top of page

​

Für die meisten Unternehmen war der EU AI Act leicht auf die lange Bank zu schieben. Es war ein großes, komplexes Gesetz aus Brüssel, und die Fristen fühlten sich fern an. Das hat sich diesen Frühling geändert. In nur wenigen Wochen hat Deutschland festgelegt, wie es das Gesetz auf nationaler Ebene durchsetzen wird, während die EU gleichzeitig einige der strengsten Vorgaben entschärft hat. Wenn Sie gerade KI ausrollen oder agentische Workflows aufbauen, ist die Kernbotschaft simpel: Die Regeln sind nicht mehr abstrakt – sie betreffen Ihre Pläne genau jetzt.


Hier beginnen die meisten unserer Projekte. Bevor wir darüber sprechen, welches Modell oder welches Tool zum Einsatz kommt, stellen wir sicher, dass das Setup rechtlich fundiert und bereit zum Skalieren ist. Das ist unsere Phase „Strategic Foundation“. Die jüngsten Änderungen machen dieses Fundament sowohl dringlicher als auch deutlich klarer.


Was bereits gilt


Das Gesetz ist im August 2024 in Kraft getreten und wird stufenweise scharf geschaltet. Die Verbote für die risikoreichsten Anwendungen – wie etwa bestimmte Social-Scoring-Systeme oder Emotionserkennung am Arbeitsplatz und in Schulen – gelten bereits seit Anfang 2025. Im August 2025 folgten die Regeln für Modelle mit allgemeinem Verwendungszweck (General-Purpose AI). Das Stichdatum, auf das alle geblickt haben, war der 2. August 2026, an dem der Großteil der verbleibenden Regeln in Kraft treten sollte.


Eine Vorgabe wird leicht übersehen, gilt aber für alle: die Pflicht zur KI-Kompetenz („AI Literacy“) nach Artikel 4, die seit Februar 2025 in Kraft ist. Sie besagt schlicht, dass Menschen, die KI nutzen, verstehen müssen, was sie damit tun. Es gibt keine Mindestgröße – ein Großkonzern fällt genauso darunter wie ein Drei-Personen-Team. Genau deshalb startet unsere Academy beim Menschen und nicht bei Lizenzen. Eine Lizenz stößt keinen Wandel an und erfüllt auch nicht Artikel 4. Ein Team, das seine Werkzeuge versteht, ist produktiver – und ganz von selbst compliant.


Was Deutschland gerade aufgebaut hat


Lange Zeit war unklar, wer in Deutschland das Gesetz überhaupt durchsetzen soll – eine Lücke, die das Risiko von Maßnahmen der Europäischen Kommission barg. Das hat sich am 11. Februar 2026 geändert, als das Bundeskabinett den Entwurf des KI-MIG (KI-Marktüberwachungs- und Innovationsförderungsgesetz) beschlossen hat. Es benennt die Aufsichtsbehörden, deren Befugnisse sowie Bußgelder und durchläuft nun das parlamentarische Verfahren – angesichts der EU-Fristen voraussichtlich im Eiltempo.


Deutschland hat sich dagegen entschieden, eine neue Behörde aufzubauen. Stattdessen wird die Bundesnetzagentur zur zentralen Anlaufstelle, während bestehende Regulierer ihre Zuständigkeiten behalten – die BaFin für den Finanzsektor, die Landesmedienanstalten für den Journalismus und so weiter. Der erste praktische Schritt für jedes Unternehmen ist daher einfach: Finden Sie heraus, welche Behörde für Ihren spezifischen Anwendungsfall zuständig ist, da dies variieren kann. Der Entwurf ermöglicht zudem das Testen von Hochrisiko-Systemen unter kontrollierten Bedingungen – ein Reallabor (Regulatory Sandbox). Das lässt sich eins zu eins auf unsere Phase „Sandbox & Prototyping“ übertragen: eine sichere Umgebung, ein Proof of Concept und Validierung unter Praxisbedingungen, jetzt auf klarer rechtlicher Basis.


Die Bundesnetzagentur hat außerdem einen KI-Service-Desk eingerichtet – eine zentrale Stelle, bei der Unternehmen erfragen können, wie das Gesetz auf sie zutrifft. Dazu gehört auch ein „Compliance-Kompass“, mit dem Sie prüfen können, ob Ihre Systeme in den Anwendungsbereich fallen. Verstehen Sie dies als frühe Auffahrt auf die Autobahn, nicht als Notfall-Hotline.


