Die EU hat Anfang Mai 2026 eine wichtige Vereinfachung beim AI Act gemeldet. Laut EU-Kommission gibt es eine politische Einigung zu einfacheren, innovationsfreundlicheren KI-Regeln. Besonders relevant fuer Unternehmen: Die Regeln fuer bestimmte Hochrisiko-KI-Systeme sollen spaeter greifen als viele noch aus alten Zeitplaenen erwarten.
Die Kommission nennt fuer Hochrisiko-Systeme in Bereichen wie Biometrie, kritische Infrastruktur, Bildung, Arbeit, Migration, Asyl und Grenzkontrolle den 2. Dezember 2027. Fuer KI-Systeme, die in Produkte wie Aufzuege oder Spielzeug integriert sind, nennt sie den 2. August 2028.
Quelle: EU-Kommission: AI rules simplification and nudification app ban
Warum das wichtig ist
Viele Unternehmen arbeiten noch mit der groben AI-Act-Timeline aus 2024/2025. Dort stand oft: 2026 wird ernst, Hochrisiko-Regeln kommen, Compliance muss fertig sein.
Das bleibt nicht falsch, aber es ist zu grob. Die neue Omnibus-Einigung verschiebt den Blick:
- Nicht jede Pflicht faellt auf denselben Termin.
- Hochrisiko-KI bekommt mehr Zeit.
- Standards und technische Hilfsmittel sollen vor Anwendung der Regeln bereitstehen.
- Gleichzeitig bleiben Transparenz, Dokumentation und Risikoklassifizierung wichtig.
Kurz: Mehr Zeit ist keine Einladung zum Nichtstun. Es ist eine Chance, die Vorbereitung sauberer zu machen.
Was sich laut EU-Kommission aendert
Die Kommission nennt drei grosse Linien:
- Einfachere Umsetzung: Der AI Act soll fuer Unternehmen leichter handhabbar werden.
- Klarere Fristen: Hochrisiko-Regeln sollen gestaffelt greifen.
- Schutz vor Missbrauch: Besonders problematische Anwendungen wie “Nudification”-Apps sollen verboten werden.
Der zentrale Punkt fuer Unternehmen ist die Umsetzungslogik. Die EU will vermeiden, dass Firmen Pflichten erfuellen muessen, bevor Standards, Vorlagen und Unterstuetzungswerkzeuge wirklich verfuegbar sind.
Was nicht aufgeschoben ist
Ein Fehler waere, die Meldung so zu lesen: “AI Act ist erstmal egal.” Das stimmt nicht.
Weiterhin relevant sind:
- Verbotene KI-Praktiken
- Transparenzpflichten bei KI-Interaktion und Deepfakes
- GPAI-Regeln fuer Anbieter grosser KI-Modelle
- Datenschutz nach DSGVO
- interne Dokumentation von KI-Nutzung
- Lieferanten- und Tool-Pruefung
Gerade die DSGVO gilt ohnehin schon. Wer personenbezogene Daten in KI-Tools verarbeitet, braucht nicht auf AI-Act-Details zu warten.
Was Unternehmen jetzt tun sollten
1. KI-Inventar erstellen
Liste alle KI-Systeme und KI-Funktionen im Unternehmen:
- ChatGPT, Claude, Gemini und Copilot
- KI-Funktionen in CRM, HR, Buchhaltung und Marketing
- Bild-, Video- und Textgeneratoren
- Automatisierungen mit Make, n8n oder Zapier
- interne Agenten und Custom-GPTs
Ohne Inventar gibt es keine Compliance.
2. Risiko grob klassifizieren
Nicht jede KI ist Hochrisiko. Ein Social-Media-Textgenerator ist etwas anderes als ein System, das Bewerber vorsortiert.
Grobe Ampel:
| Nutzung | Risiko |
|---|---|
| Marketingtexte, Ideen, Zusammenfassungen | niedrig bis begrenzt |
| Kundenkommunikation mit sensiblen Daten | mittel |
| HR-Screening, Kredit, Bildung, Gesundheit | potenziell hoch |
| biometrische Identifikation, Arbeitsplatz-Emotionserkennung | sehr hoch |
3. Verantwortliche benennen
KI-Compliance scheitert selten an einem einzelnen Tool. Sie scheitert daran, dass niemand verantwortlich ist.
Mindestens klar sein sollte:
- Wer darf neue KI-Tools einfuehren?
- Wer prueft Datenschutz?
- Wer dokumentiert KI-Systeme?
- Wer entscheidet ueber Hochrisiko-Einstufung?
- Wer stoppt ein Tool bei Problemen?
4. Freigabeprozesse fuer Agenten bauen
Agenten sind besonders relevant, weil sie Aktionen ausfuehren koennen. Ein Chatbot antwortet. Ein Agent kann schreiben, planen, verschieben, buchen oder Daten veraendern.
Deshalb braucht jeder produktive Agent:
- klare Datenquellen
- Rechtebegrenzung
- Logs
- menschliche Freigabe bei externen Effekten
- Notfall-Stopp
Warum die neuen Fristen fuer KMU sogar gut sind
Viele kleine Unternehmen haben Angst vor Compliance-Aufwand. Die neue Staffelung kann helfen, weil sie Planung ermoeglicht.
Statt hektisch alles auf einmal zu machen, reicht ein pragmatischer Fahrplan:
- KI-Inventar im naechsten Monat.
- Datenschutz-Check fuer die Top-10-Tools.
- Risikoklassifizierung pro Prozess.
- Regeln fuer Mitarbeiter-Prompts und Kundendaten.
- Erst danach tieferer AI-Act-Check fuer potenziell hochriskante Systeme.
So entsteht Ordnung ohne Panik.
Fazit
Der AI Act wird durch den Omnibus nicht unwichtig. Er wird planbarer. Die neuen Fristen fuer Hochrisiko-Systeme geben Unternehmen mehr Zeit, aber die Grundarbeit bleibt: wissen, welche KI genutzt wird, wofuer sie genutzt wird und welche Daten dabei fliessen.
Wer 2026 damit beginnt, ist 2027 nicht im Stress.
Weiterlesen:
