EU AI Act: Warum Unternehmen trotz verpasster Fristen jetzt handeln müssen

Die europäische KI-Verordnung sollte Unternehmen vor allem eines geben: einen einheitlichen Rahmen für den verantwortungsvollen, sicheren und skalierbaren Einsatz von KI. In der Praxis zeigt sich jedoch ein anderes Bild. Mehrere EU-Mitgliedstaaten haben zentrale Umsetzungsfristen verpasst – insbesondere bei der Benennung zuständiger Aufsichtsbehörden und der Meldung nationaler Sanktionsregime. Gleichzeitig wird in Brüssel über ein mögliches „Digital Omnibus“-Paket diskutiert, das administrative Lasten reduzieren und Fristen anpassen könnte. Für Unternehmen entsteht daraus leicht der Eindruck, man könne zunächst abwarten.

Genau das wäre derzeit der falsche Schluss. Denn solange keine formale Änderung verabschiedet ist, gilt der bestehende Rechtsrahmen weiter. Verbotene Praktiken sind bereits durchsetzbar, und die Aufsicht über allgemeine KI-Modelle durch das EU-KI-Büro entwickelt sich parallel weiter. Für Unternehmen in regulierten Branchen bedeutet das: Die regulatorische Unsicherheit ändert nichts an der Notwendigkeit, jetzt handlungsfähig zu bleiben. Wer KI in produktiven oder geschäftskritischen Kontexten einsetzt, sollte nicht auf politische Erleichterungen spekulieren, sondern auf belastbare Governance, technische Nachvollziehbarkeit und klare Zuständigkeiten setzen.

Warum die verpassten Fristen kein Aufschubsignal sind

Die verpassten Fristen in mehreren EU-Staaten sind in erster Linie ein institutionelles Problem, kein Freibrief für Unternehmen. Wenn Behörden noch im Aufbau sind oder nationale Sanktionsmechanismen noch nicht vollständig operationalisiert wurden, bedeutet das nicht, dass Pflichten verschwinden. Es bedeutet lediglich, dass die Durchsetzung in manchen Bereichen vorübergehend uneinheitlich organisiert ist.

Für international tätige Unternehmen verschärft sich diese Situation zusätzlich durch den Vergleich mit den USA. Dort entwickelt sich KI-Regulierung und Aufsicht tendenziell zentralisierter und damit aus Unternehmenssicht in vielen Fällen operativ klarer. In Europa dagegen müssen Unternehmen Harmonisierung über 27 Rechtsordnungen hinweg praktisch umsetzen – mit unterschiedlichen Behördenlandschaften, Sprachen, sektoralen Zuständigkeiten und nationalen Besonderheiten. Gerade DACH-Unternehmen mit Aktivitäten in mehreren EU-Märkten sollten diese Komplexität nicht unterschätzen.

Entscheidend ist deshalb ein Perspektivwechsel: Nicht die Frage „Wird die Regulierung vielleicht entschärft?“ sollte im Mittelpunkt stehen, sondern „Wie bauen wir eine Compliance- und Architekturgrundlage auf, die in beiden Szenarien tragfähig bleibt?“ Wer diese Frage früh sauber beantwortet, reduziert nicht nur regulatorisches Risiko, sondern schafft auch die Voraussetzung für skalierbare KI-Initiativen.

Was für Unternehmen schon heute relevant und durchsetzbar bleibt

Auch in der aktuellen Schwebephase gibt es keinen regulatorischen Nullraum. Unternehmen sollten insbesondere drei Punkte sofort ernst nehmen.

Erstens: Verbotene Praktiken sind bereits in Kraft. Wer KI-Systeme oder KI-gestützte Prozesse in sensiblen Kontexten betreibt, muss sicherstellen, dass keine unzulässigen Anwendungsformen eingesetzt werden. Das betrifft nicht nur offenkundige Grenzfälle, sondern auch scheinbar harmlose Use Cases, wenn etwa intransparente Bewertung, manipulative Interaktionsmuster oder unzulässige Profiling-Logiken in Prozesse hineinrutschen.

Zweitens: Die Aufsicht über allgemeine KI-Modelle durch das EU-KI-Büro bleibt relevant. Unternehmen, die Foundation Models, LLMs oder externe Modellplattformen in ihre Wertschöpfung integrieren, sollten sich nicht darauf verlassen, dass Verantwortung allein beim Anbieter liegt. In Enterprise-Umgebungen zählt die tatsächliche Implementierung: Welche Modelle werden eingesetzt, wie werden sie angepasst, welche Daten fließen ein, welche Outputs werden verarbeitet und welche Kontrollen existieren?

