EU AI Act 2026: Der komplette Fristen- und Umsetzungs-Leitfaden für Unternehmen

Was ist der EU AI Act? (Stand: August 2026)

Der EU AI Act ist das weltweit erste umfassende Gesetz zur Regulierung Künstlicher Intelligenz.

Als Verordnung (EU) 2024/1689 gilt er seit dem 1. August 2024 unmittelbar in allen Mitgliedstaaten – ohne nationales Umsetzungsgesetz. Er ordnet KI-Systeme nach Risiko ein und knüpft daran abgestufte Pflichten. Für Unternehmen in der DACH-Region bedeutet das: Wer KI in der EU anbietet oder betreibt, ist erfasst, unabhängig vom Firmensitz (Europäische Kommission).

Die Systematik folgt vier Risikostufen. Verbotene Praktiken (etwa Social Scoring) sind untersagt. Hochrisiko-Systeme – zum Beispiel in Personalauswahl, Kreditvergabe, Bildung oder kritischer Infrastruktur – unterliegen den strengsten Auflagen. Systeme mit Transparenzrisiko (Chatbots, Deepfakes) müssen offenlegen, dass eine Maschine im Spiel ist. Der große Rest gilt als geringes Risiko und bleibt weitgehend unreguliert.

Wichtig für das Verständnis des Stichtags: Der ursprüngliche Plan sah den 2. August 2026 als Datum vor, an dem nahezu alle Kernpflichten – inklusive Hochrisiko – in Kraft treten. Dieser Plan wurde durch den Digital Omnibus on AI angepasst. Die Architektur des Gesetzes bleibt intakt; verschoben wurden einzelne Anwendungsdaten, nicht die Substanz.

Die vier Risikoklassen im Detail

Die gesamte Logik des AI Act hängt an der Risikoeinstufung. Welche Pflichten ein Unternehmen treffen, ergibt sich nicht aus der Technologie, sondern aus dem Anwendungszweck. Ein und dasselbe Sprachmodell kann geringes Risiko sein, wenn es E-Mails vorformuliert, und hochriskant, wenn es über Kreditanträge mitentscheidet. Deshalb beginnt jede Umsetzung mit der Einordnung.

Inakzeptables Risiko

Systeme, die als Bedrohung für Grundrechte gelten, sind schlicht verboten – etwa Social Scoring durch Behörden oder manipulative Systeme, die das Verhalten schutzbedürftiger Gruppen ausnutzen. Seit dem 2. Februar 2025 sind diese Praktiken untersagt; ab Dezember 2026 kommen Verbote für die Erzeugung nicht einvernehmlicher intimer Bilder und von Missbrauchsdarstellungen hinzu.

Hohes Risiko

Hier liegt der Kern der Verordnung. Ein System gilt als hochriskant, wenn es in einem der sensiblen Bereiche aus Anhang III eingesetzt wird – Personalauswahl, Kreditvergabe, Bildung, kritische Infrastruktur, Strafverfolgung, Migration – oder als Sicherheitskomponente in ein reguliertes Produkt nach Anhang I eingebettet ist. Diese Systeme unterliegen dem vollen Pflichtenkatalog: Risikomanagement, Data Governance, technische Dokumentation, menschliche Aufsicht und Konformitätsbewertung.

Transparenzrisiko

Systeme, die mit Menschen interagieren oder Inhalte erzeugen, müssen offenlegen, dass eine Maschine am Werk ist. Das betrifft Chatbots, Emotionserkennung und generative KI. Diese Pflichten greifen ab dem 2. August 2026 – der Grund, warum dieser Termin für die breite Masse der Unternehmen so bedeutsam ist.

Geringes Risiko

Der überwiegende Teil aller KI-Anwendungen fällt hierunter – von Spam-Filtern bis zu Empfehlungslogiken ohne Personenbezug. Für sie sieht der AI Act keine spezifischen Pflichten vor. Freiwillige Verhaltenskodizes sind möglich, aber nicht vorgeschrieben.

Quelle: Verordnung (EU) 2024/1689; RTR – KI-Servicestelle. Stand: Juli 2026.

Für Hochrisiko-Systeme stellt sich zusätzlich die Frage, wer die Konformität prüft. Bei den meisten Anwendungsfällen aus Anhang III genügt eine interne Konformitätsbewertung durch den Anbieter selbst, dokumentiert und mit CE-Kennzeichnung versehen. Bei bestimmten sensiblen Kategorien – etwa biometrischer Fernidentifizierung – sowie bei in Produkte eingebetteten Systemen nach Anhang I ist hingegen die Einbindung einer notifizierten Stelle vorgeschrieben, vergleichbar mit der Prüfstelle bei Medizinprodukten. Dieser Unterschied beeinflusst maßgeblich den Vorlauf: Eine externe Prüfung braucht Wochen bis Monate an Vorbereitungszeit, die in der Projektplanung eingerechnet werden muss.

Für wen gilt der EU AI Act? Anbieter, Betreiber und der lange Arm der EU

Zwei Rollen entscheiden über den Umfang der Pflichten. Anbieter entwickeln ein KI-System oder bringen es unter eigenem Namen in Verkehr; sie tragen die Hauptlast – von der Konformitätsbewertung bis zur technischen Dokumentation. Betreiber setzen ein am Markt erhältliches System im beruflichen Kontext ein; ihre Pflichten sind schlanker, aber real – etwa menschliche Aufsicht, bestimmungsgemäße Nutzung und Transparenz gegenüber Betroffenen.

Die Abgrenzung ist trügerisch. Wer ein zugekauftes System wesentlich verändert, es unter eigenem Namen anbietet oder für einen anderen als den vorgesehenen Zweck einsetzt, kann von der Betreiber- in die Anbieterrolle rutschen – mit deutlich höheren Auflagen. Gerade beim Feintuning von Sprachmodellen passiert das schneller, als vielen Unternehmen bewusst ist. Die eigene Rolle sauber zu bestimmen, ist deshalb kein Formalakt, sondern der Ausgangspunkt jeder Aufwandsschätzung.

Und die Reichweite endet nicht an der EU-Grenze. Der AI Act gilt extraterritorial: Erfasst ist jedes Unternehmen, dessen KI-System in der EU angeboten oder genutzt wird oder dessen Ergebnisse in der EU verwendet werden – unabhängig vom Firmensitz. Ein Schweizer Anbieter, der in den DACH-Markt liefert, ein US-Konzern mit europäischen Nutzern: Beide fallen unter die Verordnung. Für die exportorientierte DACH-Wirtschaft ist das die eigentliche Botschaft – Marktzugang bedeutet Regelbindung.

Eine eigene Kategorie bilden Anbieter von KI-Basismodellen mit allgemeinem Verwendungszweck (General-Purpose AI, GPAI) – etwa große Sprachmodelle, auf denen andere Anwendungen aufbauen. Für sie gelten seit dem 2. August 2025 eigene Pflichten: technische Dokumentation, Zusammenfassung der Trainingsdaten, Urheberrechts-Compliance und bei Modellen mit systemischem Risiko zusätzliche Risikobewertungen und Meldepflichten. Für die meisten Unternehmen in der DACH-Region ist dies indirekt relevant: Sie sind selten GPAI-Anbieter, sollten aber von ihren Modell-Lieferanten aktiv die entsprechenden Nachweise einfordern, bevor sie ein Modell in einem Hochrisiko-Kontext einsetzen.

