Der AI Act verschiebt die große Frist, die Pflicht zur KI-Kompetenz läuft weiter

Brüssel hat die großen Fristen für besonders sensible KI-Anwendungen nach hinten gelegt: auf den 2. Dezember 2027 und auf den 2. August 2028. Der erste Termin ersetzt den August 2026, der zweite einen Stichtag, der bisher ein Jahr früher lag. Betriebe im Maschinenbau und in der Produktion gewinnen damit Vorbereitungszeit, die vorher an Bedingungen hing. Eine Pflicht läuft davon unabhängig weiter. Seit Februar 2025 müssen Unternehmen ihre Mitarbeitenden im Umgang mit KI unterstützen. Der Gesetzgeber hat diese Pflicht im Juli 2026 zwar abgemildert, abgeschafft hat er sie nicht. Wer jetzt notiert, welche Programme im Haus mitrechnen und wer sie verantwortet, hat 2027 ein Grundgerüst statt einer Baustelle.

Wovon hier die Rede ist

Der AI Act, auf Deutsch KI-Verordnung, ist ein europäisches Gesetz aus dem Jahr 2024. Es gilt unmittelbar in allen Mitgliedstaaten, ohne dass der Bundestag es noch einmal beschließen müsste. Sein Grundgedanke ist der einer Produktordnung: Je größer der Schaden, den eine Anwendung anrichten kann, desto strenger die Anforderungen an sie. Ein Programm, das Serienbriefe formuliert, berührt die Verordnung kaum. Ein System, das Bewerbungen vorsortiert oder eine Presse absichert, sehr wohl. Solche Anwendungen heißen dort Hochrisiko-Systeme. Der Begriff meint genau das: hohes Risiko für den Menschen, der von der Entscheidung betroffen ist.

Der Anlass für diese Regeln ist bodenständiger, als die Debatte vermuten lässt. Software entscheidet inzwischen über Menschen mit, bei der Bewerbung, beim Kredit, bei der Abschaltung einer Anlage. Bisher konnte im Zweifel niemand sagen, auf welcher Grundlage sie das getan hat und wer dafür geradesteht. Genau diese Lücke schließt die Verordnung. Sie tut es mit den Mitteln, die jeder Betrieb aus der Produktsicherheit kennt: Zuständigkeit benennen, Nutzung dokumentieren, Aufsicht regeln.

Dabei unterscheidet die Verordnung zwei Rollen. Anbieter ist, wer ein KI-System entwickelt und auf den Markt bringt. Betreiber ist, wer es im eigenen Haus einsetzt. Ein Maschinenbauer ist häufig beides zugleich: Anbieter für die lernende Steuerung, die er mit seiner Anlage ausliefert, und Betreiber für das Programm, mit dem seine Kalkulation arbeitet.

Zwei Kategorien, zwei neue Daten

Am 7. Mai 2026 einigten sich Rat und Parlament im Trilog auf den Digital Omnibus on AI. Trilog ist die Verhandlungsrunde, in der die drei europäischen Institutionen den endgültigen Wortlaut aushandeln. Das Europaparlament billigte den Kompromiss Mitte Juni, der Rat verabschiedete ihn Ende Juni. Veröffentlicht wurde die Änderung am 24. Juli 2026 im Amtsblatt der EU. Sie trägt die Bezeichnung Verordnung (EU) 2026/1744 und ist seit dem 27. Juli 2026 in Kraft.

Der Kern der Änderung ist ein Wechsel des Auslösers: Bisher sollten die Pflichten für Hochrisiko-Systeme erst greifen, sobald die passenden harmonisierten Normen vorliegen. Harmonisierte Normen sind Regelwerke, die ein Gesetz in prüfbare Anforderungen übersetzen. Sie ähneln den Normen, nach denen ein Schaltschrank gebaut und abgenommen wird. Diese Normen kamen später als geplant. Ein Termin, der am Erscheinen eines Regelwerks hängt, lässt sich jedoch in keine Investitionsplanung eintragen. Die Novelle setzt deshalb feste Daten.

