Warten auf 2027

Essay #007 · 2026 · Lesezeit 5 min · Feld: Recht / Regulierung · Markt: alle

Im Mai 2026 ging eine Nachricht durch die Führungsetagen, und fast überall löste sie dasselbe aus: Erleichterung. Die EU hatte sich darauf geeinigt, die schärfsten Pflichten des AI Act zu verschieben. Die Vorgaben für Hochrisiko-Systeme, die eigentlich diesen August greifen sollten, kommen nun erst Ende 2027, ein Teil sogar erst 2028. In vielen Unternehmen wanderte das Thema daraufhin nach hinten, auf den Stapel der Dinge, die vorerst erledigt scheinen.

Diese Erleichterung ist verständlich. Sie beruht aber auf einem Missverständnis, das teuer werden kann.

Was verschoben wurde und was nicht

Verschoben wurde ein eng umrissener Teil: die Pflichten für sogenannte Hochrisiko-Systeme. Das ist KI in der Personalauswahl, in der Kreditvergabe oder in sicherheitsrelevanten Produkten. Diese Pflichten sollen nun am 2. Dezember 2027 greifen, in regulierten Produktbereichen am 2. August 2028. Formal in Kraft ist die Änderung noch nicht, aber die Einigung steht.

Nicht verschoben wurde der Rest. Und der Rest betrifft fast jedes Unternehmen, die Hochrisiko-Frage dagegen nur eine Minderheit.

Drei Pflichten gelten bereits heute oder sehr bald:

Die Pflicht zur KI-Kompetenz. Seit Februar 2025 verlangt der AI Act, dass Unternehmen für ausreichende KI-Kompetenz bei den Menschen sorgen, die mit diesen Systemen arbeiten. Diese Pflicht liegt nicht in der Zukunft, sie läuft bereits.

Die verbotenen Praktiken. Ebenfalls seit Februar 2025 sind bestimmte Einsatzformen untersagt, etwa Systeme, die Menschen über ihr Verhalten manipulativ steuern. Wer so etwas im Einsatz hat, ohne es zu wissen, hat ein Problem, das kein Aufschub löst.

Die Transparenz-Pflicht. Ab August 2026 muss erkennbar sein, wenn Inhalte von einer Maschine stammen und wenn Menschen mit einer Maschine sprechen. Für bereits laufende Systeme gibt es eine Nachfrist bis Dezember 2026. Das ist kein 2027-Thema. Das ist das kommende Quartal.

Wer den Aufschub als „nichts zu tun” liest, hat die Nachricht falsch verstanden. Verschoben wurde die Pflicht, die wenige trifft. In Kraft bleibt, was fast alle trifft.

Wie die Verschiebung aufgenommen wurde

Der Branchenverband Bitkom hat Anfang 2026 gemessen, wie deutsche Unternehmen auf den AI Act blicken. Von den Unternehmen, die sich betroffen sehen, erwarten 93 Prozent einen hohen Umsetzungsaufwand. Über die Hälfte aller Befragten sagt, das Gesetz bringe dem Standort mehr Nachteile als Vorteile.

Das ist die vorherrschende Haltung: Regulierung als Last, die man möglichst lange von sich fernhält. Die Verschiebung passt perfekt in diese Haltung. Sie bestätigt sie und belohnt das Wegsehen.

Genau hier trennt sich, wer vorausdenkt, von dem, der mit dem Strom geht: nicht im Empfinden der Last, sondern darin, wie er die Pflichten liest.

Was die geltenden Pflichten wirklich verlangen

Die Pflichten, die heute gelten, beschreiben Fähigkeiten, die ein gut geführtes Unternehmen ohnehin braucht.

Die KI-Kompetenz-Pflicht kann man als Schulungs-Vorschrift abhaken: ein Zertifikat, eine Pflichtunterweisung, fertig. Tatsächlich verlangt sie etwas anderes: dass die Menschen im Unternehmen verstehen, womit sie arbeiten. Das gilt zuerst für denjenigen, der entscheidet. Wer das ernst nimmt, schließt die Wissenslücke zwischen sich und seinem Team. Genau diese Lücke beschreibt Essay #001 dieses Archivs: Mitarbeitende ziehen am Chef vorbei, und der Chef weiß nicht mehr, was im eigenen Unternehmen passiert.

Die Transparenz-Pflicht kann man als Kennzeichnungs-Bürokratie lesen: überall ein Hinweis „KI-generiert”. Erfüllbar ist sie aber nur, wenn das Unternehmen weiß, wo in den eigenen Abläufen Maschinen mitschreiben, mitsprechen oder mitentscheiden. Die meisten Unternehmen wissen das heute nicht. Wer es für die Pflicht herausfindet, kennt danach die eigenen Abläufe besser als vorher.

In beiden Fällen ist das Ergebnis mehr als „compliant”. Das Ergebnis ist ein Unternehmen, das weiß, was es tut.

Der Vorsprung entsteht jetzt, nicht 2027

Es gibt zwei Arten, mit dem Aufschub umzugehen. Die erste liest den 2. Dezember 2027 als Startschuss: Dann fangen wir an, bis dahin ruht das Thema. Die zweite nimmt die heute geltenden Pflichten als die eigentliche Arbeit und beginnt jetzt.

Der Unterschied ist kein moralischer, sondern ein zeitlicher. Das Unternehmen der zweiten Art hat achtzehn Monate, um etwas aufzubauen, das sich nicht über Nacht herstellen lässt: Führung und Belegschaft, die mit diesen Systemen umgehen können. Überblick darüber, was im Unternehmen läuft. Die ersten Fehler gemacht und verarbeitet, solange noch Zeit dafür ist.

Das Unternehmen der ersten Art steht im Dezember 2027 am Anfang. Es muss dann unter Zeitdruck nachholen, was andere in Ruhe gelernt haben. Dieser Rückstand lässt sich nicht mehr schließen — nicht weil eine Frist verstrichen wäre, sondern weil Übung sich nicht kaufen lässt.

Regulierung erzeugt selten Vorsprünge. Diese hier tut es für die, die sich vom Aufschub nicht einlullen lassen.

Was jetzt zu entscheiden ist

Die Rechtsabteilung sagt Ihnen, was Sie müssen und bis wann. Sie sagt Ihnen nicht, was Sie daraus machen. Diese Frage kann nur an einer Stelle im Unternehmen beantwortet werden: bei Ihnen.

Die Entscheidung lautet nicht: „Wie werden wir 2027 compliant?” Sie lautet: „Was von dem, was schon gilt, behandeln wir ab heute als Fähigkeit, die wir ohnehin brauchen?” Konkret heißt das: klären, wo im Unternehmen bereits KI im Einsatz ist. Festlegen, wer welche Kompetenz aufbauen muss, angefangen bei der Geschäftsführung. Und die Transparenz-Pflicht, die im August greift, als Anlass nehmen, die eigenen Abläufe einmal vollständig durchzugehen.

Die meisten werden warten. Das ist die Gelegenheit.

— Axel Roth