EU-KI-Gesetz: Brüssel verschiebt zentrale Fristen bis 2027

Die Europäische Kommission rudert zurück: Kernbestimmungen des KI-Gesetzes für Hochrisiko-Systeme könnten erst Ende 2027 greifen. Während Unternehmen aufatmen, herrscht bei der bereits gültigen „KI-Kompetenzpflicht” weiter Verwirrung.

Was bedeutet das für die deutsche Wirtschaft? Die diese Woche angekündigte Verschiebung verschafft Tausenden Firmen Luft – doch die Schulungspflicht für Mitarbeiter gilt bereits seit Februar. Ein Spagat zwischen Pragmatismus und Rechtssicherheit.

Am Donnerstag präsentierte die Kommission ihr „Paket zur digitalen Vereinfachung”. Kernstück: Die Durchsetzung der Vorschriften für Hochrisiko-KI-Systeme soll auf den 2. Dezember 2027 verschoben werden – bei Systemen unter anderen EU-Harmonisierungsgesetzen womöglich sogar bis August 2028. Ursprünglich war Mitte 2026 als Stichtag geplant.

Die Botschaft aus Brüssel ist unmissverständlich: Die Industrie hat erfolgreich Alarm geschlagen. Das im Gesetz verankerte Risikomodell stuft KI-Anwendungen in vier Kategorien ein – von unannehmbarem Risiko bis minimal. Wer unter „Hochrisiko” fällt – etwa Systeme für Personalentscheidungen, kritische Infrastruktur oder Kreditvergabe –, muss aufwendige Konformitätsprüfungen durchlaufen.

Passend zum Thema KI-Regulierung: Viele Unternehmen unterschätzen die Anforderungen der EU‑KI‑Verordnung – insbesondere die korrekte Klassifizierung von Hochrisiko‑Systemen und die lückenlose Dokumentation. Seit August 2024 gelten bereits Pflichten zu Kennzeichnung, Risikoklassen und Nachweisdokumentation. Unser kostenloser Umsetzungsleitfaden erklärt Schritt für Schritt, wie Sie Klassifizierung, Nachweisdokumente und Übergangsfristen richtig handhaben, Haftungsrisiken minimieren und interne Prozesse anpassen. Ideal für Compliance‑Verantwortliche und Entwickler. Jetzt kostenlosen KI-Umsetzungsleitfaden herunterladen

Kann die EU-Regulierung überhaupt mit dem Tempo der Technologie mithalten? Die jüngsten Änderungsvorschläge deuten auf Zweifel hin. Besonders kleine und mittlere Unternehmen sollen entlastet werden:

• Wegfall der Registrierungspflicht für Anbieter, die ihre Annex-III-Systeme selbst als „nicht hochriskant” einstufen
• Vereinfachte Qualitätsmanagement-Vorgaben für Start-ups
• Bevorzugter Zugang zu Regulierungs-Sandboxen für kleinere Betriebe

Die seit Februar 2025 geltenden Verbote für KI mit „unannehmbarem Risiko” bleiben unangetastet. Doch der Aufschub bei Hochrisiko-Systemen verschafft Unternehmen Zeit, ihre Algorithmen zu prüfen – ein willkommener Aufschub angesichts des Mangels an zertifizierten Prüfstellen.

Die KI-Kompetenzpflicht: Gilt bereits, bleibt aber diffus

Während über künftige Fristen debattiert wird, ist Artikel 4 längst Realität. Seit dem 2. Februar 2025 müssen Anbieter und Betreiber sicherstellen, dass ihre Mitarbeiter über „ausreichende KI-Kompetenz” verfügen. Neun Monate später zeigt sich: Die Umsetzung verläuft holprig.

Ein Bericht der Frankfurter Allgemeinen Zeitung vom 21. November macht deutlich: Die Anforderungen bleiben „recht vage”. Weder gibt es detaillierte Dokumentationspflichten noch direkte Bußgelder für fehlende Schulungen. Die Folge? Großkonzerne richten aufwendige „KI-Akademien” ein, während mittelständische Betriebe ratlos bleiben.

Was heißt „ausreichend”? Artikel 4 verlangt, dass Schulungen sich an folgenden Faktoren orientieren:

• Technischem Wissensstand der Belegschaft
• Einsatzkontext der KI-Systeme
• Betroffenen Personengruppen

Rechtsexperten warnen allerdings: Zwar drohen keine isolierten Strafen für Schulungslücken, doch fehlende Nachweise könnten bei Schadensfällen zum Bumerang werden. Die Kommission signalisierte diese Woche, mehr Verantwortung auf Mitgliedstaaten zu verlagern – die Grundpflicht für Unternehmen bleibt jedoch bestehen.