Drittens: Das Sanktionsrisiko ist real – unabhängig davon, ob einzelne Behörden organisatorisch noch nachziehen. Theoretisch stehen weiterhin Bußgelder von bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes im Raum. Für C-Level-Verantwortliche ist das nicht nur ein Compliance-Thema, sondern ein klassisches Governance- und Haftungsrisiko. Die richtige Reaktion darauf ist nicht Alarmismus, sondern strukturierte Vorbereitung.

Die drei Sofortmaßnahmen, die Unternehmen jetzt umsetzen sollten

Aus der aktuellen Lage ergeben sich drei unmittelbare Prioritäten.

1. Zuständigkeiten klären.
   In jedem EU-Land, in dem Sie KI-Systeme entwickeln, betreiben, vertreiben oder in kritischen Prozessen einsetzen, sollten Sie die fachlich und sektoral zuständige Behörde identifizieren. Das klingt administrativ, ist aber operativ hochrelevant. Gerade in regulierten Branchen wie Energie, Finanzdienstleistungen, Gesundheit oder Telekommunikation ist die Frage der Aufsicht häufig nicht monolithisch. Es braucht ein belastbares Mapping: Welche Behörde ist für welchen Use Case zuständig, welche Sprache ist relevant, welche Meldewege sind vorgesehen, und wer ist interner Ansprechpartner?

2. Sanktionsrisiko realistisch einkalkulieren.
   Viele Organisationen behandeln die KI-Verordnung noch als Zukunftsthema. Das ist aus Risikosicht nicht mehr tragfähig. Sinnvoll ist ein abgestuftes Vorgehen: Board-taugliche Risikoübersicht, Einordnung nach Anwendungsfällen, Bewertung nach Umsatz- und Reputationswirkung sowie ein Maßnahmenkatalog mit klaren Prioritäten. Unternehmen, die bereits GDPR-, NIS2- oder DORA-Strukturen etabliert haben, können diese Mechanismen meist sinnvoll erweitern.

3. Keine Abstriche an der Zielarchitektur machen.
   Bis zu einer formalen Gesetzesänderung sollten Sie Ihre Maßnahmen an den bestehenden Anforderungen ausrichten. Wer jetzt auf hypothetische Erleichterungen setzt, baut Doppelarbeit ein. In der Praxis heißt das: Governance, Dokumentation, technische Kontrollmechanismen und Lieferantensteuerung so aufsetzen, dass sowohl ein strenges als auch ein künftig erleichtertes Regime tragfähig abgedeckt werden kann.

Ein praxistauglicher Handlungsplan für DACH-Unternehmen

Für Unternehmen im DACH-Raum empfiehlt sich ein Handlungsplan, der Compliance, Enterprise Architecture und operative Umsetzung integriert. Genau hier scheitern viele Initiativen: Juristische Bewertung, technische Realität und Geschäftsziele laufen getrennt voneinander. Wirksam ist jedoch nur ein integrierter Ansatz.

Der erste Schritt ist eine vollständige Bestandsaufnahme aller KI-Anwendungen und Modelle. Dazu gehören nicht nur offensichtliche GenAI-Tools, sondern auch klassische ML-Komponenten, Entscheidungsunterstützungssysteme, Prognosemodelle, interne Assistenten, RAG-Anwendungen, zugekaufte Plattformfunktionen und Schatten-KI in Fachbereichen. Diese Inventarisierung ist die Grundlage jeder belastbaren Risikoklassifizierung nach KI-Verordnung. Besonders wichtig ist die Identifikation potenzieller Hochrisiko-Use-Cases.

Der zweite Schritt ist der Aufbau oder die Nachschärfung von Governance. Ein Framework entlang von ISO 42001 ist dafür ein sinnvoller Orientierungsrahmen. Entscheidend sind jedoch nicht Zertifizierungsbegriffe, sondern operative Wirksamkeit: Wer ist Modellverantwortlicher? Wer genehmigt produktive Einsätze? Wie laufen Modelländerungen? Welche Anforderungen gelten für Datenherkunft, Evaluierung, Logging und menschliche Aufsicht? Welche Schulungen brauchen Fachbereiche, Einkauf, IT und Compliance?