Was sich in Brüssel geändert hat


Die wichtigeren Neuigkeiten folgten am 7. Mai 2026. Parlament und Rat einigten sich auf den „Digital Omnibus on AI“ – ein Paket gezielter Anpassungen, das Bürokratie abbauen soll, ohne den risikobasierten Ansatz über Bord zu werfen. Formal ist es noch nicht final verabschiedet, aber die Richtung steht fest und ist ausnahmsweise pragmatisch.


Drei Punkte sind besonders entscheidend:


  • Mehr Zeit: Für Hochrisiko-Systeme nach Anhang III – etwa KI im Recruiting, im Bildungswesen oder im Versicherungswesen – gelten die Regeln nun erst ab dem 2. Dezember 2027 statt ab Sommer 2026. KI, die in physische Produkte wie Medizinprodukte oder Maschinen eingebettet ist, hat Zeit bis zum 2. August 2028. Das verschafft Ihnen rund 16 zusätzliche Monate zur Vorbereitung.


  • Echte Entlastung für kleinere Firmen: Die vereinfachten Regeln, die einst nur für Kleinstunternehmen galten, erstrecken sich nun auf alle KMU und „Small Mid-Caps“ mit bis zu etwa 750 Mitarbeitenden und 150 Millionen Euro Umsatz. Das bedeutet: schlankere Dokumentation, Standard-Templates, angemessenere Bußgelder und leichterer Zugang zu Reallaboren.


  • Klarere Risikogrenzen: KI, die Nutzenden lediglich assistiert oder die Leistung optimiert – und deren Ausfall keine Sicherheits- oder Gesundheitsrisiken birgt –, gilt nicht mehr automatisch als „hochriskant“, nur weil sie in einem regulierten Produkt steckt. Echt sicherheitskritische KI, etwa in einem Medizinprodukt, bleibt es weiterhin.


Zwei weitere Aspekte: Die Pflicht zur Kennzeichnung oder Wasserzeichnung von KI-generierten Inhalten verschiebt sich auf den 2. Dezember 2026, während andere Transparenzregeln weiterhin im August 2026 greifen. Zudem hat der Gesetzgeber ein neues Verbot für KI ergänzt, die nicht-einvernehmliche intime Bilder oder Material über sexuellen Kindesmissbrauch erzeugt. „Vereinfachung“ bedeutet an dieser Stelle den Abbau unnötiger Lasten – nicht die Schwächung echten Schutzes.


Was das für Ihre Transformation bedeutet


Die ehrliche Bestandsaufnahme: Der unmittelbare Stichtagsdruck hat nachgelassen, der Anspruch an eine exzellente Umsetzung jedoch nicht. Mehr Zeit und weniger Papierkram belohnen diejenigen Unternehmen, die Compliance als Teil des Designs verstehen und nicht als Torschlusspanik. Genau so arbeiten wir. In der Assessment-Phase klassifizieren wir das Risiko Ihrer geplanten KI und klären die zuständige Behörde ab, bevor irgendetwas live geht. In der Sandbox-Phase testen wir – nun mit deutlich erweiterter Testbasis im Rücken. Beim Rollout kombinieren wir die globalen Hyperscaler mit europäischen Anbietern wie IONOS, Hetzner, OVHcloud und der Open Telekom Cloud. So werden DSGVO und AI Act Teil der Architektur – und nicht deren Bremse.


Eine Frage bleibt offen: Die detaillierten europäischen Standards, die exakt festlegen, wie die Anforderungen für Hochrisiko-Systeme zu erfüllen sind, liegen noch nicht vor. Das ist die größte verbleibende Unbekannte im Zeitplan – und ein hervorragender Grund, jetzt zu starten: Machen Sie eine Bestandsaufnahme der bereits genutzten KI-Systeme, nutzen Sie den Service Desk der Bundesnetzagentur und bringen Sie Ihr Team auf den neuesten Stand.


Die Botschaft aus Berlin und Brüssel ist dieselbe: Die Regeln stehen fest. Die Fristen bevorzugen vorausschauende Planung, und der Vorteil liegt bei den Unternehmen, die Transformation und Compliance als eine gemeinsame Roadmap betrachten – nicht als zwei getrennte Wege. Genau diese Brücke zwischen Business und Tech zu schlagen, ist das, was wir tun.



Quellen und weiterführende Links

Der EU AI Act wird Ernst in Deutschland: Was die neuen Regeln für Ihre KI-Pläne bedeuten

1. Juni 2026

Felix Felix – Digital Development Manager @spyke

bottom of page