So entstand der heutige Fristenplan: vom Inkrafttreten zum Digital Omnibus

Um die Daten im August 2026 richtig einzuordnen, hilft ein Blick auf die Entstehung. Die Verordnung trat am 1. August 2024 in Kraft, mit einem gestaffelten Zeitplan: Die Verbote und die KI-Kompetenzpflicht kamen zuerst (Februar 2025), dann die Pflichten für Basismodelle und die Governance-Struktur (August 2025). Der 2. August 2026 war als der große Stichtag gedacht, an dem nahezu alle verbleibenden Pflichten – inklusive Hochrisiko – scharfgeschaltet werden.

Dieser Plan geriet unter Druck, weil die technischen Normen und Leitlinien noch nicht fertig waren, an denen sich Unternehmen orientieren sollten. Die Europäische Kommission legte deshalb am 19. November 2025 den Digital Omnibus on AI vor – ein Vereinfachungspaket. Nach politischer Einigung im Mai 2026 nahm das Europäische Parlament den Text am 16. Juni 2026 an, der Rat gab am 29. Juni 2026 grünes Licht, die Unterzeichnung erfolgte am 8. Juli 2026.

Das Ergebnis ist der Fristenplan, der heute gilt: Die Hochrisiko-Pflichten wandern auf Dezember 2027 und August 2028, die Transparenzpflichten bleiben beim August 2026. Wichtig für die Praxis: Die verschobenen Daten binden rechtlich erst mit der Veröffentlichung im Amtsblatt, die für Juli 2026 erwartet wird. Bis dahin bleibt der ursprüngliche Termin die formal geltende Marke – ein Detail, das vor allem für Unternehmen zählt, die ihr Programm vorschnell gestoppt haben.

Der Digital Omnibus verschiebt nicht nur Termine, sondern vereinfacht auch inhaltlich. Für kleinere Anbieter sieht das Paket schlankere Dokumentationsvorlagen vor. Die Konformitätsbewertung für bestimmte Hochrisiko-Fälle wird gestrafft, und es entsteht eine zentralere Anlaufstelle auf EU-Ebene, die die bislang fragmentierte Abstimmung zwischen nationalen Behörden erleichtern soll. Für Unternehmen bedeutet das: Der Aufwand pro Nachweis sinkt tendenziell, die Substanz der Nachweispflicht selbst bleibt aber bestehen.

Was der EU AI Act für CCO, CFO und CISO bedeutet

Der AI Act ist kein reines Rechts- oder IT-Thema. Er berührt drei Führungsrollen zugleich – jede mit einer anderen Frage. Wer die Umsetzung koordiniert, sollte diese drei Perspektiven früh zusammenbringen, denn sie greifen auf dieselbe Datenbasis zu.

Für den Chief Compliance Officer: Nachweisbarkeit statt Absicht

Der CCO trägt die Verantwortung dafür, dass die Pflichten erfüllt und – entscheidend – nachgewiesen werden können. Der AI Act belohnt nicht guten Willen, sondern Dokumentation. Ein Inventar aller KI-Systeme, die Zuordnung zur Risikoklasse, der Nachweis der Datenqualität nach Artikel 10 und ein lückenloser Audit-Trail sind die Bausteine, an denen eine Prüfung ansetzt. Die zentrale Frage lautet: Können wir im Ernstfall belegen, was wir behaupten? Ohne belastbare Stammdaten ist die Antwort meist nein.

Praktisch bedeutet das für die Compliance-Funktion, früh die Rolle des Data Owners für jedes Hochrisiko-System zu benennen – eine Person, die im Prüfungsfall Rede und Antwort steht, nicht ein diffuses „die IT“. Diese Klarheit fehlt in vielen Organisationen bis heute.

Für den Chief Financial Officer: Bußgeldrisiko und Investitionslogik

Für den CFO ist der AI Act zunächst eine Risikoposition. Bußgelder bis zu 7 % des weltweiten Jahresumsatzes sind keine Randnotiz, sondern eine bilanzrelevante Größe. Hinzu kommt die betriebswirtschaftliche Seite: schlechte Datenqualität kostet laut Gartner im Schnitt rund 12,9 Mio. USD pro Jahr – unabhängig von jeder Regulierung. Die kluge Investitionslogik verbindet beides: Wer in ein sauberes Datenfundament investiert, senkt gleichzeitig das regulatorische Risiko und die operativen Kosten. Das ist kein Compliance-Ausgabenposten, sondern eine Investition mit doppelter Rendite.

Für die Budgetplanung lohnt sich deshalb, das Datenfundament nicht als separate Compliance-Position, sondern als Teil der IT- und Datenstrategie zu verankern. So lässt sich der Business Case gegenüber dem Vorstand nicht nur mit Risikovermeidung, sondern auch mit Effizienzgewinnen im Tagesgeschäft begründen.

Für den Chief Information Security Officer: Datenintegrität als Sicherheitsfrage

Der CISO sieht den AI Act durch die Linse von Integrität und Kontrolle. Wer speist welche Daten in welches Modell? Ist die Herkunft gesichert? Existiert „Schatten-KI“, die außerhalb der Governance läuft? Datenintegrität ist hier nicht nur eine Qualitäts-, sondern eine Sicherheitsanforderung. Ein manipuliertes oder unkontrolliertes Eingangsdatum kann ein Hochrisiko-System kippen. Der AI Act formalisiert damit, was gute Informationssicherheit ohnehin verlangt: Kontrolle über den Datenfluss von der Quelle bis zum Modell.

Ein regelmäßiger Scan nach unautorisiert genutzten KI-Diensten – etwa über Netzwerk- oder SaaS-Monitoring – gehört deshalb in dieselbe Governance-Routine wie die klassische Schatten-IT-Erkennung. Beide Risiken haben dieselbe Wurzel: Kontrollverlust über Datenflüsse, die niemand dokumentiert hat.

Warum ist der EU AI Act im August 2026 relevant?

Der August 2026 ist kein symbolisches Datum, sondern der Punkt, an dem die Verordnung für viele Unternehmen erstmals praktisch spürbar wird. Ab dann greifen die Transparenzpflichten, und die nationalen Aufsichtsbehörden erhalten ihre Durchsetzungsbefugnisse. Für Betreiber von Chatbots oder Bildgeneratoren ist es oft der erste direkte Kontakt mit dem Gesetz. Vier Kennzahlen zeigen, warum das Thema jetzt auf die Agenda von CCO, CFO und CISO gehört.

1. Die Vorbereitung hinkt der Realität hinterher

Die KI-Nutzung explodiert, die Regulierungs-Reife nicht. Laut Bitkom setzen inzwischen 41 % der deutschen Unternehmen KI aktiv ein – mehr als doppelt so viele wie 2024 (17 %), weitere 48 % planen den Einsatz. Gleichzeitig hatte sich in einer früheren Bitkom-Erhebung erst rund ein Viertel der Unternehmen überhaupt mit dem AI Act beschäftigt, und zwei Drittel gaben an, Hilfe bei der Umsetzung zu brauchen.

