zwecke der Erkennung und Korrektur von Verzerrungen, vorbehaltlich der geltenden Bedingungen und Schutzmaßnahmen.
• Vereinfachte Registrierung: Die Reformen reduzieren die Registrierungsanforderungen für bestimmte KI-Systeme, die nicht unter die Hochrisikoklassifizierung fallen.

Für Organisationen, die KI entwickeln oder einsetzen, bleibt die operative Priorität klar: die von KI-Systemen verwendeten Daten verstehen, sensible Informationen identifizieren, relevante Verarbeitungstätigkeiten dokumentieren und Kontrollen einrichten, die die Verantwortlichkeit und das Risikomanagement unterstützen.

3. KI-Governance und DSGVO erfordern koordinierte Aufsicht

Der EU-KI-Gesetzentwurf und der Allgemeine Datenschutzverordnung (GDPR) Festlegung unterschiedlicher, aber sich überschneidender Verantwortlichkeiten für Organisationen, die KI-Systeme entwickeln oder einsetzen, welche personenbezogene Daten verarbeiten.

Die Änderungen des KI-Omnibusgesetzes von 2026 sind zwar in Kraft getreten, separate Vorschläge des Digital Omnibusgesetzes zu DSGVO und anderen Datenschutzbestimmungen unterliegen jedoch weiterhin dem EU-Gesetzgebungsverfahren. Diese Vorschläge betreffen Bereiche wie die Definition personenbezogener Daten, Pseudonymisierung, Datenschutz-Folgenabschätzungen, Meldepflichten bei Datenschutzverletzungen, Cookie-Anforderungen und die Nutzung berechtigter Interessen bei KI-bezogenen Verarbeitungen. Sie sollten erst nach ihrer formellen Annahme als Änderungen bestehender DSGVO-Verpflichtungen betrachtet werden.

Für Organisationen, die KI-bezogene Datenrisiken managen, erfordert eine koordinierte Governance Transparenz hinsichtlich folgender Punkte:

• Welche persönlichen, sensiblen und regulierten Daten sie besitzen
• Welche KI-Systeme greifen auf diese Informationen zu und verarbeiten sie?
• Rechtsgrundlage und Zweck der jeweiligen Verarbeitungstätigkeiten
• Mögliche Risiken in den Bereichen Datenschutz, Sicherheit und KI
• Datenbewegung, Datenherkunft, Aufbewahrung und Zugriffsberechtigungen
• Erforderliche Nachweise zum Nachweis der Einhaltung der geltenden Anforderungen

Die Verknüpfung von Datenschutz- und KI-Governance-Prozessen hilft Organisationen dabei, die Rechenschaftspflicht zu wahren und gleichzeitig auf sich entwickelnde regulatorische Anforderungen zu reagieren.

BigIDs Meinung: Fangen Sie jetzt an, die Grundlage zu schaffen.

Warum Verzögerung nicht Untätigkeit bedeuten sollte

Selbst bei verzögerten Zeitplänen werden diejenigen Organisationen, die heute in KI investieren, für risikoreiche KI-Verpflichtungen gerüstet sein:

• Umfassend Entdeckung und Klassifizierung von Daten in allen Umgebungen
• Datenqualitäts- und Integritätskontrollen
• Governance-Rahmen für Trainingsdaten, Modelleingaben und Ausgabeüberwachung
• Klare Dokumentation und Prüfbarkeit
• Automatisierte Risikobewertungen beides GDPR und Anforderungen des AI Act

BigID hilft Organisationen dabei, Datenermittlung, Klassifizierung, Risikoanalyse und Governance zu verknüpfen, um die regulatorische Bereitschaft für KI in verschiedenen Rechtsordnungen zu unterstützen. Demo anfordern um zu erfahren, wie BigID zur Stärkung Ihres KI-Governance-Programms beitragen kann.

KI-Bereitschaft auf einer soliden Datengrundlage aufbauen

Die Änderungen des EU-KI-Gesetzes geben Organisationen zusätzliche Zeit, sich auf bestimmte risikoreiche KI-Anforderungen vorzubereiten, aber die Notwendigkeit einer verantwortungsvollen KI-Governance besteht bereits.

Organisationen, die ihre KI-Systeme, die von diesen Systemen verarbeiteten Daten und die mit diesen Daten verbundenen Risiken verstehen, sind besser gerüstet, um geeignete Kontrollmechanismen einzuführen, Governance-Entscheidungen zu dokumentieren und auf sich entwickelnde regulatorische Anforderungen zu reagieren.

Die Priorität besteht nicht einfach darin, eine zukünftige Frist einzuhalten. Vielmehr geht es darum, die für vertrauenswürdige KI notwendigen Prozesse für Datentransparenz, Verantwortlichkeit und Governance aufzubauen.