Erster Standard des EU-KI-Gesetzes und Analyse der Durchsetzung

Der teuerste Satz in der KI-Governance ist meist eine Variante von: Dafür haben wir eine Richtlinie. Richtlinien sind billig. Bei den Nachweisen beginnen die Rechnungen.

Pearl Cohen berichtet, dass der EU AI Act nun seine erste harmonisierte Norm hat und dass das EU AI Office erste Durchsetzungsmaßnahmen ergriffen hat. Die NewsPals vorliegenden öffentlichen Ausschnitte enthalten weder den vollständigen Text der gemeldeten Norm noch das Veröffentlichungsdatum oder die Ziele der gemeldeten Maßnahmen. Behandeln Sie den Bericht daher als operatives Signal und nicht als vollständige Compliance-Akte. Der nützliche Punkt ist enger gefasst und beständiger: Der AI Act verlässt die Phase der Konferenzpanels und tritt in Beschaffung, Audits und Korrespondenz mit Aufsichtsbehörden ein.

Die Norm macht Kontrollen auditierbar

Pearl Cohen beschreibt die Entwicklung als erste harmonisierte Norm des EU AI Act, während die Europäische Kommission den AI Act als Verordnung (EU) 2024/1689 bezeichnet und ihn als umfassenden Rechtsrahmen für KI beschreibt. Die Kommission sagt, dass das Gesetz risikobasierte Regeln auf KI-Entwickler und -Betreiber entsprechend bestimmten Verwendungen anwendet. Genau diesen Teil sollten Entwickler rot einkreisen. Eine Norm ist wichtig, weil sie Unternehmen eine Möglichkeit gibt, breite rechtliche Pflichten in wiederholbare Kontrollen, verantwortliche Eigentümer, Änderungsprotokolle, Lieferantenprüfungen und Nachweisakten zu übersetzen, die nicht verschwinden, wenn ein Produktmanager den Job wechselt.

Der eigene Zeitplan der Kommission zeigt bereits, warum dies nicht theoretisch bleiben kann. Nach Angaben der Kommission wurden die Verbote 1 bis 8 im Februar 2025 wirksam, Verbot 9 tritt im Dezember 2026 in Kraft, und ihr Newsroom listete einen Entwurf für einen Normungsauftrag zu europäischen Datenqualitätsstandards vom 23. Oktober 2026. Das ist keine einzelne Compliance-Frist. Es ist eine Produktionslinie.

@title Betriebskalender des EU AI Act
@source AI Act Shaping Europes digital future
@source GROWTH Draft standardisation request

  Feb 2025 ····· Prohibitions 1 to 8
  23 Oct 2026 ·· Data quality request
  Dec 2026 ····· Prohibition 9

@caption Der Zeitplan des AI Act bewegt sich von Verboten hin zu Standards und Nachweisen.

Für Entwickler besteht die einfache Pflicht nicht darin, eine schönere Seite mit KI-Prinzipien zu schreiben. Es geht darum zu wissen, welche Systeme in den Anwendungsbereich fallen, warum sie so eingestuft werden, welche Daten- und Modellkontrollen gelten und wer das beweisen kann. Wenn eine harmonisierte Norm zum Bezugspunkt für Konformität wird, dann wird Ihr internes Qualitätsmanagementsystem zu einem Artefakt für Aufsichtsbehörden, nicht zu einem internen Hobby.

Das AI Office ist der Teil mit Biss

Die Europäische Kommission sagt, dass das Europäische AI Office innerhalb der Kommission angesiedelt ist und als Grundlage für ein einheitliches KI-Governance-System dient. Noch wichtiger für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck ist: Die Kommission sagt, dass das AI Office den AI Act insbesondere für GPAI umsetzt und die Regeln für GPAI-Modelle durchsetzt. Pearl Cohens Bericht über erste Durchsetzungsmaßnahmen landet daher genau dort, wo Juristen ungern von spannend sprechen: Anfragen, Bewertungen, Maßnahmen und mögliche Sanktionen.

Die Kommission sagt, dass das AI Office GPAI-Modelle bewerten, Anbieter um Informationen und Maßnahmen bitten und Sanktionen verhängen kann. Sie sagt außerdem, dass das Office mehr als 125 Mitarbeitende hat, mit 6 Referaten und 2 Beratern. Das ist keine Garantie für aggressive Durchsetzung, aber es ist genug institutionelle Masse, um performative Compliance zu einer schlechten langfristigen Strategie zu machen. Wir begrüßen Klarheit von den Regulierungsbehörden bedeutet, aus dem Unternehmensdialekt übersetzt: Die Ordner werden zusammengestellt.