2. Grundpflichten werden reihenweise übersehen

Ein Beispiel ist die seit Februar 2025 geltende KI-Kompetenzpflicht (Art. 4). Laut dem Bitkom-Studienbericht „Künstliche Intelligenz in Deutschland“ 2026 bieten 43 % der Unternehmen bislang keinerlei KI-Schulungen an. Ab August 2026 können die Behörden genau das prüfen – und „Schatten-KI“ wie unkontrolliert genutztes ChatGPT oder Copilot wird zum offenen Compliance-Risiko.

3. Datenqualität ist der stille Kostentreiber

Schlechte Daten kosten Unternehmen laut Gartner im Schnitt rund 12,9 Mio. USD pro Jahr – bevor überhaupt eine Regulierung ins Spiel kommt. Unter dem AI Act wird aus einem betriebswirtschaftlichen Problem ein rechtliches: Artikel 10 macht Datenqualität für Hochrisiko-Systeme zur nachweispflichtigen Anforderung.

4. KI-Projekte scheitern an den Daten, nicht am Modell

Gartner prognostiziert, dass Organisationen bis 2026 rund 60 % ihrer KI-Projekte aufgeben, weil ihnen KI-taugliche Daten fehlen. Parallel scheitern laut Gartner bis 2027 rund 80 % der Data-&-Analytics-Governance-Initiativen. Beide Zahlen deuten auf dieselbe Wurzel: Nicht der Algorithmus ist das Problem, sondern das Fundament, auf dem er steht.

5. KI-Nutzung ist längst Normalität – Governance meist nicht

Laut McKinseys „The State of AI“ setzen inzwischen 88 % der Organisationen KI in mindestens einer Unternehmensfunktion ein. Die Kluft ist eindeutig: KI-Einsatz ist Mainstream, ein entsprechendes Data-Governance-Fundament dahinter jedoch die Ausnahme. Genau in dieser Kluft entsteht das regulatorische Risiko – nicht durch böswillige Absicht, sondern durch organisches Wachstum ohne begleitende Struktur.

Zusammengenommen zeichnen diese fünf Kennzahlen ein klares Bild: Die KI-Nutzung wächst schneller als die Governance-Reife, die Kosten schlechter Daten sind real und hoch, und die Frist im August 2026 trifft auf eine Unternehmenslandschaft, die im Schnitt noch nicht bereit ist. Das ist kein Grund zur Panik – aber ein klarer Auftrag zum Handeln.

Die vier Wurzelursachen: Warum Unternehmen trotz Aufschub nicht vorbereitet sind

Der Digital Omnibus hat den Unternehmen zusätzliche Zeit verschafft. Wer diese Zeit nutzen will, muss aber zuerst verstehen, woran Compliance-Programme in der Praxis scheitern. Aus Sicht eines CTOs sind es vier strukturelle Ursachen – und keine davon lässt sich mit einem weiteren Tool lösen.

Ursache 1: Fragmentierte Stammdaten ohne Single Source of Truth

In den meisten Unternehmen liegen dieselben Kunden-, Lieferanten- oder Mitarbeiterdaten in einem Dutzend Systemen – im CRM, im ERP, in der HR-Software, in gewachsenen Excel-Inseln. Es gibt keine eine Wahrheit, sondern zwölf widersprüchliche Versionen. Ein KI-System, das auf diesem Fundament trainiert oder betrieben wird, kann die Anforderung aus Artikel 10 – relevante, repräsentative, fehlerarme Daten – schlicht nicht erfüllen. Nicht, weil das Modell schwach ist, sondern weil die Eingangsdaten es sind.

Die Folge ist ein doppelter Schaden. Regulatorisch scheitert der Nachweis der Datenqualität; operativ trifft das System Entscheidungen auf widersprüchlicher Grundlage. Beides hat dieselbe Wurzel und dieselbe Lösung – die Konsolidierung zu einer Single Source of Truth. Kein zusätzliches Modell und kein weiteres Tool kann diese Lücke schließen, solange die Datenbasis fragmentiert bleibt.

Ursache 2: Fehlende Data Lineage und Nachweisbarkeit

Der AI Act verlangt nicht nur gute Daten, sondern den Nachweis darüber. Woher stammt ein Datensatz? Wer hat ihn wann verändert? Welche Bias-Prüfung wurde durchgeführt? Ohne durchgängige Datenherkunft (Data Lineage) und Audit-Trail lassen sich diese Fragen nicht beantworten. „Wir haben ein Data Warehouse“ ist keine Antwort auf Artikel 10 – ein Warehouse aggregiert, es dokumentiert keine Herkunft. Genau diese Lücke fällt in einer Prüfung als Erstes auf.

Der praktische Unterschied zwischen Aggregation und Herkunftsdokumentation wird oft erst im Ernstfall klar: Ein Warehouse kann zeigen, welchen Wert ein Datensatz heute hat, aber nicht, warum er diesen Wert hat, wer ihn zuletzt verändert hat und auf welcher Ausgangsbasis. Genau diese Kette verlangt Artikel 10 – und genau diese Kette fehlt in den meisten historisch gewachsenen Systemlandschaften.

Ursache 3: Governance als Projekt statt als Betriebsmodell

Viele Organisationen behandeln Compliance als einmalige Kraftanstrengung: ein Projekt, ein Bericht, ein Haken. Der AI Act funktioniert aber nicht als Momentaufnahme. Artikel 10 verlangt, dass die Datenanalyse bei jedem Re-Training wiederholt wird; einmalige Konformität genügt nicht. Wer Governance als abgeschlossenes Projekt versteht, ist am Tag nach dem Audit bereits wieder außer Konformität.

Deshalb greift die Denkweise „Projekt abschließen, Haken setzen“ zu kurz. Der AI Act verlangt einen Zustand, keine Momentaufnahme. Praktisch bedeutet das: Datenverantwortung muss als Linienaufgabe verankert sein, mit klaren Rollen und wiederkehrenden Prüfzyklen. Governance ist kein Sprint, sondern ein Betriebsmodus.

Ursache 4: Der „Tool-vor-Fundament“-Fehler

Der teuerste und häufigste Fehler: Unternehmen kaufen teure KI- und Compliance-Werkzeuge, während ihre Stammdaten im Chaos liegen. Das ist ein Haus, das auf Sand gebaut wird. Kein Compliance-Dashboard rettet eine Datenbasis, die keine verlässliche Herkunft, keine eindeutigen Schlüssel und keinen Golden Record kennt. Erst das Fundament, dann das Werkzeug – jede andere Reihenfolge produziert Kosten ohne Konformität.

In der Praxis zeigt sich dieser Fehler oft erst spät: Das neue Tool läuft, die Dashboards sehen überzeugend aus – bis eine Prüfung nach der zugrunde liegenden Datenherkunft fragt und die schöne Oberfläche nichts zu bieten hat. Die nachträgliche Konsolidierung der Stammdaten kostet dann doppelt: einmal für das ungenutzte Tool, einmal für die eigentlich notwendige Grundlagenarbeit.

