Maurice Müller
Senior Content Manager
Maurice Müller ist Journalist und Content-Stratege mit Erfahrung in Print- und Digitalmedien. Bei Formalize übersetzt er komplexe Compliance- und Regulierungsthemen in klare, praxisnahe Inhalte für Compliance-, Risk- und Security-Verantwortliche in ganz Europa.
Die wichtigsten Erkenntnisse
Die Pflichten für Hochrisiko-KI-Systeme bei eigenständigen Systemen werden von August 2026 auf Dezember 2027 verschoben. Für KI, die in regulierte Produkte eingebettet ist, gilt eine Verschiebung auf August 2028.
Die Pflichten für GPAI-Modelle, allgemein verbotene Anwendungsfälle und allgemeine Transparenzpflichten gelten weiterhin nach dem ursprünglichen Zeitplan. Lediglich die Kennzeichnungspflichten nach Art. 50 Abs. 2 wurden angepasst, mit einer Übergangsfrist bis zum 2. Dezember 2026 für bereits auf dem Markt befindliche Systeme.
Nur 5 bis 15 % der von Organisationen eingesetzten KI-Systeme fallen in den Anwendungsbereich der EU-KI-Verordnung, doch angrenzende Vorschriften wie die DSGVO, NIS-2 und DORA gelten weiterhin für den Rest.
Die Verzögerung ist auf das Fehlen finalisierter technischer Standards zurückzuführen, nicht auf geringere regulatorische Anforderungen.
Nichtstun ist keine Strategie: Inventarisierung, Klassifizierung und Governance-Arbeit sollten bereits im Gange sein.
Was ist die EU-KI-Verordnung?
Die EU-KI-Verordnung (Verordnung (EU) 2024/1689) ist eine Produktsicherheitsverordnung, die spezifische Anforderungen an KI-Modelle und -Systeme definiert, die in der EU eingesetzt werden. Sie ist der erste umfassende Rechtsrahmen für KI in Europa und gilt unmittelbar in allen Mitgliedstaaten – im Gegensatz zu einer Richtlinie, die eine nationale Umsetzung erfordert.
Die EU-KI-Verordnung folgt einem risikobasierten Ansatz und unterteilt KI-Systeme in vier Stufen: unannehmbares Risiko (verboten), hohes Risiko, begrenztes Risiko und minimales Risiko. Die meisten Compliance-Pflichten betreffen die Hochrisiko-Kategorie.
Einer der häufigsten Fehler von Unternehmen ist es, die EU-KI-Verordnung als Cybersicherheitsregulierung zu behandeln. Das ist sie nicht. Sie ist im Produktsicherheitsrecht verankert und enthält ausdrückliche Schutzbestimmungen für Grundrechte. Diese Unterscheidung ist entscheidend dafür, wie Unternehmen ihre Compliance angehen und welche internen Teams die Federführung übernehmen müssen. Ein Cybersicherheitsteam allein reicht dafür nicht aus.
Was ist der Digital Omnibus on AI, und was hat er geändert?
Der Digital Omnibus on AI ist ein Paket gezielter Änderungen an der EU-KI-Verordnung, das im Juli 2026 formell verabschiedet wurde. Er war Teil einer breiter angelegten EU-Vereinfachungsinitiative, die unter anderem durch die im Draghi-Bericht 2024 zur Wettbewerbsfähigkeit der EU dargelegten Bedenken hinsichtlich regulatorischer Komplexität motiviert war.
Der zentrale Grund für die Änderung war praktischer Natur: Die meisten technischen Standards, die zur Umsetzung der Anforderungen der KI-Verordnung für Hochrisiko-Systeme erforderlich sind, waren noch nicht finalisiert. Ohne diese Standards hatten Organisationen keine klare Möglichkeit, Compliance nachzuweisen. Der Omnibus verlängerte die Fristen, um sie an die voraussichtliche Verfügbarkeit dieser Standards anzupassen.
