Der EU AI Act aus Umsetzungssicht: Eine Lageanalyse

Dieser Beitrag folgt der Struktur eines militärischen Lageberichts: Lage, Beurteilung, Folgerungen, Absicht. Das ist kein Stilmittel, sondern Methode — ein Format, das erzwingt, Fakten von Bewertung zu trennen und mit einer Handlungsempfehlung zu enden statt mit einem Achselzucken.

1.Lage

Am 2. August 2026 ist der EU AI Act allgemein anwendbar geworden. Seit diesem Datum setzen das AI Office der Europäischen Kommission und die nationalen Behörden die Verordnung aktiv durch.

Was seit dem Stichtag konkret gilt: die Transparenzpflichten des Artikels 50. Chatbots und andere interaktive KI-Systeme müssen Nutzern offenlegen, dass sie mit einer Maschine interagieren. Deepfakes müssen gekennzeichnet werden. KI-generierte oder KI-veränderte Inhalte müssen maschinenlesbare Markierungen tragen. Wer Emotionserkennung oder biometrische Kategorisierung einsetzt, muss die Betroffenen informieren. Für Systeme, die vor dem Stichtag auf dem Markt waren, läuft eine Übergangsfrist bis zum 2. Dezember 2026. Verstöße gegen die Transparenzpflichten können mit bis zu 15 Millionen Euro oder drei Prozent des weltweiten Jahresumsatzes geahndet werden; verbotene Praktiken mit bis zu 35 Millionen Euro oder sieben Prozent.

Was nicht gekommen ist: das Hochrisiko-Regime. Kurz vor dem Stichtag hat die EU per Digital Omnibus die Pflichten für Hochrisiko-Systeme verschoben — eigenständige Systeme nach Anhang III (Personalauswahl, Kreditscoring, Bildung, Strafverfolgung, kritische Infrastruktur) auf den 2. Dezember 2027, in regulierte Produkte eingebettete KI nach Anhang I auf August 2028. Zwei Jahre lang stand der 2. August 2026 in den Compliance-Kalendern als der Tag, an dem das Kernstück der Verordnung scharf wird. Wenige Wochen vorher wurde er es nicht.

Unverändert in Kraft bleiben die früheren Schichten: die verbotenen Praktiken seit Februar 2025, die Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck seit August 2025, flankiert vom Code of Practice des AI Office. Neu hinzugekommen ist ein Verbot KI-generierter nicht-einvernehmlicher Intimbilder.

Die harmonisierten Normen, die eine Konformitätsvermutung auslösen würden, existieren noch nicht; ihre Veröffentlichung wird frühestens für das vierte Quartal 2026 erwartet. Wer heute Konformität nachweisen will, muss es ohne sie tun — als Orientierung dienen der Stand der Technik und internationale Normen wie ISO/IEC 42001.

In Österreich fungiert die KI-Servicestelle bei der RTR als zentrale Anlaufstelle, geschaffen durch das KI-Servicestelle-Gesetz. Die vollständige Marktüberwachungsarchitektur — welche Behörde welche Systemklasse beaufsichtigt — war bis zuletzt in Teilen offen; daneben bleiben Fachbehörden wie Datenschutzbehörde und FMA für ihre Bereiche zuständig.

Zum Vorbereitungsstand der Wirtschaft: Nach einer aktuellen Branchenerhebung aus Deutschland benötigen mehr als zwei Drittel der Unternehmen Hilfe bei der Umsetzung, während sich nur ein Viertel überhaupt mit der Verordnung beschäftigt hat. Es gibt keinen Grund zur Annahme, dass Österreich besser dasteht.

2.Beurteilung

Erstens: Die gefährlichste Fehlwahrnehmung des Jahres ist der Satz "Der AI Act wurde verschoben". Verschoben wurde das Hochrisiko-Regime. Anwendbar und durchsetzbar ist seit dem 2. August alles andere — und das betrifft praktisch jedes Unternehmen, das einen Chatbot betreibt, KI-generierte Inhalte publiziert oder generative Werkzeuge im Marketing einsetzt. Wer aus den Schlagzeilen zur Verschiebung Entwarnung abgeleitet hat, steht seit acht Tagen mit durchsetzbaren Pflichten und ohne Vorbereitung da. Das ist keine juristische Feinheit. Das ist die Differenz zwischen "kein Handlungsbedarf" und "Bußgeldrisiko im laufenden Betrieb".

