EU-KI-Verordnung: Fristen verlängert, Deepfakes verboten

Die EU verschiebt die Fristen für die Zertifizierung von Hochrisiko-KI auf Ende 2027 und 2028, verschärft aber gleichzeitig das Verbot von KI-generierter Pornografie.

Die EU verschafft Unternehmen mehr Zeit für die Umsetzung der strengen KI-Verordnung. Gleichzeitig verschärft sie das Verbot von künstlich erzeugter Pornografie. Das Europäische Parlament hat seine Verhandlungsposition für das sogenannte Digital Omnibus-Paket festgelegt. Diese Entscheidung folgt auf einen ähnlichen Beschluss des EU-Ministerrats und markiert eine entscheidende Weichenstellung für die Anwendung des KI-Gesetzes (AI Act). Der wichtigste Punkt für die globale Wirtschaft: Die Fristen für die Zertifizierung hochriskanter KI-Systeme werden auf Ende 2027 und 2028 verschoben.

Anzeige

Die EU-KI-Verordnung ist bereits in Kraft und bringt komplexe neue Pflichten für die Risikoklassifizierung und Dokumentation mit sich. Dieser kostenlose Leitfaden hilft Ihnen, die gesetzlichen Anforderungen ohne juristische Fachkenntnisse zu verstehen und rechtssicher umzusetzen. EU-KI-Verordnung kompakt: Jetzt Gratis-E-Book sichern

Neue Zeitpläne für Hochrisiko-KI

Der Kern der neuen Verhandlungsposition ist die Verschiebung der Fristen. Ursprünglich sollten die Vorschriften für Hochrisiko-KI ab dem 2. August 2026 vollständig gelten. Doch die Erstellung einheitlicher technischer Standards und der Aufbau von Prüfkapazitäten in den Mitgliedstaaten verzögern sich.

Um Unternehmen nicht für die Nichteinhaltung noch nicht existierender Regeln zu bestrafen, haben sich die Institutionen auf feste Stichtage geeinigt:
* Für eigenständige Hochrisiko-KI-Systeme (Anhang III) gilt nun der 2. Dezember 2027.
* Für KI als Sicherheitskomponente in regulierten Produkten (Anhang I) ist der 2. August 2028 der neue Termin.

Diese klaren Daten sollen Planungssicherheit ersetzen und sorgen für eine gestaffelte Einführung.

Scharfe Verbote und Regeln für Bias-Erkennung

Neben den Fristen verschärft das Paket die Verbotsliste. Als Reaktion auf die Verbreitung KI-generierter intimer Bilder ohne Einwilligung – ein Thema, das zu Untersuchungen der EU-Kommission gegen große Tech-Plattformen führte – wird ein explizites Verbot eingeführt. KI-Systeme, die nicht einvernehmliche intime Inhalte oder Missbrauchsdarstellungen von Kindern erzeugen können, erhalten ein striktes Marktverbot in der EU.

Parallel klärt der überarbeitete Text, unter welchen Bedingungen Unternehmen sensible personenbezogene Daten nutzen dürfen, um algorithmische Verzerrungen (Bias) in Hochrisiko-Systemen aufzuspüren und zu korrigieren. Diese Nutzung ist auf das absolut Notwendige beschränkt. Firmen müssen nachweisen, dass das Ziel nicht mit weniger sensiblen Daten erreicht werden kann, und strenge technische Schutzmaßnahmen umsetzen – inklusive der Löschung der sensiblen Daten nach Abschluss des Prozesses.

Entlastung für Unternehmen und Förderung von Innovation

Das Digital Omnibus-Paket zielt darauf ab, digitale Vorschriften zu vereinfachen, ohne Grundrechte zu schwächen. Die jüngsten Beschlüsse setzen diesen Kurs fort. So werden Erleichterungen, die bisher nur für KMU galten, nun auch auf kleine Mittelstandsunternehmen (Small Mid-Caps) ausgeweitet. Das hilft wachsenden Tech- und Life-Science-Firmen bei der Einführung aufwändiger KI-Governance-Strukturen.

Zudem wird die Frist für die Einrichtung nationaler KI-Regulierungs-Sandboxes – geschützte Testumgebungen für Innovationen – auf den 2. Dezember 2027 verschoben. Dies gibt Unternehmen mehr Raum, Hochrisiko-KI-Modelle unter Aufsicht zu erproben, bevor sie auf den Markt gebracht werden.

Analyse: Die Verzögerung ist keine Pause

Trotz der verlängerten Fristen warnen Experten davor, von einem Stillstand auszugehen. Das KI-Gesetz ist seit August 2024 in Kraft. Bestimmte Grundpflichten, wie Schulungen für Mitarbeiter oder Verbote für inakzeptable Risiko-KI, gelten bereits.

Anzeige

Während die Fristen für Hochrisiko-Systeme verschoben wurden, laufen andere Übergangsfristen bereits ab und erfordern sofortiges Handeln bei der Kennzeichnung und Dokumentation. Erfahren Sie in diesem kostenlosen Umsetzungsleitfaden, wie Sie Ihr KI-System richtig klassifizieren und teure Bußgelder vermeiden. Kostenlosen Leitfaden zur KI-Verordnung herunterladen

Die Vorbereitung auf die Hochrisiko-Anforderungen bleibt eine Mammutaufgabe. Sie umfasst den Aufbau umfassender Qualitätsmanagementsysteme, detaillierte technische Dokumentation und klare menschliche Aufsichtsprotokolle. Allein die Bestandsaufnahme, welche internen Systeme als Hochrisiko-KI eingestuft werden, kann in Konzernen mehrere Quartale dauern.

Die finanziellen Risiken sind immens: Bei Verstößen drohen Bußgelder von bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes. Juristen raten Unternehmen daher, die gewonnene Zeit von 16 bis 24 Monaten als entscheidendes Zeitfenster für die interne Vorbereitung zu nutzen. Die Pflicht, KI-Systeme in der EU-Datenbank zu registrieren – auch wenn man sie für nicht hochriskant hält – unterstreicht die Notwendigkeit proaktiven Handelns.

Ausblick: Trilog und finale Verabschiedung

Der nächste Schritt ist die Abstimmung im Plenum des Europäischen Parlaments am 26. März 2026. Bei Zustimmung beginnen umgehend die Trilog-Verhandlungen zwischen Parlament, Rat und Kommission. Dort sollen letzte Differenzen, etwa zum genauen Umfang der Deepfake-Verbote oder den Befugnissen der neuen EU-KI-Behörde, ausgeräumt werden.

Mit einer finalen Verabschiedung des Pakets wird bis Mitte des Jahres gerechnet. Bis dahin sollten sich Technologieanbieter und Anwender auf die neuen Stichtage Ende 2027 und 2028 als verbindliche Planungsgrundlage einstellen.