Verlängerte Fristen für Hochrisiko-KI-Systeme
Eigenständige Hochrisiko-KI-Systeme gemäß Anhang III (u. a. Anwendungsfälle wie Recruiting-Tools, Bonitätsbewertung, Strafverfolgung, Bildung und Grenzkontrolle) müssen nun bis zum 2. Dezember 2027 konform sein – eine Verlängerung gegenüber dem ursprünglichen Termin 2. August 2026.
Hochrisiko-KI-Systeme, die in regulierte Produkte gemäß Anhang I eingebettet sind (etwa Medizinprodukte, Maschinen und Fahrzeuge), verschieben sich auf den 2. August 2028 – eine Verlängerung gegenüber dem ursprünglichen Termin 2. August 2027.
Neue Verbote
Der Omnibus führt neue verbotene KI-Praktiken ein, die Systeme betreffen, die nicht-einvernehmliche intime Bildinhalte sowie Missbrauchsdarstellungen von Kindern (CSAM) erzeugen. Diese gelten mit sofortiger Wirkung.
Angepasste Transparenzpflichten
Die Kennzeichnungspflichten für Wasserzeichen und die Offenlegung synthetischer Inhalte nach Art. 50 Abs. 2 gelten nun ab dem 2. Dezember 2026 für bereits auf dem Markt befindliche Systeme. Neue Systeme müssen ab dem Zeitpunkt ihres Inverkehrbringens konform sein.
Was sich nicht geändert hat
Die Kernarchitektur der KI-Verordnung bleibt unverändert. Das risikobasierte Klassifizierungssystem, die vier Risikostufen, die Pflichten für KI-Modelle mit allgemeinem Verwendungszweck (General Purpose AI, GPAI) sowie die Aufsichtsrolle des KI-Büros bleiben allesamt bestehen. Die Fristverlängerung gilt weder für GPAI-Pflichten noch für die bereits geltenden allgemein verbotenen Anwendungsfälle.
Für wen gilt die EU-KI-Verordnung?
Die KI-Verordnung unterscheidet primär zwischen zwei Rollen entlang der KI-Wertschöpfungskette.
Anbieter sind Organisationen, die ein KI-System entwickeln und es unter eigenem Namen oder eigener Marke in Verkehr bringen oder in Betrieb nehmen. Dazu zählen auch Organisationen, die KI-Systeme ausschließlich für den internen Gebrauch entwickeln: Wer ein System baut, das zuvor nie auf dem Markt war, und es intern einsetzt, gilt nach der Verordnung als Anbieter.
Betreiber sind Organisationen, die ein KI-System in einem beruflichen Kontext nutzen. Wer ein von einem Anbieter entwickeltes KI-Tool verwendet, ist Betreiber. Die jeweiligen Pflichten hängen von der Risikoeinstufung des Systems sowie davon ab, wofür der Anbieter vertraglich verantwortlich ist.
Eine wichtige Nuance: Nutzt ein Betreiber ein KI-System auf eine Weise, die der Anbieter nicht vorgesehen oder in seinen Nutzungsbedingungen ausdrücklich untersagt hat (etwa die Anwendung eines KI-Modells mit allgemeinem Verwendungszweck auf einen Hochrisiko-Anwendungsfall), kann der Betreiber automatisch zum Anbieter eines Hochrisiko-Systems werden.
Die Bestimmung der eigenen Rolle für jedes genutzte oder entwickelte System ist der erste Schritt in jedem KI-Compliance-Programm. Die EU-KI-Verordnung-Compliance-Plattform von Formalize wurde speziell für Betreiber entwickelt und unterstützt Teams dabei, KI-Systeme zu erfassen, Anwendungsfälle zu klassifizieren und auditfähige Dokumentation zentral zu pflegen.
Was sind die wichtigsten Schritte zur Compliance?
Die Fristverlängerung ändert nichts an der eigentlichen Compliance-Arbeit. Sie ändert lediglich, wann die Pflichten durchsetzbar werden.
