Mit der Anpassung der Umsetzungsfristen zur EU-KI-Verordnung vom 13. März 2026 entsteht für Unternehmen in der DACH-Region ein differenziertes Bild: Einerseits verschieben sich zentrale Pflichten für Hochrisiko-KI nach hinten, weil harmonisierte Normen verspätet vorliegen. Andererseits werden Transparenzpflichten für generative KI vorgezogen und bestimmte missbräuchliche KI-Anwendungen unmittelbar unterbunden.
Für eigenständige Hochrisiko-KI gelten die strengen Anforderungen nun ab dem 2. Dezember 2027. Für KI-Systeme, die Bestandteil bereits regulierter Produkte sind – etwa in der Medizintechnik, industriellen Steuerung oder anderen CE-nahen Produktwelten – greift der spätere Stichtag 2. August 2028. Gleichzeitig müssen Anbieter generativer KI bereits ab dem 2. August 2026 synthetische Texte, Audio- und Videoinhalte klar kennzeichnen.
Für Vorstände, CTOs, CDOs, Compliance-Verantwortliche und IT-Leiter bedeutet das: Die EU verschafft mehr Zeit für saubere Implementierung, aber weniger Spielraum für improvisierte KI-Nutzung. Wer die Fristverlängerung als Pause interpretiert, riskiert 2027 und 2028 hohe Nachlaufkosten, operative Blockaden und regulatorische Eskalationen.
2. Was sich konkret geändert hat
Die Verschiebung betrifft vor allem den Zeitpunkt, ab dem Unternehmen die vollständigen Anforderungen an Hochrisiko-KI erfüllen müssen. Dazu gehören unter anderem Risikomanagement, Daten-Governance, technische Dokumentation, Konformitätsbewertung, Protokollierung, menschliche Aufsicht, Genauigkeit, Robustheit und Cybersicherheit.
Die neuen Stichtage lauten:
- 2. Dezember 2027: eigenständige Hochrisiko-KI-Systeme
- 2. August 2028: KI-Systeme in bereits regulierten Produkten, zum Beispiel Medizintechnik
- 2. August 2026: Transparenz- und Kennzeichnungspflichten für generative KI-Ausgaben
Parallel werden besonders missbräuchliche Anwendungen sofort adressiert. Die Erzeugung nicht-einvernehmlicher intimer Inhalte sowie KI-gestützte Darstellungen sexualisierter Gewalt gegen Kinder sind unmittelbar verboten. Plattformen und Anbieter ohne wirksame Schutzmechanismen müssen mit umgehenden Maßnahmen rechnen.
Deutschland bereitet zudem ein nationales Gesetzgebungsverfahren vor. Erwartet werden eine zentrale Marktüberwachungsbehörde, ein Single Point of Contact zum europäischen KI-Büro sowie regulatorische Sandkästen. Diese Sandkästen können für Unternehmen relevant werden, die KI-Prototypen unter kontrollierten Bedingungen testen möchten – etwa in Energie, Gesundheit, Finanzdienstleistung, Telekommunikation oder industrieller Automatisierung.
Wichtig bleibt: Bereits seit 2025 gelten Kernverbote wie Social Scoring und bestimmte Formen biometrischer Kategorisierung. Ebenso besteht die Pflicht, Mitarbeitende mit KI-Aufgaben angemessen zu qualifizieren. Bei Verstößen drohen Sanktionen bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes.
3. Warum DACH-Unternehmen jetzt handeln müssen
Viele mittelgroße und große Organisationen haben bereits KI im Einsatz – häufig ohne vollständige zentrale Transparenz. Typische Beispiele sind Chatbots im Kundenservice, GenAI-Assistenten in Fachabteilungen, RAG-Systeme für interne Wissenssuche, Prognosemodelle in der Energiewirtschaft, KI-gestützte Betrugserkennung, Dokumentenklassifikation oder Entwicklerwerkzeuge mit eingebetteten LLM-Funktionen.
Das Problem: Was heute als Pilotprojekt startet, kann regulatorisch ein KI-System mit konkreten Pflichten sein. Noch kritischer wird es, wenn Modelle in Geschäftsprozesse mit rechtlicher, finanzieller, medizinischer, sicherheitsrelevanter oder infrastruktureller Wirkung eingebettet werden.
Gerade in regulierten Branchen der DACH-Region entstehen drei Risiken:
- Intransparente KI-Landschaften: Fachbereiche nutzen Tools, APIs oder SaaS-Funktionen, die zentral nicht erfasst sind.
- Unklare Risikoklassifizierung: Es ist nicht dokumentiert, ob ein System verboten, hochriskant, begrenzt riskant oder minimal riskant ist.
- Nicht skalierbare Architektur: Einzelne KI-Prototypen funktionieren technisch, sind aber nicht auditierbar, nicht ausreichend dokumentiert oder nicht datensouverän betrieben.
Die verlängerten Fristen helfen nur dann, wenn Unternehmen sie für strukturierten Aufbau nutzen: Inventur, Klassifizierung, Governance, Architektur, Schulung, Lieferantenmanagement und Monitoring.
