Der EU AI Act verändert, wie Unternehmen KI entwickeln, einkaufen und betreiben. Es geht nicht nur um „Legal“, sondern um Produkt, Engineering, Risk und Betrieb. Unsere Erfahrung: Wer früh strukturiert vorgeht, spart späteren Umbau – weil KI schneller in sichere, belastbare Prozesse kommt.
Stand Oktober 2026 – was gilt wann? Seit dem 2. Februar 2025 gelten die Verbote bestimmter KI-Praktiken und die Pflicht zur KI-Kompetenz, seit dem 2. August 2025 die Regeln für KI-Modelle mit allgemeinem Verwendungszweck, seit dem 2. August 2026 die übrigen Regeln, darunter die Transparenzpflichten. Die Pflichten für Hochrisiko-KI wurden durch die Verordnung (EU) 2026/1744 („Digital Omnibus zu KI“, in Kraft seit 27. Juli 2026) verschoben: für Hochrisiko-Systeme nach Anhang III auf den 2. Dezember 2027, für Hochrisiko-KI in Produkten nach Anhang I auf den 2. August 2028. Ab dem 2. Dezember 2026 gilt zusätzlich ein neues Verbot für KI-Systeme, die nicht einvernehmliche intime Darstellungen erzeugen.
1. Inventarisieren: Wo wird KI eingesetzt?
Der erste Schritt ist ein vollständiges KI-Inventar: Welche Systeme nutzen KI (inkl. LLM-Features, Chatbots, Klassifikatoren, Empfehlungssysteme)? Welche Daten fließen ein, wer nutzt die Outputs, und welche Entscheidungen werden beeinflusst? Wichtig ist die Abgrenzung zwischen „Experiment“, „Pilot“ und „Produktion“ – denn Pflichten entstehen vor allem dort, wo reale Wirkung und Risiko auftreten. Reine Forschung und Entwicklung vor dem Inverkehrbringen ist ausgenommen. Verbote und die Pflicht zur KI-Kompetenz gelten aber unabhängig vom Reifegrad – und wer ein KI-Werkzeug im Pilot beruflich nutzt, ist bereits Betreiber. Ergebnis: ein zentraler Katalog mit Ownern, Zweck, Datenkategorien und Betriebsstatus.
2. Klassifizieren: Risiko, Impact und Pflichten ableiten
Auf Basis des Inventars erfolgt die Risikoklassifizierung: Fällt eine Anwendung unter ein Verbot? Ist sie hochriskant? Greifen Transparenzpflichten (etwa bei Chatbots oder KI-generierten Inhalten)? Oder ist das Risiko minimal? Welche Anforderungen ergeben sich für Dokumentation, Daten-Governance, Monitoring, Human Oversight und Incident-Prozesse? Entscheidend ist ein nachvollziehbarer Entscheidungsweg, der intern überprüfbar ist. Praktisch entsteht eine Control-Matrix: pro Kategorie die minimalen technischen und organisatorischen Maßnahmen.
3. Operationalisieren: Prozesse, Rollen, Artefakte
EU-AI-Act-Readiness ist ein Betriebsmodell. Zuerst gilt es, die Rolle im Sinne der Verordnung zu klären – Anbieter oder Betreiber –, denn daran hängen die Pflichten. Intern braucht es dann klare Rollen (Product Owner, Model Owner, Risk/Compliance, Security, Data Owner) und verbindliche Prozesse: Freigaben, Change-Management, regelmäßige Reviews, Incident Handling. Außerdem müssen Artefakte standardisiert werden: Model Cards, Evaluationsberichte, Datenquellen- und Qualitätsnachweise, Logs/Audit-Trails, technische Dokumentation. Ziel ist eine „auditierbare Normalität“, nicht eine Sonderaktion.
4. Engineering Controls in der Plattform verankern
Die effektivsten Maßnahmen sind Plattform- und Architektur-Bausteine: Versionierung von Modellen/Prompts, reproduzierbare Deployments, Monitoring (Qualität, Drift, Bias), Zugriffskontrollen, sichere RAG-Patterns, Retention/Löschkonzepte. Dazu gehören Testpipelines (Regression, Red-Teaming) und klare Fallbacks, wenn ein System unsicher ist. So wird Compliance skalierbar, weil sie über Standards und Automatisierung getragen wird.
Fazit
Unternehmen sollten die gewonnene Zeit bis Ende 2027 nutzen und drei Dinge tun: KI-Inventar aufbauen, risikobasiert klassifizieren und Governance- sowie Engineering-Controls operationalisieren. Wer das pragmatisch und artefaktorientiert umsetzt, erreicht EU-AI-Act-Readiness, reduziert Risiken und gewinnt Geschwindigkeit – weil Teams in klaren Leitplanken entwickeln können. Für Verbote, KI-Kompetenz und Transparenz ist keine Zeit gewonnen – sie gelten bereits.
Stand: Oktober 2026. Erstfassung Mai 2026; im Oktober 2026 mit Unterstützung einer KI gegen die Primärquellen geprüft und aktualisiert – die Aussagen habe ich geprüft und verantworte sie. Dieses Whitepaper ist keine Rechtsberatung.