EU-KI-Gesetz Service-Desk-Zeitplan: Stufenweise Compliance

Compliance-Kalender sind selten besonders beliebt – und genau deshalb werden sie am Ende nützlich. Der AI Act Service Desk der Europäischen Kommission hat einen Umsetzungszeitplan für den EU AI Act veröffentlicht, und das Interessante daran ist nicht, dass es noch eine Webseite mit Terminen gibt. Interessant ist, dass Entwicklerinnen und Entwickler endlich einen sinnvollen Ort haben, um Compliance als schrittweise Arbeit zu behandeln – nicht als dramatischen juristischen Sprint nach dem Launch.

Der Service Desk macht Timing zu einer operativen Frage

Laut dem AI Act Service Desk(opens in new tab) befindet sich der Umsetzungszeitplan auf einer offiziellen Website der Europäischen Union; die Seite weist darauf hin, dass offizielle EU-Websites die Domain europa.eu verwenden. Das klingt nach Verwaltungskram, weil es Verwaltungskram ist – und genau solchen Verwaltungskram brauchen Compliance-Teams. Ein kalendernahes Instrument aus dem regulatorischen Umfeld ist nützlicher als eine Konferenzdiskussion, weil es in Verantwortliche, Checklisten und Release-Gates übersetzt werden kann.

Die AI-Act-Politikseite(opens in new tab) der Europäischen Kommission ordnet den AI Act als Teil des digitalen Regulierungsrahmens Europas ein. Für ein Unternehmen, das KI-Systeme in der EU auf den Markt bringt, bedeutet das: Der Kalender gehört in die Nähe der Produkt-Roadmap, nicht in einen Ordner mit der Aufschrift „Recht“. Jede bevorstehende Verpflichtung sollte einer Produktfrage zugeordnet werden: Welches System fällt in den Anwendungsbereich, welche Nachweise gibt es, wer genehmigt die Risikoentscheidung, und was ändert sich, bevor die jeweilige Vorschrift gilt?

Das Gesetz kam nicht als ein einziger Schalter

AlgorithmWatch stellt fest, dass der AI Act offiziell am 1. August 2024 in Kraft getreten ist und damit der Zeitplan für das Anwendbarwerden verschiedener Bestimmungen gestartet wurde. Außerdem heißt es dort, dass zu den ab dem 2. Februar 2025 geltenden Regeln die Liste verbotener KI-Praktiken gehört, einschließlich der Fern-Gesichtserkennung im öffentlichen Raum durch Strafverfolgungsbehörden, mit bestimmten Ausnahmen. Das ist die praktische Lektion, die in den Daten steckt: Einige Fragen sind bereits Fragen des Produktdesigns, nicht bloße zukünftige Policy-Details.

Genau hier verdient sich der Zeitplan des Service Desk seinen Platz. Wenn ein Team den AI Act als eine einzige drohende Frist behandelt, wird es Juristinnen und Juristen überlasten und Ingenieurinnen und Ingenieure zu wenig einbinden. Wenn es den Zeitplan als gestaffelte Umsetzung betrachtet, wird die Arbeit weniger theatralisch: Systeme klassifizieren, verbotene Nutzungen dort entfernen oder neu gestalten, wo es relevant ist, Dokumentation vorbereiten und Nachweise von Anbietern abstimmen, bevor Kundinnen und Kunden, Prüfer oder Behörden danach fragen.

Leitlinien der Kommission sind Teil

der Umsetzung, keine Dekoration AlgorithmWatch weist auch auf die Gesamtverantwortung der Europäischen Kommission für die wirksame Umsetzung des AI Act hin, einschließlich der Bereitstellung von Leitlinien nach Artikel 96. Das ist wichtig, denn Leitlinien sind keine Motivationsposter. Sie entscheiden oft darüber, was Begriffe in der Verordnung bedeuten, sobald Beschaffungsteams, öffentliche Stellen, Modellanbieter und nachgelagerte Betreiber damit arbeiten müssen.

Die richtige Haltung ist weder Panik noch demonstrative Gewissheit. Das Gesetz verlangt von Organisationen, die jeweils geltenden Verpflichtungen einzuhalten, sobald sie wirksam werden; es verlangt nicht von jedem Startup, so zu tun, als hätte es jede Auslegungsfrage gelöst, bevor die Kommission ihre Leitlinienarbeit abgeschlossen hat. Wenn ein Anbieter sagt, er begrüße Klarheit von Regulierungsbehörden, lässt sich das höflich übersetzen: Die Rechtsabteilung entscheidet noch, wie viel Produktarbeit die nächste Auslegung erzwingen wird.

Was Entwicklerinnen und Entwickler jetzt mit dem Zeitplan tun sollten

Der AI Act Service Desk(opens in new tab) gibt Teams einen einzigen offiziellen Anker für die zeitliche Reihenfolge. Der sinnvolle Schritt besteht darin, diese Reihenfolge in eine interne Kontrolle zu verwandeln: ein datiertes Inventar der KI-Systeme, eine Risiko-Verantwortliche oder einen Risiko-Verantwortlichen für jedes System, eine verantwortliche Person für die Dokumentation und eine feste Überprüfung vor Releases, die EU-Nutzerinnen und -Nutzer oder EU-Kundinnen und -Kunden betreffen. Nichts davon ist glamourös, was meistens ein Zeichen dafür ist, dass es den Kontakt mit der Beschaffung überleben könnte.

Wichtig ist, die Lücke zwischen dem zu beobachten, was das Gesetz verlangt, und dem, was Online-Kommentare zur Compliance behaupten. Der offizielle Zeitplan macht nicht jedes KI-Feature zu einem verbotenen System, und er macht eine glänzende Policy-Seite nicht zu einem gleichwertigen Nachweis. Er gibt Entwicklerinnen und Entwicklern aber eine Möglichkeit zu entscheiden, was in jeder Phase gebaut, dokumentiert, geändert oder eingestellt werden muss.

Die nächste nützliche Gewohnheit ist absichtlich langweilig: den Service Desk als Lesezeichen speichern, jemanden mit der Beobachtung der Kommissionsleitlinien beauftragen und AI-Act-Meilensteine in die Release-Planung aufnehmen. Entwicklerinnen und Entwickler, die das tun, werden weniger Zeit damit verbringen, Verpflichtungen aus Vertriebsgesprächen rückzuentwickeln, und mehr Zeit damit, die Aufzeichnungen zu erstellen, die sie tatsächlich brauchen werden. Das ist kein Drama. Das ist Compliance, die erwachsen wird und in den Betrieb hineinwächst.