EU beginnt mit der Durchsetzung wegweisender Regeln des AI Act

Die Europäische Union hat am 2. August 2026 mit der Durchsetzung des AI Act begonnen und damit einen zweijährigen Gesetzgebungsprozess in einen unmittelbaren Praxistest für Regulierungsbehörden und Technologieunternehmen überführt. Google News begleitete den Stichtag mit einer Welle von Berichten, doch die Schlagzeilen verbergen eine wichtige Trennung. Transparenzregeln gelten nun, Regulierungsbehörden verfügen über neue Befugnisse, und Anbieter von General-Purpose-AI stehen unter Durchsetzung. Viele Anforderungen an Hochrisikosysteme wurden jedoch verschoben.

Diese Aufteilung schafft den zentralen Konflikt. Brüssel will jetzt sichtbare Compliance, insbesondere wenn Menschen auf Chatbots, Deepfakes oder synthetische Medien treffen. Unternehmen müssen diese Offenlegungspflichten umsetzen und sich zugleich auf weitere Anforderungen vorbereiten, die erst 2027 oder 2028 in Kraft treten werden.

Das Gesetz ist damit in die Durchsetzungsphase eingetreten, ohne auf eine einzige, einheitliche Ziellinie zuzusteuern. Google, Meta, Microsoft, OpenAI, Anthropic, Mistral und kleinere Anbieter stehen nun vor einer praktischen Frage. Können sie ein glaubwürdiges Transparenzsystem über Produkte, Märkte und Medienformate hinweg aufbauen, während nationale Behörden die Regeln auslegen?

Was sich mit Beginn der Durchsetzung des EU AI Act geändert hat

Der 2. August machte aus dem AI Act für weite Teile des KI-Markts ein schrittweise umzusetzendes Compliance-Projekt mit nun durchsetzbaren betrieblichen Vorgaben.

Das AI Office der Europäischen Kommission und die Behörden in den EU-Mitgliedstaaten können die anwendbaren Teile des Gesetzes nun umsetzen, überwachen und durchsetzen. Die Kommission bezeichnete das Datum als Beginn der Durchsetzung des AI Act, verbunden mit neuen Transparenzanforderungen für bestimmte KI-Systeme.

Diese Transparenzpflichten betreffen mehrere vertraute Nutzungssituationen. Ein Chatbot oder ein anderes interaktives KI-System muss Nutzer darüber informieren, wenn sie mit KI statt mit einer Person interagieren. Anbieter generativer Systeme müssen von den Regeln erfasste synthetische oder manipulierte Inhalte mit maschinenlesbaren Kennzeichnungen versehen.

Auch Betreiber tragen Verantwortung. Sie müssen bestimmte Deepfakes, Anwendungen zur Emotionserkennung oder biometrischen Kategorisierung sowie ohne menschliche Prüfung oder redaktionelle Kontrolle veröffentlichte KI-generierte Texte von öffentlichem Interesse offenlegen.

Maschinenlesbare Kennzeichnung bedeutet, Informationen einzubetten, die Software erkennen kann, und nicht lediglich eine sichtbare Bildunterschrift neben einem Bild zu platzieren. Diese Anforderung ist wichtig, weil Labels verschwinden können, wenn Medien zugeschnitten, heruntergeladen, komprimiert oder erneut veröffentlicht werden.

Eine für Menschen sichtbare Offenlegung und eine technische Kennzeichnung richten sich an unterschiedliche Zielgruppen. Erstere hilft einer Person, die Inhalte vor ihr einzuordnen. Letztere unterstützt Erkennungstools, Plattformen, Ermittler und künftige Verbreitungssysteme.

Die Leitlinien zu Artikel 50 bestätigen, dass die Transparenzpflichten ab dem 2. August 2026 gelten. Anbieter und Betreiber müssen die Vorgaben erfüllen, bevor erfasste Systeme auf den Markt gebracht oder in Betrieb genommen werden.