Ein KI-Inventar aufbauen und pflegen
Dokumentieren Sie jedes KI-System, das Ihre Organisation als Anbieter bereitstellt oder als Betreiber einsetzt. Beantworten Sie für jedes System: Handelt es sich um ein KI-System im Sinne der Verordnung? Welche Rolle nehmen Sie ein – Anbieter oder Betreiber? Können Sie diese Einschätzung gegenüber einem Auditor dokumentieren und begründen?Jedes System klassifizieren
Bestimmen Sie die Risikoeinstufung jedes KI-Systems auf Basis seines Anwendungsfalls und Kontexts. Die Klassifizierung ist keine einmalige Übung. Ändert sich der Zweck eines Systems oder wird es in einem neuen Kontext eingesetzt, kann sich auch seine Einstufung ändern. Beachten Sie, dass einige nationale Leitlinien zur Klassifizierung nach der KI-Verordnung kritisiert wurden, weil sie diese wie eine reine Cybersicherheitsübung behandeln: Maßgeblich sollten die EU-weiten Leitlinien des KI-Büros sein.Ihre Pflichten bewerten und ein RACI-Modell mit Lieferanten vereinbaren
Bestimmen Sie für jedes System, welche Pflichten gelten und wer wofür verantwortlich ist. Setzen Sie ein Hochrisiko-KI-System eines Lieferanten ein, sollte dieser in der Lage sein, seinen Compliance-Roadmap im Hinblick auf die Frist im Dezember 2027 darzulegen.Anforderungen in operative Governance übersetzen
Anforderungen müssen zu Richtlinien, Prozessen, Schulungsprogrammen und Überwachungsverfahren werden. Dabei geht es nicht um Dokumentation als Selbstzweck. Sie bildet die Grundlage für Auditbereitschaft, die Erfassung von Nachweisen und die laufende Aufsicht.Kontinuierlich überwachen
Compliance ist kein Projekt mit festem Enddatum. KI-Systeme verändern sich, Anwendungsfälle entwickeln sich weiter, und auch die regulatorischen Leitlinien werden fortlaufend angepasst. Verankern Sie die Überwachung in den Standardabläufen – statt kurzfristig vor Fristablauf.
Ein Hinweis zu KMU und kleinen Mid-Cap-Unternehmen
Da die meisten EU-Unternehmen KMU sind, erweitert der Digital Omnibus auch die bestehenden Vereinfachungsmaßnahmen. KMU und Start-ups – nicht mehr nur Kleinstunternehmen wie bisher – können den Nachweis der Einhaltung bestimmter Elemente des verpflichtenden Qualitätsmanagementsystems für Hochrisiko-KI-Systeme künftig auf vereinfachte Weise erbringen. Weitere Erleichterungen wurden auf die neu geschaffene Kategorie der Small Mid-Caps (SMC) ausgeweitet, definiert als Organisationen, die keine KMU sind, weniger als 750 Beschäftigte haben und entweder einen Jahresumsatz von höchstens 150 Millionen Euro oder eine Bilanzsumme von höchstens 129 Millionen Euro aufweisen.
Was ist mit KI-Systemen, die nicht unter die EU-KI-Verordnung fallen?
Das ist einer der wichtigsten Punkte, den es zu verstehen gilt. Laut der eigenen Folgenabschätzung der Europäischen Kommission fallen nur 5 bis 15 % der in Organisationen eingesetzten KI-Systeme in den Anwendungsbereich der EU-KI-Verordnung. Das bedeutet nicht, dass der Rest unreguliert ist.
Die DSGVO gilt für jedes KI-System, das personenbezogene Daten verarbeitet – das betrifft die meisten im Tagesgeschäft eingesetzten KI-Tools. Organisationen tragen als Verantwortliche und/oder Auftragsverarbeiter die Verantwortung dafür, welche Daten sie in KI-Systeme eingeben. Mindestens erforderlich ist dafür die Definition oder Aktualisierung interner Richtlinien, Datenklassifizierungskriterien und Nutzungsanweisungen.
