EU AI Act: Keine KI erfüllt Compliance-Anforderungen

Eine Studie belegt: Zwölf getestete KI-Modelle verfehlen die EU-Konformität. Neue Fristen und verschärfte Sicherheitslage prägen die Regulierung.

Das belegt eine aktuelle Untersuchung der Forschungsstiftung Aithos vom 30. Mai 2026. Von zwölf getesteten Systemen erreichte keines die volle Konformität mit der Datenschutz-Grundverordnung (DSGVO) oder dem EU AI Act.

Anzeige

Die neuen EU-Regeln für künstliche Intelligenz stellen Unternehmen vor komplexe Herausforderungen bei der Dokumentation und Risikobewertung. Dieser kostenlose Umsetzungsleitfaden bietet Ihnen einen kompakten Überblick über alle relevanten Fristen, Pflichten und Risikoklassen des EU AI Act. EU AI Act in 5 Schritten verstehen

Selbst der Spitzenreiter Claude Opus 4.7 kam nur auf 54 Prozent der erforderlichen Kriterien. Google Gemini schnitt mit gerade einmal zehn Prozent noch deutlich schlechter ab. Die Forscher warnen vor konkreten Risiken: Ein KI-gesteuerter Rentenberater habe einem todkranken Kunden ein 30-jähriges Finanzprodukt empfohlen – ein eklatanter Verstoß gegen jede Sorgfaltspflicht.

Neue Fristen für den EU AI Act

Die Ergebnisse kommen zu einem brisanten Zeitpunkt. Nach dem Omnibus-Abkommen vom 7. Mai 2026 bleibt der Kern des EU AI Act zwar unangetastet, doch mehrere Deadlines wurden verschoben.

Die Transparenzpflichten nach Artikel 50 – sie gelten für Chatbots, KI-generierte Bilder und Deepfakes – treten bereits am 2. August 2026 in Kraft. Unternehmen, die gegen diese Regeln verstoßen, drohen Strafen von bis zu 15 Millionen Euro oder drei Prozent ihres globalen Umsatzes.

Die Fristen für Hochrisiko-Anwendungen wurden dagegen verlängert:
- Standalone-Hochrisikosysteme (Anhang III): müssen bis zum 2. Dezember 2027 konform sein
- KI-Systeme in Produkten (Anhang I): haben bis zum 2. August 2028 Zeit

Neue Verbote für nicht-einvernehmliche intime Bildaufnahmen und Kindesmissbrauchsmaterial (CSAM) gelten ab dem 2. Dezember 2026. Die Höchststrafe für schwerste Verstöße: 35 Millionen Euro oder sieben Prozent des Jahresumsatzes.

Amnesty International erhebt schwere Vorwürfe

Parallel zur EU-Regulierung wächst der Druck aus der Zivilgesellschaft. Ein Bericht von Amnesty International mit dem Titel „Unlawful by Design“ vom 30. Mai 2026 wirft führenden KI-Entwicklern vor, ihre Modelle auf illegalem Web-Scraping aufzubauen. Betroffen seien unter anderem GPT, Gemini, Llama und DeepSeek.

Auch in den USA verschärft sich die Lage. Mehrere Bundesstaaten verabschiedeten Ende Mai 2026 eigene KI-Gesetze:

• Illinois (SB 315): Ab Januar 2028 müssen Unternehmen mit mehr als 500 Millionen US-Dollar Jahresumsatz jährliche Sicherheitsaudits durchführen, katastrophale Risiken offenlegen und Sicherheitsvorfälle binnen 72 Stunden melden.
• Colorado (HB 1263): Ab Anfang 2027 gelten Schutzregeln für Minderjährige im Umgang mit KI-Chatbots.
• Connecticut (SB 5): Regelt den KI-Einsatz am Arbeitsplatz – wirksam ab Oktober 2027.

Sicherheitslage verschärft sich dramatisch

Die Notwendigkeit strengerer Regeln untermauert eine sich rapide verschlechternde Sicherheitslage. Der Google Threat Intelligence Report vom Mai 2026 liefert den ersten bekannten Beleg dafür, dass Angreifer KI zur Entdeckung von Zero-Day-Exploits einsetzen. Laut Daten von Certitude hat sich die Zahl neuer Sicherheitslücken im Vergleich zu den Vorjahren verdoppelt: Zwischen Januar und April 2026 wurden täglich durchschnittlich 184 neue CVEs gemeldet.

Experten empfehlen daher den Einsatz sogenannter „AI Gateways“ als zentrale Kontrollinstanz. Diese Systeme bündeln Zugriffsmanagement, protokollieren Modellinteraktionen und setzen Compliance-Richtlinien wie Datenmaskierung und rollenbasierte Zugriffskontrollen durch. Ziel ist es, Rahmenwerke wie den EU AI Act oder die ISO 42001 praktisch umsetzbar zu machen.

Effizienzgewinne – aber kein Ersatz für Juristen

Trotz aller Compliance-Probleme treiben Unternehmen die KI-Integration voran – vor allem, um bürokratische Lasten zu senken. KI-Assistenten können die Zeit für Pflichtdokumentationen wie Datenschutz-Folgenabschätzungen (DPIA) um 60 bis 75 Prozent reduzieren.

Anzeige

Da KI-Systeme oft sensible Daten verarbeiten, wird die rechtssichere Erstellung einer Datenschutz-Folgenabschätzung zur unternehmerischen Pflicht. Sichern Sie sich dieses kostenlose Paket aus E-Book, Muster-Vorlagen und Checklisten, um Bußgelder wirksam zu vermeiden. Muster-DSFA und Checklisten kostenlos herunterladen

Doch Rechtsexperten warnen: KI bleibt ein Produktivitätswerkzeug für die Strukturierung von Dokumenten – sie ersetzt keine juristische Fachkenntnis. Die aktuelle Empfehlung lautet auf einen „Human-in-the-Loop“-Ansatz: Menschliche Aufsicht bleibt für finale Entscheidungen unverzichtbar, um die Risiken von „Black-Box“-Entscheidungen zu minimieren und das Prinzip der Datenminimierung zu wahren.