AI Act: Der Aufschub für Hochrisiko-Systeme ist keine Verschnaufpause

Im ursprünglichen Zeitplan des AI Act sollte der 2. August 2026 den Beginn der wichtigsten Pflichten für Hochrisiko-Systeme markieren: dokumentiertes Risikomanagement, Governance der Trainingsdaten, technische Dokumentation, menschliche Aufsicht, Registrierung in der EU-Datenbank. Bei Verstößen drohten Sanktionen von bis zu 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes.

Dann wurde aus dem politischen Einigungspaket Digital Omnibus geltendes Recht: Die Verordnung (EU) 2026/1744, am 24. Juli im Amtsblatt veröffentlicht und seit dem 27. Juli 2026 in Kraft, verschiebt diese Pflichten für Systeme nach Anhang III auf den 2. Dezember 2027 und für Hochrisiko-Systeme in regulierten Produkten auf August 2028.

Die jüngere Regulierungsgeschichte hat dieses Muster schon einmal durchgespielt. Die DSGVO ließ zwei Jahre zwischen Verabschiedung und Geltungsbeginn; ein Teil der Organisationen nutzte diese Zeit, um ihr Compliance-System aufzubauen, der andere Teil ließ sie verstreichen. Im Mai 2018 waren die einen bereit; die anderen improvisierten unter Zeitdruck, manche tun es bis heute.

Ein regulatorischer Aufschub ist nie gewonnene Zeit, sondern zugeteilte Zeit. Die entscheidende Frage lautet nicht «Wann ist die Frist?», sondern «Was muss bis dahin aufgebaut sein?» Denn der Inhalt der Pflichten selbst ändert sich nicht: Bestandsaufnahme der Systeme, Risikoeinstufung, Governance, Dokumentation, Nachweise.

Anhang III erfasst Anwendungsfälle, die viele Organisationen nutzen, ohne darüber nachzudenken: Bewerbervorauswahl und Personalentscheidungen, Kredit-Scoring, Zugang zu Bildung, Biometrie, Betrieb kritischer Infrastrukturen, wesentliche öffentliche Dienstleistungen. Und die Pflichten treffen nicht nur die Anbieter dieser Systeme: Auch die Betreiber, also die Organisationen, die sie einsetzen, haben eigene Pflichten, von der menschlichen Aufsicht bis zur Überwachung des Betriebs.

Viele Unternehmen sind also Betreiber von Hochrisiko-Systemen, ohne es zu wissen, etwa über ein HR-Tool oder ein von der Stange gekauftes Scoring-Modul. Die erste Frage ist nicht juristisch, sondern faktisch: Welche Systeme, gekauft oder selbst entwickelt, laufen bei uns tatsächlich, und für welche Zwecke?

Die Debatte über den Aufschub darf nicht den Blick darauf verstellen, dass ein Teil der Verordnung bereits gilt. Die verbotenen Praktiken, von Social Scoring bis zu bestimmten biometrischen Identifizierungen, sind seit Februar 2025 untersagt. Die Transparenzpflichten für KI-Modelle mit allgemeinem Verwendungszweck laufen seit August 2025. Und die Pflicht zur KI-Kompetenz der Teams betrifft schon jetzt jeden Arbeitgeber, der solche Systeme einsetzt. Und die Transparenzpflicht aus Artikel 50, anwendbar ab dem 2. August 2026, ist inzwischen konkretisiert: Am 20. Juli hat die Kommission ihre endgültigen Leitlinien verabschiedet: Chatbots müssen sich bereits beim ersten Austausch als solche zu erkennen geben, generierte Inhalte werden in maschinenlesbarer Form gekennzeichnet, ohne Rückwirkung auf zuvor erstellte Inhalte.

Der diskutierte Aufschub betrifft also nur den Hochrisiko-Block; das Fundament dagegen gilt bereits. Eine Organisation, die auf «Klarheit beim Zeitplan» wartet, bevor sie aktiv wird, hinkt bereits bei dem Teil des Textes hinterher, der längst feststeht.

Der sinnvolle Weg ändert sich dadurch keinen Tag: die eigenen KI-Anwendungsfälle kartieren, auch jene, die über zugekaufte Tools ins Haus kommen; den Reifegrad der eigenen Governance anhand eines strukturierten Referenzrahmens messen; und die festgestellten Lücken in einen terminierten Maßnahmenplan überführen, abgestimmt auf den letztlich geltenden Zeitplan. Wer heute misst, bestimmt sein eigenes Tempo; wer auf den endgültigen Text wartet, muss sich dessen Tempo unterwerfen.

Unser Katalog umfasst 19 Referenzrahmen zu Daten und KI, um genau diesen Weg zu unterstützen, vom Governance-Rahmen bis zu spezifischen regulatorischen Anforderungen. Der Zeitplan mag sich noch ändern; Ihre Ausgangsposition dagegen lässt sich schon heute bestimmen.