Kurz gesagt: Der allgemeine Geltungsbeginn des EU-KI-Gesetzes am 2. August 2026 löst keine risikoreichen Durchsetzungsmaßnahmen aus: Er konkretisiert drei strukturelle Verpflichtungen, die regulierte Branchen bereits jetzt umgesetzt haben müssen. Vorstände in den Bereichen Finanzen, Gesundheitswesen und Versicherungen, die die verlängerten Durchsetzungsfristen des KI-Omnibusgesetzes fälschlicherweise als Erlaubnis zum Aufschub interpretieren, werden bei den Prüfungen im Jahr 2027 mit leeren Governance-Registern dastehen.
Was die Frist am 2. August 2026 tatsächlich auslöst
Die EU-KI-Gesetz (Verordnung (EU) 2024/1689) trat am 1. August 2024 in Kraft und gilt ab dem 2. August 2026 allgemein. Dieses Datum wird in Vorstandssitzungen häufig als Frist für die Einhaltung der KI-Vorschriften genannt. Genauer ausgedrückt handelt es sich um einen „Kristallisationspunkt“ der Governance: den Zeitpunkt, zu dem drei strukturelle Verpflichtungen für jeden Betreiber von KI-Systemen in der Europäischen Union vollumfänglich in Kraft treten, und den Zeitpunkt, ab dem sich die Governance-Unterlagen ansammeln, die später von den Aufsichtsbehörden geprüft werden.
Die erste Verpflichtung ist Transparenz. Die Transparenzbestimmungen des Gesetzes verpflichten die Betreiber, die betroffenen Personen zu informieren, wenn diese mit einem KI-System interagieren. Für Finanzdienstleister, die KI-gestützte Kundendienstkanäle betreiben, für Versicherer, die algorithmische Kommunikation im Rahmen der Risikoprüfung nutzen, und für Organisationen im Gesundheitswesen, die klinische KI-Schnittstellen einsetzen, müssen die Offenlegungsarchitekturen ab diesem Datum in Betrieb sein.
Die zweite Verpflichtung betrifft die KI-Kompetenz. Artikel 4 des Gesetzes verpflichtet Anbieter und Betreiber dazu, sicherzustellen, dass Mitarbeiter und Nutzer über ausreichende KI-Kenntnisse verfügen, die auf ihre jeweilige Rolle beim Einsatz von KI abgestimmt sind. Hierbei handelt es sich um eine dokumentierte organisatorische Verpflichtung, die von den Aufsichtsbehörden überprüft werden kann, und nicht um ein bloßes Schulungsziel.
Die dritte Verpflichtung betrifft die Infrastrukturbereitschaft. Die vom Europäischen KI-Büro verwaltete EU-Datenbank für KI-Systeme mit hohem Risiko nimmt ab dem 2. August 2026 ihren Vollbetrieb auf. Ein im August 2026 eröffnetes Governance-Register erfasst einen 12- bis 16-monatigen institutionellen Verlauf vor dem Datum des Inkrafttretens im Dezember 2027, das für KI-Systeme mit hohem Risiko in den meisten regulierten Sektoren gilt. Ein im Oktober 2027 eröffnetes Governance-Register tut dies nicht.
Was sich durch das KI-Omnibus-Gesetz ändert – und was nicht
Das „Digitalpaket zur Vereinfachung“, das im November 2025 von der Europäischen Kommission verabschiedet wurde und über das im Mai 2026 eine politische Einigung erzielt wurde, verlängerte mehrere Fristen für die Einhaltung der KI-Vorschriften bei risikoreichen Anwendungen. Gemäß den daraus resultierenden KI-Omnibus, KI-Systeme, die in regulierten Bereichen – darunter kritische Infrastruktur, Beschäftigung und Migration – als risikoreich eingestuft werden, müssen bis zum 2. Dezember 2027 alle für risikoreiche Systeme geltenden Verpflichtungen erfüllen. Für in regulierte Produkte integrierte KI gilt eine Frist bis zum 2. August 2028.
Gremien, die diese Verlängerungen als Verringerung der Dringlichkeit interpretieren, missverstehen die Logik der Rechtsetzung. Der KI-Omnibus hat den Stichtag für die Durchsetzung bestimmter Verpflichtungen für Systeme mit hohem Risiko verlängert. Der allgemeine Anwendungstermin im August 2026 für Transparenzangaben, Vorgaben zur KI-Kompetenz und die Eröffnung der EU-Registrierungsdatenbank blieb dabei unverändert. Auch die Logik der Konformitätsbewertungen wurde nicht geändert: Ein KI-System mit hohem Risiko, das seinen Konformitätsstichtag im Dezember 2027 ohne dokumentierte Risikobewertungshistorie, ohne Prüfpfad für Trainingsdaten und ohne Aufzeichnungen zur menschlichen Aufsicht erreicht, kann diese Unterlagen nicht nachträglich erstellen.
