Die EU plant, die Umsetzungsfristen des KI-Gesetzes (EU AI Act) anzupassen. Für Hochrisiko-KI-Systeme ist eine Verlängerung bis zum 2. Dezember 2027 vorgesehen. KI-Komponenten, die in bereits anderweitig regulierte Produkte integriert sind – etwa Maschinen oder Medizinprodukte – sollen bis August 2028 Zeit erhalten. Diese Anpassungen sollen Unternehmen mehr Planungssicherheit geben, ohne den Regulierungsanspruch zu verwässern. Entscheidend ist: Es handelt sich um zusätzlichen Zeitpuffer, nicht um eine inhaltliche Absenkung der Anforderungen.
Gleichzeitig bleibt die Verordnung grundsätzlich in Kraft. Bereits bestehende Verbote (z. B. für bestimmte Formen unzulässiger biometrischer Überwachung) sowie Transparenzpflichten greifen nach den bisherigen Übergangsfristen weiter. Unternehmen sollten ihre Vorbereitungen daher keinesfalls pausieren, sondern mit angepasstem Zeitplan fortsetzen.
Warum die EU nachjustiert: Standards fehlen, Implementierung stockt
Hintergrund der Fristverlängerung ist ein fehlendes Fundament harmonisierter technischer Normen sowie breite Implementierungsschwierigkeiten. Ohne finalisierte Normen entsteht in der Praxis ein Compliance-Vakuum: Unternehmen müssen konform sein, wissen aber noch nicht verlässlich, welche konkreten Mess- und Nachweisverfahren die Konformitätsbewertung in Europa am Ende verlangen wird. Diese Unsicherheit betrifft insbesondere Hochrisiko-KI, in der Themen wie Datenqualität, Risikomanagement, menschliche Aufsicht, Robustheit, Logging, Transparenz und Post-Market-Monitoring zusammenspielen.
Die geplante Verlängerung schafft hier kurzfristig Luft, um Normungsarbeiten abzuschließen und den Markt auf konvergierende Erwartungen vorzubereiten. Für Unternehmen bedeutet das: Strategisch weiterarbeiten, aber mit sorgfältigem Blick auf entstehende Standards – und so Architekturentscheidungen treffen, die spätere Nachweise ohne Re-Engineering ermöglichen.
Teil des Digital-Omnibus-Pakets: Entlastungen mit Augenmaß
Die Anpassungen sind als Teil eines vorgeschlagenen Digital-Omnibus-Pakets konzipiert. Es setzt auf Entlastung, ohne Risiken zu verharmlosen:
- Ausbau staatlicher und EU-finanzierter Förderung von KI-Kompetenzen: Mehr Ermutigung und Befähigung, weniger formale Pflichten, wo dies verantwortbar ist.
- Erleichterte Dokumentation für kleinere Unternehmen und Start-ups: Proportionalität bei Nachweispflichten, ohne die grundlegende Sicherheit und Verantwortung auszuhebeln.
- Ausnahmen von der Registrierung in der EU-Datenbank für bestimmte Systeme mit nachweislich geringem Risiko: Fokussierung der Aufsicht auf die relevanten Risikobereiche.
Wichtig: Diese Maßnahmen sind Vorschläge. Sie müssen das ordentliche Gesetzgebungsverfahren durchlaufen (Rat und Parlament). Eine zügige Behandlung gilt als wahrscheinlich, aber die finalen Details können sich im Prozess noch verändern.
Was weiterhin gilt: Kein Freifahrtschein trotz Atempause
Die Fristverlängerung ist eine Atempause, kein Freifahrtschein. Praktisch bedeutet das:
- Die Verordnung bleibt wirksam. Bestehende Verbote und Transparenzpflichten gelten weiter.
- Hochrisiko-Anforderungen verschieben sich zeitlich, nicht inhaltlich. Der Erwartungshorizont an robuste KI-Governance steigt sogar, weil Behörden und Normungsgremien den Mehrzeitraum nutzen, um Anforderungen zu schärfen.
- Embedded AI in regulierten Produkten (z. B. Medizinprodukte, Maschinen) erhält mehr Zeit bis August 2028 – aber nur, um die Koordination mit sektorspezifischer Produktregulierung sauber abzuschließen. Ein isolierter KI-Compliance-Blick reicht hier nicht.
Für Unternehmen heißt das: Jetzt Grundlagen professionalisieren, um später keine kostenintensiven Umrüstungen vornehmen zu müssen.
Handlungsfelder jetzt: Von Roadmap bis Legislative Watch
Passen Sie Ihre Programme an – mit klarem Fokus auf Governance, Nachweise und Skalierbarkeit:
- Roadmap aktualisieren:
- Meilensteine auf 12/2027 (Hochrisiko-KI) bzw. 08/2028 (eingebettete KI in regulierten Produkten) ausrichten.
- Budgets und Ressourcen entsprechend phasen: Normenbeobachtung, Dokumentation, Tests, Audits, Lieferantenmanagement.
- Governance festigen:
- Ein KI-Managementsystem nach gängigen Rahmenwerken wie ISO 42001 aufsetzen bzw. weiterentwickeln.
- Rollen (z. B. KI-Verantwortliche, Modell-Owner, Compliance) klar definieren; verbindliche Policies, Kontroll- und Eskalationsmechanismen etablieren.
- Systeminventar und Risiko-Mapping:
- Alle KI-Anwendungen erfassen, inklusive Shadow-IT und Pilotprojekte.
- Risikokategorien zuordnen; Hochrisiko-Kandidaten priorisieren und für sie Reifegrad-Assessments durchführen.
- Technische Dokumentation vorbereiten:
- Daten- und Modell-Governance (Provenienz, Bias-Analysen, Datenqualität).