Kein KI-Problem, sondern ein Data-Governance-Problem

An dieser Stelle lohnt ein Perspektivwechsel, der die gesamte Umsetzung vereinfacht. Der EU AI Act wird meist als KI-Thema diskutiert. In Wahrheit ist er zu großen Teilen ein Data-Governance-Thema. Ein Sprachmodell liefert Wahrscheinlichkeiten; Ihre Stammdaten liefern Fakten. Wenn die Fakten nicht stimmen, hilft kein noch so gutes Modell – und keine noch so lange Fristverlängerung.

Der Blick in den Gesetzestext bestätigt das. Artikel 10 Absatz 2 verlangt dokumentierte „Data-Governance- und Datenmanagement-Praktiken“ und listet konkret auf: Designentscheidungen, Datenerhebung und Herkunft, Datenaufbereitung (Annotation, Kennzeichnung, Bereinigung, Aktualisierung, Anreicherung, Aggregation), Annahmen, Eignung der Datensätze, Prüfung auf Verzerrungen sowie Maßnahmen dagegen (Verordnung (EU) 2024/1689, Art. 10). Das ist die Sprache des Master Data Management, nicht die des maschinellen Lernens.

Absatz 3 setzt den Qualitätsmaßstab: Trainings-, Validierungs- und Testdaten müssen relevant, hinreichend repräsentativ und – so weit möglich – fehlerfrei und vollständig sein. Diese Anforderungen erfüllt man nicht im Modell, sondern in der Datenschicht darunter. Wer einen belastbaren Golden Record besitzt, hat den größten Teil der Artikel-10-Arbeit bereits erledigt. Wer keinen hat, wird die Frist bis Dezember 2027 brauchen – und zwar vollständig.

Es lohnt sich, die acht Bereiche aus Artikel 10 Absatz 2 einmal durchzugehen – denn jeder einzelne ist im Grunde eine Master-Data-Management-Disziplin. Wer sie kennt, versteht, warum ein Datenmanagement-Werkzeug hier mehr leistet als ein nachgelagertes Compliance-Tool.

• Designentscheidungen: Die bewusste, dokumentierte Wahl, welche Daten ein System nutzen soll – nicht „was gerade verfügbar war“.

• Datenerhebung und Herkunft: Woher stammt jeder Datensatz, zu welchem ursprünglichen Zweck wurde er erhoben? Die klassische Data-Lineage-Frage.

• Datenaufbereitung: Annotation, Kennzeichnung, Bereinigung, Aktualisierung, Anreicherung, Aggregation – der Kernprozess jedes Stammdatenmanagements.

• Annahmen: Was sollen die Daten eigentlich messen und abbilden? Diese Annahmen müssen explizit gemacht werden.

• Eignung der Datensätze: Sind Verfügbarkeit, Menge und Passung für den Zweck geprüft? Eine Frage der Datenqualität, nicht des Algorithmus.

• Bias-Prüfung: Wurden mögliche Verzerrungen untersucht, insbesondere solche, die zu Diskriminierung führen könnten?

• Bias-Minderung: Welche Maßnahmen wurden ergriffen und dokumentiert, um erkannte Verzerrungen zu reduzieren?

• Lücken und Mängel: Welche bekannten Schwächen weisen die Daten auf – und wie geht das System damit um?

Sieben dieser acht Punkte lassen sich nicht im Modell lösen, sondern nur in der Datenschicht darunter. Genau dort setzen Werkzeuge wie der Goldright Agile Data Manager an: Sie schaffen eindeutige Entitäten, dokumentierte Herkunft und geprüfte Qualität. Was der Gesetzgeber „Data Governance“ nennt, ist in der Praxis das Betriebssystem eines guten Stammdatenmanagements.

Die strategische Konsequenz für die C-Ebene: Die Verschiebung ist keine Entwarnung, sondern ein Vorbereitungsfenster. Sie verlängert exakt die Frist für die eine Aufgabe, die sich nicht kurzfristig erledigen lässt – den Aufbau eines konsistenten, nachweisbaren Datenfundaments. Governance wird damit vom Kostenfaktor zum Wettbewerbsvorteil: Wer sein Fundament ordnet, wird nicht nur konform, sondern KI-fähig.

Die Roadmap: In fünf Schritten zum prüffesten Datenfundament

Die folgende Roadmap übersetzt die Fristen in eine praktikable Reihenfolge. Sie ist bewusst so aufgebaut, dass jeder Schritt für sich Wert schafft – auch ohne Regulierung. Die Zeitangaben orientieren sich an den relevanten Stichtagen.

Schritt 1: KI- und Datenlandschaft inventarisieren (bis Q3 2026)

Listen Sie jedes KI-System im Unternehmen auf – inklusive der stillschweigend genutzten. Klassifizieren Sie jedes System nach AI-Act-Risikoklasse und ordnen Sie Hochrisiko-Kandidaten den Kategorien aus Anhang III zu. Halten Sie fest, welche Datenquellen ein System speist und wer Anbieter beziehungsweise Betreiber ist. Ohne dieses Inventar ist jede weitere Maßnahme Blindflug.

Konkret heißt das: eine lebende Liste, kein einmaliges Dokument. Sie erfasst nicht nur die offiziell beschafften Systeme, sondern auch die „Schatten-KI“ – die per Browser-Plugin oder Abo eingeschlichenen Werkzeuge, die niemand freigegeben hat. Der häufigste Fehler in diesem Schritt ist, das Inventar auf die IT-Abteilung zu beschränken. KI sitzt heute in Marketing, Vertrieb, HR und Buchhaltung. Wer nur die IT fragt, übersieht die Hälfte. Ein kurzer, verpflichtender Selbstauskunftsbogen pro Abteilung liefert in der Praxis oft mehr als monatelange technische Netzwerkscans.

Schritt 2: Golden Record etablieren – die Single Source of Truth

Führen Sie die verstreuten Versionen Ihrer Stammdaten zu einem eindeutigen, geprüften Golden Record zusammen. Das ist das Herzstück: ein zentraler, konsistenter Datensatz pro Entität – Kunde, Lieferant, Rechtsträger, Mitarbeiter – auf den sich Menschen und Maschinen verlassen können. Werkzeuge wie der Agile Data Manager von Goldright sind genau dafür gebaut: Sie schaffen den semantischen Kern, der später jede Artikel-10-Prüfung trägt.

Dieser Schritt ist der aufwändigste – und der wertvollste. Er verlangt, Dubletten aufzulösen, Schreibweisen zu vereinheitlichen, widersprüchliche Attribute zu klären und stabile Schlüssel zu vergeben. Der Lohn geht weit über Compliance hinaus: Ein Golden Record verbessert Reporting, Vertrieb und jede nachgelagerte Analyse. Genau deshalb rechtfertigt sich die Investition auch ohne Regulierung – der AI Act macht sie nur dringlich.

Schritt 3: Data Lineage und Audit-Trail verankern

Sorgen Sie dafür, dass jede Transformation vom Rohdatum bis zum trainingsfertigen Datensatz protokolliert wird: Herkunft, Zeitpunkt, Bearbeiter, Qualitätsprüfung. Dieser Audit-Trail ist die Währung, in der Sie gegenüber der Aufsicht bezahlen. Er beantwortet die Fragen aus Artikel 10, 12 und 17 – dokumentierte Herkunft, Aufzeichnung, technische Dokumentation – ohne dass Ihr Team im Prüfungsfall in Archiven graben muss.