4. Erste Priorität: KI-Inventur und Risikoklassifizierung
Der wichtigste Schritt ist eine vollständige KI-Inventur. Ohne belastbares Inventar kann kein Unternehmen EU-AI-Act-Readiness herstellen.
Eine praktikable Inventur sollte mindestens erfassen:
- Zweck und Einsatzbereich des KI-Systems
- Fachbereich und verantwortliche Organisationseinheit
- Anbieter, Modelltyp und Betriebsmodell
- Datenquellen, Datenflüsse und Speicherorte
- Nutzergruppen und betroffene Personen
- Integrationen in Kernprozesse
- Entscheidungswirkung des Systems
- Risikokategorie nach EU-KI-Verordnung
- Status von Dokumentation, Tests, Monitoring und menschlicher Aufsicht
In der Praxis empfiehlt sich ein zweistufiges Vorgehen: Zunächst eine breite Erhebung aller KI-Nutzungen, auch sogenannter Shadow-AI. Danach folgt eine risikobasierte Tiefenanalyse der relevanten Systeme.
Ein Energieversorger sollte beispielsweise nicht nur KI-Modelle für Netzprognosen erfassen, sondern auch GenAI-Werkzeuge im Kundenservice, automatisierte Vertragsanalyse, PV-Ertragsprognosen, Lastmanagement, Predictive Maintenance und interne Copilots. Denn Compliance-Risiken entstehen nicht nur im offensichtlichen Hochrisiko-System, sondern oft an Schnittstellen zwischen Fachprozess, Datenplattform und externem Dienstleister.
5. Roadmap bis 2027 und 2028: Governance, Architektur und Nachweisfähigkeit
Für eigenständige Hochrisiko-KI bleibt bis Dezember 2027 Zeit. Für KI in regulierten Produkten bis August 2028. Diese Zeit sollte für eine belastbare Roadmap genutzt werden.
Zentrale Bausteine sind:
- Qualitäts- und Risikomanagement für KI-Systeme
- Daten- und Modell-Governance inklusive Herkunft, Qualität, Versionierung und Zugriffskontrolle
- technische Dokumentation mit nachvollziehbaren Architektur-, Daten- und Modellentscheidungen
- Konformitätsbewertung und Vorbereitung auf externe Prüfung
- Post-Market-Monitoring für Systeme im produktiven Betrieb
- Incident-Handling für Fehlfunktionen, Sicherheitsvorfälle und regulatorische Meldepflichten
- Human Oversight mit klar definierten Eingriffs- und Eskalationswegen
Aus Architekturperspektive bedeutet das: KI darf nicht als isoliertes Tool betrachtet werden. Unternehmen benötigen eine Enterprise-AI-Architektur, die Identitätsmanagement, Datenklassifizierung, Logging, Monitoring, Modellbetrieb, Prompt-Management, RAG-Pipelines, Zugriffskontrollen und Auditierbarkeit integriert.
Für Unternehmen mit Datensouveränitäts- und Compliance-Anforderungen werden On-Premise- und Hybrid-Architekturen zunehmend relevant. Gerade in Energie, Finanz, Gesundheit und Telekommunikation ist es strategisch riskant, sensible Prozess- oder Kundendaten unkontrolliert in externe KI-Dienste zu geben. Eine belastbare Architektur muss daher klären, welche Workloads lokal, hybrid oder in der Cloud betrieben werden – und wie Nachweise für Prüfer, Aufsicht und interne Revision erzeugt werden.
6. Transparenzpflichten bis August 2026: Generative KI braucht Kennzeichnung
Die vorgezogenen Transparenzpflichten sind kurzfristig besonders relevant. Ab dem 2. August 2026 müssen Anbieter generativer KI synthetische Texte, Audio- und Videoinhalte klar kennzeichnen.
Unternehmen sollten dafür jetzt einen konkreten Kennzeichnungspfad definieren. Dazu gehören:
- Wasserzeichen oder Metadaten-Signaturen für generierte Inhalte
- eindeutige Nutzerhinweise in Anwendungen und Workflows
- Erkennungs- und Moderationsprozesse für synthetische Inhalte
- Protokollierung, wann und durch welches System Inhalte erzeugt wurden
- klare Freigabeprozesse für externe Kommunikation
- vertragliche Pflichten für Dienstleister und Plattformanbieter
Ein Praxisbeispiel: Nutzt ein Unternehmen GenAI zur Erstellung von Kundeninformationen, Marktberichten, Energieprognosen oder Support-Antworten, muss nachvollziehbar sein, welche Inhalte synthetisch erzeugt wurden. Bei Audio- oder Videoinhalten wird dies noch kritischer, etwa bei Schulungsvideos, Marketingmaterial oder automatisierten Kundeninteraktionen.
Die Transparenzpflicht ist damit nicht nur ein Rechtsthema. Sie betrifft Content-Prozesse, IT-Architektur, Datenmanagement, Einkauf, Marketing, Kundenservice und Informationssicherheit.
