Das „Zeitplan-Entgegenkommen" des EU-KI-Gesetzes ist komplizierter als es scheint

Stellen Sie sich eine Compliance-Beauftragte in Frankfurt vor, die eine Schlagzeile über „Fristverlängerung" beim EU-KI-Gesetz liest und zu dem Schluss kommt, ihr Team habe sich ein paar Monate Verschnaufpause verdient. Sie ist dabei, die Lage auf eine Weise falsch einzuschätzen, die sie teuer zu stehen kommen wird. Das Wort „Erleichterung" leistet in der aktuellen Berichterstattung über den überarbeiteten Umsetzungszeitplan des Gesetzes erhebliche politische Arbeit – und deutlich weniger rechtliche. Was die Überarbeitungen tatsächlich enthalten, ist eine echte Fristverlängerung für eine bedeutende Kategorie von Verpflichtungen, gepaart mit neuen Verboten, die gänzlich ohne Aufschub in Kraft getreten sind.

Das EU-KI-Gesetz schafft das, was die Europäische Kommission als risikobasierten, horizontalen Regulierungsrahmen bezeichnet, der die Entwicklung, das Inverkehrbringen und die Nutzung von KI-Systemen innerhalb der Europäischen Union regelt, wie auf digital-strategy.ec.europa.eu dargelegt. Die Verpflichtungen des Gesetzes werden phasenweise und nicht auf einmal eingeführt, was sowohl Flexibilität als auch jene spezifische Art von Verwirrung erzeugt, aus der kostspielige Compliance-Fehler entstehen. Um zu verstehen, was sich 2026 tatsächlich geändert hat, muss man die Geschichte der Fristverlängerung von der Geschichte der neuen Verpflichtungen trennen – denn beide laufen nach völlig unterschiedlichen Uhren.

Was das Digital Omnibus on AI tatsächlich geändert hat

Am 7. Mai 2026 wurde eine Einigung über das sogenannte Digital Omnibus on AI erzielt. Einer Analyse der Anwälte Dan Cooper, Marty Hansen, Jadzia Pierce, Anna Sophia Oberschelp de Meneses, Madelaine Harrington und Marianna Drake von Covington and Burling in ihrem Global Policy Watch Briefing vom 2. Juni 2026 zufolge hat die Überarbeitung die Verpflichtungen für Hochrisiko-KI-Systeme nach Anhang III, die in bestimmten Kontexten eingesetzt werden, formell vom 2. August 2026 auf den 2. Dezember 2027 verschoben. Das ist eine Verschiebung um 16 Monate, und nach jedem vernünftigen Maßstab handelt es sich um eine echte Verlängerung. Compliance-Teams, die an nutzungsbasierten Einsätzen von Hochrisikosystemen arbeiten, sollten ihre Planungskalender entsprechend aktualisieren und den Dezember 2027 als maßgebliches Datum für diese Kategorie betrachten.

Die Analyse desselben Covington-Teams, ebenfalls auf Inside Privacy veröffentlicht, bestätigt, dass die Überarbeitung gezielte Vereinfachungsmaßnahmen enthält. Diese reduzieren einige Verfahrenspflichten für Bereitstellungen mit geringerem Risiko und passen bestimmte Dokumentationsschwellen an – insbesondere für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck, die keine systemische Risikoeinstufung tragen. Für kleinere Betreiber und Entwickler, die unterhalb der Schwelle für systemische Risiken arbeiten, ist der Verwaltungsaufwand bei bestimmten Compliance-Aufgaben tatsächlich geringer als im ursprünglichen Text vorgesehen. Das ist es wert, anerkannt zu werden, denn nicht jede Bestimmung der Überarbeitung wirkt sich nachteilig auf die Interessen des Compliance-Teams aus.

Der Teil der Überarbeitung, der ohne Verlängerung kam

Hier beginnt die Rahmung als „Erleichterung" irreführend zu werden. Dieselbe Überarbeitung, die die Frist nach Anhang III verlängerte, führte auch neue Verbote ein – und diese Verbote traten ohne beigefügte Übergangsfristen in Kraft. Wie die Analysen des Covington-Teams auf Inside Privacy und Global Policy Watch deutlich machen, enthält die Aktualisierung sowohl Fristentlastung als auch neue Verbote im selben Paket. Nur die Schlagzeile zur Verlängerung zu lesen und nicht den Abschnitt zu den Verboten – das ist genau jene Art selektiver Aufmerksamkeit, auf der Durchsetzungsbescheide aufgebaut werden.

Die Struktur des EU-KI-Gesetzes, wie sie auf artificialintelligenceact.eu zusammengefasst ist, folgt einem abgestuften Risikoansatz: Systeme mit unannehmbarem Risiko unterliegen einem vollständigen Verbot, Hochrisikosysteme unterliegen Konformitätsverpflichtungen, und Systeme mit geringerem Risiko unterliegen Transparenzanforderungen. Wenn eine Überarbeitung die verbotene Kategorie erweitert und gleichzeitig bestimmte Hochrisikopflichten aufschiebt, ist die Netto-Compliance-Position nicht einfach „einfacher". Sie ist in einer Spalte einfacher und in einer anderen anspruchsvoller. Jedes Compliance-Programm, das nur den Anhang-III-Kalender aktualisiert hat, ohne die neuen Verbote zu prüfen, arbeitet nun mit einem unvollständigen Bild.