Schritt 4: Governance als laufenden Betrieb aufsetzen

Verankern Sie Datenverantwortung als dauerhafte Linienaufgabe, nicht als Projekt. Definieren Sie Rollen (Data Owner, Data Steward), Prüfzyklen und ein Reifegradmodell, an dem Sie Fortschritt messen. Unser Data-Governance-Framework beschreibt ein solches Betriebsmodell entlang eines Reifegradmodells. Ziel ist ein Zustand, in dem Konformität ein Nebenprodukt des Normalbetriebs ist – nicht das Ergebnis einer Sonderanstrengung.

Zur groben Einordnung: Auf L1 verwalten einzelne Abteilungen ihre Daten isoliert, ohne gemeinsame Standards – der Zustand, in dem sich die meisten Unternehmen zu Beginn befinden. L3 markiert den Punkt, an dem ein Golden Record etabliert ist und Data Lineage dokumentiert wird. Ab L4 laufen Qualitätsprüfungen automatisiert und regelbasiert. L5 beschreibt ein selbstlernendes Governance-System, das Abweichungen proaktiv meldet, bevor sie zum Problem werden. Für die Artikel-10-Anforderungen genügt in der Regel L3 als solide Zielmarke für die erste Umsetzungsphase.

Schritt 5: Transparenz-Quick-Wins bis August 2026 umsetzen

Parallel zum Fundament die kurzfristige Pflicht abräumen: Kennzeichnen Sie KI-generierte Inhalte, machen Sie Chatbots als Maschine erkennbar und weisen Sie Deepfakes aus (Art. 50). Das ist mit überschaubarem Aufwand machbar und verschafft schnelle, sichtbare Konformität – während die tieferliegende Datenarbeit weiterläuft.

Die Reihenfolge dieser fünf Schritte ist kein Zufall. Sie folgt dem Prinzip „Fundament vor Fassade“: Erst wissen, was da ist (Schritt 1), dann die Wahrheit ordnen (Schritt 2), dann sie nachweisbar machen (Schritt 3), dann den Zustand halten (Schritt 4) – und parallel die schnell erreichbaren Pflichten abräumen (Schritt 5). Wer diese Reihenfolge umdreht und mit dem Werkzeugkauf beginnt, produziert Berichte über ein Chaos, das er nicht behoben hat. Realistisch ist ein Gesamthorizont von zwölf bis vierundzwanzig Monaten bis zu einem belastbaren Zustand – abhängig von Anzahl und Komplexität der betroffenen Systeme.

Diese Nachweise sollten Sie im Ernstfall vorlegen können

Unabhängig davon, wie weit ein Unternehmen in der Roadmap steht, lohnt sich eine ehrliche Bestandsaufnahme anhand der Dokumente, die eine Marktüberwachungsbehörde typischerweise anfordert. Fehlt eines davon, ist das ein konkreter Arbeitsauftrag, keine abstrakte Sorge.

• KI-Systeminventar mit Risikoklassifizierung je System und Zuordnung zu Anbieter- oder Betreiberrolle.

• Datenherkunftsnachweis für alle Trainings-, Validierungs- und Testdaten der Hochrisiko-Systeme (Art. 10).

• Bias-Prüfprotokoll mit Datum, Methodik und ergriffenen Gegenmaßnahmen.

• Technische Dokumentation gemäß Anhang IV, inklusive Systemarchitektur und Zweckbestimmung.

• Nachweis menschlicher Aufsicht (Art. 14): Wer kann das System stoppen oder übersteuern, und wie ist das protokolliert?

• Konformitätserklärung und CE-Kennzeichnung bei Hochrisiko-Systemen nach Anhang III bzw. I.

• Schulungsnachweise zur KI-Kompetenz nach Artikel 4 für alle Mitarbeitenden, die mit KI-Systemen arbeiten.

Diese Liste ist bewusst als Selbsttest gedacht, nicht als vollständiger Rechtskatalog. Wer mehr als zwei der sieben Punkte nicht belegen kann, sollte die Roadmap-Schritte 1 bis 3 priorisieren, bevor er sich um Detailfragen kümmert.

Wie Sie Ihr Team dafür aufstellen

Ein Programm dieser Größe scheitert selten an der Technik, sondern an der Organisation. Bewährt hat sich eine kleine, funktionsübergreifende Steuerungsgruppe statt eines einzelnen Verantwortlichen: eine Person aus Compliance oder Recht, die die regulatorische Auslegung führt; eine Person aus IT oder Datenmanagement, die den Golden Record und die technische Umsetzung verantwortet; und ein Sponsor aus der Geschäftsführung, der Priorität und Budget sichert. Ohne diesen dritten Part bleibt das Programm ein Fachthema, das im Tagesgeschäft regelmäßig hinter dringlichere Anliegen zurückfällt.

Die Gruppe braucht kein eigenes Vollzeit-Team, aber einen festen Rhythmus – etwa ein monatliches Update zum Status der Roadmap-Schritte, gemessen an den Meilensteinen aus der Fristen-Tabelle.

Best Practices: Was in der DACH-Praxis wirklich funktioniert

Zwischen Gesetzestext und Umsetzung liegt Erfahrung. Die folgenden Prinzipien haben sich bei Unternehmen bewährt, die Regulatorik nicht als Last, sondern als Anlass zum Aufräumen verstanden haben. Keiner der Punkte ist für sich genommen neu – die Wirkung entsteht daraus, sie konsequent zusammen anzuwenden, statt einzelne Maßnahmen isoliert umzusetzen.

Fundament vor Feature

Investieren Sie zuerst in saubere Stammdaten, dann in KI-Anwendungen. Jeder Euro in ein KI-Tool auf schlechter Datenbasis vervielfacht später den Korrekturaufwand – umgekehrt zahlt eine konsolidierte Datenbasis auf jedes künftige KI-Projekt ein, nicht nur auf das aktuelle.

Die gewonnene Zeit nutzen, nicht abwarten

Die Verschiebung auf 2027/28 schafft echten Spielraum – aber ein Governance-Programm braucht diese Zeit vollständig. Wer erst 2027 beginnt, ist zu spät. Realistische Programme rechnen mit zwölf bis achtzehn Monaten für eine saubere Konsolidierung der Stammdaten.

Betreiber-Pflichten ernst nehmen

Die meisten DACH-Unternehmen sind Betreiber, nicht Anbieter. Fordern Sie von Ihren KI-Lieferanten aktiv die EU-Konformitätserklärung, die technische Dokumentation und den Nachweis der notifizierten Stelle an – schriftlich, mit Frist. Ein Lieferant, der diese Unterlagen nicht liefern kann, ist selbst ein Risiko.

Compliance automatisieren

Manuelle Nachweispflege skaliert nicht. Regelbasierte Datenqualität und ein automatisierter Audit-Trail verwandeln wiederkehrende Prüfarbeit in einen Hintergrundprozess, der bei jedem Re-Training automatisch mitläuft, statt bei jeder Prüfung neu zusammengesucht zu werden.

Regulatorik konsolidiert denken

Der AI Act steht nicht allein. DSGVO, NIS2/NISG und CSRD greifen auf dieselbe Datenbasis zu. Ein gemeinsames Fundament bedient mehrere Regelwerke zugleich – das ist der eigentliche Hebel.