- Menschliche Aufsicht (Use-Case-spezifische Interventionslogik, kompetenzbasierte Schulungen).
- Logging und Traceability (Nachvollziehbarkeit von Inputs/Outputs, Modellversionierung).
- Leistungs- und Robustheitsnachweise (Testpläne, Metriken, Worst-Case-Analysen, Red-Team-Methoden).
- Post-Market-Monitoring-Pläne (KPIs, Incident-Response, Korrekturmaßnahmen).
- Standardisierung verfolgen:
- Entwürfe harmonisierter Normen eng begleiten und in Architekturentscheidungen spiegeln.
- Wo möglich, auf modulare Komponenten setzen, um späteren Austausch ohne Systemriss zu ermöglichen.
- Produktregulierung synchronisieren:
- Für eingebettete KI frühzeitig mit Produkt-Compliance-Teams (z. B. MDR, Maschinenrecht) abstimmen.
- Doppelte Prüfpfade vermeiden und Konformitätsbewertungen integrieren.
- Lieferkette einbinden:
- Anforderungen in Beschaffung, SLAs und Verträgen verankern (u. a. Datenquellen, Trainingsmethoden, Evaluationsnachweise).
- Auditierbare Nachweise von Entwicklern/Anbietern einfordern; Third-Party-Risiken managen.
- Schulungen ausrollen:
- Führung und Fachbereiche zu Pflichten, Risikomanagement und Dokumentation qualifizieren.
- Praktische Leitfäden bereitstellen, die Teams durch den Lebenszyklus führen.
- Legislative Watch etablieren:
- Gesetzgebungsfortschritt und Behördenleitfäden systematisch tracken.
- Quartalsweise Compliance-Reviews planen und Lessons Learned in die Roadmap rückkoppeln.
DACH-Perspektive: Branchenfokus und typische Fallstricke
- Industrie/Manufacturing:
- Qualitätsprüfung, prädiktive Instandhaltung, visuelle Inspektion werden oft Hochrisiko-nah, sobald Ergebnisse in sicherheitsrelevante Entscheidungen einfließen.
- Frühzeitig entscheiden, ob Use Cases als Unterstützungssysteme mit menschlicher Letztentscheidung gestaltet werden – das kann Anforderungen und Auditpfade beeinflussen.
- Gesundheitswesen:
- Enge Verzahnung mit Medizinprodukterecht; Evidenz, Klinikeinsatz und Post-Market-Surveillance müssen durchgängig sein.
- Datenherkunft und Repräsentativität sind regulatorisch und ethisch kritische Punkte.
- Finanzwirtschaft:
- Erklärbarkeit, Diskriminierungsrisiken und robuste Modellüberwachung stehen im Zentrum.
- Dokumentations- und Monitoring-Frameworks mit den Vorgaben anderer Regulierungen (z. B. DORA) harmonisieren.
- Handel/Customer Analytics:
- Transparenz- und Kennzeichnungspflichten bei interaktiven Systemen beachten.
- Für personalisierte Angebote Bias-Kontrollen und Governance für Datenpartnerschaften aufsetzen.
Über alle Branchen hinweg gilt: Nutzenversprechen realisieren, ohne die spätere Konformität zu verkomplizieren. Architekturentscheidungen heute sollten die Konformitätsbewertung von morgen antizipieren.
Praktische Prioritäten für die nächsten 6–12 Monate
- Use-Case-Portfolios rationalisieren: Nicht jeder Pilot muss skaliert werden. Fokus auf geschäftskritische, risikoangemessene Anwendungsfälle.
- Standardisierte Bausteine schaffen: Wiederverwendbare Prompt-, Modell- und Evaluations-Templates, die auditfest sind.
- Evidenzkultur etablieren: Entscheidungen und Trade-offs dokumentieren; Metriken und Thresholds nachvollziehbar setzen.
- Change-Management absichern: Frühzeitige Einbindung von Betriebsräten, Datenschutz, Informationssicherheit und Qualitätssicherung.
Diese Schritte reduzieren spätere Umrüstkosten und beschleunigen die Konformitätsbewertung, sobald harmonisierte Normen greifen.
Nachhaltigkeit und Wirkung: Governance als Werttreiber
Die Debatte um Fristen verdeckt leicht eine Chance: Reife KI-Governance wirkt nicht nur regulatorisch, sondern auch wirtschaftlich. Wer Datenqualität, Modellrobustheit und verantwortliche Nutzung systematisch verankert, erzielt stabilere Ergebnisse, geringere Betriebsrisiken und bessere Skalierbarkeit. Zudem können Nachhaltigkeitsziele unterstützt werden – etwa durch ressourcenschonende Modellwahl, effiziente Inferenz und transparente Lebenszyklusplanung.
Die verschobenen Fristen geben Raum, diese Werttreiber bewusst zu implementieren: mit klaren KPIs, technischer Schuldenkontrolle und einem Governance-Framework, das Innovation nicht bremst, sondern beschleunigt.
Fazit: Atempause nutzen, Standards setzen, Vorsprung sichern
Die geplante Fristverlängerung bis 12/2027 bzw. 08/2028 schafft dringend benötigte Planungssicherheit – aber sie hebt die Messlatte nicht auf. Im Gegenteil: Die Erwartung an belastbare KI-Governance steigt. Unternehmen, die jetzt Roadmaps nachschärfen, Normungsentwürfe eng verfolgen und ihre Nachweisdokumentation professionell aufsetzen, minimieren spätere Umrüstkosten und gewinnen Tempo in der Konformitätsbewertung. Kurz: Nutzen Sie die Atempause, aber planen Sie, als gäbe es keinen Freifahrtschein.