Der Präzedenzfall der Datenschutz-Grundverordnung ist aufschlussreich. Unternehmen, die die Datenerfassung bis kurz vor dem Inkrafttreten im Mai 2018 aufgeschoben hatten, mussten feststellen, dass sich die Verarbeitungshistorie von drei Jahren nicht innerhalb von drei Monaten rekonstruieren ließ. Das AI-Omnibus-Gesetz schafft dieselbe strukturelle Dynamik: verlängerte Umsetzungsfristen in Verbindung mit Governance-Aufzeichnungen, die sich ab August 2026 ansammeln.
Warum regulierte Branchen einem unverhältnismäßig hohen Risiko ausgesetzt sind
Das KI-Gesetz stuft Systeme nach ihrem Risikograd ein. Gemäß Anhang III des Gesetzes werden mehrere in regulierten Branchen übliche Anwendungen als risikoreich eingestuft. Dazu gehören KI zur Bonitätsprüfung und Kreditbewertung, KI-Tools zur Einstufung von Versicherungsrisiken und zur Risikoprüfung, KI-Systeme, die als Sicherheitskomponenten in Medizinprodukten oder zur Unterstützung klinischer Entscheidungen eingesetzt werden, sowie KI, die die Zuverlässigkeit von Beweismitteln in regulierten Verfahren bewertet.
Diese Einstufung führt zu einem strukturellen Risiko, das speziell für Vorstände in den Bereichen Finanzen, Gesundheitswesen und Versicherungen gilt. Diese Vorstände sehen sich nicht nur mit den Verpflichtungen ab August 2026 konfrontiert, die für alle KI-Anwender gelten, sondern auch mit einer Frist, die bis Dezember 2027 läuft und bis zu der ein dokumentiertes Compliance-Programm für Systeme gemäß Anhang III vorliegen muss. Ein Unternehmen, das heute, Stand Juli 2026, ein Kreditbewertungsmodell betreibt, verfügt bis zu diesem Zeitpunkt über einen Zeitpuffer von 17 Monaten. Dieser Zeitpuffer muss aktiv genutzt werden, beginnend mit einer Bestandsaufnahme der Systeme und einer Risikoklassifizierung.
Das Risiko verstärkt sich in Sektoren, in denen bereits Aufsichtsbeziehungen bestehen. Die aufsichtsrechtlichen Erwartungen der Europäischen Zentralbank an Banken hinsichtlich des Modellrisikomanagements, die Leitlinien der Europäischen Aufsichtsbehörde für das Versicherungswesen und die betriebliche Altersversorgung zur Nutzung von Big Data und maschinellem Lernen sowie die Stellungnahme der Europäischen Arzneimittelagentur zur KI in der Arzneimittelentwicklung schaffen jeweils parallele Prüfpfade. Die Aufsichtsbehörden in diesen Sektoren prüfen bereits im Rahmen ihrer regulären Aufsichtsprüfungen die KI-Governance. Das KI-Gesetz ergänzt die bestehenden aufsichtsrechtlichen Erwartungen um eine gesetzliche Dokumentationspflicht und erhöht damit die Anforderungen an den Nachweis einer angemessenen Governance.
Wie führende Organisationen in regulierten Branchen bereits vorangehen
Die Europäische Kommission KI-Pakt, die freiwillige Initiative zur vorzeitigen Einhaltung der Vorschriften, die parallel zum Gesetz läuft, liefert einen direkten Hinweis darauf, welche Organisationen der regulierten Branchen bereits mit den Vorbereitungsarbeiten begonnen haben. Der Pakt verpflichtet die Unterzeichner zu drei Kernmaßnahmen: der Verabschiedung einer KI-Governance-Strategie, der Erfassung von KI-Systemen, die nach dem Gesetz voraussichtlich als risikoreich eingestuft werden, und der Förderung der KI-Kompetenz der Mitarbeiter.
