EU-KI-Gesetz vs. KI-Sammelgesetz: Was Sie wissen müssen

Am 27. Juli 2026 trat das EU-KI-Omnibusgesetz in Kraft, die erste wesentliche Änderung des KI-Gesetzes seit 2024. Es verschiebt die Frist für die Regelungen zu risikoreicher KI, die für den 2. August 2026 festgelegt war, lässt die Transparenz- und Durchsetzungspflichten jedoch auf ihrem ursprünglichen Datum. Für eigenständige Hochrisikosysteme gilt nun eine Frist bis zum 2. Dezember 2027. Für in Produkte integrierte Hochrisikosysteme gilt eine Frist bis zum 2. August 2028. Die Transparenzregeln gemäß Artikel 50, die Durchsetzungsbefugnisse für allgemeine KI (GPAI) und die Marktüberwachungsbehörde treten weiterhin am 2. August 2026 in Kraft.

Wenn Ihr Compliance-Plan auf dem ursprünglichen Datum basierte, hat sich der Druck etwas verringert. Das Omnibusgesetz war jedoch als Vereinfachung und nicht als Rücknahme von Änderungen gedacht, und drei Verpflichtungen blieben unberührt.

Wen das betrifft

• Jede Organisation, deren KI-Systemergebnisse EU-Nutzer, Kunden oder Bürger erreichen, unabhängig vom Sitz des Unternehmens.
• Anbieter, also die Organisationen, die KI-Systeme entwickeln oder auf den Markt bringen, und Anwender, also die Organisationen, die diese Systeme nutzen, haben gemäß dem Gesetz unterschiedliche Pflichten.
• Allgemeine KI (GPAI) Die Verpflichtungen gelten für jeden, der ein universelles Modell bereitstellt, und für jeden, der ein solches Modell einbettet, einschließlich Standardmodellen, die in ein Produkt integriert sind.
• Die verbotenen Praktiken gelten unabhängig von Branche oder Unternehmensgröße und sind seit Februar 2025 in Kraft.
• Anhang III Hochrisikoverpflichtungen gelten für spezifische Anwendungsfälle: Beschäftigung und Arbeitnehmermanagement, Kreditwürdigkeitsprüfung und Versicherungszugang, Bildung, kritische Infrastruktur, Strafverfolgung, Migration und Grenzkontrolle
• Artikel 50 Transparenz gilt im weitesten Sinne für jede Organisation, die einen Chatbot betreibt, synthetische Inhalte generiert oder KI in der Kundeninteraktion einsetzt, unabhängig davon, ob das zugrunde liegende System als risikoreich eingestuft wird oder nicht.

Die zwei Termine, der Omnibus-Neustart

• Hochrisiko-Frist, eigenständige Annex-III-Systeme: August 2026 bis 2. Dezember 2027
• Hochrisiko-Frist, in Produkte eingebettete Systeme gemäß Anhang I: August 2026 bis 2. August 2028
• Anforderung an KI-Kompetenz: gelockert von “ausreichende Kompetenz sicherstellen” zu “Maßnahmen zur Förderung der Kompetenzentwicklung ergreifen”
• Wasserzeichenpflichten: Viermonatige Übergangsfrist für Systeme, die bereits vor August 2026 auf dem Markt sind.

Was der 2. August 2026 noch erfordert

• Transparenzpflichten gemäß Artikel 50: Offenlegung der Interaktion mit KI-Systemen, Kennzeichnung KI-generierter Inhalte, Kennzeichnung von Deepfakes
• Nationale Marktüberwachungsbehörden erhalten Befugnisse zur Untersuchung und Ahndung von Verstößen gegen das KI-Gesetz.
• Die Durchsetzungsbefugnisse der Europäischen Kommission gegenüber GPAI-Anbietern werden aktiviert
• Die seit August 2025 geltenden GPAI-Compliance-Verpflichtungen unterliegen nun realen Strafen.
• Unabhängig davon tritt am 2. Dezember 2026 ein neues Verbot von nicht einvernehmlichen intimen Bildern und Deepfake-generierender KI in Kraft.