Für bestimmte bestehende Systeme gibt es einen engen Übergangszeitraum. Systeme, die vor dem Stichtag auf den Markt gebracht wurden, haben bis zum 2. Dezember 2026 Zeit, die Pflicht zur maschinenlesbaren Kennzeichnung zu erfüllen. Die Schonfrist setzt Artikel 50 nicht allgemein außer Kraft.

Vor dem 2. August generierte Inhalte müssen nicht rückwirkend gekennzeichnet werden. Diese Grenze verhindert die unmögliche Aufgabe, jeden bereits online kursierenden synthetischen Inhalt zu finden und zu verändern.

Das Gesetz betrifft auch Unternehmen mit Sitz außerhalb der Europäischen Union. Sein marktbezogener Geltungsbereich bedeutet, dass Anbieter außerhalb Europas unter die Regeln fallen können, wenn sie erfasste Systeme in der EU anbieten oder deren Ausgaben dort genutzt werden.

Diese territoriale Reichweite macht regionale Compliance zu einer Frage der Produktarchitektur. Ein Anbieter kann eine EU-spezifische Umsetzung schaffen oder ähnliche Offenlegungen weltweit einsetzen. Der zweite Ansatz reduziert häufig die betriebliche Fragmentierung, exportiert jedoch zugleich europäische politische Entscheidungen in andere Märkte.

Die Durchsetzungsbefugnis ist nicht zentralisiert, sondern aufgeteilt. Nationale Marktüberwachungsbehörden werden einen Großteil von Artikel 50 handhaben. Das AI Office hat eine engere, aber folgenreiche Rolle bei General-Purpose-AI-Modellen und bestimmten integrierten Systemen.

Der Europäische Datenschutzbeauftragte überwacht erfasste Systeme, die von EU-Institutionen, -Einrichtungen und -Agenturen genutzt werden. Diese Verteilung entspricht der Struktur des Gesetzes, eröffnet aber auch die Möglichkeit unterschiedlicher Durchsetzungsprioritäten in den einzelnen Rechtsräumen.

Die Kommission hat Beschwerde- und Whistleblower-Kanäle eingerichtet, darunter einen Weg für nachgelagerte Anbieter, die General-Purpose-Modelle einsetzen. Diese Instrumente sind wichtig, weil Regulierungsbehörden nicht jedes Produkt fortlaufend prüfen können. Meldungen von Nutzern, Beschäftigten, Kunden und Unternehmen können helfen, mögliche Verstöße zu identifizieren.

All dies bedeutet nicht, dass sämtliche Anforderungen des AI Act gleichzeitig begonnen haben. Verbotene Praktiken und Pflichten zur KI-Kompetenz galten bereits ab Februar 2025. Governance-Vorschriften und Verpflichtungen für General-Purpose-AI folgten im August 2025.

Der jüngste Stichtag aktiviert Durchsetzungsbefugnisse und die meisten verbleibenden Vorschriften, einschließlich der Transparenz nach Artikel 50. Er markiert einen entscheidenden Wandel, aber nicht das Ende des Umsetzungszeitplans.

Warum Google-News-Schlagzeilen den geteilten Zeitplan übersehen

Das folgenreichste Detail ist nicht allein, dass die Durchsetzung begonnen hat, sondern dass Europa wesentliche Hochrisikoregeln verschob, während Transparenzpflichten planmäßig in Kraft traten.

Eine Google-News-Suche kann den 2. August wie einen einzelnen Schalter erscheinen lassen. In der Praxis hat die EU mehrere Regulierungsstränge geschaffen, jeweils mit eigenem Stichtag, eigener zuständiger Behörde und eigener Compliance-Belastung.

Hochrisiko-KI bezeichnet Systeme, die in sensiblen Bereichen eingesetzt werden, in denen Fehler oder Diskriminierung Menschen erheblich beeinträchtigen können. Beispiele sind bestimmte Anwendungen in Beschäftigung, Bildung, Kreditvergabe, essenziellen Dienstleistungen, Strafverfolgung und kritischer Infrastruktur.

Für diese Systeme gelten weitergehende Anforderungen als für einen Chatbot-Hinweis. Anbieter benötigen möglicherweise Risikomanagementprozesse, technische Dokumentation, Maßnahmen zur Data Governance, menschliche Aufsicht, Genauigkeitsvorkehrungen, Monitoring und Registrierung.

