Rechtsanwalt & Spezialist für Kryptorecht & KI-Recht, Zertifizierter Geldwäschebeauftragter (TÜV)
T (+49) 040 / 7344 086-0
Rechtsanwalt & Fachanwalt für Urheber- und Medienrecht
T (+49) 040 / 7344 086-0
Fachanwalt für Urheber- und Medienrecht und Spezialist für Arbeitsrecht, Zertifizierter Datenschutzbeauftragter (TÜV)
T (+49) 040 / 7344 086-0
Rechtsanwältin & Expertin für Kryptorecht und Markenrecht
T (+49) 040 / 7344 086-0
| KI-Recht
Blog News
Der EU AI Act ist die erste umfassende Verordnung zur Regulierung von Künstlicher Intelligenz in der Europäischen Union und legt risikobasierte Pflichten für Anbieter fest. Er gibt vor, welche Pflichten Anbieter von Systemen wie ChatGPT, Gemini und anderen generativen KI-Modellen erfüllen müssen – etwa beim Training ihrer Modelle, bei Transparenzpflichten oder beim Umgang mit Risiken für Verbraucher und Grundrechte. Die Europäische Kommission hatte das Gesetz deshalb als ersten umfassenden Rechtsrahmen dieser Art weltweit präsentiert.
Ein Unternehmen entwickelt ein neues KI-Modell, trainiert es mit großen Datenmengen und bringt es in wenigen Monaten auf den Markt. Doch kurz bevor neue europäische Vorschriften greifen sollen, wird der Zeitplan geändert. Genau diese Situation erleben derzeit viele KI-Anbieter in Europa.
Die Europäische Kommission hat vorgeschlagen, zentrale Teile des EU-KI-Gesetzes (AI Act) zeitlich nach hinten zu verschieben. Damit sollen Unternehmen mehr Zeit erhalten, um die umfangreichen Anforderungen umzusetzen. Ursprünglich sollte das neue EU-KI-Amt bereits ab August mit der Durchsetzung einzelner Regeln beginnen. Bevor die Anpassungen tatsächlich gelten, müssen sich jedoch noch die Mitgliedstaaten und das Europäische Parlament auf die Änderungen einigen.
Mit der politischen Einigung der EU-Staaten im März 2026 wird der Zeitplan für zentrale Teile des EU-AI-Acts angepasst. Hintergrund ist, dass technische Standards, Leitlinien und Aufsichtsstrukturen noch nicht vollständig vorliegen. Um Unternehmen und Behörden mehr Vorbereitungszeit zu geben, werden insbesondere die Pflichten für Hochrisiko-KI-Systeme verschoben. Einige zentrale Verbote und Transparenzpflichten bleiben jedoch bestehen und treten weiterhin früher in Kraft.
Die EU-Staaten haben sich darauf verständigt, zentrale Pflichten des AI-Acts für Hochrisiko-KI später anzuwenden. Statt bereits 2026 sollen viele dieser Anforderungen erst Ende 2027 greifen. Betroffen sind vor allem KI-Systeme in sensiblen Bereichen wie Bewerbungsverfahren, Kreditentscheidungen oder anderen kritischen Dienstleistungen. Für besonders spezialisierte Hochrisiko-Anwendungen, etwa als Sicherheitskomponente in Medizinprodukten, verschiebt sich der Start sogar bis August 2028.
Hintergrund ist der politische Kompromiss im Digital-Omnibus-Verfahren. Die längere Übergangszeit soll Unternehmen und Behörden mehr Raum geben, technische Standards, Dokumentation und Prüfprozesse umzusetzen. Damit reagiert die EU auch auf den Einwand, dass die ursprünglichen Fristen angesichts der Komplexität des Regelwerks zu ambitioniert waren.
Wie schnell aus einer neuen KI-Funktion ein massives Missbrauchsproblem werden kann, zeigte Anfang Januar 2026 der Fall rund um den Chatbot Grok von xAI. Auslöser war eine neue Bildbearbeitungsfunktion auf der Plattform X, mit der Nutzer Fotos realer Personen hochladen und Grok per Texteingabe dazu bringen konnten, Kleidung zu entfernen oder sexualisierte Darstellungen zu erzeugen. Innerhalb kürzester Zeit entstanden so in großem Umfang nicht einvernehmliche Deepfakes, darunter auch Inhalte mit Frauen und Minderjährigen als Betroffenen.
