EU verschiebt die Frist, nicht die Anforderungen Wer jetzt in Sachen EU AI Act abwartet, steht 2027 unter doppeltem Zeitdruck

Anbieter zum Thema

Kiteworks

cidaas by Widas ID GmbH

secunet Security Networks AG

FTAPI Software GmbH

Mehr Zeit bis Ende 2027 bedeutet nicht weniger Arbeit. Die Protokollierungs- und Dokumentationspflichten des EU AI Act erfordern Archi­tek­tur­ent­scheidungen, die sich nicht kurzfristig nachrüsten lassen.

Am 16. Juni 2026 stimmte das Europäische Parlament mit 423 zu 57 Stimmen für den „Digital Omnibus on AI“ und verschob die Pflichten für eigenständige Hochrisiko-KI-Systeme von August 2026 auf Dezember 2027. Der Rat der EU gab dem Vorhaben Ende Juni sein endgültiges grünes Licht. Der viel gehörte Tenor: Wenn diese Pflichten erst 2027 greifen, bleibt mehr Zeit und die Daten-Governance kann später aufgesetzt werden. Doch wer aus der Fristverlängerung schließt, dass sich das Thema KI-Regulierung für die nächsten anderthalb Jahre erledigt habe, liest den Ratsbeschluss falsch.

Compliance-Risiko durch KI in Standardsoftware

EU AI Act betrifft weit mehr deutsche Unternehmen als angenommen

Verschoben, aber nicht entschärft

Verschoben wurden einzelne, wenn auch bedeutende Bausteine: Das war zum einen die Anhang-III-Frist für eigenständige Hochrisiko-KI-Systeme, beispielsweise in Bereichen wie biometrische Identifikation, kritische Infrastruktur, Bildung, Beschäftigung, Kreditwürdigkeit, Strafverfolgung, Migration und Rechtspflege. Sie wurde auf den 2. Dezember 2027 verschoben. Zum anderen war es die Frist für KI-Systeme, die als Sicherheitskomponenten in Produkte eingebettet sind, die der EU-Harmonisierungsgesetzgebung unterliegen. Das ist beispielsweise bei Medizinprodukten oder Industriemaschinen relevant. Sie erhalten eine gesonderte Verlängerung bis zum 2. August 2028.

Verschoben wurde somit nur ein Teil des EU AI Acts. Nicht verschoben wurden die Pflichten, die schon heute Architekturentscheidungen verlangen. Parallel dazu bleibt der Bußgeldrahmen unverändert hoch: Bis zu 15 Millionen Euro oder drei Prozent des weltweiten Jahresumsatzes bei Verstößen gegen Hochrisiko- und Transparenzpflichten.

Für deutsche Unternehmen bedeutet das: Wer die Fristverlängerung als Atempause behandelt, wird im Dezember 2027 genau dort ankommen, wo er heute steht. Doch das alles mit weniger Handlungsspielraum und höherem Risiko. Die Änderungen sind als Aufforderung zu lesen. Die EU-Regulierer haben ihre Absicht bekundet, ab dem Moment des Inkrafttretens dieser neuen Fristen das Einhalten der Verordnung auch strikt durchzusetzen.

Risk Management bei KI

EU AI Act als Wegweiser für sichere KI-Systeme

Bekannte Muster aus der Aufsichtspraxis

Diese Dynamik folgt einem bewährten Schema, das bereits seit dem Inkrafttreten der DSGVO im Jahr 2018 zu beobachten ist. Bis 2025 verzeichnete der Europäische Datenschutzausschuss über 2.200 Bußgeldverfahren mit einem Gesamtvolumen von 7,1 Milliarden Euro. Es wurden im Zeitraum 2024 bis 2025 mehrere Millionenstrafen gegen Unternehmen wie Clearview, Meta und OpenAI auf Basis der DSGVO und mit konkretem KI-Bezug verhängt. Auch Deutschland steht hierbei nicht am Rande: Der Bundesbeauftragte für den Datenschutz und die Informations­frei­heit (BfDI) sowie die Landesdatenschutzbehörden haben ihre Sanktionierungspraxis spürbar verschärft.

Dasselbe Bild zeigt sich bei den 2025 in deutsches Recht überführten Regularien NIS-2 und DORA: Nach einer initialen Übergangsphase setzte die behördliche Durchsetzung unvermittelt und konsequent ein. Organisationen, die die Übergangsfristen lediglich als ungefähren Orien­tierungsrahmen statt als verbindliche Deadline interpretierten, stehen nun unter erheblichem Zugzwang.