Für Betreiber sind zwei davon wichtig. Der 2. Dezember 2027 gilt für eigenständige Hochrisiko-Systeme nach Anhang III. Anhang III ist die Liste im Gesetz, die die heiklen Einsatzzwecke aufzählt: Personalauswahl, Kreditvergabe, Zugang zu Bildung und Vergleichbares. Der 2. August 2028 gilt für KI, die in einem ohnehin regulierten Produkt steckt, etwa als Sicherheitsfunktion einer Maschine mit CE-Kennzeichnung. Diese Fälle stehen in Anhang I.

Die beiden Termine haben eine unterschiedliche Vorgeschichte, und für die eigene Planung ist das der entscheidende Punkt. Der Dezember-Termin tritt an die Stelle des ursprünglichen Stichtags vom 2. August 2026. Für eingebettete KI nach Anhang I galt von Anfang an ein späterer Stichtag, nämlich der 2. August 2027. Dieser rückt nun auf den 2. August 2028. So hält es die Kanzlei Heuking zum Verhandlungsergebnis fest. Wer eine Anlage plant, gewinnt damit ein Datum, das steht. Ein früherer Termin hat das nie geboten.

Die Pflicht, die längst läuft

Eine Pflicht aus derselben Verordnung arbeitet seit dem 2. Februar 2025, und ihr Startdatum hat der neue Kalender unangetastet gelassen. Artikel 4 der KI-Verordnung verlangt von Anbietern und Betreibern gleichermaßen, Maßnahmen zur Förderung der KI-Kompetenz des eigenen Personals zu ergreifen. Betriebsgröße und Branche spielen dabei keine Rolle. Gemeint ist kein Informatikwissen, sondern ein nüchternes Verständnis davon, was das eingesetzte Werkzeug leistet und wann ein Mensch sein Ergebnis prüfen sollte.

Den Inhalt dieser Pflicht hat dieselbe Novelle allerdings angefasst, und das gehört zur ehrlichen Darstellung dazu. Bis Juli 2026 schuldete ein Unternehmen ein ausreichendes Maß an KI-Kompetenz. Seither schuldet es die Bemühung darum: Maßnahmen zur Unterstützung der Entwicklung von KI-Kompetenz, ausdrücklich ohne ein bestimmtes Niveau, das erreicht sein muss. Wie diese Umformulierung im Einzelnen aussieht, arbeitet eine juristische Analyse der Neufassung heraus.

Die Europäische Kommission hält in ihren Fragen und Antworten zur KI-Kompetenz beides fest: Die Pflicht bleibt bestehen, ein bestimmtes Kompetenzniveau wird nicht vorgeschrieben. Seit dem 2. August 2026 prüfen die nationalen Marktüberwachungsbehörden diese Pflicht mit. Marktüberwachung ist die Kontrolle, die auch sonst dafür sorgt, dass ein Produkt auf dem europäischen Markt die geltenden Regeln einhält.

Man kann die Abschwächung als Entwarnung lesen, und das Argument ist ernst zu nehmen: Wer kein bestimmtes Niveau schuldet, kann auch keines verfehlen. Die Lesart greift jedoch zu kurz. Die Pflicht besteht weiter, und die Kontrolle ist neu hinzugekommen. Der Maßstab verschiebt sich damit vom Niveau zum Nachweis. Wer eine Behörde von seiner Bemühung überzeugen will, braucht etwas Vorzeigbares.

Wie geschult wird, schreibt Artikel 4 nicht vor. Eine Unterweisung im Betrieb zählt, ein interner Leitfaden zählt. Eine erfahrene Kollegin, die neue Mitarbeitende einweist, zählt ebenso. Als Nachweis genügt eine Teilnahmebestätigung oder ein Vermerk darüber, wer wann woran teilgenommen hat. Entscheidend ist, dass die Maßnahme festgehalten ist, nicht wie aufwendig sie war. Wer erst 2027 damit beginnt, arbeitet dann an zwei Baustellen gleichzeitig statt an einer.

Das Betriebsbuch für die KI im Haus

Für eine Maschine ist es selbstverständlich: Es gibt ein Buch, in dem Wartung, Umbau und Störung stehen. Jeder in der Halle weiß, wo es liegt. Für die Programme, die inzwischen mitrechnen und mitentscheiden, fehlt dieses Buch in vielen Häusern. Genau das lässt sich jetzt anlegen, mit Bordmitteln und ohne Projektauftrag.

Drei Fragen tragen jeden Eintrag:

• Wer setzt welches KI-Werkzeug ein, und wer trägt dafür die Verantwortung?
• Welche Schulung oder Einweisung ist für diese Person festgehalten?
• Wer entscheidet darüber, ob ein System freigegeben oder wieder abgeschaltet wird?

In der Praxis entsteht daraus eine Liste der eingesetzten Anwendungen, von der Angebotskalkulation bis zur vorausschauenden Wartung. Je Zeile stehen ein Ansprechpartner und ein Schulungsvermerk daneben. Der Nutzen läuft in beide Richtungen. Die Geschäftsleitung hat im Prüfungsfall eine Antwort parat statt einer Suche durch alte Postfächer. Die Mitarbeitenden wissen, an wen sie sich wenden, wenn ein System auffällig reagiert. Wer dieses Buch 2026 anlegt, erweitert es 2027 um die Hochrisiko-Anforderungen, statt es neu aufzubauen.

Was 2027 und 2028 hinzukommt

Für Hochrisiko-Systeme kommt mehr dazu als die Kompetenzpflicht. Artikel 26 verlangt von Betreibern unter anderem dreierlei. Sie nutzen ein System so, wie die Betriebsanleitung des Anbieters es vorsieht. Sie benennen geschulte Personen für die menschliche Aufsicht. Und sie achten darauf, dass die Eingabedaten zum vorgesehenen Zweck des Systems passen.

Menschliche Aufsicht meint dabei etwas Handfestes: eine Person, die das Ergebnis beurteilen kann und die Befugnis hat, es zu überstimmen oder die Anlage anzuhalten. Der Abstand zur heutigen Praxis liegt selten im Können, sondern in der Benennung. Die Erfahrung im Kopf einer Schichtführerin ist vorhanden. Sichtbar wird sie erst, wenn ihre Rolle und ihre Einweisung schriftlich festgehalten sind.

Hinzu kommt eine Aufbewahrungspflicht. Ein Hochrisiko-System schreibt automatisch mit, was es getan hat, und diese Protokolle sind der maschinengeschriebene Teil desselben Buches. Soweit sie der Kontrolle des Betreibers unterliegen, sind sie mindestens 6 Monate aufzubewahren. Anderes Recht kann eine abweichende Dauer vorschreiben. Die Datenschutz-Grundverordnung ist dafür der praktisch wichtigste Fall, denn sie kann je nach Sachverhalt eine längere oder eine kürzere Aufbewahrung verlangen.

Für den Anbieter der Maschine bedeutet das eine klare Betriebsanleitung, für den Betreiber eine ebenso klare Aufsicht. Beide Rollen sind aufeinander angewiesen, und beide ziehen Nutzen daraus. Der Hersteller erfährt aus den Protokollen, wie seine Anlage im Feld wirklich läuft. Der Betreiber kann im Streitfall zeigen, dass er sie bestimmungsgemäß genutzt hat. Wer die drei Fragen aus dem vorigen Abschnitt beantwortet hat, dockt diese Punkte an ein bestehendes Gerüst an.

Ein Termin mehr, dieselbe Richtung

Der Digital Omnibus hat einen Termin verschoben und eine Pflicht abgemildert. Die Haltung dahinter bleibt: KI-Einsatz nachvollziehbar machen, bevor jemand danach fragt. Wer die zwei neuen Daten als Freibrief für 2026 liest, verschenkt genau die Zeit, die die Verschiebung bringt. Wer sie als Frist für ein Grundgerüst liest, das ohnehin ansteht, steht 2027 vor der letzten Ergänzung statt vor dem ersten leeren Blatt.

Stand: September 2026. Grundlage ist die am 24. Juli 2026 im Amtsblatt veröffentlichte Verordnung (EU) 2026/1744, die die KI-Verordnung (EU) 2024/1689 ändert. Wer den Gesetzestext selbst nachliest, achtet auf die konsolidierte Fassung: Die Erstveröffentlichung von 2024 enthält den alten Wortlaut von Artikel 4. Zum Start der Marktüberwachung nennen die Fragen und Antworten der Europäischen Kommission an einer Stelle den 2. August 2026, an einer anderen den 3. August 2026. Dieser Text ordnet den Rechtsrahmen ein, er ersetzt keine Rechtsberatung im Einzelfall.