Ein Jahr EU AI Act

Ein Jahr nach Inkrafttreten des EU AI Acts zeigt sich: Die Weichen sind gestellt, aber für Unternehmen bleibt der Handlungsdruck hoch. Bereits seit Februar 2025 greifen erste Verbote von KI-Systemen mit unzulässigen Risiken, sowie Pflichten zur Förderung der KI-Kompetenz. Seit dem 2. August 2025 gelten darüber hinaus die speziellen Vorschriften für General Purpose AI (GPAI) Modelle, sowie die organisatorischen Regeln zu Governance-Strukturen auf EU-Ebene. Begleitet wird der Prozess vom neu geschaffenen European AI Office, das die Umsetzung koordiniert, Richtlinien veröffentlicht und Sanktionen verhängen kann. Die Mitgliedstaaten ernennen derweil ihre Aufsichtsbehörden. In Deutschland wird die Bundesnetzagentur die Rolle der Marktüberwachungsbehörde übernehmen und als Anlaufstelle für Unternehmen fungieren.

Das wichtigste Datum in der EU AI Act Timeline steht jedoch noch bevor: am 2. August 2026 treten nahezu alle verbleibenden Artikel des Gesetzes in Kraft, einschließlich der Pflichten für Hochrisiko-KI-Systeme wie umfassende Risikomanagementprozesse, Dokumentationsanforderungen und verpflichtende Konformitätsbewertungen. Dies bedeutet für Unternehmen, dass sie spätestens bis zu diesem Stichtag ihre Governance-Strukturen vollständig implementiert haben müssen.

Unser Ziel bei TRUSTEQ ist es, Organisationen frühzeitig auf die allgemeinen Anforderungen des EU AI Acts vorzubereiten und sie zuverlässig bei der praktischen Umsetzung zu begleiten.

Hohe Komplexität, offene Fragen und knappe Zeit – warum der EU AI Act Unternehmen fordert

Trotz erster Fortschritte gibt es noch zahlreiche offene Fragen, die die Umsetzung des EU AI Acts erschweren. Die neuen Vorgaben bei bestehenden Prozessen und Strukturen umzusetzen, stellt Unternehmen vor große Herausforderungen. Gerade bei Hochrisiko-Systemen müssen Unternehmen oft erheblich nachrüsten - sei es bei Dokumentation, Sicherheitstests oder der Qualitätssicherung. Dass die Europäische Kommission bislang nur unzureichende Leitlinien und technische Standards veröffentlicht hat, erschwert die Compliance zusätzlich.

Der Weg bis 2026 bleibt also anspruchsvoll – nicht nur juristisch, sondern auch organisatorisch und technisch. Vor diesem Hintergrund ist es wenig überraschend, dass Unternehmen immer lauter eine Verschiebung der Fristen forderten. Mehr als 40 große europäische Konzerne haben sich in einem offenen Brief an die EU gewandt und eine zweijährige Verlängerung der Übergangsfristen gefordert. Sie argumentierten, dass die aktuelle regulatorische Unsicherheit und der fehlende Praxisbezug die Innovationskraft gefährden und Wettbewerbsnachteile gegenüber nicht-europäischen Anbietern erzeugen könnte. Die Europäische Kommission zeigte sich davon jedoch unbeeindruckt und hält am aktuellen Zeitplan fest, die allgemeine Gültigkeit des EU AI Act im August 2026 bestehen zu lassen (siehe hierzu EU-Kommission).

Bis August 2026 nachhaltige KI-Governance einführen

Im Anschluss an die bereits in diesem Jahr zu erfüllenden ersten Fristen, müssen die konkreten Anforderungen auch weiterhin aktiv umgesetzt werden, um die Frist im August 2026 nicht zu verpassen und hohe Strafen zu umgehen.

Wir bei TRUSTEQ haben im vergangenen Jahr umfangreiche Expertise in der Umsetzung des EU AI Acts aufgebaut. In vertrauensvoller Partnerschaft unterstützen wir Unternehmen dabei, nicht nur Vorgaben fix umzusetzen, sondern eine breite KI-Governance Strategie aufzubauen. Am Anfang dieses Prozesses stehen folgende sechs Schritte:

1. KI-Inventar aufbauen: Vollständige Erfassung aller eingesetzten und entwickelten KI-Systeme im Unternehmen, um Transparenz über den KI-Bestand zu schaffen.
2. KI-Systeme in die Risikoklassen des EU AI Acts einordnen: Jedes KI-System muss systematisch geprüft und in eine der Kategorien (verboten, hohes Risiko, begrenztes Risiko, minimales Risiko) eingeordnet werden. Zudem muss überprüft werden, ob es sich um ein GPAI-Modell handelt.
3. Rolle nach EU AI Act bestimmen: Unternehmen müssen klären, ob sie in Bezug auf KI-Systeme als Anbieter, Importeur, Händler oder Nutzer gelten.
4. Pflichten ableiten: Aus Risikoklasse und Rolle ergeben sich konkrete Pflichten – etwa Dokumentation, Transparenzhinweise, Qualitätsmanagement oder Konformitätsbewertungen.
5. Auf Behörden-Prüfung vorbereiten: Sämtliche Maßnahmen sollten revisionssicher dokumentiert werden, um bei einer Prüfung durch Behörden oder benannte Stellen belastbare Nachweise vorlegen zu können.
6. Kontinuierliches monitoren: KI-Systeme entwickeln sich weiter, Geschäftsmodelle ändern sich. Deshalb ist ein laufendes Monitoring erforderlich, um frühzeitig auf mögliche Änderungen in Risikoklasse oder Rolle reagieren zu können.