EU-KI-Verordnung: Neue Fristen für Hochrisiko-Systeme, Transparenz bleibt vorn

Die EU verschiebt zentrale Termine des AI Act für Hochrisiko-KI – die Kennzeichnungspflicht für KI-Inhalte kommt aber wie geplant noch diesen Sommer.

Am 7. Mai 2026 trat der sogenannte Digital Omnibus in Kraft und brachte eine deutliche Entzerrung des Zeitplans für Hochrisiko-KI-Systeme. Entwickler dieser Systeme erhalten nun bis zum 2. Dezember 2027 Zeit, die strengen Auflagen zu Dokumentation, Risikomanagement und menschlicher Aufsicht umzusetzen. Für KI in regulierten Produkten nach Anhang I gilt sogar der 2. August 2028 als neuer Stichtag.

Während die Fristen für Hochrisiko-Systeme gelockert wurden, rücken andere gesetzliche Anforderungen des EU AI Acts bereits in greifbare Nähe. Dieser kostenlose Leitfaden verschafft Ihnen den notwendigen Überblick über Fristen, Pflichten und Risikoklassen, den Ihre Rechts- und IT-Abteilung jetzt dringend braucht. EU AI Act in 5 Schritten verstehen

Doch die Kern-Transparenzpflichten des AI Act bleiben auf der Überholspur. Schon am 2. August 2026 müssen Unternehmen Artikel 50 erfüllen: Chatbots, KI-generierte Texte, Bilder und Videos müssen klar gekennzeichnet werden. Wasserzeichen für synthetische Inhalte sind Pflicht. Wer die Regeln missachtet, riskiert empfindliche Strafen – bis zu 15 Millionen Euro oder drei Prozent des globalen Jahresumsatzes. Bei schweren Verstößen drohen sogar 35 Millionen Euro oder sieben Prozent.

Deutsche KMU zwischen KI-Boom und Rechtsunsicherheit

Der Mittelstand setzt zunehmend auf künstliche Intelligenz. Laut Bitkom-KI-Barometer 2026 nutzen bereits 25 Prozent der deutschen KMU KI-Technologie – ein stetiger Anstieg von 21 Prozent im Vorjahr. 41 Prozent der befragten Unternehmen planen den Einstieg noch in diesem Jahr.

Der wirtschaftliche Anreiz ist enorm: KI-Nutzer verzeichneten ein Umsatzwachstum von 8,2 Prozent – fast doppelt so viel wie die 4,6 Prozent der Nicht-Nutzer. Besonders IT-Dienstleister sind mit 64 Prozent Vorreiter, während Baugewerbe (12 Prozent) und Gastronomie (9 Prozent) abgeschlagen folgen.

Doch die Hürden sind hoch. 47 Prozent der KMU nennen Datenschutz-Unsicherheit als größtes Hindernis. Dazu kommen fehlende interne Expertise (53 Prozent) und unklare Renditeerwartungen (41 Prozent). Seit Februar 2025 schreibt Artikel 4 des AI Act zudem verpflichtende KI-Schulungen vor – wer die „KI-Kompetenz" der Mitarbeiter vernachlässigt, haftet zivilrechtlich.

Gerichte präzisieren die Grenzen der Datenverarbeitung

Auch die DSGVO bleibt das Fundament für das „Recht auf Erklärung" und die Datenminimierung. Zwei richtungsweisende Urteile zeigen, wo die Grenzen liegen:

Das Amtsgericht Nürnberg entschied im Juli 2025: Das Kopplungsverbot ist kein absolutes Verbot. Wer bei einem Mobilfunkvertrag die Weitergabe von Positivdaten an eine Auskunftei verweigert, muss dem Kunden eine echte Wahl zwischen Anbietern lassen. Die Weitergabe war hier durch das berechtigte Interesse an Betrugsprävention gerechtfertigt. Wichtig: Schadensersatz nach Artikel 82 DSGVO setzt konkreten Schaden voraus – bloßes Unbehagen reicht nicht.

Das Oberverwaltungsgericht Lüneburg stellte Anfang 2024 klar: Eine Online-Apotheke darf das Geburtsdatum nicht pauschal verlangen. Pflichtangaben sind nur bei altersbeschränkten Produkten oder Zahlungsarten wie „Kauf auf Rechnung" zulässig.

Internationale Durchsetzung verschärft sich

Der Druck auf Unternehmen wächst europaweit. Die irische Datenschutzkommission verhängte eine Rekordstrafe von 530 Millionen Euro gegen TikTok – wegen unzureichender Sicherungen bei der Übermittlung europäischer Nutzerdaten nach China. Bereits 2023 hatte TikTok 345 Millionen Euro wegen Verstößen beim Minderjährigenschutz zahlen müssen.

Auch außerhalb Europas ziehen die Behörden an: Die saudische Datenschutzbehörde SDAIA hat bereits 48 Durchsetzungsmaßnahmen eingeleitet. Unternehmen im saudischen Markt (Prognose 2025: 15,2 Milliarden SAR) drohen Strafen von bis zu fünf Millionen SAR für rechtswidrige Datenverarbeitung.

Der Hamburger Datenschutzbeauftragte geht selbst mit gutem Beispiel voran: Der KI-Chatbot „LLMoin" hilft bei der Bearbeitung von Beschwerden – ein Beleg für den Trend zur automatisierten Verwaltung, die strengen Transparenz- und Löschpflichten unterliegt.

Compliance-Experten warnen davor, die neuen regulatorischen Anforderungen zu ignorieren, da bereits jetzt empfindliche Strafen drohen. Sichern Sie sich den kostenlosen Umsetzungsleitfaden zum EU AI Act inklusive aller relevanten Übergangsfristen, um rechtlich auf der sicheren Seite zu bleiben. Jetzt kostenlosen KI-Report herunterladen

Analyse: Vom Prinzip zur technischen Pflicht

Das „Recht auf Erklärung" entwickelt sich vom allgemeinen DSGVO-Grundsatz zur mehrschichtigen Compliance-Aufgabe. Transparenz bedeutet jetzt nicht mehr nur Information, sondern technischen Nachweis: Wasserzeichen, klare UI-Kennzeichnung, nachvollziehbare Entscheidungswege.

Die größte Herausforderung 2026: Diese technischen Anforderungen mit den Datenminimierungs-Standards in Einklang bringen. Wie das OVG Lüneburg zeigte, ist das Sammeln von Daten „für alle Fälle" meist illegal. Unternehmen müssen ihre KI-Systeme inventarisieren, Schnittstellen an Artikel 50 anpassen und Verträge mit Drittanbietern prüfen.

Ausblick: Die „Black Box" hat keine Zukunft

Mit der nahezu vollständigen Anwendbarkeit des AI Act im August 2026 rückt die praktische Umsetzung von „KI-Kompetenz" in den Fokus. Das Bundesinstitut für Berufsbildung (BIBB) hat bereits vier Hochrisikobereiche identifiziert, in denen KI die Berufsausbildung besonders prägt.

Die verlängerten Fristen für Hochrisiko-Systeme durch den Digital Omnibus verschaffen Unternehmen Zeit für solide Governance-Strukturen. Doch die nahenden Transparenztermine im Sommer 2026 machen klar: „Black-Box"-KI wird im europäischen Markt bald nicht mehr tragbar sein. Unternehmen, die auf Erklärbarkeit und klare Kommunikation setzen, werden nicht nur regulatorisch belohnt – sie gewinnen auch das Vertrauen der Verbraucher.

de | wirtschaft | 69369949 |