Der ursprüngliche Umsetzungsweg sah viele Hochrisikopflichten etwa zum allgemeinen Geltungsbeginn im August 2026 vor. Die EU änderte diesen Zeitplan später im Rahmen ihrer Vereinfachungsinitiative AI Omnibus.

Nach der Zeitleiste des Rates beginnen die Anforderungen für eigenständige Hochrisikosysteme nun am 2. Dezember 2027. Regeln für Hochrisiko-KI, die in regulierte Produkte eingebettet ist, gelten ab dem 2. August 2028.

Eingebettete Systeme umfassen KI in Produkten, die bereits branchenspezifischen Sicherheitsrahmen unterliegen, etwa Maschinen, Spielzeug, Aufzügen und einigen Medizinprodukten. Die Abstimmung von KI-Pflichten mit bestehenden Produktbewertungssystemen verringert widersprüchliche Prozesse, verlängert jedoch den Übergang.

Die Verschiebung reagierte auf ein reales Umsetzungsproblem. Unternehmen und Regulierungsbehörden benötigten Standards, Leitlinien, Testverfahren und institutionelle Kapazitäten. Die Anwendung detaillierter Pflichten ohne diese Voraussetzungen könnte zu uneinheitlicher Dokumentation und unsicheren Konformitätsbewertungen führen.

Die Verschiebung schuf jedoch einen politischen und operativen Zielkonflikt. Unternehmen erhielten mehr Vorbereitungszeit, während Menschen, die von Hochrisikosystemen betroffen sind, länger auf den vollständigen Rahmen warten müssen.

Transparenz blieb die unmittelbare Priorität der EU. Sie ist vergleichsweise sichtbar, verständlich und auf viele Verbrauchererfahrungen anwendbar. Eine Person kann einen Chatbot-Hinweis oder ein Deepfake-Label sehen, selbst wenn die tieferen technischen Kontrollen unsichtbar bleiben.

Diese Sichtbarkeit bietet Regulierungsbehörden einen frühen Test. Sie können prüfen, ob Offenlegungen klar sind, ob technische Kennzeichnungen die gewöhnliche Verbreitung überstehen und ob Anbieter ihre Compliance-Entscheidungen dokumentieren.

Der verschobene Zeitplan für Hochrisiko-KI hindert Unternehmen zudem daran, den 2. August als vollständigen Compliance-Endpunkt zu behandeln. Ein Produktteam kann heute einen Interaktionshinweis erfüllen und dennoch vor erheblicher Arbeit bei Klassifizierung, Dokumentation, Monitoring oder menschlicher Aufsicht stehen.

Für Unternehmenskäufer macht die Aufteilung die Anbieterprüfung komplizierter. Ein Beschaffungsteam kann nicht nur fragen, ob ein Produkt „mit dem AI Act konform ist“. Es muss ermitteln, welche Rolle der Anbieter einnimmt, welches System betroffen ist und welche Pflichten derzeit gelten.

Ein Unternehmen kann je nach Umständen als Anbieter, Betreiber, Importeur, Händler oder Produkthersteller handeln. Dieselbe Organisation kann über ihr Produktportfolio hinweg mehrere Rollen einnehmen.

So hat etwa ein Unternehmen, das einen externen Chatbot intern nutzt, andere Pflichten als ein Unternehmen, das ein Modell in ein kundenorientiertes Entscheidungssystem integriert. Ein Anbieter, der ein Modell feinabstimmt und mit eigener Marke versieht, kann ebenfalls Verantwortung übernehmen, die über die eines gewöhnlichen Kunden hinausgeht.

Diese Komplexität schafft Raum für irreführende Behauptungen. Ein Anbieter könnte nach der Einführung eines Chatbot-Hinweises mit „AI Act ready“ werben, obwohl seine Hochrisikokontrollen noch unvollständig oder ungetestet sind.

Ohne ein klar definiertes System und eine konkrete Pflicht hat dieser Ausdruck keine einheitliche praktische Bedeutung. Käufer sollten Nachweise verlangen, die sich auf die relevanten Artikel, die Produktversion, den Einsatzkontext und das Compliance-Datum beziehen.