Eine gemeinsame Sprache zwischen Fachbereich und IT schaffen

Compliance, Fachabteilung und IT sprechen oft aneinander vorbei, weil sie unterschiedliche Begriffe für dieselbe Entität verwenden. Ein verbindliches Datenglossar – was ist ein „Kunde“, was ein „Vertrag“ – ist oft die unterschätzteste, aber wirksamste Maßnahme.

Extern kommunizieren, was intern längst gilt

Transparenzpflichten wie die KI-Kennzeichnung sind auch eine Vertrauensfrage gegenüber Kunden. Unternehmen, die frühzeitig und klar kommunizieren, wo KI im Einsatz ist, berichten von weniger Rückfragen und mehr Akzeptanz als solche, die es erst auf Nachfrage offenlegen.

Der rote Faden: Die konformen Unternehmen sind selten die mit dem größten Compliance-Budget, sondern die mit der saubersten Datenbasis. Governance ist bei ihnen kein Selbstzweck, sondern ein Enabler – die Grundlage, auf der sich KI überhaupt erst verlässlich einsetzen lässt.

Bußgelder, Haftung und Aufsicht: Was bei Verstößen droht

Der AI Act sieht ein gestaffeltes Sanktionssystem vor, das sich an der Schwere des Verstoßes orientiert. Für Verantwortliche im Finanzbereich ist die Größenordnung relevant, denn die Obergrenzen bemessen sich am weltweiten Konzernumsatz – nicht am lokalen Ergebnis.

• Bis zu 35 Mio. € oder 7 % des weltweiten Jahresumsatzes (der jeweils höhere Betrag) bei Verstößen gegen die verbotenen Praktiken nach Artikel 5.

• Bis zu 15 Mio. € oder 3 % bei Verstößen gegen die meisten anderen Pflichten, einschließlich der Hochrisiko-Anforderungen und der Data-Governance-Pflichten aus Artikel 10.

• Bis zu 7,5 Mio. € oder 1 % bei der Übermittlung falscher, unvollständiger oder irreführender Angaben an Behörden.

Für kleine und mittlere Unternehmen sind die Höchstbeträge anteilig gedeckelt, sodass die Sanktion nicht existenzbedrohend über den Umsatz hinausschießt. Das entschärft die absolute Höhe, ändert aber nichts am Prinzip: Der Nachweis der Konformität liegt beim Unternehmen, nicht bei der Behörde. Wer nicht dokumentieren kann, dass seine Daten den Anforderungen genügen, trägt das Risiko.

Neben dem Bußgeld steht die zivilrechtliche Haftung. Führt ein fehlerhaftes Hochrisiko-System zu einem Schaden – etwa einer diskriminierenden Kreditentscheidung –, drohen Schadenersatzforderungen. Die Beweiskette führt dann direkt zur Datenbasis: War sie repräsentativ, war sie geprüft, war die Herkunft dokumentiert? Ein belastbarer Audit-Trail ist hier nicht nur Compliance-, sondern Haftungsschutz.

Aus Sicht des CFO lohnt sich ein einfacher Vergleich: Die Konsolidierung von Stammdaten im Vorfeld ist eine planbare, budgetierbare Investition. Ein Bußgeldverfahren oder eine Schadenersatzklage im Nachhinein ist es nicht – weder in der Höhe noch im Zeitpunkt. Wer Datenqualität als vorausschauende Investition statt als reaktive Notmaßnahme behandelt, verschiebt eine unkalkulierbare Risikoposition in eine kalkulierbare Kostenposition.

Wer kontrolliert? Die Aufsicht in Deutschland und Österreich

Der AI Act überlässt die Marktüberwachung den Mitgliedstaaten, die dafür eigene Durchführungsgesetze benötigen. In Deutschland regelt das KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG) diese Aufsichtsstruktur. Der Bundestag hat das Gesetz am 11. Juni 2026 beschlossen; es durchläuft aktuell den Bundesrat (Stand: Juli 2026). Kernstück ist die Bundesnetzagentur, die als zentrale Koordinierungs-, Marktüberwachungs- und notifizierende Behörde fungiert. An ihr entsteht das Koordinierungs- und Kompetenzzentrum für die KI-Verordnung (KoKIVO) mit einem KI-Service-Desk als erster Anlaufstelle und einem eigenen KI-Reallabor. Sektorale Behörden bleiben daneben zuständig – etwa die BaFin im Finanzsektor, Landesmedienanstalten bei der Kennzeichnung von Medieninhalten oder die jeweiligen Fachbehörden bei Medizinprodukten und Maschinen (Advisori; KI-MIG-Regierungsentwurf).

In Österreich koordiniert das Bundeskanzleramt; die KI-Servicestelle der RTR dient als Informations- und Beratungsstelle, während die Datenschutzbehörde für grundrechtsrelevante Aspekte zuständig ist und sektorale Aufsichten (etwa FMA, KommAustria) hinzutreten. Für DACH-Unternehmen mit Standorten in beiden Ländern bedeutet das: Die Eskalationsketten unterscheiden sich, ein aus Deutschland übertragenes Programm passt nicht eins zu eins auf Österreich.

Bemerkenswert ist zudem ein zeitliches Detail: Bereits ab dem 2. August 2026 kann die Europäische Kommission selbst gegenüber Anbietern von KI-Basismodellen mit systemischem Risiko durchgreifen – parallel zur nationalen Aufsicht, die sich erst im Aufbau befindet. Wer als GPAI-Anbieter oder -Integrator tätig ist, unterliegt also von Beginn an einer doppelten Kontrollebene.

Der EU AI Act im Regulatorik-Verbund: DSGVO, NIS2 und CSRD

Der AI Act existiert nicht im luftleeren Raum. Er ist Teil eines dichten Geflechts europäischer Regelwerke, die alle auf dieselbe Ressource zugreifen: die Unternehmensdaten. Wer diese Regelwerke isoliert bearbeitet, vervielfacht den Aufwand. Wer sie auf einem gemeinsamen Datenfundament zusammenführt, bedient sie mit einer Anstrengung.

DSGVO: der überlappende Kern

Sobald ein KI-System personenbezogene Daten verarbeitet, gelten AI Act und DSGVO parallel. Der AI Act ersetzt die DSGVO nicht, er ergänzt sie. In der Praxis lassen sich viele Artikel-10-Anforderungen über etablierte DSGVO-Mechanismen umsetzen: Zweckbindung, Datenminimierung, Zugriffskontrollen, Dokumentation. Wer seine DSGVO-Hausaufgaben gemacht hat, startet bei Artikel 10 nicht bei null – vorausgesetzt, die zugrunde liegenden Stammdaten sind konsolidiert.

NIS2 / NISG: Sicherheit als Datenanforderung

Die NIS2-Richtlinie – in Österreich als NISG umgesetzt – verlangt von betroffenen Unternehmen ein Mindestniveau an Cybersicherheit und Meldepflichten. Der Berührungspunkt zum AI Act liegt in der Integrität und Nachvollziehbarkeit von Daten. Ein KI-System ist nur so vertrauenswürdig wie die Datenpipeline, die es speist. Zugriffskontrolle, Protokollierung und Herkunftsnachweis dienen beiden Regelwerken zugleich.

