Der EU AI Act hat seine härtesten Pflichten verschoben. Atmen Sie nicht auf.
Wenn Sie KI in einem regulierten Geschäft betreiben, liest sich die Schlagzeile aus Brüssel wie Erleichterung. Der Digital Omnibus trat am 27. Juli 2026 in Kraft, und wie DLA Piper berichtet, wurden die schweren Hochrisiko-Pflichten aus Anhang III, auf die sich alle einstellten, nach hinten geschoben, auf den 2. Dezember 2027 und den 2. August 2028. Ein Jahr Druck ist gerade vom Kalender verschwunden. Der natürliche Instinkt ist aufzuatmen und die KI-Governance-Arbeit ans Ende des Stapels zu sortieren.
Nur hat die Verschiebung den Teil des Regimes, der jetzt schon Zähne hat, nicht bewegt. Wie dieselbe Berichterstattung und die Zusammenfassung des AI Act Office klarmachen, treten ab dem 2. August 2026 die Transparenzpflichten aus Artikel 50, die Durchsetzungsbefugnisse für GPAI und das volle Sanktionsregime in Kraft. Dieses Sanktionsregime ist nicht symbolisch. Die Bußgelder reichen bis zu 7 % des weltweiten Umsatzes oder 35 Millionen Euro. Das Gesetz ist also nicht weicher geworden. Es wurde umterminiert, und die Durchsetzungsmaschinerie ging vor den Pflichten an, die sie irgendwann durchsetzen wird.
Diese Lücke zwischen dem Verschobenen und dem in Kraft Getretenen ist die ganze Geschichte, und die meisten Organisationen lesen sie verkehrt herum.
Was sich bewegt hat, und was nicht
Seien Sie präzise bei den zwei Uhren, denn sie laufen unterschiedlich schnell.
Die Fähigkeitsuhr wurde verschoben. Die detaillierten Konformitätsbewertungen, die technische Dokumentation, die Anforderungen an das Risikomanagementsystem für Hochrisiko-Anwendungen aus Anhang III: Das sind die Pflichten, die echtes Engineering verlangen, und sie liegen jetzt in 2027 und 2028. Das ist die Arbeit, vor der man sich fürchtete, und sie hat mehr Zeit bekommen.
Die Rechenschaftsuhr wurde nicht verschoben. Transparenzpflichten nach Artikel 50, die Aufsichtsbefugnisse über Allzweckmodelle und die Bußgelder, all das gilt seit dem 2. August 2026 in der Gegenwart. Im Klartext: Die Befugnis, Sie zu untersuchen und zu sanktionieren, kam vor der Frist für die härtesten technischen Controls. Aufsichten können jetzt handeln. Woran sie irgendwann messen, ist das, was verschoben wurde.
Liest man beide Uhren zusammen, ist die Verschiebung keine Gnadenfrist. Sie ist eine Startbahn. Und eine Startbahn nützt nur einer Organisation, die entschieden hat, wohin sie abheben will.
Die Verschiebung kauft Kalenderzeit, keine Reife
Hier ist die unbequeme Zahl. Wie die Analyse von Responsible AI Labs berichtet, hatten im April 2026 78 % der Organisationen keine nennenswerten Schritte Richtung Compliance unternommen. Diese Zahl war schon unter der alten Zeitleiste alarmierend. Unter der neuen ist sie eine Falle.
Die Falle ist, dass Zeit und Reife sich wie dieselbe Ressource anfühlen und es nicht sind. Kalenderzeit hat der Omnibus zurückgegeben. Reife ist etwas völlig anderes, und sie wächst nicht durch Warten. Eine Organisation, die im April 2026 nicht bereit war und nun bis 2027 oder 2028 Zeit hat, ist nicht bereiter geworden. Sie ist später geworden, mit derselben Lücke und einer kürzeren ehrlichen Startbahn, als die Schlagzeile nahelegt, denn Governance ist kein Dokument, das man im letzten Quartal vor einer Frist zusammenstellt.
