EU AI Act: Compliance-first treibt Umbau von KI-Stacks bis August 2026

Seit dem 2. August 2025 sind die Sanktionsmechanismen des EU AI Act wirksam – mit Bußgeldern bis 35 Mio. Euro oder 7 % des weltweiten Umsatzes. Die Folge: Unternehmen verlagern ihre KI-Strategien auf Compliance-first und bauen Governance, Metriken und Lieferkettenkontrollen bis August 2026 um, um Hochrisiko-Pflichten fristgerecht zu erfüllen.

Der Marktrahmen ist klar abgesteckt: Verbotene Praktiken gelten seit Februar 2025, GPAI-Verpflichtungen greifen seit August 2025, nationale Aufsichtsstrukturen sind etabliert. Hinzu kommt die Pflicht zur KI-Kompetenz für relevante Mitarbeitende seit Februar 2025. Für Enterprise-Adoption heißt das: Kein Scale ohne belastbare Nachweise zu Daten, Modellen und Betrieb.

Was bedeutet das für den EU AI Act? Konkrete Fristen und Pflichten

Der AI Act klassifiziert KI nach Risikostufen und verankert harte Fristen. Seit dem 2. Februar 2025 sind unannehmbare Anwendungen – etwa Social Scoring oder biometrische Echtzeit-Fernidentifizierung – untersagt. Ab dem 2. August 2025 sind Strafen wirksam; Verstöße gegen verbotene Praktiken können mit bis zu 35 Mio. Euro oder 7 % des weltweiten Umsatzes belegt werden, Verstöße gegen Hochrisiko-Pflichten mit bis zu 15 Mio. Euro oder 3 %, Dokumentationsmängel mit bis zu 7,5 Mio. Euro oder 1 % (jeweils der höhere Betrag) (Artikel 99 AI Act).

Verpflichtungen für General-Purpose-AI-Modelle (GPAI) – u. a. Dokumentation, Urheberrechts-Compliance und Transparenz – gelten seit dem 2. August 2025; das Europäische Amt für KI hat am 10. Juli 2025 zugehörige Verhaltenskodizes finalisiert (it-daily.net). Für bestehende Modelle läuft eine Übergangsfrist bis August 2027. Mitgliedstaaten mussten bis August 2025 zuständige Behörden benennen (SD Worx).

Compliance-Landkarte im Enterprise-Stack

Für C-Level ist die entscheidende Bewegung: Hochrisiko-Anwendungen (z. B. in HR, Kredit, kritischen Infrastrukturen) werden ab August 2026 nur tragfähig, wenn Governance-Elemente nachweislich implementiert sind. Praktisch bedeutet das:

- Risikomanagement über den gesamten Lebenszyklus, inklusive systematischer Tests, Validierung und Monitoring.
- Daten- und Modell-Governance mit Herkunftsnachweisen, Bias-Analysen und Logging.
- Technische Dokumentation und Konformitätsnachweise, inklusive Gebrauchsanweisungen und menschlicher Aufsicht.
- Post-Market-Monitoring und Incident-Handling mit Meldewegen zur Aufsicht.

Diese Anforderungen greifen durch bis in MLOps-Pipelines: Versionierung von Datensätzen, Evaluationsmetriken, Red-Teaming-Protokolle, Audit-Trails und ein klarer Nachweis menschlicher Kontrolle werden zu Beschaffungs- und Auditkriterien. Die Folge ist eine Priorisierung von Messbarkeit und Nachvollziehbarkeit vor Modell-Performance – eine klassische Verschiebung von „Move fast“ zu regulierter Skalierung.