Für Modellanbieter sollte die praktische Akte Modelldokumentation, Aufzeichnungen zur Risikobewertung, Bewertungsergebnisse, Wege zur Bearbeitung von Vorfällen, Beschränkungen für nachgelagerte Nutzung und kundenorientierte Erklärungen enthalten. Für Unternehmen, die Modelle Dritter integrieren, verändert sich das Vertragsgespräch. Die Lieferantenprüfung sollte fragen, welche AI-Act-Nachweise der Anbieter liefern kann, wie schnell er auf Informationsanfragen von Aufsichtsbehörden reagieren kann und ob der Kunde sich für seine eigenen Einsatzunterlagen auf diese Nachweise stützen darf.

Hochrisikosysteme brauchen Einstufung, keine Bauchgefühle

Die Kommission sagt, dass der AI Act KI-Systeme verbietet, die Sicherheit, Lebensgrundlagen und Rechte bedrohen, und Hochrisikosysteme als solche behandelt, die ernste Risiken für Gesundheit, Sicherheit oder Grundrechte darstellen können. Das bedeutet, dass die Analyse des Anwendungsbereichs nicht auf der Modellebene enden kann. Dasselbe Modell kann in einem Arbeitsablauf langweilig und in einem anderen rechtlich interessant sein. Deshalb brauchen Betreiber Bestandsverzeichnisse von Anwendungsfällen statt allgemeiner Zusicherungen von Anbietern.

Das Arbeitspapier der Stanford Law School zum EU AI Act und zur DSGVO fügt die Datenschutzkomplikation hinzu, die Entwickler oft aufzuschieben versuchen. Es argumentiert, dass die DSGVO und der AI Act kumulativ und parallel gelten, wenn ein KI-System personenbezogene Daten verarbeitet, wobei der AI Act die DSGVO bis auf zwei enge Ausnahmen unberührt lässt. Trockene Version: Das Bestehen einer AI-Act-Kontrolle desinfiziert ein Datenschutzproblem nicht auf magische Weise.

Diese Überschneidung ist laut dem Stanford-Paper beherrschbar, aber sie ist nicht eingebildet. Produktteams sollten die Verarbeitung personenbezogener Daten zusammen mit der KI-Risikoklassifizierung abbilden, nicht erst danach. Der Nachweissatz sollte Entscheidungen zu Trainings- oder Eingabedaten, Datenqualitätsmaßnahmen, menschliche Aufsicht, Nutzerhinweise und die Bearbeitung von Rechten miteinander verbinden, wenn personenbezogene Daten betroffen sind. Wenn diese Aufzeichnungen in getrennten Tools liegen, die getrennten Teams gehören, wird das erste Audit lehrreich sein auf die Art, wie Zahnchirurgie lehrreich ist.

Der Datenqualitätsauftrag zeigt auf die nächste Checkliste

Der Newsroom-Eintrag der Kommission vom 23. Oktober 2026 nennt einen Entwurf für einen Normungsauftrag an europäische Normungsorganisationen zu europäischen Datenqualitätsstandards. Das liegt aus einem einfachen Grund nahe an der Compliance mit dem AI Act: Hochrisiko-KI-Kontrollen sind nur so überzeugend wie die Datennachweise dahinter. Wenn Ihre Antwort auf Datenqualität ein Dashboard-Screenshot aus dem letzten Quartal ist, sparen Sie allen Zeit und nennen Sie sie unvollständig.

Der nächste nützliche Schritt ist eine Lückenanalyse mit drei Spalten: rechtliche Anforderung, operative Kontrolle, aufbewahrter Nachweis. Entwickler sollten diese an Release-Gates anhängen. Betreiber sollten sie an Beschaffung und Systemfreigaben anhängen. GPAI-Nutzer sollten Nachweise des Modellanbieters derselben Akte hinzufügen, denn das Auslagern des Modells lagert nicht jede Pflicht aus.

Achten Sie auf den vollständigen Text der gemeldeten harmonisierten Norm, auf öffentliche Details zu Durchsetzungsmaßnahmen des AI Office und auf die Weiterentwicklung der Datenqualitäts-Normungsarbeit der Kommission. Der AI Act wird nicht einfach. Er wird verwaltbar, und das ist weniger glamourös und viel wichtiger.