Die Verschiebung zentraler Anforderungen für Hochrisiko-KI hat die Umsetzungsplanung verändert, aber nicht zu einem allgemeinen Aufschub geführt. Mit dem Inkrafttreten des KI-Marktüberwachungs- und Innovationsförderungsgesetzes (KI-MIG) am 29. Juli 2026 und dem Beginn der Vollzugsbefugnisse für anwendbare Teile des AI Act am 2. August 2026 ist die praktische Lage konkreter geworden: Unternehmen müssen ihre Governance nicht nur an künftigen Fristen ausrichten, sondern auf nachvollziehbare Zuständigkeiten, Transparenzartefakte und belastbare Auskünfte vorbereiten.
Im Mittelpunkt steht damit nicht allein die Frage, wann ein KI-System als hochriskant behandelt werden muss. Ebenso relevant sind bereits geltende Transparenzpflichten, die Förderung von KI-Literacy, Anforderungen an Anbieter von General-Purpose-AI-Modellen (GPAI) sowie Informationsflüsse in der Lieferkette. Für deutsche Organisationen kommt eine hybride Aufsichtsarchitektur hinzu, in der die Bundesnetzagentur, sektorspezifische Stellen und das Koordinierungs- und Kompetenzzentrum für die KI-Verordnung (KoKIVO) unterschiedliche Rollen haben.
Vollzug ab August 2026: Die Roadmap braucht einen anderen Fokus
Die Verordnung (EU) 2026/1744 trat am 27. Juli 2026 in Kraft. Sie verschiebt die Anwendung der zentralen Hochrisiko-Anforderungen aus Kapitel III Abschnitte 1 bis 3: KI-Systeme nach Artikel 6 Absatz 2 und Anhang III fallen ab dem 2. Dezember 2027 darunter, Systeme nach Artikel 6 Absatz 1 und Anhang I ab dem 2. August 2028.
Diese Termine betreffen jedoch nicht sämtliche Regelungen des AI Act. Der AI Act gilt grundsätzlich seit dem 2. August 2026; die Europäische Kommission hat angekündigt, dass das AI Office gemeinsam mit nationalen Behörden ab diesem Zeitpunkt den Vollzug der anwendbaren Vorschriften aufnimmt. Die operative Planung sollte deshalb zwei getrennte Arbeitsstränge enthalten: den Aufbau der später benötigten Hochrisiko-Fähigkeiten und die sofortige Absicherung bereits anwendbarer Verpflichtungen.
Für das Management folgt daraus eine einfache, aber wichtige Konsequenz: Ein Verschieben von Inventarisierung, Rollenklärung, Dokumentation oder Lieferantennachweisen ist kein sachgerechter Ersatz für eine priorisierte Roadmap. Diese Grundlagen werden sowohl für aktuelle Transparenzpflichten als auch für spätere Klassifikations- und Konformitätsfragen benötigt.
Terminmatrix: Was gilt bereits, was ist verschoben?
Die Abgrenzung muss auf Ebene der einzelnen KI-Anwendung erfolgen. Die aufgeschobenen Hochrisiko-Pflichten sind von drei bereits relevanten Bereichen zu unterscheiden:
- Transparenz nach Artikel 50: Die Transparenzpflichten gelten seit dem 2. August 2026.
- KI-Literacy: Anbieter und Betreiber müssen bereits seit dem 2. Februar 2025 Maßnahmen zur Förderung von KI-Literacy treffen.
- GPAI-Modelle: Die Pflichten nach Kapitel V gelten seit dem 2. August 2025. Für GPAI-Modelle, die vor diesem Datum in Verkehr gebracht wurden, besteht eine Übergangsregel bis zum 2. August 2027.
Eine enge Ausnahme betrifft Systeme, die synthetische Inhalte erzeugen und vor dem 2. August 2026 in Verkehr gebracht wurden: Für die maschinenlesbare Kennzeichnung nach Artikel 50 Absatz 2 gilt eine Übergangsfrist bis zum 2. Dezember 2026. Daraus folgt keine allgemeine Übergangsfrist für andere Transparenzpflichten. Insbesondere die Information bei KI-Interaktion oder Betreiberpflichten zu Deepfakes sollten nicht pauschal zurückgestellt werden.