Maßnahmenkatalog: Was Unternehmen jetzt umsetzen

Unternehmen, die 2026/2027 keine Compliance-Schulden riskieren wollen, standardisieren aktuell fünf Arbeitspakete:

• Use-Case-Tiering: Systematische Einordnung aller KI-Anwendungen nach AI-Act-Risiko, Mapping zu Pflichten und Verantwortlichkeiten.
• Model & Data Inventory: Vollständiges Verzeichnis eingesetzter Modelle, Datensätze, Prompts/Agenten und externer Services; Versionierung und Freigabeprozesse.
• GPAI-Vendor-Due-Diligence: Fragebögen zu Trainingsdaten, Urheberrecht, Evaluierungen, Red-Teaming, Content-Provenance (z. B. C2PA-Signaturen), Support für technische Dokumentation.
• Controls im Betrieb: Guardrails (z. B. Retrieval-Restriktionen), Output-Filter, Mensch-in-der-Schleife, Monitoring von Fehlerraten, Logging und Alarmierung.
• KI-Kompetenz und Prozesse: Trainingsprogramme für relevante Rollen (u. a. HR), klare Prozesse für Einwilligungen, Betroffenenrechte und Erklärungen im Zusammenspiel mit DSGVO.

Gerade im HR-Kontext kollidieren KI-Risiken mit Datenschutz- und Arbeitsrecht. Art. 22 DSGVO begrenzt automatisierte Einzelentscheidungen ohne menschliche Prüfung; für Hochrisiko-HR-KI sind zusätzliche Governance- und Dokumentationspflichten zu erwarten. Orientierung und Umsetzungshilfen liefern Industrie- und Handelskammern (IHK München).

GPAI und Lieferketten-Druck

Die GPAI-Regeln verschieben Verantwortung in die Lieferkette. Beschaffer verlangen von Modell- und Plattformanbietern strukturierte Transparenz (Datenquellen, Urheberrechts-Compliance, Evaluationsberichte), Zusicherungen zur Haftung sowie Mitwirkung bei Konformitätsunterlagen. Der Druck steigt, weil seit August 2025 GPAI-Verpflichtungen gelten und die Praxis durch Kodizes konkretisiert ist (it-daily.net).

Für die Praxis heißt das: Vertragsanlagen mit Audit- und Informationsrechten, Vorgaben zur Kennzeichnung und Herkunftssicherung generierter Inhalte, dokumentierte Red-Teaming-Ergebnisse sowie Zusagen zu Sicherheitsupdates. Anbieter, die keine belastbaren Nachweise liefern, fallen aus Shortlists – unabhängig von Modellqualität oder Preis.

So What? Prioritäten für das Management 2026

Strategisch verschiebt der AI Act die Wertschöpfung: Differenzierung entsteht weniger über rohe Modellleistung als über prüffähige, rechtskonforme Betriebsprozesse. Wer bis August 2026 Hochrisiko-KI produktiv fahren will, braucht heute Budget für Risk & Compliance Engineering, ein zentrales KI-Risikoregister, eine GPAI-Lieferantenstrategie und klare Verantwortlichkeiten. Ohne diese Bausteine drohen Verzögerungen in kritischen Use Cases – oder Bußgelder in Millionenhöhe. Für Vorstände ist das ein Governance-Thema, kein IT-Detail.

Fazit: Jetzt Compliance-Fähigkeiten skalieren – nicht nur Modelle

Entscheider sollten 2026 drei Punkte sichern: Erstens ein verbindliches Use-Case-Tiering und ein vollständiges Inventory aller KI-Komponenten. Zweitens belastbare Kontrollen in Daten-, Modell- und Betriebsprozessen inklusive Audit-Trails, Red-Teaming und Mensch-in-der-Schleife. Drittens eine GPAI-Lieferkettenstrategie mit harten Vertragsanhängen zu Transparenz, IP und Sicherheit. Der AI Act macht fehlende Nachweise teuer – bis zu 35 Mio. Euro oder 7 % Umsatz bei Verboten und bis zu 15 Mio. Euro oder 3 % bei Hochrisiko-Verstößen (Artikel 99 AI Act). Wer jetzt investiert, hält Zeitpläne – und schützt die Lizenz zum Operieren im EU-Markt.