Google News kann das Durchsetzungsereignis sichtbar machen, aber keine Antworten auf diese rollenspezifischen Fragen liefern. Diese finden sich in Produktdokumentation, Verträgen, technischen Kontrollen und regulatorischer Auslegung.

Der eigentliche Wettstreit lautet: verbindliche Regeln gegen praktikable Compliance

Europas zentrale Herausforderung besteht darin, rechtliche Transparenz in Offenlegungen und technische Kennzeichnungen zu überführen, die nützlich bleiben, nachdem KI-Inhalte ihr ursprüngliches Produkt verlassen haben.

Artikel 50 gibt das Ziel vor, doch die Umsetzung entscheidet darüber, ob die Regeln Täuschung verringern. Ein Hinweis, den Nutzer übersehen, oder eine Kennzeichnung, die beim erneuten Veröffentlichen verschwindet, erfüllt keines der beiden Ziele wirksam.

Interaktive Systeme sind der einfachere Fall. Ein Chatbot kann einen Hinweis in seiner Benutzeroberfläche, im Onboarding-Ablauf oder im Gespräch anzeigen. Der Hinweis muss dennoch rechtzeitig und verständlich sein, insbesondere wenn das System eine menschliche Rolle nachahmt.

Synthetische Medien stellen den schwierigeren Mechanismus dar. Bilder, Audio, Video und Text wandern durch Bearbeitungswerkzeuge, Messenger-Apps, soziale Netzwerke, Veröffentlichungssysteme und Dateikonverter. Jeder Schritt kann Metadaten verändern oder Herkunftsinformationen entfernen.

Ein Anbieter benötigt daher Kennzeichnungstechnologie, die interoperabel, erkennbar und robust ist. Sie darf zudem weder die Ausgabe beeinträchtigen noch sensible Umsetzungsdetails offenlegen.

Keine einzelne Kennzeichnung löst jedes Problem. Metadaten können detaillierte Herkunftsinformationen tragen, aber entfernt werden. Wasserzeichen können einige Transformationen überstehen, nach umfassender Bearbeitung jedoch versagen. Erkennungsklassifikatoren können Untersuchungen unterstützen, liefern aber häufig unsichere Ergebnisse.

Der AI Act lässt diese technischen Grenzen nicht verschwinden. Er schafft einen rechtlichen Anreiz für Anbieter und Betreiber, die gesamte Kette zu verbessern.

Die Kommission veröffentlichte einen freiwilligen Transparenzkodex, um Artikel 50 in praktischere Maßnahmen zu übersetzen. Die Unterzeichnung des Kodex ersetzt das Gesetz nicht, und Nichtunterzeichner bleiben für die Compliance verantwortlich.

Bis Ende Juli hatten sich rund 190 Organisationen dem Kodex angeschlossen. Die Liste umfasste etablierte KI-Anbieter, Technologieunternehmen, Medienspezialisten, Einzelhändler, Bildungsorganisationen und kleinere Firmen.

Zu den prominenten Teilnehmern gehörten Google, Meta, Microsoft, OpenAI, Anthropic, Cohere, Mistral, Aleph Alpha, Black Forest Labs und Synthesia. Ihre Teilnahme schafft einen gemeinsamen Bezugspunkt, belegt jedoch nicht, dass jedes erfasste Produkt konform ist.

Der Kodex ist wichtig, weil freiwillige Koordinierung uneinheitliche Umsetzungen verringern kann. Anbieter können gemeinsamen Praktiken folgen, anstatt völlig getrennte Systeme für Kennzeichnung, Labeling und Dokumentation zu entwickeln.

Er gibt Regulierungsbehörden zudem einen Maßstab. Ein Nichtunterzeichner kann einen anderen Weg wählen, doch Behörden könnten verlangen, dass er erklärt, wie seine Maßnahmen eine gleichwertige Compliance gewährleisten.