Das AI Office hat bereits vor Eintritt der Hochrisikophase ein Durchsetzungsverfahren gegen synthetische Medien eingeleitet. Dies beweist, dass die Durchsetzungsebene bereits jetzt aktiv ist und nicht erst ab 2027 greift.

Die Normungsgremien sind weiterhin im Verzug

Dies ist die erste Änderung des Gesetzes seit seiner Verabschiedung, und die harmonisierten technischen Standards für die Einhaltung von Hochrisiko-Vorschriften hinken weiterhin hinterher – ein Grund für die ursprüngliche Verzögerung. Die Annahme, dass Dezember 2027 ein fester Termin ist, bedeutet, darauf zu wetten, dass sich bis dahin nichts mehr ändert.

Hochriskante Compliance-Arbeiten, Dokumentation zur Daten-Governance, Risikomanagement und die Gestaltung von Kontrollmechanismen benötigen Jahre, um ordnungsgemäß aufgebaut zu werden. Die zusätzliche Zeit ist nur dann sinnvoll, wenn sie genutzt wird, um diese Grundlage jetzt zu schaffen, anstatt bis kurz vor dem Stichtag zu warten.

Nichts davon ändert etwas an der in wenigen Tagen fälligen Frist. Jedes Unternehmen mit einem kundenorientierten Chatbot, einer Funktion zur Inhaltsgenerierung oder einem eingebetteten Drittanbietermodell muss die Offenlegung und Kennzeichnung gemäß Artikel 50 bis zum 2. August funktionsfähig haben, unabhängig davon, ob seine risikoreichen Systeme von der Verzögerung betroffen waren.

Zuerst die Bestandsaufnahme, alles andere folgt.

• Erstellen Sie ein Inventar aller im gesamten Unternehmen eingesetzten KI-Systeme, einschließlich Tools, deren Beschaffung nie formell genehmigt wurde.
• Ordnen Sie jedes System den Kategorien „verboten“, „hohes Risiko“, „GPAI“ und „Transparenzverpflichtung“ zu.
• Bestätigen Sie, dass die Mechanismen zur Offenlegung und Kennzeichnung gemäß Artikel 50 für alle kundenorientierten Produkte aktiv sind.
• Die Roadmap für risikoreiche Projekte sollte auf die neuen Termine angepasst werden, ohne die zugrunde liegenden Arbeiten zur Daten-Governance zu unterbrechen.
• Weisen Sie die Zuständigkeit für die laufende regulatorische Überwachung zu, da dieser Rahmen in diesem Jahr bereits einmal geändert wurde.

Eine vierjährige Sequenz, kein einzelnes Datum

• Gültig bis zum 2. August 2026: Abschluss der Bestandsaufnahme und Klassifizierung der KI-Systeme; Bestätigung der Funktionsfähigkeit der Mechanismen gemäß Artikel 50; Dokumentation der GPAI-Nutzung im gesamten Anbieterportfolio.
• Bis Ende 2026: Aufbau der Datengovernance-Grundlage für Annex III-Systeme, Schulungsdatendokumentation, Herkunftsnachverfolgung, Zugriffskontrollen auf der neuen Zeitlinie
• Bis 2027: Vollständige Konformitätsbewertungen und technische Dokumentationen für eigenständige Hochrisikosysteme vor dem 2. Dezember 2027
• Bis 2028: Die gleichen Arbeiten sollen vor dem 2. August 2028 auf in Produkte eingebettete Hochrisikosysteme ausgeweitet werden.

Wie BigID hilft

Alle Verpflichtungen in diesem Rahmen, ob gegenwärtig oder aufgeschoben, basieren auf der gleichen Frage: Weiß die Organisation, welche Daten ihre KI-Systeme speisen, woher sie stammen und wer darauf zugreifen kann?.

• Anhang III Dokumentation zur Datenverwaltung: entdeckt und klassifiziert Die Trainings-, Validierungs- und Testdaten eines KI-Systems, sodass “die Daten repräsentativ und fehlerfrei sind” ein dokumentierter Befund und keine bloße Behauptung ist.
• Schatten-KI und Systeminventar: Es zeigt die tatsächlich in der Umgebung eingesetzten Modelle und KI-Tools an, einschließlich derer, für die niemand eine Anfrage gestellt hat, und schließt damit die Lücke, mit der die meisten Klassifizierungsübungen beginnen.
• Datenherkunft in und aus KI-Pipelines: bildet ab, wie sensible und regulierte Daten bewegt werden in Training, Feinabstimmung und Eingabeaufforderungen, und wo die Modellausgaben anschließend landen
• Zugangsverwaltung für Trainings- und Ausgabedaten: zeigt, wer und was auf die Daten hinter einem Modell zugreifen kann, die Zugriffskontrollnachweise, die Anhang III der Aufsichtsanforderungen fordert
• Bereitschaft gemäß Artikel 50: Dieselbe Erkennungsschicht, die Schatten-KI aufspürt, identifiziert auch die Systeme, die überhaupt erst Inhalte generieren.
• Prüf- und Konformitätsnachweise: wandelt Bestands-, Klassifizierungs- und Herkunftsanalysen in Dokumentationen um, die auch auf Anfrage einer Marktüberwachungsbehörde Bestand haben.

Ein Modell, das auch andere Regulierungsbehörden im Blick haben.

Die EU-KI-Gesetz sollte die endgültige Vorlage für die KI-Regulierung sein, die Art und Weise GDPR wurde zum Vorbild für Datenschutz. Das Omnibusgesetz verkompliziert diese Entwicklung, ohne sie jedoch abzuschwächen. Es zeigt eine Regulierungsbehörde, die auf die Diskrepanz zwischen ihren gesetzlichen Vorgaben und den termingerechten Umsetzungen von Normungsorganisationen und Unternehmen reagiert und gleichzeitig an den für sie unverhandelbaren Punkten festhält: Verbote, Transparenz und Durchsetzungsbefugnisse.

Das Muster, das in der EU und überall dort, wo KI-Regeln entworfen werden, Beachtung verdient: Termine, die an Grundrechte und öffentliches Vertrauen geknüpft sind, werden zuerst festgelegt und bleiben unverändert; Termine, die an die technische Konformität geknüpft sind, werden im Rahmen der realen Gegebenheiten angepasst. Die Grundlage für eine verantwortungsvolle Datenverwaltung ist die einzige Investition, die unabhängig von der jeweils nächsten Verschiebung einzelner Fristen Bestand hat.

Bereiten Sie sich auf die nächste Phase der KI-Compliance vor.

Der EU-KI-Gesetzentwurf entwickelt sich stetig weiter, doch eine Anforderung bleibt unverändert: Unternehmen benötigen Transparenz über ihre KI-Systeme, die verwendeten Daten und die damit verbundenen Risiken. Erfahren Sie, wie BigID Sie bei der Inventarisierung Ihrer KI-Assets, der Klassifizierung sensibler Daten und dem Aufbau einer vertrauenswürdigen Grundlage für KI-Governance und die Einhaltung gesetzlicher Bestimmungen unterstützt.

Siehe BigID AI Security & Governance

Autor

Sarah Hospelhorn

Verantwortlicher für Marketing

Mit Sitz in Brooklyn, NY, konzentriert sich Sarah auf die Strategie, die hinter der Lösung von Problemen im Bereich der Datensicherheit steht - und auf das Storytelling, das Innovationen auf dem Markt vorantreibt. Sie ist seit über 20 Jahren in der Technologiebranche tätig und verfügt über Erfahrungen in den Bereichen Unternehmenssoftware, Hardware und Kryptografie.