Der dritte Schritt betrifft Dokumentation und Technik. Hier trennt sich in der Praxis belastbare Enterprise-KI von experimenteller Tool-Nutzung. Unternehmen benötigen nachvollziehbare Daten- und Modellkarten, Logging-Mechanismen, definierte Human-in-the-Loop- oder Human-oversight-Kontrollen, Robustheits- und Bias-Tests sowie Verfahren für Post-Market-Monitoring. Wer LLMs produktiv einsetzt, sollte zusätzlich dokumentieren, welche Prompt-Klassen verwendet werden, welche Guardrails aktiv sind, wie Retrieval-Quellen abgesichert werden und wie Halluzinationsrisiken in kritischen Prozessen begrenzt werden.

Checkliste: Was Ihr Compliance- und KI-Team jetzt prüfen sollte

Die folgenden Punkte eignen sich als Management-Checkliste für die nächsten 30 bis 90 Tage:

• Liegt ein vollständiges Inventar aller KI-Anwendungen, Modelle und externen KI-Dienste vor?
• Sind alle relevanten Use Cases nach der KI-Verordnung vorläufig risikoklassifiziert?
• Wurden potenzielle Hochrisiko-Anwendungen explizit identifiziert und priorisiert?
• Existieren klare Rollen und Verantwortlichkeiten zwischen Fachbereich, IT, Compliance, Datenschutz, Einkauf und Informationssicherheit?
• Gibt es Richtlinien für Entwicklung, Beschaffung, Test, Freigabe und Betrieb von KI-Systemen?
• Werden Datenquellen, Modellversionen, Evaluierungen und Änderungen revisionssicher dokumentiert?
• Sind menschliche Aufsicht, Eskalationspfade und Stop-Mechanismen in kritischen Prozessen definiert?
• Sind Robustheits-, Bias- und Performance-Tests für produktive Systeme etabliert?
• Wurden Lieferanten, Modellanbieter und Integrationspartner hinsichtlich Konformitätsnachweisen, Update-Pflichten und Haftungsfragen geprüft?
• Gibt es ein Cross-border-Compliance-Mapping für betroffene EU-Länder, inklusive Behörden, Fristen, Sprachen und Meldewegen?
• Sind Incident-Response und Berichtslinien für KI-bezogene Vorfälle etabliert?
• Beobachtet ein benannter Verantwortlicher laufend Leitlinien des EU-KI-Büros, mögliche Mahnverfahren und die Debatte um das Omnibus-Paket?

Wenn Sie mehrere dieser Fragen derzeit nicht belastbar beantworten können, ist das kein Ausnahmefall – aber ein klares Signal für Handlungsbedarf.

Roadmap-Skizze: 90 Tage bis zu einer belastbaren Ausgangslage

Eine pragmatische Roadmap muss nicht mit einem Großprogramm beginnen. Für viele Unternehmen ist ein 90-Tage-Ansatz ausreichend, um aus regulatorischer Unsicherheit in operative Steuerungsfähigkeit zu kommen.

Phase 1: Transparenz schaffen (Tag 1–30)
Erheben Sie alle KI-Anwendungen, Modelle, Datenflüsse und Lieferantenbeziehungen. Identifizieren Sie kritische Geschäftsprozesse, sensible Datenverarbeitungen und alle Use Cases mit potenziellem Hochrisiko-Bezug. Parallel dazu sollten Sie eine erste Behörden- und Zuständigkeitslandkarte für relevante EU-Märkte aufbauen.

Phase 2: Risiken und Governance strukturieren (Tag 31–60)
Nehmen Sie eine vorläufige Risikoklassifizierung vor und definieren Sie Rollen, Freigabeprozesse und Mindestkontrollen. Legen Sie fest, welche Dokumentationsstandards, Testanforderungen und Oversight-Mechanismen für welche Use-Case-Klassen gelten. In dieser Phase sollte auch die Lieferanten- und Modell-Due-Diligence gestartet werden.

Phase 3: Umsetzung priorisieren (Tag 61–90)
Setzen Sie die wichtigsten technischen und organisatorischen Maßnahmen um: Logging, Modellkarten, Testverfahren, Incident-Response, Reporting-Linien und Management-Dashboards. Ergänzen Sie Szenarioplanung für zwei regulatorische Varianten: ein strenges Szenario ohne wesentliche Entlastung und ein erleichtertes Omnibus-Szenario mit angepassten Timelines. So schaffen Sie Budget- und Ressourcenoptionen, ohne in der Zwischenzeit untätig zu bleiben.

Praxisnahe Empfehlungen für Architektur und Betrieb

Für Enterprise-Organisationen reicht Compliance auf Papier nicht aus. Die eigentliche Herausforderung liegt in der technischen und organisatorischen Betriebsfähigkeit. Gerade dort entstehen spätere Kosten, wenn Architekturentscheidungen zu früh oder zu unsystematisch getroffen wurden.

Ein typisches Beispiel ist der Einsatz von LLMs in regulierten Umgebungen. Viele Unternehmen starten mit isolierten Pilotlösungen, etwa Copilots, Chatbots oder Wissensassistenten, ohne späteren Skalierungsbedarf mitzudenken. Sobald Datensouveränität, Auditierbarkeit und sektorale Anforderungen relevant werden, stoßen diese Lösungen an Grenzen. Dann müssen Logging, Rollenmodelle, Prompt-Governance, Datenzugriffsregeln und Modellwechsel unter laufendem Betrieb nachgerüstet werden.

Sinnvoller ist es, früh eine belastbare Zielarchitektur zu definieren: Welche KI-Workloads laufen on-premise, welche hybrid, welche in kontrollierten Cloud-Umgebungen? Wie werden RAG-Pipelines abgesichert? Wie sind Modelle, Vektordatenbanken, Sicherheitskontrollen und Observability integriert? Wie lassen sich Compliance-Anforderungen technisch erzwingen statt nur organisatorisch beschreiben? Genau diese Fragen entscheiden darüber, ob KI im Unternehmen ein skalierbares Asset wird oder ein wachsendes Kontrollproblem.

Gerade in der Energiewirtschaft und angrenzenden Infrastrukturbereichen kommt ein weiterer Aspekt hinzu: Nachhaltigkeit und Wirkung sollten nicht nachgelagert betrachtet werden. Wenn Unternehmen KI für Netzintelligenz, Prosumer-Management, Lastprognosen oder PV-Optimierung einsetzen, müssen Grundrechts- und Auswirkungsbewertungen mit operationalen und nachhaltigkeitsbezogenen Zielen verbunden werden. Das ist nicht nur regulatorisch sinnvoll, sondern verbessert auch die Investitionsargumentation gegenüber Vorstand und Aufsicht.

Strategisch richtig handeln trotz Omnibus-Debatte

Die Debatte um ein mögliches Omnibus-Paket ist politisch relevant, sollte aber Ihre operative Steuerung nicht dominieren. Aus Unternehmenssicht ist jetzt Szenarioplanung der richtige Weg. Arbeiten Sie mit zwei Planungsrahmen:

• Strenges Szenario: Bestehende Anforderungen bleiben im Kern bestehen, nationale Aufsicht zieht nach, Dokumentations- und Governance-Pflichten werden vollständig erwartet.
• Erleichtertes Szenario: Einzelne administrative Anforderungen oder Fristen werden angepasst, ohne dass die Grundlogik von Risikoklassifizierung, Governance und Nachweisbarkeit entfällt.

Der entscheidende Punkt: Die Maßnahmen, die in beiden Szenarien sinnvoll sind, sollten Sie sofort umsetzen. Dazu gehören Inventarisierung, Risikoklassifizierung, Governance, technische Nachvollziehbarkeit, Lieferantensteuerung und Cross-border-Mapping. Alles, was nur im strengen Szenario zusätzlichen Aufwand erzeugt, können Sie als vorbereitete Ausbauoption budgetieren. So vermeiden Sie regulatorische Lähmung und schaffen gleichzeitig Kostenkontrolle.

Unternehmen, die diesen Ansatz verfolgen, gewinnen nicht nur Compliance-Sicherheit. Sie verkürzen auch die Zeit bis zur produktiven Skalierung, weil Freigaben, Verantwortlichkeiten und technische Leitplanken sauber definiert sind. Genau das ist der eigentliche Geschäftsnutzen in einer Phase regulatorischer Unsicherheit: nicht abwarten, sondern kontrolliert vorangehen.

Wenn Sie prüfen möchten, wie belastbar Ihre aktuelle KI-Governance, Architektur und EU-AI-Act-Readiness bereits ist, vereinbaren Sie ein Executive Briefing oder ein EU AI Act Readiness Assessment mit AIStraCon. So erhalten Sie in kurzer Zeit eine klare Einordnung Ihrer Risiken, Prioritäten und nächsten Umsetzungsschritte.