Diese Unterscheidung schafft den zentralen Gegenspieler dieser Geschichte. Verbindliche Pflichten versprechen Rechenschaftspflicht, während praktische Compliance teilweise von freiwilliger Koordinierung und technischen Standards abhängt.

Die beiden Seiten schließen einander nicht aus. Das Gesetz schafft Folgen, der Kodex liefert einen Umsetzungsweg. Spannungen entstehen, wenn ein kodexbasierter Prozess zum Ersatz für die Prüfung tatsächlicher Ergebnisse wird.

Eine unterzeichnete Verpflichtung zeigt nicht, ob eine Kennzeichnung die Komprimierung in sozialen Medien übersteht. Sie zeigt nicht, ob Nutzer eine Offenlegung verstehen. Sie belegt nicht, ob ein nachgelagerter Publisher die erforderlichen Informationen bewahrt hat.

Unternehmen benötigen Nachweise aus eingesetzten Systemen. Sinnvolle Kennzahlen umfassen Erkennungsraten von Markierungen nach gängigen Veränderungen, das Verständnis von Offenlegungen, Reaktionszeiten bei Vorfällen und den Anteil erfasster Ergebnisse mit gültigen Herkunftsdaten.

Auch Regulierungsbehörden benötigen Testkapazitäten. Sie müssen zwischen einer echten technischen Einschränkung und einer vermeidbaren Designentscheidung unterscheiden. Sie brauchen Verfahren, die über Modelle, Medientypen und Mitgliedstaaten hinweg vergleichbare Ergebnisse liefern.

Die Durchsetzungsstruktur der EU fügt eine weitere Ebene hinzu. Nationale Behörden können Fachwissen unterschiedlich schnell aufbauen. Eine Behörde kann Deepfakes priorisieren, während eine andere sich auf Chatbots oder Einsätze im öffentlichen Sektor konzentriert.

Das AI Office kann Konsistenz fördern, insbesondere bei KI-Modellen mit allgemeinem Verwendungszweck. Dennoch erfordert eine einheitliche Durchsetzung im Binnenmarkt Koordinierung, gemeinsame Testmethoden und klare Entscheidungen.

Der Verhaltenskodex für KI mit allgemeinem Verwendungszweck bietet ein paralleles Beispiel. Er hilft Modellanbietern dabei, Transparenz-, Urheberrechts-, Sicherheits- und Schutzpflichten zu erfüllen. Zu seinen Unterzeichnern zählen viele Unternehmen, die den aktuellen Markt für Modelle prägen.

KI-Modelle mit allgemeinem Verwendungszweck können viele nachgelagerte Systeme unterstützen, statt nur eine eng umrissene Aufgabe zu erfüllen. Ihre Anbieter stehen am Anfang einer langen Wertschöpfungskette, wodurch Dokumentation und Risikoinformationen für spätere Entwickler wichtig werden.

Ein nachgelagertes Unternehmen kann nicht jedes Risiko steuern, wenn der Modellanbieter unzureichende Informationen liefert. Umgekehrt kann ein Modellanbieter nicht jeden Einsatz kontrollieren, der auf seiner Technologie aufbaut.

Das Gesetz weist entlang dieser Kette Pflichten zu, doch Verträge und Dokumentation werden bestimmen, ob Informationen wirksam weitergegeben werden. Deshalb setzt die Durchsetzungsphase Anbieter von Unternehmenssoftware ebenso unter Druck wie führende Forschungslabore.

Was die neuen Regeln weiterhin nicht belegen

Die Frist für die Durchsetzung schafft rechtliche Befugnisse, belegt jedoch nicht, dass Regulierungsbehörden in ganz Europa konsistente und technisch glaubwürdige Ergebnisse erzielen können.

Die erste Unsicherheit betrifft die Durchsetzungskapazität. Der AI Act umfasst viele Systeme, Betreiber und Branchen. Behörden benötigen technisches Personal, juristische Expertise, Untersuchungsverfahren und Koordinierungskanäle.

Ein Beschwerdeinstrument kann mögliche Probleme aufzeigen, doch jeder Hinweis muss weiterhin geprüft werden. Regulierungsbehörden müssen feststellen, ob das System erfasst ist, welcher Betreiber die Pflicht trägt und ob eine Ausnahme gilt.