7. AI Governance nach Standards aufbauen
Ein tragfähiges AI-Governance-System sollte nicht erst kurz vor Fristende entstehen. Unternehmen sollten bereits 2026 Rollen, Richtlinien und Prüfprozesse etablieren.
Bewährt haben sich Governance-Strukturen mit folgenden Elementen:
- AI Policy für erlaubte, eingeschränkte und verbotene Nutzung
- Rollenmodell mit Verantwortlichkeiten für Business Owner, Model Owner, Compliance, IT Security und Datenschutz
- internes AI Review Board für risikobehaftete Anwendungsfälle
- standardisierte Risiko- und Impact Assessments
- Freigabeprozesse für produktive KI-Systeme
- automatisiertes Monitoring von Qualität, Drift, Sicherheit und Nutzung
- Incident-Prozess mit klaren Eskalationswegen
- regelmäßige Management-Reports für Vorstand und Aufsichtsgremien
Dabei sollte Governance nicht als Innovationsbremse verstanden werden. Richtig umgesetzt, beschleunigt sie KI-Vorhaben, weil Fachbereiche wissen, welche Anforderungen gelten und wie sie schnell zu einer Freigabe kommen.
Für die Energiewende ist das besonders relevant. KI kann PV-Erträge optimieren, Prosumer intelligent steuern, Batteriespeicher einbinden, Ladeinfrastruktur koordinieren und Netzzustände prognostizieren. Diese Anwendungsfälle entfalten ihren Wert jedoch nur, wenn Datenqualität, Modellbetrieb, Sicherheit und Compliance von Beginn an mitgedacht werden.
8. Lieferanten, Schulungen und Budgets: Die operative Seite der Umsetzung
Viele KI-Systeme entstehen nicht vollständig intern. Unternehmen nutzen Modellanbieter, Cloud-Plattformen, SaaS-Tools, Systemintegratoren, Datenanbieter und spezialisierte KI-Dienstleister. Deshalb muss das Lieferanten- und Drittparteienmanagement erweitert werden.
Verträge sollten künftig Audit- und Nachweispflichten enthalten, darunter:
- Informationen zu Modellherkunft und Trainingsdaten, soweit verfügbar
- Dokumentation von Sicherheits- und Kontrollmechanismen
- Regelungen zu Datenverarbeitung und Speicherorten
- Unterstützung bei Konformitätsbewertung und Audits
- Meldepflichten bei Vorfällen oder wesentlichen Modelländerungen
- Pflichten zur Kennzeichnung synthetischer Inhalte
Parallel brauchen Unternehmen ein Schulungsprogramm für alle betroffenen Rollen: Fachbereiche, Entwicklung, Compliance, Einkauf, Datenschutz, Informationssicherheit, interne Revision und Management. Die Qualifikation von Mitarbeitenden mit KI-Aufgaben ist bereits verpflichtend und sollte nicht auf allgemeine Awareness-Trainings reduziert werden. Entscheidend sind rollenbasierte Trainings mit konkreten Entscheidungs- und Prüfkriterien.
Auch Budget und Ressourcen müssen realistisch geplant werden. Für 2026 bis 2028 empfiehlt sich eine priorisierte Roadmap nach Risiko und Wertbeitrag. Hochriskante Systeme, generative KI mit Außenwirkung und KI in regulierten Produktumfeldern sollten zuerst betrachtet werden. Weniger kritische interne Assistenzsysteme können nachgelagert standardisiert werden.
Regulatorische Sandkästen sollten Unternehmen gezielt prüfen. Sie können helfen, innovative Prototypen – etwa für Grid Intelligence, Prosumer-Management oder KI-gestützte Netzoptimierung – unter kontrollierten Bedingungen zu validieren, ohne unnötige regulatorische Risiken einzugehen.
9. Fazit: Jetzt strukturieren, statt später sanieren
Die verlängerten Fristen der EU-KI-Verordnung sind kein Aufschub fürs Nichtstun. Sie schaffen den notwendigen Raum, um Standardisierung, Infrastruktur, Governance und Nachweisfähigkeit professionell aufzubauen. Gleichzeitig zeigen die vorgezogenen Transparenzpflichten und die sofortige Unterbindung missbräuchlicher Inhalte, dass der Gesetzgeber akute Risiken konsequent adressiert.
Für Unternehmen in der DACH-Region lautet die strategische Priorität: KI-Landschaft sichtbar machen, Risiken klassifizieren, Architektur absichern, Governance etablieren und Transparenzprozesse bis August 2026 umsetzen. Wer jetzt handelt, reduziert Compliance-Risiken, senkt spätere Implementierungskosten und schafft die Grundlage für skalierbaren Geschäftsnutzen.
AIStraCon unterstützt Unternehmen bei EU AI Act Readiness Assessments, AI Architecture Quick Scans und Executive Briefings zur konkreten Umsetzungsplanung. Wenn Sie wissen möchten, wo Ihre Organisation heute steht und welche Maßnahmen bis 2026, 2027 und 2028 priorisiert werden sollten, vereinbaren Sie ein kostenloses 30-minütiges Executive Briefing oder starten Sie mit einem strukturierten Readiness Assessment.