Die Allianz SE, einer der größten Versicherungskonzerne Europas, gehört zu den über 230 Unterzeichnern des AI-Pakts. Auch Generali, der italienische Versicherungs- und Vermögensverwaltungskonzern, hat den Pakt unterzeichnet, ebenso wie Intesa Sanpaolo, Italiens größte Privatkundenbank gemessen an der Bilanzsumme. Dedalus Healthcare, ein europäischer Anbieter von Software für das Gesundheitswesen, der in mehr als 40 Ländern tätig ist, gehört ebenso zu den Unterzeichnern wie Mastercard, dessen KI-Systeme für Zahlungsnetzwerke in den Geltungsbereich des Gesetzes für Finanzdienstleistungen fallen.
Diese Organisationen haben sich offiziell dazu verpflichtet, noch vor Ablauf der verbindlichen Frist zeitlich festgelegte Governance-Maßnahmen zu ergreifen. Die Teilnahme am KI-Pakt hat keinen rechtlichen Status hinsichtlich der Einhaltung von Vorschriften. Sie demonstriert jedoch die Governance-Logik, die die Aufsichtsbehörden erwarten: eine dokumentierte, chronologisch geordnete Aufzeichnung der Klassifizierung von KI-Systemen, der Risikobewertung und der Umsetzung von Aufklärungsprogrammen, die im Laufe der Zeit aufgebaut wurde und nicht erst in den Wochen vor einer Prüfung zusammengestellt wurde.
Die Governance-Lücke, die das Gesetz selbst nicht offenbart
Die für die Vorstände regulierter Branchen folgenreichste Verpflichtung – und zugleich diejenige, die im Gesetzestext am schwersten zu finden ist – betrifft den Zusammenhang zwischen dem Antragsstichtag im August 2026 und den Nachweispflichten für KI-Systeme mit hohem Risiko, die im Dezember 2027 fällig werden.
Gemäß den §§ 9 bis 16 des Gesetzes müssen Anbieter und Betreiber von KI-Systemen mit hohem Risiko über ein Risikomanagementsystem, technische Dokumentation und Protokolle zum Systembetrieb verfügen. Das Gesetz legt fest, was diese Aufzeichnungen enthalten müssen. Eine Mindestaufbewahrungsdauer wird nicht vorgeschrieben. Aufsichtsbehörden, die im Dezember 2027 ein Bonitätsbewertungssystem oder ein Versicherungsrisikomodell prüfen, werden die Aktualität und Herkunft dieser Aufzeichnungen als Indikator für die Ernsthaftigkeit der Unternehmensführung betrachten, so wie Datenschutzbehörden das Alter und die Vollständigkeit von Verarbeitungsaufzeichnungen gemäß der DSGVO bewertet haben.
Ein Unternehmen, das im August 2026 sein KI-Systeminventar offenlegt, bis Oktober 2026 seine in Anhang III genannten Risiken erfasst und vor Ende 2026 einen formellen Risikomanagementzyklus einführt, wird eine grundlegend andere Compliance-Situation aufweisen als ein Unternehmen, das denselben Prozess erst im Herbst 2027 einleitet. Das Gesetz schreibt diese Vorlaufzeit nicht ausdrücklich vor. Die Aufsichtspraxis in beaufsichtigten Sektoren belohnt sie jedoch durchweg.
Der Bereich “Public Affairs und Regulatory Intelligence” von Kainjoo betrachtet den August 2026 als Startpunkt für die Governance und nicht als Ziel. Die Compliance-Frage, die sich ein Vorstand heute stellen muss, lautet nicht: “Sind wir bereit für August 2026?”, sondern: „Wird die Bilanz, die wir ab August 2026 aufbauen, für Dezember 2027 ausreichen?“
Vorbereitung auf Vorstandsebene: Ein Zeitplan für die Einhaltung von Vorschriften in regulierten Branchen
Referenzen
- Europäische Kommission, “KI-Gesetz (Verordnung (EU) 2024/1689)”, EUR-Lex, https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=OJ:L_202401689
- Europäische Kommission, Generaldirektion Kommunikationsnetze, Inhalte und Technologien, “AI Act”, Europas digitale Zukunft gestalten, zuletzt aktualisiert am 11. Mai 2026, https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai
- Europäische Kommission, “KI-Pakt”, Europas digitale Zukunft gestalten, zuletzt aktualisiert am 20. April 2026, https://digital-strategy.ec.europa.eu/en/policies/ai-pact
- Europäische Kommission, “Digital Omnibus: Vorschlag für eine KI-Verordnung (AI Omnibus)”, Europas digitale Zukunft gestalten, https://digital-strategy.ec.europa.eu/en/library/digital-omnibus-ai-regulation-proposal