Artikel 50 praktisch umsetzen: Information, Kennzeichnung und Freigabe
Artikel 50 unterscheidet verschiedene Rollen und Nutzungssituationen. Anbieter bestimmter interaktiver KI-Systeme müssen natürliche Personen darüber informieren, dass sie mit KI interagieren, sofern dies nicht offensichtlich ist. Das betrifft etwa Chatbots und Assistenzsysteme mit direkter Nutzerinteraktion. Entscheidend ist nicht nur, ob ein Hinweis vorhanden ist, sondern ob dessen Gestaltung und Platzierung im konkreten Nutzungskontext überprüfbar begründet werden können.
Für Systeme einschließlich GPAI-Systemen, die synthetische Audio-, Bild-, Video- oder Textinhalte erzeugen, verlangt Artikel 50 Absatz 2 eine maschinenlesbare und detektierbare Kennzeichnung der künstlichen Erzeugung oder Manipulation. Betreiber von Emotions- oder biometrischen Kategorisierungssystemen müssen betroffene Personen informieren. Zusätzlich bestehen Offenlegungspflichten für Deepfakes und unter bestimmten Voraussetzungen für öffentlich im Interesse veröffentlichte KI-generierte oder manipulierte Texte. Für redaktionell verantwortete und menschlich geprüfte Texte enthält der AI Act eine gesetzliche Ausnahme.
Die von der Kommission veröffentlichten Leitlinien zu Transparenzpflichten sind keine verbindlichen Rechtsakte. Sie können jedoch bei einer konsistenten und verhältnismäßigen Umsetzung unterstützen. Organisationen sollten daraus keine pauschalen Standardlösungen ableiten, sondern pro Anwendungsfall dokumentieren, welche Pflicht einschlägig ist, wer sie erfüllt und wie ihre Umsetzung kontrolliert wird.
Als Nachweisobjekte bieten sich insbesondere an:
- eine Beschreibung der Nutzerinformation für interaktive Systeme einschließlich Freigabe und Versionsstand,
- technische Angaben zur Kennzeichnungsfunktion generativer Systeme,
- ein Freigabeprozess für Deepfakes und öffentliche KI-generierte Inhalte,
- eine dokumentierte Entscheidung, wenn eine Ausnahme in Anspruch genommen wird,
- Verantwortlichkeiten zwischen Produkt, Kommunikation, Marketing, IT und Compliance.
KI-Literacy als steuerbarer Governance-Prozess
Die Pflicht zur Förderung von KI-Literacy verlangt Maßnahmen für Beschäftigte und weitere Personen, die im Auftrag eines Unternehmens KI-Systeme betreiben oder nutzen. Zu berücksichtigen sind technische Kenntnisse, Erfahrung, Ausbildung, Trainingsstand, Nutzungskontext und die betroffenen Personengruppen. Die Regelung verlangt nach der geänderten Fassung nicht, ein bestimmtes individuelles Kompetenzniveau zu garantieren.
In der Praxis sollte KI-Literacy daher nicht auf ein einheitliches Basistraining reduziert werden. Ein risikoorientiertes Konzept verbindet Rollen und Anwendungsfälle: Wer Systeme beschafft, konfiguriert, Ergebnisse fachlich bewertet, Inhalte veröffentlicht oder Entscheidungen eskaliert, benötigt unterschiedliche Kenntnisse. Nachweisbar werden sollte nicht nur die Teilnahme, sondern auch die Zuordnung von Trainingsinhalten zu Rolle, System und Entscheidungssituation. Ergänzend sind Eskalationswege und Wirksamkeitskontrollen sinnvoll, etwa wenn Beschäftigte fehlerhafte, irreführende oder nicht ausreichend gekennzeichnete KI-Ausgaben erkennen.
GPAI und Lieferkette: Informationsflüsse gezielt steuern
Für Anbieter von GPAI-Modellen gelten eigenständige Pflichten. Dazu gehören aktuelle technische Dokumentation, Informationen für nachgelagerte Anbieter von KI-Systemen, eine Copyright-Policy und eine öffentliche Zusammenfassung der Trainingsinhalte. Diese Pflichten sind nicht mit den verschobenen Anforderungen für Hochrisiko-KI gleichzusetzen.