Die zweite Unsicherheit betrifft die technische Beständigkeit. Maschinenlesbare Markierungen wirken eindeutig, doch synthetische Medien können umfassend verändert werden. Eine Kennzeichnungspflicht garantiert keine dauerhafte Erkennung.

Anbieter sollten kein Wasserzeichen- oder Metadatensystem als unmöglich entfernbar darstellen. Solche Behauptungen erfordern unabhängige Tests über Formate, Komprimierungsstufen, Screenshots, Zuschnitte, Übersetzungen, Transkriptionen und gegnerische Manipulationen hinweg.

Die Leitlinien der Kommission erkennen an, dass die technische Umsetzung den Stand der Technik widerspiegeln muss. Dieser Standard kann sich weiterentwickeln, wenn sich Kennzeichnungs- und Entfernungstechniken verbessern.

Diese Weiterentwicklung ist notwendig, erschwert jedoch die Compliance. Ein Design, das 2026 als ausreichend gilt, könnte Aktualisierungen erfordern, wenn sich Vertriebsplattformen oder Umgehungsmethoden ändern.

Die dritte Unsicherheit ist das Nutzerverständnis. Ein technisch korrektes Label kann dennoch versagen, wenn es verborgen, vage oder erst nach einer folgenreichen Interaktion angezeigt wird.

„KI-generiert“ umfasst zudem ein breites Spektrum an Beteiligung. Ein vollständig synthetisches Video unterscheidet sich von einem von Menschen verfassten Artikel mit automatisierten Grammatikkorrekturen. Nutzer benötigen Offenlegungen, die sinnvollen Kontext vermitteln, ohne jede Benutzeroberfläche zu überladen.

Das Gesetz enthält Ausnahmen und rollenspezifische Regeln, einschließlich einer Regelung für redaktionell kontrollierte Texte von öffentlichem Interesse. Diese Grenzen werden durch Leitlinien, Durchsetzungsentscheidungen und möglicherweise Gerichtsverfahren ausgelegt werden müssen.

Die vierte Unsicherheit betrifft die grenzüberschreitende Konsistenz. Nationale Behörden setzen viele Transparenzpflichten durch, doch KI-Dienste werden häufig über eine einzige Oberfläche in allen EU-Ländern betrieben.

Wenn Behörden Darstellung, Zeitpunkt oder technische Angemessenheit unterschiedlich auslegen, könnten Anbieter mit einem fragmentierten Compliance-Umfeld konfrontiert werden. Die Kommission und das AI Board werden diese Unterschiede verringern müssen.

Die fünfte Unsicherheit ist die Verhältnismäßigkeit. Der konsolidierte Text des AI Act erlaubt für bestimmte Verstöße, einschließlich Pflichten nach Artikel 50, Geldbußen von bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes.

Verbotene Praktiken können höhere Höchststrafen nach sich ziehen, bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes. Bei den tatsächlichen Sanktionen müssen Umstände wie Verantwortung, Vorsatz, Abhilfemaßnahmen und die Größe des Betreibers berücksichtigt werden.

Für kleine und mittlere Unternehmen gelten als anwendbare Obergrenzen der niedrigere statt der höhere Betrag. Der Rahmen soll abschrecken, ohne ein Startup wie eine globale Plattform zu behandeln.

Höchstbeträge erzeugen Schlagzeilen, doch die frühe Durchsetzung wird durch gewöhnliche Maßnahmen mehr offenbaren. Auskunftsersuchen, Warnungen, Abhilfeanordnungen, ausgehandelte Lösungen und veröffentlichte Entscheidungen werden zeigen, was Behörden priorisieren.

Die sechste Unsicherheit ist die Lücke, die durch verzögerte Vorschriften für Hochrisikosysteme entsteht. Transparenz kann einer Person mitteilen, dass KI beteiligt ist, doch sie belegt nicht, dass das System korrekt, fair, sicher oder angemessen überwacht ist.