Allzweck-KI: Sommervorgaben treffen auf Vereinfachungsdruck

Der aktuelle Kurswechsel kommt nur Monate nach umfangreichen Leitlinien. Im Juli 2025 veröffentlichte die Kommission den Code of Practice für Allzweck-KI (GPAI) – gedacht als Orientierungshilfe für Verpflichtungen, die seit 2. August 2025 gelten.

Die Sommervorgaben definierten die Schwelle für „systemische Risiken” (Modelle mit kumulativer Rechenleistung über 10²⁵ FLOPs) und konkretisierten Transparenzregeln. Doch der November-Vorstoß deutet an: Selbst diese frisch zementierten Rahmen könnten aufgeweicht werden, um Innovation nicht abzuwürgen.

Der am 10. Juli finalisierte GPAI-Kodex bleibt das zentrale Instrument. Er regelt:

• Transparenz: Dokumentation für nachgelagerte Anbieter
• Urheberrecht: Richtlinien zur Einhaltung des EU-Urheberrechts
• Systemische Risiken: Bewertung und Eindämmung bei leistungsstärksten Modellen

Die Spannung zwischen den rigorosen Sommer-Anforderungen und der aktuellen „Vereinfachungs”-Initiative offenbart ein Dilemma: Unternehmen, die das dritte Quartal 2025 mit der Anpassung an den GPAI-Kodex verbrachten, fragen sich nun, ob der Hochrisiko-Aufschub auch Allzweck-Modelle erfasst.

Zwischen Erleichterung und Rechtsunsicherheit

Die Reaktion der Wirtschaft fällt verhalten positiv aus. Europäische Tech-Verbände hatten die 2026er-Frist als unrealistisch kritisiert – zu wenige zertifizierte Prüfstellen, zu komplexe Anforderungen. Für Datenschutzbeauftragte und Compliance-Manager bringt die Nachricht dennoch Komplexität.

Sofortmaßnahmen unumgänglich: Die KI-Kompetenzpflicht nach Artikel 4 ist verbindlich. Unternehmen können nicht auf den Abschluss des Gesetzgebungsverfahrens warten. Die von der FAZ zitierte „Vagheit” ist zweischneidig: Sie erlaubt Flexibilität, erhöht aber das Haftungsrisiko bei Vorfällen.

Strategische Atempause? Bei Hochrisiko-Systemen deutet die mögliche Verlängerung bis Ende 2027 auf mehr Zeit für Tests in Regulierungs-Sandboxen hin.

Rechtsexperten mahnen zur Wachsamkeit. Selbst wenn die Hochrisiko-Frist verschoben wird: Die Grundpflicht, eingesetzte Tools zu verstehen und verbotene KI zu meiden, bleibt durchsetzbar.

Zwei-Geschwindigkeiten-Strategie

Der Kommissionsvorschlag muss noch Parlament und Rat passieren. Angesichts des politischen Klimas – Stichwort Wettbewerbsfähigkeit und Bürokratieabbau – erwarten Analysten eine zügige Verabschiedung, möglicherweise Anfang 2026.

Bis dahin empfiehlt sich ein zweigleisiges Vorgehen:

1. Sofort-Compliance: Vollständige Umsetzung von Artikel 4 (Kompetenz) und Artikel 5 (Verbote). Alle KI-nutzenden Mitarbeiter benötigen dokumentierte Schulungen.
2. Strategische Planung: Vorbereitung auf Hochrisiko-Konformitätsbewertungen bei gleichzeitiger Anpassung von Projekt-Roadmaps an die wahrscheinliche Verschiebung bis Dezember 2027.

Das EU-KI-Gesetz befindet sich auch nach seinem Inkrafttreten im Fluss. Die Botschaft dieser Woche aus Brüssel lautet: Das Ziel – sichere, vertrauenswürdige KI – bleibt unverändert. Doch der Weg dorthin wird neu vermessen.

PS: Sie wollen die KI‑Pflichten in Ihrem Unternehmen schnell und rechtssicher umsetzen? Das Gratis‑E‑Book zur EU‑KI‑Verordnung fasst Anforderungen, Dokumentationspflichten und Übergangsfristen kompakt zusammen und enthält praktische Checklisten für Klassifizierung, Nachweise und interne Schulungen – ideal, um die KI‑Kompetenzpflicht nach Artikel 4 zu erfüllen. Schnell herunterladen und sofort mit der Umsetzung beginnen. Jetzt Leitfaden anfordern