Unternehmen, die Modelle lediglich beziehen oder in eigene Anwendungen integrieren, übernehmen dadurch nicht automatisch die Rolle eines GPAI-Modellanbieters. Sie benötigen aber belastbare Informationswege, um eigene Transparenz-, Produkt- und Risikopflichten erfüllen zu können. Pauschale Lieferantenfragebögen reichen dafür oft nicht aus. Zweckmäßiger ist eine rollenbezogene Steuerung zwischen Modellanbieter, KI-Systemanbieter, Integrator, Distributor und Betreiber.
Beschaffungsunterlagen und Verträge können Informationsbereitstellung, Änderungsmitteilungen, Kennzeichnungsfunktionen, Zugriff auf relevante Dokumentation, Audit- und Mitwirkungspflichten sowie Incident- und Eskalationswege abdecken. Das KI-Inventar sollte deshalb neben der Risikoklasse auch Rolle, Modell, Anbieter, Output-Arten, betroffene Personen, Nutzungszweck und interne Verantwortung ausweisen.
Deutsche Aufsichtsarchitektur: Zuständigkeit je Use Case klären
Das KI-MIG bildet seit dem 29. Juli 2026 den nationalen Durchführungsrahmen. Es bestimmt die Bundesnetzagentur grundsätzlich als Marktüberwachungsbehörde und zentrale Anlaufstelle. Diese Grundzuständigkeit ersetzt jedoch nicht alle sektoralen und produktbezogenen Zuständigkeiten: Für KI-Systeme mit Bezug zu einschlägigen Harmonisierungsrechtsvorschriften bleiben die zuständigen Produktmarktüberwachungsbehörden eingebunden. Bei bestimmten KI-Systemen im Zusammenhang mit regulierten Finanztätigkeiten ist die BaFin zuständig.
Die Bundesnetzagentur beschreibt diesen Ansatz als hybride Architektur mit zentraler Koordinierung auf Bundesebene in nicht regulierten Produktbereichen und fortbestehender Bedeutung etablierter Fachaufsichten, unter anderem in Finanz- und Medienbereichen. Das bei ihr angesiedelte KoKIVO unterstützt zuständige Stellen bei komplexen Entscheidungen, koordiniert Zusammenarbeit und soll zu einer einheitlichen Beantwortung horizontaler Rechtsfragen beitragen. Es ist keine alleinige Unternehmensaufsicht und kein Ersatz für Fachaufsichten.
Unternehmen sollten daher pro Use Case ein Behörden-Mapping führen. Es sollte Produktbezug, Sektor, eigene Rolle, mögliche Ansprechpartner und einen internen Prozess für Anfragen, Beschwerden und behördliche Informationsersuchen abbilden.
Prioritäten für die nächsten 90 Tage
- Inventar schärfen: KI-Anwendungsfälle nach Rolle, Transparenzsachverhalt, Modell, Output und Sektor erfassen.
- Artikel-50-Gaps schließen: Nutzerinformationen, Kennzeichnung und Veröffentlichungsfreigaben technisch und organisatorisch prüfen.
- Verantwortungen festlegen: Eine verbindliche Matrix für Produkt, Betrieb, Kommunikation, Compliance und Beschaffung etablieren.
- KI-Literacy nachweisbar organisieren: Rollenspezifische Inhalte, Teilnahme, Eskalation und Wirksamkeit zusammenführen.
- Lieferkette und Aufsicht abbilden: Informations- und Änderungswege mit Lieferanten sowie Behörden-Mapping je Use Case dokumentieren.
Die verschobenen Hochrisiko-Termine eröffnen Zeit für einen strukturierten Aufbau. Sie ändern aber nichts daran, dass Transparenz, KI-Literacy, GPAI-bezogene Informationsflüsse und eine belastbare Zuständigkeitsarchitektur bereits jetzt Teil einer prüfbaren KI-Governance sein sollten.