Ein gekennzeichnetes Einstellungssystem kann weiterhin diskriminieren. Ein offengelegtes Kreditmodell kann weiterhin ein falsches Ergebnis liefern. Ein Hinweis bei einem Chatbot kontrolliert nicht, wie ein Agent Tools nutzt oder auf sensible Daten zugreift.

Transparenz ist daher eine Grundlage, kein Ersatz für Risikomanagement. Die verzögerten Regeln lassen Unternehmen weiterhin unter anderen Gesetzen, Verträgen und Branchenanforderungen verantwortlich, doch der vollständige Hochrisikorahmen des AI Act ist noch nicht aktiv.

Diese Unterscheidung ist für Wissensarbeiter wichtig. Beschäftigte begegnen KI zunehmend in Meeting-Tools, Produktivitätsplattformen, Kundendienstsystemen, Recruiting-Workflows und Dokumentensoftware.

Eine Offenlegung hilft Beschäftigten, automatisierte Interaktionen zu erkennen. Sie beantwortet jedoch nicht, welche Daten das System speichert, ob ein Mensch seine Ausgabe überprüft oder wie jemand eine nachteilige Entscheidung anfechten kann.

Unternehmenskunden sollten diese Fragen weiterhin stellen. Sie sollten außerdem Anbieterdokumentation, Systeminventare, Folgenabschätzungen und Entscheidungsprotokolle aufbewahren, während sich der Regulierungsrahmen entwickelt.

Der AI Act verlangt nicht, dass jede Organisation die Nutzung von KI einstellt, bis die Unsicherheit verschwindet. Er belohnt sorgfältige Klassifizierung und Nachweise statt pauschaler Zusicherungen.

Unternehmen sollten nicht davon ausgehen, dass die Kodex-Unterzeichnung eines Anbieters die Compliance automatisch überträgt. Jeder Betreiber bleibt für die an seine eigene Nutzung geknüpften Pflichten verantwortlich.

Ebenso sollte ein Unternehmen Compliance nicht aus dem globalen Ruf eines Modellanbieters ableiten. Regulierungsbehörden prüfen erfasste Systeme und Verhaltensweisen, nicht Markenbekanntheit.

Hier stößt auch die Berichterstattung von Google News erneut an ihre Grenze. Nachrichtenergebnisse identifizieren die politische Frist, doch Compliance hängt von Fakten ab, die selten in einer Überschrift erscheinen.

Drei Signale werden zeigen, ob die Durchsetzung funktioniert

Die nächste Phase wird anhand von Durchsetzungsnachweisen, technischer Leistung und der Vorbereitung auf die verzögerten Hochrisiko-Fristen beurteilt werden.

Das erste Signal ist die erste Reihe regulatorischer Maßnahmen. Behörden müssen keine Höchstbußen verhängen, um Ernsthaftigkeit zu zeigen. Detaillierte Auskunftsersuchen, Abhilfeanordnungen und öffentliche Entscheidungen können Erwartungen schneller festlegen als abstrakte Leitlinien.

Die aufschlussreichsten Fälle werden erklären, was fehlgeschlagen ist. Fehlte eine KI-Offenlegung, war sie schlecht getimt oder unklar? Verschwand eine technische Markierung bei gewöhnlicher Verbreitung? Fehlte einem Anbieter die Dokumentation zur Untermauerung seines gewählten Ansatzes?

Veröffentlichte Begründungen würden die Wirkung des Gesetzes über ein einzelnes Unternehmen hinaus stärken. Sie würden anderen Anbietern helfen, akzeptable Umsetzung von kosmetischer Compliance zu unterscheiden.

Ein Muster inkonsistenter nationaler Entscheidungen würde das EU-Versprechen eines einheitlichen Regelwerks schwächen. Koordinierte Untersuchungen oder gemeinsame Testkriterien würden es stützen.

Das zweite Signal kommt mit der Übergangsfrist am 2. Dezember 2026 für bestimmte bestehende generative Systeme. Dieses Datum wird prüfen, ob Anbieter maschinenlesbare Kennzeichnungen in Produkte nachrüsten können, die vor August eingeführt wurden.