Der Fall machte besonders deutlich, dass es hier nicht um vereinzelte Fehlanwendungen ging, sondern um eine massenhafte und technisch niedrigschwellige Produktion problematischer Inhalte. Nach den geschilderten Auswertungen wurden die erzeugten Bilder nicht nur direkt über die Plattform verbreitet, sondern teils auch in andere missbräuchliche Kontexte weitergetragen. Die öffentliche Empörung war entsprechend groß. Kritisiert wurde vor allem, dass Schutzmechanismen offenbar fehlten oder nicht wirksam genug waren, obwohl das Missbrauchsrisiko solcher Funktionen nahelag.
Politisch und rechtlich hatte das seither erhebliche Folgen. Der Skandal erhöhte den Druck auf Gesetzgeber und Aufsichtsbehörden, schneller und klarer gegen intime Deepfakes vorzugehen. Genau in diesem Zusammenhang gewann auch die europäische Debatte über strengere Verbote und Pflichten für KI-Anbieter zusätzlich an Dynamik.
Die Verschiebung betrifft vor allem die strengsten Pflichten des AI-Act für sogenannte Hochrisiko-KI. Gemeint sind Systeme, die in besonders sensiblen Bereichen eingesetzt werden und dort erhebliche Auswirkungen auf Grundrechte, wirtschaftliche Chancen oder gesellschaftliche Teilhabe haben können. Dazu zählen etwa Anwendungen in Bewerbungsverfahren, bei Kreditentscheidungen, bei Sozialleistungen oder in kritischer Infrastruktur. Für diese Systeme sieht das Gesetz umfangreiche Anforderungen vor, etwa zu Risikomanagement, Datenqualität, laufender Überwachung und technischer Dokumentation. Genau diese Pflichten sollen nun später greifen und verschaffen den Anbietern damit zusätzlichen zeitlichen Spielraum.
Noch weiter nach hinten verschiebt sich der Zeitplan bei KI, die in Produkte eingebettet ist, etwa in Medizinprodukte oder andere regulierte technische Systeme. Hier wollte die EU offenbar vermeiden, dass sich neue KI-Vorgaben und bestehende Produktregeln zu früh überlagern. Für Unternehmen in diesen Bereichen bedeutet das mehr Zeit für Anpassungen, Zertifizierungen und interne Prüfprozesse. Gleichzeitig verlängert sich damit aber auch die Phase, in der für besonders sensible Anwendungen noch kein vollständiger Rechtsrahmen praktisch greift.
Politisch ist die Richtung zwar vorgegeben, abgeschlossen ist das Verfahren aber noch nicht. Die Einigung der EU-Staaten vom 12. März 2026 ist ein wichtiger Zwischenschritt, ersetzt jedoch nicht die weiteren Verhandlungen zwischen Parlament, Rat und Kommission. Erst wenn dieser Prozess beendet ist, können die neuen Fristen endgültig in Kraft treten. Parallel arbeitet die EU zudem an weiteren Ergänzungen, etwa an ausdrücklichen Verboten für bestimmte Deepfake-Konstellationen. Der AI-Act bleibt also in Bewegung, auch wenn seine Grundstruktur bereits steht.
Die Kommission begründet die Verschiebung vor allem mit der praktischen Umsetzbarkeit. Viele Unternehmen sehen sich mit sehr umfangreichen Anforderungen konfrontiert, die weit über ein paar Informationspflichten hinausgehen. Gefordert sind oft komplexe Risikoanalysen, technische Nachweise, Prüfketten mit Zulieferern und eine enge Zusammenarbeit mit Aufsichtsbehörden. Hinzu kommt, dass viele technische Standards und Leitlinien noch nicht vollständig vorliegen. Die zusätzliche Zeit soll verhindern, dass die Vorgaben ins Leere laufen oder Innovationen ausgebremst werden, weil Unternehmen und Behörden gleichzeitig noch im Aufbau sind.
Wichtig ist jedoch, dass der AI-Act keineswegs insgesamt verschoben wurde. Bestimmte Regeln gelten bereits jetzt. Dazu gehören vor allem die Verbote besonders problematischer KI-Praktiken sowie erste Transparenzpflichten für allgemeine KI-Modelle. Anbieter großer Sprachmodelle oder Bildgeneratoren müssen sich deshalb schon heute mit Vorgaben zu Offenlegung, Risikobewertung und Nutzerinformation befassen. Auch Bußgeldrisiken für besonders schwere Verstöße stehen bereits im Raum. Die Verschiebung betrifft also nur bestimmte Teile des Regelwerks, nicht das gesamte Gesetz.