Zweitens: Die Verschiebung selbst ist eine Kapitulation vor der eigenen Umsetzungslücke — und trotzdem richtig. Man muss beides gleichzeitig sagen können. Die Verordnung verlangte Konformität mit Normen, die es nicht gibt, geprüft von Behördenstrukturen, die vielerorts nicht fertig sind. Unter diesen Bedingungen am Stichtag festzuhalten, hätte Rechtspflichten erzeugt, die niemand rechtssicher erfüllen kann — das Gegenteil von Regulierungsqualität. Aber die Art der Verschiebung, wenige Wochen vor knapp, nach Jahren der Beteuerung, der Zeitplan stehe, hat einen Kollateralschaden: Sie bestätigt jeden, der Compliance-Vorbereitung für verschwendetes Geld hält, weil "die EU am Ende ohnehin verschiebt". Organisationen, die früh investiert haben, wirken intern wie die Dummen. Dieser Anreizschaden wird 2027 teuer, wenn die verschobenen Fristen tatsächlich greifen.

Drittens: Die Lücke zwischen Prinzip und Praxis ist jetzt amtlich. Ein Regelwerk, dessen Kernpflichten verschoben werden mussten, weil Normen, Leitlinien und Aufsichtsstrukturen nicht rechtzeitig standen, ist der Beleg für die These, dass KI-Governance kein Erkenntnis-, sondern ein Umsetzungsproblem hat. Die Prinzipien des AI Act sind seit 2024 bekannt. Gescheitert ist — vorerst — die Operationalisierung: die Übersetzung von "Risikomanagement" und "menschlicher Aufsicht" in prüfbare Anforderungen, die ein mittelständisches Unternehmen ohne Beraterstab erfüllen kann.

Viertens: Für die Mehrheit der Betroffenen ist die Lage besser, als sie glaubt — wenn sie jetzt handelt. Die seit August geltenden Transparenzpflichten sind, verglichen mit dem Hochrisiko-Regime, operativ gut beherrschbar: Kennzeichnen, offenlegen, markieren. Das ist Wochen-, nicht Jahresarbeit. Und die Verschiebung der Hochrisiko-Pflichten ist kein Geschenk von siebzehn Monaten Untätigkeit, sondern von siebzehn Monaten Vorbereitungszeit, die beim ersten Anlauf gefehlt hat. Der Unterschied zwischen beiden Lesarten entscheidet darüber, wer im Dezember 2027 souverän ist und wer erneut überrascht wird.

3.Folgerungen

Für Organisationen, in priorisierter Reihenfolge:

1. Sofort: Transparenz-Inventur. Jeden Kundenkontaktpunkt mit KI erfassen — Chatbots, Voicebots, generierte Inhalte auf Website und Social Media — und gegen die Pflichten aus Artikel 50 prüfen. Das ist die Pflicht, die seit dem 2. August durchsetzbar ist, und zugleich die am schnellsten erfüllbare.
2. Sofort: Die Übergangsfrist nutzen. Systeme, die vor dem Stichtag am Markt waren, haben bis Dezember 2026 Zeit für die Markierungspflichten. Vier Monate sind genug — wenn man jetzt beginnt und nicht im November.
3. Bis Jahresende: KI-Inventar und Risikoklassifizierung. Wer nicht weiß, welche seiner Systeme 2027 unter das Hochrisiko-Regime fallen, kann die gewonnene Zeit nicht nutzen. Die Klassifizierung ist die Voraussetzung für jede weitere Entscheidung.
4. 2027 vorbereiten, ohne auf Normen zu warten. Die harmonisierten Normen kommen später als die Pflichten. Wer sein Managementsystem an ISO/IEC 42001 ausrichtet, dokumentiert und Verantwortliche benennt, wird die spätere Norm-Anpassung als Delta-Übung erledigen, nicht als Neustart.
5. Zuständigkeiten beobachten, nicht abwarten. Die Verordnung gilt unmittelbar, unabhängig davon, wie fertig die nationale Behördenstruktur ist. Wer auf die letzte Zuständigkeitsklärung wartet, verwechselt Aufsichtslücke mit Pflichtenlücke.

4.Absicht

Dieses Institut wird die Umsetzung des AI Act als Dauerlage behandeln, nicht als Nachrichtenereignis: mit regelmäßigen Lageanalysen zu Fristen, Leitlinien und Durchsetzungspraxis, mit besonderem Blick auf das, was die Verordnung ausklammert — militärische KI liegt außerhalb ihres Anwendungsbereichs, was die Frage der Verantwortung dort nicht kleiner macht, sondern ungeregelter. Die nächste Lageanalyse folgt, wenn sich die Lage wesentlich ändert. Das ist der Maßstab, kein Redaktionskalender.