CSRD: Nachhaltigkeitsdaten mit Prüfpflicht

Die CSRD-Berichtspflicht zwingt Unternehmen, Nachhaltigkeitsdaten in prüffester Qualität offenzulegen. Das ist im Kern dieselbe Anforderung wie bei Artikel 10, nur auf ein anderes Themenfeld angewandt: nachvollziehbare Herkunft, konsistente Definition, dokumentierte Aufbereitung. Unternehmen, die für die CSRD ein belastbares Datenmanagement aufgebaut haben, verfügen bereits über die Werkzeuge, die auch der AI Act verlangt.

Der gemeinsame Nenner ist immer derselbe: konsistente, nachweisbare Daten mit dokumentierter Herkunft. Ein zentraler Golden Record und ein durchgängiger Audit-Trail sind die Infrastruktur, auf der DSGVO, AI Act, NIS2 und CSRD gleichzeitig ruhen. Genau das macht Data Governance zum strategischen Hebel: Sie ist keine Einzelmaßnahme für ein einzelnes Gesetz, sondern das Fundament für den gesamten Regulatorik-Verbund.

Diese Konvergenz ist kein Zufall, sondern politisch gewollt: Der Gesetzgeber selbst verweist bei der Ausgestaltung der nationalen AI-Act-Aufsicht ausdrücklich auf bestehende Strukturen aus NIS2 und dem Finanzmarktregelwerk DORA, um Doppelregulierung zu vermeiden. Wer diese Regelwerke bereits mit einem gemeinsamen Datenfundament bedient, hat einen strukturellen Vorteil gegenüber Unternehmen, die jedes Gesetz als isoliertes Projekt behandeln.

EU AI Act 2026 im Überblick: Welche Frist gilt wann?

Die folgende Übersicht fasst alle relevanten Meilensteine zusammen – mit dem ursprünglichen und dem nach dem Digital Omnibus aktuell geltenden Datum. Die verschobenen Termine binden rechtlich, sobald der Omnibus im Amtsblatt der EU veröffentlicht ist; Unterzeichnung erfolgte am 8. Juli 2026 (Rat der EU; Europäische Kommission).

Quellen: Europäische Kommission, Rat der EU (Consilium), Freshfields, Winston Taylor. Stand: Juli 2026.

Zwei Lesarten sind wichtig. Erstens: Der 2. August 2026 ist nicht „abgesagt“ – die Transparenzpflichten bleiben. Zweitens: Die Hochrisiko-Verschiebung ist kein Rückbau, sondern eine terminliche Entlastung. Die Pflichten selbst – Risikomanagement (Art. 9), Data Governance (Art. 10), Aufzeichnung (Art. 12), menschliche Aufsicht (Art. 14) – bleiben vollständig bestehen.

Für die Priorisierung im eigenen Haus lohnt sich ein Blick auf den Unterschied zwischen den beiden Hochrisiko-Terminen. Anhang III erfasst eigenständige Softwaresysteme – etwa ein Recruiting-Tool oder eine Kreditscoring-Anwendung – und greift ab Dezember 2027. Anhang I betrifft KI, die als Sicherheitskomponente in bereits regulierte Produkte eingebettet ist, etwa in Medizingeräte oder Maschinen; hier greift die längere Frist bis August 2028, weil diese Systeme zusätzlich die produktrechtlichen Konformitätsverfahren durchlaufen. Wer prüfen will, welcher der beiden Termine zutrifft, sollte fragen: Steht das KI-System für sich, oder ist es Teil eines physischen Produkts, das ohnehin schon einer CE-Kennzeichnung unterliegt?

Best-Practice-Szenario: Vom Datensilo zur prüffesten Basis

Hinweis: Das folgende Szenario ist ein illustratives Modellbeispiel zur Veranschaulichung des Vorgehens. Es beschreibt keinen konkreten realen Kunden und enthält keine realen Kennzahlen.

Ausgangslage: Ein mittelgroßer Finanzdienstleister in der DACH-Region betreibt ein KI-gestütztes System zur Vorprüfung von Kreditanträgen – eindeutig ein Hochrisiko-Anwendungsfall nach Anhang III. Die Kundendaten liegen über CRM, Kernbanksystem und mehrere Fachanwendungen verteilt. Dieselbe Person existiert dreifach, mit abweichender Schreibweise und widersprüchlichen Attributen. Eine Herkunftsdokumentation der Trainingsdaten existiert nicht.

Der Auslöser war eine interne Vorprüfung im Rahmen der AI-Act-Inventarisierung, nicht ein externer Audit. Genau das ist der günstigere Zeitpunkt: Wer sein Hochrisiko-System selbst identifiziert, hat die Kontrolle über Tempo und Reihenfolge der Nacharbeit. Wer darauf wartet, dass eine Behörde oder ein Vorfall die Lücke aufdeckt, hat sie nicht mehr.

Das Problem war zunächst nicht rechtlicher, sondern technischer Natur. Das Modell traf Entscheidungen auf Basis von Daten, deren Qualität niemand nachweisen konnte. Artikel 10 verlangt aber genau diesen Nachweis: repräsentative, fehlerarme Daten mit dokumentierter Herkunft und geprüfter Verzerrung.

Der Weg nach vorn folgte der Roadmap. Zuerst ein vollständiges Inventar aller KI-Berührungspunkte und Datenquellen – inklusive der Fachanwendungen, die außerhalb der offiziellen IT-Landschaft entstanden waren. Dann die Konsolidierung der Kundenstammdaten zu einem Golden Record – eine eindeutige, geprüfte Version pro Person, versehen mit stabilen Schlüsseln, die alle nachgelagerten Systeme referenzieren konnten. Anschließend ein durchgängiger Audit-Trail, der jede Datenbewegung protokolliert: Woher kam der Datensatz, wann wurde er zuletzt geprüft, wer hat ihn verändert.

Die größte organisatorische Hürde war nicht technischer, sondern kultureller Natur: Die Fachabteilungen, die jahrelang „ihre“ Version der Kundendaten gepflegt hatten, mussten sich auf eine einzige, zentrale Quelle einlassen. Das gelang erst, als klar wurde, dass der Golden Record ihre Arbeit erleichterte, statt sie zu kontrollieren – weniger Abstimmungsschleifen, weniger Rückfragen aus anderen Abteilungen.

Der entscheidende Effekt lag jenseits der Compliance. Mit dem konsolidierten Fundament wurde nicht nur die Artikel-10-Dokumentation belastbar; auch die Trefferquote des Modells stabilisierte sich, weil widersprüchliche Eingangsdaten verschwanden. Governance und Modellgüte sind zwei Seiten derselben Datenqualität. Das ist der Kern der Botschaft: Wer für den AI Act aufräumt, baut nebenbei ein besseres KI-Fundament.

Drei Lehren aus diesem Szenario

• Der Auslöser zählt weniger als die Reaktion. Ob die Lücke durch Selbstprüfung oder externen Druck sichtbar wird – entscheidend ist, wie schnell und strukturiert die Konsolidierung danach angegangen wird.

• Konsolidierung ist ein Organisationsthema, kein reines IT-Projekt. Der technische Teil war in diesem Szenario schneller gelöst als der kulturelle Widerstand der Fachabteilungen.