„Das EU-KI-Gesetz legt harmonisierte Regeln für die Entwicklung, das Inverkehrbringen und die Nutzung von KI-Systemen in der Europäischen Union fest und folgt dabei einem verhältnismäßigen risikobasierten Ansatz." (artificial-intelligence-act.com)

Für Entwickler, die KI in den Bereichen Bildung, Personalwesen oder Zugang zu Dienstleistungen einsetzen, verdient die Kategorie der verbotenen Praktiken eine sofortige Überprüfung – und nicht eine Notiz, sie zu überdenken, wenn die Anhang-III-Uhr wieder zu ticken beginnt.

So liest man einen Stufenplan, ohne voreilige Schlüsse zu ziehen

Der Umsetzungszeitplan auf artificialintelligenceact.eu macht die Schichtstruktur sichtbar. Verschiedene Verpflichtungen traten zu unterschiedlichen Zeitpunkten nach der Veröffentlichung des Gesetzes in Kraft, und die Überarbeitung von 2026 veränderte einige dieser Intervalle, ohne andere zu berühren. Die Verbotsstufe war von Anfang an so konzipiert, dass sie am frühesten und strengsten gilt. Die Hochrisikostufe, die Systeme umfasst, die folgenreiche Entscheidungen über Personen in Bereichen wie Bildung und Beschäftigung treffen, ist der Bereich, in dem die Verschiebung gemäß Anhang III wirkt. Die Verpflichtungen für KI-Modelle mit allgemeinem Verwendungszweck befinden sich in einer eigenen Spur, die eigenen Dokumentations- und Transparenzanforderungen unterliegt.

Latham and Watkins veröffentlichten eine Analyse unter dem Titel „AI Act Update: EU Resolves to Change Rules and Extend Deadlines" und bestätigten damit, dass die EU sowohl Regeländerungen als auch Fristverlängerungen als Paket vorangetrieben hat. Der Titel selbst ist aufschlussreich: Regeländerungen zu beschließen und Fristen zu verlängern sind zwei separate Handlungen, die zufällig gemeinsam auf den Weg gebracht wurden. Die Verlängerung als einzige Neuigkeit aus diesem Paket zu behandeln, ist ein Lesefehler, keine Rechtsposition.

Für Compliance-Teams und die von ihnen unterstützten Entwickler ist die praktische Disziplin hier unkompliziert. Führen Sie zwei separate Prüfstränge. Ein Strang fragt: Welche unserer Systeme fallen unter die Hochrisikoeinstufungen nach Anhang III, und gilt die Verschiebung auf Dezember 2027 für unseren spezifischen Anwendungsfall? Der zweite Strang fragt: Fällt irgendetwas, das wir eingesetzt haben oder einzusetzen planen, nun in den Geltungsbereich der überarbeiteten verbotenen Praktiken? An die zweite Frage ist kein Aufschub geknüpft.

Was das für Bildungsplattform-Entwickler und Lernende bedeutet

Für alle, die KI im Bildungskontext entwickeln oder einsetzen, sind die Konsequenzen der Hochrisikoeinstufung konkret. Der risikobasierte Rahmen des Gesetzes, wie er auf den Seiten der Europäischen Kommission zur digitalen Strategie beschrieben wird, erfasst ausdrücklich KI-Systeme, die den Zugang zu Bildung und Ausbildung beeinflussen können. Das ist keine hypothetische Anwendung. Adaptive Lernsysteme, KI-gestützte Zulassungstools, automatisierte Bewertungsplattformen und personalisierte Inhaltsempfehlungsmaschinen liegen alle im Einflussbereich der Hochrisikostufe des Gesetzes – je nachdem, wie sie konzipiert und eingesetzt werden.

Die 16-monatige Verlängerung der Anhang-III-Verpflichtungen schafft echten Planungsspielraum für Teams, die Konformitätsbewertungsprozesse, technische Dokumentation und Mechanismen zur menschlichen Aufsicht aufbauen müssen. Diesen Spielraum sollte man bewusst nutzen, anstatt ihn als Puffer zu verwalten. Die Organisationen, die bis Dezember 2027 am besten aufgestellt sein werden, sind jene, die die Verlängerung genutzt haben, um eine belastbare Compliance-Infrastruktur aufzubauen – nicht jene, die „Verlängerung" als „keine Dringlichkeit bis Ende 2027" interpretierten.

Für Lernende und Lehrende, die mit KI-Tools arbeiten, lautet der nützlichste Rahmen schlicht: Bewusstsein. Die Regulierung, die regelt, ob Ihre KI-gestützte Lernplattform ordnungsgemäß bewertet und dokumentiert wurde, ist aktiv, konkret und wird durch ein Regime durchgesetzt, das noch in Echtzeit geformt wird. Die Anhang-III-Umsetzungsfrist im Blick zu behalten, weitere Überarbeitungen der Liste verbotener Praktiken zu verfolgen und zu beobachten, wie nationale Marktüberwachungsbehörden in den EU-Mitgliedstaaten mit der Umsetzung der Durchsetzung beginnen – das sind die drei Entwicklungen, die es von hier aus zu verfolgen lohnt. Die fortlaufenden Briefings des Covington-Teams auf Inside Privacy und Global Policy Watch sowie der auf artificialintelligenceact.eu gepflegte Umsetzungszeitplan sind die zuverlässigsten Orte, um diese Entwicklung zu verfolgen, während sie sich entfaltet.