EU-KI-Verordnung: Brüssel verschiebt Compliance-Pflichten bis Standards fertig sind

Brüssel/Berlin — Die Europäische Kommission dreht am Zeitplan der KI-Verordnung: Unternehmen sollen erst dann zur Einhaltung strenger Regeln verpflichtet werden, wenn die dafür nötigen technischen Standards tatsächlich vorliegen. Das geht aus dem heute diskutierten “Digital Omnibus”-Paket hervor. Parallel prescht Deutschland mit einem nationalen Umsetzungsgesetz vor – die Bundesnetzagentur wird zur zentralen KI-Aufsicht.

Die Frage dahinter: Kann man Compliance verlangen, bevor klar ist, wie sie technisch überhaupt aussehen soll?

Am vergangenen Freitag stellte die Kommission ihren Plan vor: Die ursprünglich für August 2026 und August 2027 vorgesehenen Fristen für Hochrisiko-KI-Systeme werden faktisch ausgesetzt. Stattdessen greift eine neue Regelung – 16 Monate nach Veröffentlichung der harmonisierten Standards durch die Kommission beginnt die Pflicht zur Einhaltung.

Rechtsexperten der Kanzlei White & Case sprechen von einem Paradigmenwechsel: Aus festen Terminen werden “bereitschaftsabhängige” Fristen. Die Logik dahinter ist einfach – Unternehmen sollen nicht gezwungen sein, komplexe Sicherheitsanforderungen zu erfüllen, bevor überhaupt klar ist, wie die technischen Spezifikationen konkret aussehen.

Passend zum Thema KI-Verordnung: Seit August 2024 gelten neue KI-Regeln — viele Unternehmen sind unsicher, welche Pflichten jetzt wirklich gelten und wie die Fristen mit den harmonisierten Standards zusammenspielen. Unser kostenloser Umsetzungsleitfaden erklärt verständlich Risikoklassen, Kennzeichnungspflichten, Dokumentationspflichten und die relevanten Übergangsfristen (inkl. GPAI-Code). Mit praktischen Checklisten, Mustervorlagen und konkreten Handlungsempfehlungen für Entwickler, Anbieter und Compliance-Verantwortliche. Jetzt kostenlosen KI-Umsetzungsleitfaden herunterladen

Die Kommission begründet den Schritt mit dem Ziel, die Umsetzung “klar, einfach und innovationsfreundlich” zu gestalten. Besonders kleine und mittlere Unternehmen bräuchten die richtigen Werkzeuge, heißt es aus Brüssel.

Bundesnetzagentur übernimmt das Ruder

Während in Brüssel noch an den Details gefeilt wird, macht Deutschland Tempo bei der nationalen Umsetzung. Nachdem Berlin die EU-Frist vom 2. August 2025 zur Benennung der zuständigen Behörden verpasst hatte, liegt nun der Entwurf des KI-Marktüberwachungs- und Innovationsförderungsgesetzes (KI-MIG) vor.

Die Bundesnetzagentur wird darin als zentrale Marktaufsicht und “Single Point of Contact” für das Europäische KI-Büro bestimmt. Eine Parallelentwicklung – auch beim kürzlich aktualisierten Entwurf zum deutschen Datengesetz ist die BNetzA als federführende Aufsicht vorgesehen.

Innerhalb der Bundesnetzagentur entsteht zudem ein “Koordinierungs- und Kompetenzzentrum” (KoKIVO), das Fachwissen bündeln und kleinere Akteure unterstützen soll. Branchenbeobachter rechnen damit, dass das Gesetz in den kommenden Monaten verabschiedet wird – auch um einem EU-Vertragsverletzungsverfahren zuvorzukommen. Die BNetzA bereitet bereits einen “KI-Service-Desk” vor, der Entwickler und Anwender bei Fragen unterstützen soll.

Für KI-Modelle gilt bereits Realität

Anders als bei Hochrisiko-Systemen ist für Anbieter von General-Purpose-AI-Modellen (GPAI) die Schonfrist vorbei. Die Regeln traten am 2. August 2025 in Kraft. Maßstab für die Compliance ist der GPAI Code of Practice, dessen finale Fassung im Juli 2025 veröffentlicht wurde.

Der von unabhängigen Experten und dem KI-Büro entwickelte Kodex dient als Hauptinstrument, um die Transparenz- und Sicherheitspflichten der KI-Verordnung nachzuweisen. Zwar formal freiwillig, schafft die Einhaltung eine “Konformitätsvermutung” – für große Player wie OpenAI oder Google de facto ein Muss, wenn sie im EU-Markt aktiv bleiben wollen.

Das KI-Büro hat Ende November zudem ein Whistleblower-Tool gestartet, über das Verstöße vertraulich gemeldet werden können. Ein klares Signal: Die Phase der Vorbereitung ist vorbei, jetzt beginnt die aktive Durchsetzung.

Wirtschaft jubelt, Datenschützer warnen

Die Reaktionen auf den neuen Zeitplan fallen erwartungsgemäß gespalten aus. Industrieverbände zeigen sich erleichtert. Wie ein Bericht von SwissInfo vom 6. Dezember zeigt, hatten europäische Großkonzerne wie Airbus und Lufthansa zuvor massiv auf eine Verschiebung gedrängt – aus Sorge, die Regulierung könnte Innovation abwürgen. Die Kommission scheint diesen “Do-Business”-Appell erhört zu haben.

Auf der anderen Seite warnen Bürgerrechtsorganisationen vor einer Schutzlücke. Der österreichische Datenschutzaktivist Max Schrems, zitiert im SwissInfo-Bericht, bezeichnete die Deregulierungswelle als “größten Angriff auf die digitalen Rechte europäischer Bürger seit Jahren”.

Was kommt jetzt?

Die nächsten Wochen werden entscheidend: Europaparlament und Rat müssen den Digital-Omnibus-Vorschlag prüfen. Sollte die “16-Monate-Regel” kommen, könnte die volle Anwendung der Hochrisiko-Pflichten je nach Fortschritt der Normungsgremien wie CEN-CENELEC erst 2027 oder 2028 greifen.

Für deutsche Unternehmen bleibt zunächst das KI-MIG im Fokus. Die Bundesnetzagentur dürfte Anfang 2026 ihre Aufsichtsbefugnisse übernehmen. Rechtsexperten raten, sich weiter am GPAI Code of Practice zu orientieren und die Ankündigungen der BNetzA zum neuen Service-Desk genau zu verfolgen.

Doch was bedeutet das konkret für Entwickler von Hochrisiko-Systemen? Sie haben womöglich mehr Zeit gewonnen – aber nur, wenn die Standards tatsächlich kommen. Ob das die Innovation fördert oder nur Unsicherheit verlängert, bleibt offen.

PS: Sie entwickeln KI‑Modelle oder verantworten den Einsatz in Ihrem Unternehmen? Das Gratis‑E‑Book “KI-Verordnung — Umsetzungsleitfaden” fasst kompakt zusammen, welche Anforderungen gelten, wie Sie Ihre Systeme richtig klassifizieren und welche Nachweise prüfende Stellen erwarten. Enthalten sind eine GPAI-Checkliste, Hinweise zur Zusammenarbeit mit der Bundesnetzagentur und Praxistipps zur Vorbereitung auf Audits. Vermeiden Sie Bußgelder und Rechtsunsicherheiten. Jetzt kostenloses KI-Umsetzungs‑E‑Book sichern