Nachrüstungen sind oft schwieriger, als eine Anforderung bereits beim ursprünglichen Design hinzuzufügen. Anbieter müssen Generierungspipelines, Dateiformate, APIs, Benutzeroberflächen und nachgelagerte Dokumentation aktualisieren, ohne bestehende Workflows zu beeinträchtigen.

Unternehmensplattformen müssen möglicherweise auch klarstellen, welche Ausgaben Markierungen tragen und welche Veränderungen sie erhalten. Kunden benötigen Leitlinien für das Bearbeiten, Speichern und Veröffentlichen erfasster Inhalte.

Die Frist wird die Position der EU stärken, wenn große Anbieter interoperable, testbare Umsetzungen liefern. Weitverbreitete Verlängerungen, widersprüchliche Auslegungen oder fragile Markierungen würden eine Lücke zwischen der Regel und der verfügbaren Technologie offenlegen.

Die Kommission plant ab September 2026 Taskforces zum Transparenzkodex. Ihre Arbeit kann frühzeitig Belege für gemeinsame Umsetzungsprobleme liefern und die Koordinierung zwischen Unterzeichnern verbessern.

Das dritte Signal ist die Vorbereitung auf Hochrisikoregeln, die 2027 und 2028 fällig werden. Die Verzögerung sollte zu besseren Standards, Dokumentation, Reallaboren und Testkapazitäten führen, statt zu einem weiteren Last-Minute-Chaos.

Unternehmen, die Systeme für Einstellung, Bildung, Kreditvergabe, Sicherheit oder den öffentlichen Sektor betreiben, sollten die zusätzliche Zeit nutzen, um Produkte zu klassifizieren und Verantwortlichkeiten zuzuordnen. Bis zur endgültigen Frist zu warten, würde die Unsicherheit wiederholen, die zur Verschiebung geführt hat.

Auch Regulierungsbehörden müssen ihre Bereitschaft zeigen. Leitlinien, harmonisierte Standards, Datenbanken, Konformitätsverfahren und geschulte Behörden müssen verfügbar sein, bevor Pflichten durchsetzbar werden.

Der Durchsetzungsrahmen der Kommission nennt Befugnisse wie das Anfordern von Informationen, die Bewertung von Modellen mit allgemeinem Verwendungszweck, das Verlangen von Abhilfemaßnahmen und das Verhängen von Sanktionen. Der eigentliche Test ist, wie diese Instrumente in konkreten Fällen funktionieren.

Für Entwickler besteht die unmittelbare Maßnahme darin, Transparenz als Produktanforderung zu behandeln. Hinweise, Labels, Herkunftsnachweise und technische Markierungen sollten Verantwortliche, Tests und Freigabekriterien haben.

Für Unternehmenskäufer sollten Anbieterfragebögen aktuelle Pflichten nach Artikel 50 von künftigen Hochrisikokontrollen trennen. Verträge sollten festlegen, wer Offenlegungen bewahrt und wer regulatorische Anfragen bearbeitet.

Für Wissensarbeiter ist es am hilfreichsten, darauf zu achten, wann ein System eine KI-Beteiligung offenlegt und was diese Mitteilung unbeantwortet lässt. Fragen Sie, wie die Ausgabe erzeugt wurde, welche Daten sie geprägt haben und wer verantwortlich bleibt.

Google News wird weiterhin Durchsetzungsmaßnahmen, Reaktionen von Unternehmen und Änderungen bei Fristen verfolgen. Leser sollten über die bloße Zahl der Schlagzeilen hinausblicken und darauf achten, ob Offenlegungen reale Arbeitsabläufe überstehen, Behörden konsistente Entscheidungen veröffentlichen und verzögerte Schutzmaßnahmen planmäßig umgesetzt werden.

Die EU hat den einfachen symbolischen Schritt bereits vollzogen und ein wegweisendes Regelwerk geschaffen. Ihre schwierigere Aufgabe beginnt jetzt. Regulierungsbehörden und Unternehmen müssen beweisen, dass Transparenz auch dann aussagekräftig bleibt, wenn KI-Inhalte durch Produkte, Plattformen und Menschen fließen.