• Compliance-Nutzen und Geschäftsnutzen trennen sich nicht. Die Investition zahlte sich doppelt aus – im Audit und im Tagesgeschäft. Das macht sie leichter zu rechtfertigen als eine reine Pflichtübung.

Fallstricke: Die fünf teuersten Fehlannahmen

Fallstrick 1: „Der August 2026 ist erledigt.“

Die gefährlichste Fehlannahme. Die Verschiebung betrifft ausschließlich die Hochrisiko-Pflichten. Die Transparenzpflichten nach Artikel 50 gelten unverändert ab dem 2. August 2026. Wer sein Programm auf Basis der politischen Einigung eingestellt hat, öffnet eine Lücke – und riskiert, ausgerechnet bei der Pflicht erwischt zu werden, die am leichtesten zu prüfen ist: fehlende Kennzeichnung ist von außen sofort sichtbar.

Fallstrick 2: Governance-Arbeit pausieren

Die neue Frist verleitet zum Abwarten. Doch ein prüffestes Datenfundament entsteht nicht in Wochen. Die verschobene Frist verlängert genau die Aufgabe, die am längsten dauert. Pausieren heißt, den gewonnenen Vorsprung zu verschenken – und im ersten Halbjahr 2027 unter demselben Zeitdruck zu stehen, den der Omnibus eigentlich lösen sollte.

Fallstrick 3: Das Tool vor dem Fundament kaufen

Ein Compliance-Dashboard über chaotischen Stammdaten erzeugt hübsche Berichte über einen kaputten Zustand. Reihenfolge entscheidet: erst der Golden Record, dann das Werkzeug, das ihn überwacht. Andernfalls entsteht ein zusätzliches System, das ebenfalls gepflegt und irgendwann selbst konsolidiert werden muss.

Fallstrick 4: AI Act und DSGVO getrennt behandeln

Beide Regelwerke gelten parallel und greifen auf dieselben Daten zu. Der EU AI Act ersetzt die DSGVO nicht. Wer sie in getrennten Silos bearbeitet, verdoppelt den Aufwand und riskiert Widersprüche – etwa wenn die Löschfrist der DSGVO mit der Dokumentationspflicht des AI Act kollidiert. Ein gemeinsames Datenfundament bedient beide und löst solche Konflikte an einer Stelle.

Fallstrick 5: Die eigene Rolle falsch einschätzen

Anbieter und Betreiber haben unterschiedliche Pflichten. Viele Unternehmen halten sich für bloße Nutzer, obwohl sie durch Feinabstimmung oder eigene Integration in die Anbieterrolle rutschen. Die Fehleinschätzung der Rolle führt direkt zu falsch dimensionierten Pflichten – in beide Richtungen: zu wenig Vorbereitung bei tatsächlicher Anbieterrolle, unnötiger Aufwand bei tatsächlicher Betreiberrolle.

Fallstrick 6: Auf die perfekte Lösung warten

Manche Unternehmen verschieben den Start, weil noch nicht jede technische Norm final veröffentlicht ist. Das verwechselt Rechtssicherheit im Detail mit Handlungsfähigkeit im Grundsatz. Ein Golden Record, eine dokumentierte Datenherkunft und ein Audit-Trail sind unter jeder denkbaren finalen Norm wertvoll. Warten kostet Zeit, die später fehlt – Handeln auf Basis des heutigen Kenntnisstands nicht.

Fazit: Aus Frist wird Fundament

Der EU AI Act im August 2026 ist kein einzelner Stichtag, sondern ein Fahrplan. Die Transparenzpflichten greifen jetzt, die neuen Verbote folgen im Dezember 2026, die Hochrisiko-Pflichten binden ab Dezember 2027 und August 2028. Der Digital Omnibus hat Zeit verschafft – aber nur für die, die sie nutzen.

Die entscheidende Einsicht ist die einfachste: Der schwierigste Teil der Verordnung ist kein KI-Problem, sondern ein Data-Governance-Problem. Artikel 10 verlangt genau das, was ein sauberes Master Data Management ohnehin liefert – konsistente, nachweisbare, prüffeste Daten. Wer sein Fundament ordnet, wird nicht nur konform, sondern KI-fähig. Governance ist damit kein Kostenfaktor, sondern ein Wettbewerbsvorteil.

Drei Fragen fassen zusammen, worauf es jetzt ankommt: Wissen wir, welche unserer KI-Systeme hochriskant sind? Können wir für jedes davon die Herkunft und Qualität der zugrunde liegenden Daten belegen? Und ist das ein laufender Zustand oder eine einmalige Kraftanstrengung, die im Prüfungsfall schon wieder veraltet ist? Wer alle drei Fragen mit Ja, Ja und „laufender Zustand“ beantworten kann, hat den AI Act im Wesentlichen bereits umgesetzt – unabhängig davon, welches Datum als Nächstes ansteht.

Quellenverzeichnis

Europäische Kommission: "AI Act – Regulatory framework and implementation timeline" - https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai (abgerufen: Juli 2026)

Rat der EU (Consilium): "Artificial Intelligence: Council and Parliament agree to simplify and streamline rules (Digital Omnibus)" - https://www.consilium.europa.eu/en/press/press-releases/2026/05/07/artificial-intelligence-council-and-parliament-agree-to-simplify-and-streamline-rules/

EU AI Act - Artikel 10: "Data and Data Governance, Verordnung (EU) 2024/1689" - https://artificialintelligenceact.eu/article/10/

Freshfields: "EU AI Act unpacked #34: The final Digital Omnibus on AI." https://www.freshfields.com/en/our-thinking/blogs/technology-quotient/eu-ai-act-unpacked-34-the-final-digital-omnibus-on-ai-key-amendments-to-the-a-102nber

Gibson Dunn: "EU AI Act Omnibus Agreement – Postponed High-Risk Deadlines and Other Key Changes" - https://www.gibsondunn.com/eu-ai-act-omnibus-agreement-postponed-high-risk-deadlines-and-other-key-changes/

Gartner: "Data Quality – Why It Matters" - https://www.gartner.com/en/data-analytics/topics/data-quality

Bitkom Research: "Jedes vierte Unternehmen beschäftigt sich mit dem AI Act" https://www.bitkom.org/Presse/Presseinformation/Jedes-vierte-Unternehmen-beschaeftigt-mit-AI-Act

Bitkom: "Studienbericht „Künstliche Intelligenz in Deutschland“ 2026" - https://www.bitkom.org/sites/main/files/2026-02/bitkom-studienbericht-ki.pdf

Bundesnetzagentur: "Künstliche Intelligenz – KI-Verordnung und KI-Service-Desk." - https://www.bundesnetzagentur.de/DE/Fachthemen/Digitales/KI/start_ki.html

Advisori: "KI-MIG beschlossen: Was das AI-Act-Durchführungsgesetz für Unternehmen bedeutet" - https://www.advisori.de/blog/ki-mig-ai-act-durchfuehrungsgesetz-unternehmen

RTR – KI-Servicestelle: "AI Act – Behörden, Fristen und Transparenzpflichten (Österreich)" - https://www.rtr.at/rtr/service/ki-servicestelle/ai-act/AI_Act.de.html

McKinsey: "The State of AI 2025" - https://www.mckinsey.com/capabilities/quantumblack/our-insights/the-state-of-ai