Das übersieht die Lesart "wir haben mehr Zeit". Governance ist eine Architektur, die man einmal baut, keine Einreichung, die man zu einem Stichtag produziert. Die Controls, die das Hochrisiko-Regime irgendwann verlangen wird, eine prüfbare Aufzeichnung jeder folgenschweren Entscheidung, eine Policy-Schicht, die Ihrem Compliance-Team gehört und die es belegen kann, ein Weg zu zeigen, welches Modell welche Entscheidung traf und warum, sind kein Papierkram, den man rückwirkend erzeugt. Es sind Eigenschaften, die ein System entweder hat, weil es damit gebaut wurde, oder nicht hat, weil es das nicht wurde. Sie können keinen Audit-Trail für Entscheidungen nachtragen, die ein System bereits ohne Aufzeichnung getroffen hat.
Eine Organisation, die die Verschiebung als Erlaubnis zum Warten behandelt, wird 2027 genau dort ankommen, wo sie heute steht, nur mit weniger Zeit, das zu ändern.
Die gestorbenen Piloten scheiterten nie an Papierkram
Es gibt einen zweiten Grund, warum die Rahmung über die Compliance-Frist der falsche Ordnungsrahmen ist. Die Projekte, die scheitern, scheitern nicht an der Konformitätsbewertung. Sie scheitern lange davor, und aus Gründen, die der AI Act nicht einmal benennt.
Rund 40 % der agentischen KI-Projekte werden voraussichtlich bis 2027 gestrichen (Thoughtworks). Beachten Sie, was dieses Scheitern nicht ist. Es ist keine Aufsicht, die eine technische Akte ablehnt. Es sind Piloten, die nie von der Demo in die Produktion kamen, denn sobald ein Agent auf regulierten Daten handeln muss, unter einer Identität, mit einer Aufzeichnung, die jemand prüfen kann, hat die Demo-Architektur nichts zu bieten. Der Pilot stirbt im Security-Review, im Risikoausschuss oder im ersten Monat, in dem er driftet und es niemand merkt, und keiner dieser Tode taucht auf einer Compliance-Zeitleiste auf.
Deshalb ist es ein Kategorienfehler, Ihren Plan an der verschobenen Frist auszurichten. Die Frist ist ein juristisches Datum. Die Wand, gegen die der Pilot läuft, ist architektonisch, und sie bewegt sich nicht, wenn Brüssel ein Datum bewegt. Eine Organisation, die auf die Einreichung 2028 optimiert, optimiert auf die falsche Randbedingung. Die Randbedingung, die die Arbeit wirklich stoppt, war immer da: Kann dieses System in einem regulierten Prozess überhaupt handeln, und können Sie verteidigen, wie es das tat?
Bauen Sie für diese Wand, und die Compliance-Einreichung wird etwas, das Sie produzieren können, weil die Nachweise bereits als Nebenprodukt korrekten Betriebs existieren. Überspringen Sie es, und keine Verschiebung rettet Sie, weil Sie die Einreichung ohnehin nie erreicht hätten.
Die Umdeutung
Die falsche Frage, zu der die Omnibus-Schlagzeile einlädt, lautet "wie viel Zeit bleibt uns, bis wir compliant sein müssen?". Diese Frage behandelt Governance als Frist, die man so spät wie möglich erfüllt, und sie führt direkt dazu, an der Frist ohne Gebautes anzukommen.
Die bessere Frage lautet: wenn Durchsetzungsbefugnisse und Bußgelder jetzt gelten und die technischen Pflichten nur die später fällige Rechnung sind, welche Grundlage müssten wir bauen, damit ein Audit ein Report ist, den wir fahren, und kein Projekt, das wir starten müssen? Beantworten Sie das, und die Verschiebung ist echte Startbahn, Zeit, die governte Grundlage zu bauen, während der Druck kurz weg ist. Beantworten Sie es anders, und der 2. August 2028 kommt genau so, wie der 2. August 2026 für die 78 % kam, als ein Datum, das sie ungebaut erwischte.
Der Kalender hat sich bewegt. Die Arbeit nicht. Und die Organisationen, die die zusätzliche Zeit zum Bauen der Grundlage nutzen statt zum Aufschieben des Nachdenkens, sind die, für die die Verschiebung wirklich ein Geschenk war.
Wenn Sie prüfen wollen, ob Ihr sensibelster KI-Prozess heute ein Audit überstünde statt 2028, buchen Sie einen Termin und bringen Sie uns den, den Sie einer Aufsicht am wenigsten zeigen möchten.