EU-KI-Gesetz: Hochrisiko-Compliance 2026

Die Hochrisiko-Frist des EU-KI-Gesetzes markiert einen globalen regulatorischen Wendepunkt. Am 2. August 2026 beginnt die entscheidende Durchsetzungsphase – obwohl ein Digital Omnibus im Mai 2026 die meisten eigenständigen Hochrisiko-Pflichten auf den 2. Dezember 2027 verschob. Aktiviert werden dennoch Artikel 50 (Transparenz), das Ende der GPAI-Übergangsfrist und Bußgelder bis 35 Mio. € oder 7 % des Weltumsatzes. 78 % der Unternehmen sind unvorbereitet; der Brussels Effect der KI-Governance verändert KI-Design von Silicon Valley bis Shanghai.

Was ist die Hochrisiko-Frist des EU-KI-Gesetzes?

Das EU-KI-Gesetz (Verordnung (EU) 2024/1689) teilt KI in vier Risikostufen ein. Hochrisikosysteme – Beschäftigung, Kreditvergabe, medizinische Diagnostik, Bildung, Strafverfolgung, Migration, kritische Infrastruktur – müssen Artikel 9–15 zu Risikomanagement, Daten-Governance, Dokumentation, Transparenz und menschlicher Aufsicht erfüllen. Der Digital Omnibus verschob Anhang-III-Pflichten auf den 2. Dezember 2027 und eingebettete KI (Anhang I) auf den 2. August 2028. Ab dem 2. August 2026 gelten dennoch Artikel-50-Pflichten wie die Deepfake-Kennzeichnung, und die GPAI-Übergangsfrist endet. Das Gesetz gilt extraterritorial für jede KI, die EU-Bürger betrifft, so Security Boulevard.

Warum der 2. August 2026 ein globaler Wendepunkt ist

Bußgelder erreichen 35 Mio. € oder 7 % des Weltumsatzes bei verbotenen Praktiken und 15 Mio. € oder 3 % bei Hochrisikoverstößen – mehr als die DSGVO-Obergrenzen. Jede Organisation, deren KI-Ergebnisse EU-Bürger betreffen, fällt darunter, egal wo das Modell trainiert wird. Eine Thomson-Reuters-Foundation-Studie zu fast 3.000 Unternehmen zeigt: 47 % der Firmen, die das Gesetz nennen, sitzen außerhalb der EU, die USA führen. Die EU-KI-Gesetz-Durchsetzungszeitleiste belegt, dass der Brussels Effect in Lieferkettenverträgen und Ausschreibungen verankert ist. Der EU-Compliance-Markt wird bis 2030 auf 17–38 Mrd. € geschätzt, so Informed Clearly.

Hochrisikosektoren und die Digital-Omnibus-Verzögerung

Anhang III definiert acht Hochrisikobereiche: biometrische Identifikation, kritische Infrastruktur, Bildung, Beschäftigung, wesentliche Dienste, Strafverfolgung, Migration und Rechtspflege. Einstellungsalgorithmen, Kredit-Scoring und Diagnosetools sind besonders betroffen. Der EU Digital Omnibus 2026 verschob Anhang-III-Pflichten auf den 2. Dezember 2027 und Anhang I auf den 2. August 2028. Artikel 50 blieb unverändert: Ab dem 2. August 2026 müssen Deepfakes und KI-Inhalte gekennzeichnet werden, GPAI-Modelle wie ChatGPT und Claude unterliegen Transparenz- und Urheberrechtspflichten. Unternehmen können nicht bis 2027 warten.

Wie sich Unternehmen vorbereiten: 5-Schritte-Checkliste

Die Readiness-Analyse 2026 von Vision Compliance ergab: 78 % der Unternehmen unternahmen keine nennenswerten Schritte, 83 % haben kein KI-Inventar, 74 % keinen Compliance-Verantwortlichen. Handeln Sie jetzt:

1. Vollständiges KI-Inventar in Entwicklung und Produktion aufbauen.
2. Jedes System nach Anhang I und III klassifizieren.
3. Einen benannten KI-Compliance-Verantwortlichen mit Führungsverantwortung benennen.
4. Dokumentation, Risikomanagement und menschliche Aufsicht für Hochrisikosysteme umsetzen.
5. Grundrechte-Folgenabschätzungen für Betreiber vorbereiten.

Laut Axis Intelligence kosten Compliance-Maßnahmen 500.000–2 Mio. $ für KMU und 8–15 Mio. $ für Großunternehmen. Die entscheidende Lücke ist der KI-Compliance-Rahmen, nicht die Technik.

Expertenstimmen

„Die entscheidende Lücke ist nicht die technische KI-Fähigkeit, sondern die Governance-Infrastruktur – Systeminventare, Risikoklassifizierungen, Dokumentation und Aufsicht“, so die Readiness-Analyse 2026. Die Thomson Reuters Foundation ergänzt: „Unternehmen, die das Gesetz nennen, übertreffen Vergleichsunternehmen bei Governance, Resilienz und Investorenvertrauen.“ Artikel 15 verlangt nun kontinuierliche Adversarial-Tests gegen MITRE ATLAS und OWASP LLM Top 10 – keine einmalige Prüfung. Compliance wird damit zu einer laufenden Disziplin für KI-Risikomanagement.

Häufig gestellte Fragen

Was passiert am 2. August 2026?

Die Transparenzregeln nach Artikel 50 greifen: KI-Inhalte und Deepfakes müssen gekennzeichnet werden. Die GPAI-Übergangsfrist endet, und Behörden setzen Bußgelder bis 35 Mio. € oder 7 % des Weltumsatzes durch.

Gilt das Gesetz auch außerhalb der EU?

Ja. Es gilt extraterritorial für jede Organisation, deren KI-Ergebnisse EU-Bürger betreffen.

Wie hoch sind die Bußgelder?

Bis 35 Mio. € oder 7 % des weltweiten Jahresumsatzes bei verbotenen Praktiken, bis 15 Mio. € oder 3 % bei Hochrisikoverstößen.

Was sollten Unternehmen zuerst tun?

KI-Inventar erstellen, Systeme nach Risiko klassifizieren, Verantwortliche benennen und Dokumentation sowie Aufsicht sofort umsetzen.