Aus der Vergangenheit lernen

Vier Compliance-Lektionen aus der DSGVO für AI-Act und DORA

Es geht um Architekturanforderungen

Die Protokollierungs- und Dokumentationsanforderungen des EU AI Act sind Archi­tek­turanforderungen. Artikel 12 verlangt für Hochrisiko-Systeme eine automatische, fäl­schungs­sichere Protokollierung über die gesamte Lebensdauer des Systems. Das ist keine Anforderung, die sich nachträglich in eine bestehende KI-Anwendung einbauen lässt, ohne die Architektur zu verändern. Wer jetzt Zeit verstreichen lässt, baut wieder unter Zeitdruck, nur eben 2027 statt 2026.

Die Vorgaben der KI-Verordnung und der DSGVO weisen Überschneidungen bei den Anforderungen an die Governance-Infrastruktur auf. Eine zentrale Content-Governance, die jedes Datenobjekt beim Ein- und Austritt in ein KI-System systematisch klassifiziert, proto­kolliert und nach vordefinierten Richtlinien steuert, deckt die Nachweispflichten des EU AI Act und die Rechenschaftspflichten der DSGVO simultan über ein einziges Audit-Trail ab. Wer hier getrennte Silos aufbaut, verdoppelt nicht nur den Entwicklungsaufwand, sondern auch den späteren Prüfungsaufwand.

Compliance-Lösung für Unternehmen vorgestellt

EQS Group unterstützt bei der Umsetzung des EU AI Acts

Strategischer Handlungsbedarf: Das Zeitfenster optimal nutzen

Anstatt die Vorgaben des Digital Omnibus bis 2027 aufzuschieben, sollten Unternehmen die gewonnene Zeit aktiv nutzen. Ein zusätzlicher Zeitraum von 16 Monaten bietet eine gute Ausgangslage für den Aufbau eines tragfähigen Compliance-Programms. Das setzt jedoch voraus, dass von Beginn an die richtigen Prioritäten gesetzt werden:

• Sofortige Bestandsaufnahme aller KI-Systeme: Sämtliche Anwendungen, die unter die Kategorien von Anhang III fallen, müssen systematisch erfasst werden. Dies schließt ausdrücklich auch eingebettete Algorithmen in Beschaffungs-, Einstellungs-, Kundenservice- sowie Betrugserkennungs-Tools ein, die bislang möglicherweise nie formal als hochriskant eingestuft wurden.

• Prüfbare Kriterien zur Datenklassifizierung: Eine lückenlos dokumentierte Klassifizierungslogik ist essenziell. Ohne eine schriftlich verankerte Systematik lässt sich gegenüber Aufsichtsbehörden nicht plausibel belegen, warum bestimmte Datensätze in eine KI-Pipeline einfließen durften und andere ausgeschlossen wurden.

• Gezielte Lückenanalyse der Datengovernance: Es gilt präzise zu erfassen, welche Daten von jedem einzelnen System verarbeitet werden. Parallel dazu muss die bestehende Governance-Infrastruktur evaluiert und dokumentiert werden, an welchen Stellen Defizite bestehen.

• Fahrplan für die Konformitätsbewertung noch in 2026: Eine vorausschauende Planung stellt sicher, dass die operative Umsetzungsphase noch vor Ablauf des Jahres eingeleitet wird.

Transparenzpflichten

Diese Maßnahmen für den EU AI Act sollten Prio haben

Vorausschauendes Handeln sichert den entscheidenden Vorsprung

Der aktuelle Data Security and Compliance Risk: 2026 Forecast Report von Kiteworks unterstreicht, dass die Einhaltung europäischer Regularien ganz oben auf der Agenda von IT-Sicherheitsverantwortlichen in Unternehmen steht. Die Terminverschiebung ändert daran nichts: Sie ist keine Aufforderung zur Untätigkeit, sondern ein wertvolles Zeitfenster für zukunftssichere Architekturinvestitionen. Im Dezember 2027 werden jene Unternehmen erfolgreich sein, die das Thema Governance organisch in ihre Strukturen integriert haben. Allen anderen drohen nicht nur empfindliche Bußgelder, sondern auch der Verlust des technologischen Anschlusses.

Über den Autor: Marc ten Eikelder ist Head of EMEA Marketing und Senior Director of Industry Research bei Kiteworks und arbeitet seit über zehn Jahren an der Schnittstelle zwischen technischer Datensicherheits-Architektur, regulatorischer Compliance und Markt­kommunikation in der DACH-Region.

Protokollierungspflicht bringt neue Sicherheitsrisiken

Warum die Protokollpflicht im EU AI Act zum Sicherheitsrisiko werden kann

(ID:50985664)