NIS-2 und DORA gelten für Organisationen innerhalb ihres jeweiligen Anwendungsbereichs, und KI-Systeme, die kritische Infrastruktur, Vorfallmanagement oder Drittparteirisiken betreffen, sind wahrscheinlich für diese Compliance-Pflichten relevant – auch wenn das Zusammenspiel zwischen sektoralen Vorschriften und der KI-Verordnung komplex sein und vom jeweiligen Kontext abhängen kann.
Auch branchenspezifische Vorschriften, etwa für Medizinprodukte, Finanzdienstleistungen und kritische Infrastruktur, können Anforderungen an KI-Systeme stellen, die außerhalb des Anwendungsbereichs der EU-KI-Verordnung liegen.
Internationale Standards wie ISO 42001 und das NIST AI Risk Management Framework bieten nützliche Governance-Strukturen, sind jedoch nicht gleichbedeutend mit der Einhaltung der EU-KI-Verordnung. Eine Organisation mit einer ausgereiften ISO-42001-Implementierung wird den Weg zur Einhaltung der KI-Verordnung leichter bewältigen, doch die beiden Frameworks verfolgen unterschiedliche Ziele und können einander nicht ersetzen.
Wie hängt KI-Governance mit bestehenden GRC-Frameworks zusammen?
Für Organisationen, die bereits NIS-2, DORA, ISO 27001 oder die DSGVO verwalten, ist KI-Governance kein eigenständiges Programm. Sie ist eine Erweiterung der bestehenden Compliance-Infrastruktur.
Die zentralen Fähigkeiten bleiben dieselben: Risiken bewerten, Kontrollen zuordnen, Nachweise sammeln und Auditbereitschaft aufrechterhalten. Was sich ändert, ist der Gegenstand. KI-Systeme, ihre Anwendungsfälle und deren Governance treten an die Stelle der regulatorischen Frameworks, mit denen Compliance-Teams bislang gearbeitet haben.
Organisationen, die bereits über strukturierte GRC-Workflows verfügen, sind besser aufgestellt, um die Anforderungen der KI-Governance zu integrieren, da das operative Modell bereits vertraut ist. Die Herausforderung liegt oft weniger darin, zu verstehen, was zu tun ist, sondern darin, die richtigen Teams zu vernetzen und sicherzustellen, dass KI-Systeme inventarisiert und klassifiziert werden, bevor sie eingesetzt werden – nicht erst danach.
Erste Schritte
Der praktische Ausgangspunkt ist ein Inventar. Bevor Klassifizierung, Pflichtenzuordnung oder eine Sorgfaltsprüfung (Due-Diligence) von Lieferanten stattfinden können, brauchen Sie ein klares Bild davon, welche KI-Systeme Ihre Organisation bereitstellt oder einsetzt, was diese Systeme tun und wer dafür verantwortlich ist.
Von dort aus ist die weitere Arbeit für jedes Compliance-Team größtenteils vertraut: klassifizieren, Pflichten bewerten, Verantwortlichkeiten zuweisen, dokumentieren und Nachweise kontinuierlich aufbauen – statt kurzfristig vor Fristablauf.
Formalize unterstützt KI-Governance als Teil eines umfassenderen GRC-Frameworks, einschließlich der Erfassung von KI-Systemen, Workflows zur Risikobewertung, Vorfallmanagement sowie vorkonfigurierten Vorlagen sowohl für Betreiber im Sinne der EU-KI-Verordnung als auch für Organisationen, die ISO 42001 einführen. Für Organisationen, die Formalize bereits zur Verwaltung von NIS-2, DORA oder ISO 27001 nutzen, fügt sich KI-Governance in dieselbe Struktur ein, statt als separater Arbeitsstrang zu laufen.
Erfahren Sie, wie Formalize die Einhaltung der EU-KI-Verordnung unterstützt.