Der EU AI Act ist keine Zukunftsmusik mehr — er ist geltendes Recht, und seit dem 2. August 2026 durchsetzbar. Für IT-Führungskräfte stellt sich damit nicht mehr die Frage ob, sondern welche Pflichten heute schon greifen und wo tatsächlich noch Zeit bleibt. Genau hier herrscht in vielen Organisationen Verwirrung — auch, weil sich eine zentrale Frist kürzlich verschoben hat.
Was 2026 wirklich gilt — und was verschoben wurde
Der sogenannte Digital Omnibus (Verordnung (EU) 2026/1744, in Kraft seit dem 27. Juli 2026) hat die Karten neu gemischt. Wer noch mit dem alten Kalender arbeitet, plant an der Realität vorbei. Der aktuelle Stand:
- Seit Februar 2025 bindend: Das Verbot bestimmter KI-Praktiken (Art. 5) und die Pflicht zur KI-Kompetenz der Mitarbeitenden (Art. 4). Wer Letztere nie dokumentiert hat, ist bereits in der Pflichtverletzung.
- Seit August 2025 bindend: Die Pflichten für Anbieter von General-Purpose-AI-Modellen (GPAI) — technische Dokumentation, Trainingsdaten-Übersicht, Urheberrechtsstrategie.
- Seit August 2026 durchsetzbar: Die Transparenzpflichten nach Art. 50 (Kennzeichnung von Chatbots, Deepfakes und KI-generierten Inhalten) sowie der volle Bußgeldrahmen — bis zu 15 Mio. Euro oder 3 % des weltweiten Jahresumsatzes.
- Verschoben auf Dezember 2027: Die vollen Pflichten für Hochrisiko-KI-Systeme nach Anhang III. Produktintegrierte Hochrisiko-KI nach Anhang I hat sogar bis August 2028 Zeit.
Die praktische Konsequenz: Der Termindruck liegt heute nicht bei der aufwendigen Konformitätsbewertung für Hochrisiko-Systeme, sondern bei den Grundpflichten, die bereits laufen — Kompetenz, Transparenz, Governance.
Die vier Baustellen für IT-Chefs
Aus unserer Beratungspraxis kristallisieren sich vier Themen heraus, die IT-Organisationen jetzt strukturiert angehen sollten:
- KI-Inventar aufbauen: Die meisten Unternehmen wissen nicht, wo überall KI im Einsatz ist — von eingebetteten Funktionen in SaaS-Tools bis zu selbst gebauten Assistenten. Ohne Inventar keine Risikoklassifizierung.
- Risikoklassen zuordnen: Nicht jede KI ist Hochrisiko. Der Großteil betrieblicher Anwendungen fällt in „begrenztes" oder „minimales" Risiko — mit entsprechend schlanken Pflichten. Die saubere Einordnung spart erheblichen Aufwand.
- KI-Kompetenz nachweisen: Art. 4 verlangt, dass Mitarbeitende, die KI einsetzen, dafür befähigt sind. Das ist kein Zertifikat, aber ein dokumentierter Prozess — Schulungen, Richtlinien, Ansprechpartner.
- Transparenz umsetzen: Chatbots müssen sich als solche zu erkennen geben, KI-generierte Inhalte gekennzeichnet werden. Für viele Kundenschnittstellen bedeutet das konkrete technische Anpassungen.
Warum Aktionismus der falsche Weg ist
Die Verschiebung der Hochrisiko-Fristen zeigt: Wer im Frühjahr 2026 unter Zeitdruck teure Konformitätsprojekte aufgesetzt hat, hat womöglich Ressourcen falsch priorisiert. Der EU AI Act belohnt Struktur statt Tempo. Eine belastbare Bestandsaufnahme, eine saubere Risikoklassifizierung und eine dokumentierte Governance sind die Grundlage — alles Weitere baut darauf auf und lässt sich gezielt terminieren.
Für IT-Führungskräfte ist das zugleich eine strategische Chance: Wer KI-Governance jetzt professionell aufsetzt, reduziert nicht nur regulatorisches Risiko, sondern schafft die Vertrauensbasis, um KI im Unternehmen breiter und schneller einzusetzen.
Fazit
Der EU AI Act ist real, gestaffelt und sanktionsbewehrt — aber er gilt nicht über Nacht. Die Grundpflichten laufen bereits, die aufwendigen Hochrisiko-Anforderungen sind auf Ende 2027 verschoben. Klug ist, wer diesen Vorlauf nutzt, um Inventar, Risikoklassifizierung und Governance sauber aufzubauen, statt in Aktionismus zu verfallen. Gerne unterstützen wir Sie bei einer strukturierten AI-Act-Standortbestimmung für Ihre IT-Organisation.