Für KI-Anbieter bedeutet die neue Zeitachse vor allem eine Atempause. Gerade kleinere und mittlere Unternehmen gewinnen Zeit, um interne Compliance-Strukturen aufzubauen, Dokumentationspflichten vorzubereiten und technische Anpassungen vorzunehmen. Für Betroffene und Nutzer ist die Lage ambivalenter. Transparenzregeln und erste Verbote greifen zwar schon, in besonders sensiblen Hochrisikobereichen dauert es aber länger, bis die vollen Schutzmechanismen wirksam werden. Genau darin liegt das Spannungsfeld der Verschiebung: wirtschaftliche Entlastung auf der einen Seite, späterer Grundrechtsschutz auf der anderen.
Der „Digital Fitness Check“ der EU-Kommission zeigt, wie zersplittert das europäische Digitalrecht inzwischen geworden ist. Im Rahmen der Konsultation, die am 11. März endete, gingen fast 200 Stellungnahmen ein, vor allem aus der Wirtschaft. Im Kern geht es um einen umfassenden Belastungstest für das europäische „Digital Rulebook“, also für Regelwerke wie den AI-Act, den DSA, den DMA, den Data Act oder die Cyber-Resilience-Verordnung. Die Kommission will prüfen, wo sich Vorschriften überschneiden, wo Pflichten doppelt laufen und an welchen Stellen Unternehmen durch widersprüchliche Vorgaben ausgebremst werden.
Gerade an den Schnittstellen zwischen Datenschutz, Datenrecht, Cybersicherheit und KI-Regulierung sehen viele Unternehmen erhebliche Probleme. Kritisiert werden unklare Begriffe, parallele Aufsichtszuständigkeiten und ein hoher Dokumentationsaufwand, der besonders kleinere und mittlere Unternehmen belastet. Im KI-Bereich betrifft das etwa die Frage, wie sich Pflichten aus dem AI-Act mit DSGVO-Vorgaben oder sektorspezifischen Anforderungen verzahnen lassen. Der Fitness-Check soll deshalb nicht nur Schwachstellen benennen, sondern auch Vereinfachungen vorbereiten, etwa über Omnibus-Pakete, Fristverschiebungen oder besser abgestimmte Prüfprozesse.
Gleichzeitig warnen Verbraucherschützer und zivilgesellschaftliche Akteure davor, Vereinfachung mit Schutzabbau zu verwechseln. Aus ihrer Sicht liegt das Hauptproblem weniger im Bestand der Regeln als in ihrer praktischen Durchsetzung. Genau darin liegt das politische Spannungsfeld. Einerseits wächst der Druck, die digitale Regulierung handhabbarer zu machen. Andererseits steht die Frage im Raum, ob dadurch Schutzstandards für Verbraucher, Grundrechte und faire Marktbedingungen verwässert werden.
Nun richtet sich der Blick auf das Europäische Parlament. Dort stehen in den zuständigen Ausschüssen die nächsten Entscheidungen an, bevor mögliche Trilog-Verhandlungen mit Rat und Kommission beginnen. Für Unternehmen in der EU ist damit klar, dass die kommenden Monate nicht nur technische Details betreffen, sondern den künftigen operativen Rahmen für Daten, Cybersicherheit und Künstliche Intelligenz in Europa spürbar prägen werden.
Stehen Sie vor der Frage, welche Pflichten aus dem AI Act für Ihr Unternehmen schon heute gelten und welche Fristen sich nun verschieben? Müssen Sie Hochrisiko-KI, Deepfake-Risiken oder Dokumentationspflichten neu bewerten? Oder möchten Sie wissen, wie sich Ihre Prozesse jetzt so aufstellen lassen, dass spätere Anpassungen an den europäischen KI-Rahmen nicht zum Kosten- und Haftungsproblem werden?
Als Anwaltskanzlei für KI-Recht beraten wir Start-ups ebenso wie etablierte Unternehmen aus Dienstleistung, Finanzsektor, Gesundheitswesen und weiteren Branchen bei der rechtssicheren Einführung und Nutzung von KI-Technologien. Dazu gehören die Prüfung Ihrer Systeme und Prozesse im Lichte der KI-VO, die Umsetzung technischer Schutzmaßnahmen, die rechtliche Einordnung von Hochrisiko-Systemen sowie der Aufbau belastbarer Compliance-Strukturen. So helfen wir Ihnen, KI-Anwendungen nicht nur innovativ, sondern auch rechtlich tragfähig und zukunftsfähig aufzustellen.
Für weitere Rückfragen stehen wir Ihnen jederzeit gerne auch telefonisch zur Verfügung. Wünschen Sie die Rechtsberatung von dem erfahrenen Team aus Fachanwälten und Spezialisten von SBS LEGAL?