Was KI-gestützte Legal-Tools dem AI Act jetzt schulden

Eine politische Einigung, die die Verpflichtungen für Hochrisiko-Systeme im Rahmen des EU AI Act auf Dezember 2027 verschiebt, hat viele Unternehmen dazu verleitet, die gesamte Regulierung als „Problem für das nächste Jahr“ abzutun. Das ist jedoch ein Irrtum. Die Verschiebung betrifft nur ein bestimmtes Kapitel des Gesetzes. Mehrere andere Verpflichtungen wurden davon nie berührt – einige gelten für Unternehmen, die KI-gestützte Recherche- und Entwurfswerkzeuge nutzen, bereits heute.

Das praktische Risiko: Ein Unternehmen stellt die gesamte KI-Governance-Arbeit ein und merkt zu spät, dass Transparenzpflichten und Anforderungen an Anbieter von General-Purpose-KI-Modellen, auf denen viele juristische Recherchetools basieren, nie Teil der Verschiebung waren. Dieser Artikel erläutert, was die Verschiebung für Kanzleien tatsächlich abdeckt, was sie unberührt lässt und was das für die KI-Governance-Arbeit bedeutet, die bereits laufen sollte.

Executive Summary

Die Digital Omnibus-Änderung des EU AI Act hat die Anwendung der Verpflichtungen für Hochrisiko-Systeme aktuell auf Dezember 2027 verschoben, da technische Standards noch nicht fertiggestellt sind. Diese Verschiebung ist real und spezifisch: Sie gilt für Kapitel III. Sie betrifft nicht die Verbote bestimmter Praktiken, die Verpflichtungen für Anbieter von General-Purpose-KI-Modellen oder die Transparenzanforderungen – mehrere davon sind für Unternehmen, die KI-Tools nutzen, bereits verbindlich. Für Unternehmen, die KI-Governance-Programme aufbauen, ist das Jahr 2027 nicht der richtige Stichtag, wenn das Ziel ist, alle Verpflichtungen als noch ausstehend zu betrachten.

wichtige Erkenntnisse

1. Nur die Verpflichtungen für Hochrisiko-Systeme in Kapitel III wurden verschoben, nicht der gesamte AI Act. Ob ein bestimmtes juristisches KI-Tool als Hochrisiko eingestuft wird, ist eine andere Frage als die, ob andere Verpflichtungen bereits gelten.
2. Transparenzpflichten nach Artikel 50 wurden nicht verschoben und gelten bereits. Die Offenlegung KI-generierter Inhalte gegenüber Mandanten ist eine aktuelle, keine zukünftige Verpflichtung.
3. Verpflichtungen für Anbieter von General-Purpose-KI-Modellen wurden von der Verschiebung nicht berührt. Viele juristische KI-Tools basieren auf solchen Modellen, und die zugrunde liegenden Verpflichtungen bestehen schon vor der Verschiebung.
4. Verbotene KI-Praktiken bleiben unabhängig vom Zeitplan für Hochrisiko-Systeme untersagt.
5. Jetzt aufgebaute Governance-Infrastruktur für Transparenz und Dokumentation kann bei künftiger Hochrisiko-Einstufung weiter genutzt werden – die Arbeit muss nicht doppelt gemacht werden.

Was der Digital Omnibus für juristische KI-Tools tatsächlich verschoben hat

Der Mechanismus der Verschiebung wurde eingeführt, weil die technischen Standards zur Umsetzung der Hochrisiko-Verpflichtungen nicht rechtzeitig fertig waren – nicht, weil sich die politischen Ziele geändert hätten.

Gezielte Verschiebung von Kapitel III, keine Rücksetzung des gesamten Gesetzes

Die Verschiebung betrifft die Konformitätsbewertung und das umfassende Compliance-Regime, dem Annex-III-Systeme unterliegen. Alles außerhalb dieses Kapitels läuft nach dem ursprünglichen Zeitplan des Gesetzes weiter.

Backstop-Termine existieren, weil die Standards noch nachgezogen werden

Das neue Datum dient als Backstop, mit Dezember 2027 als äußerster Grenze. Die Aufsichtsbehörden erwarten, dass Unternehmen die Zeit zur Vorbereitung nutzen und die Verschiebung nicht als offene Pause betrachten.

Was für Kanzleien bereits gilt – mit oder ohne Verschiebung

Mehrere Verpflichtungen liegen vollständig außerhalb von Kapitel III und gelten nach dem ursprünglichen Zeitplan.

Verpflichtungen für General-Purpose-KI-Modelle bestehen schon vor der Verschiebung

Anbieter von General-Purpose-KI-Modellen, die vielen juristischen Recherche- und Entwurfswerkzeugen zugrunde liegen, unterliegen bereits seit vor der Digital Omnibus-Änderung Dokumentations-, Transparenz- und Sicherheitsanforderungen.

Transparenz- und Offenlegungspflichten gelten bereits

Vorgaben, dass Personen darüber informiert werden müssen, wenn sie mit einem KI-System interagieren, oder dass KI-generierte Inhalte gekennzeichnet werden, gelten nach dem ursprünglichen Zeitplan des Gesetzes und wurden durch den Omnibus nicht verschoben.

Warum eine Pause bei der Umsetzung später teurer wird

Ein Unternehmen, das die gesamte KI-Governance-Arbeit einstellt, weil „die Frist auf 2027 verschoben wurde“, verzichtet auf Grundlagen, die das Erreichen der Hochrisiko-Frist erleichtert hätten.

Jetzt erstellte Dokumentation und Protokollierung sind keine verlorene Arbeit

Die Protokollierungs- und Zugriffskontrollfunktionen, die Hochrisiko-Systeme künftig benötigen, überschneiden sich weitgehend mit den Anforderungen der bereits geltenden Transparenzpflichten.

KI-Governance auf Basis der tatsächlich heute geltenden Vorgaben aufbauen

Der praktische Ansatzpunkt ist, die Verpflichtungen des AI Act in solche zu unterteilen, die bereits gelten, und solche, die auf einen Backstop-Zeitplan bis 2027 verschoben sind – und die Governance-Arbeit sofort auf die erste Gruppe auszurichten.

Wie eine Data Control Plane KI-Governance-Pflichten bereits heute unterstützt

Die Kiteworks Data Control Plane setzt datenbasierte, zero-trust-Kontrollen für jede Aktion um, die ein Anwender oder KI-Agent über jeden Kanal ausführt, und erfasst jede einzelne in einem fälschungssicheren, uneingeschränkten Audit-Trail, der direkt in SIEM-Tools eingespeist wird. Da die Protokollierung vollständig und niemals stichprobenartig erfolgt, können Unternehmen den detaillierten, abfragbaren Nachweis über KI-bezogene Datenzugriffe liefern, wie es die aktuellen Transparenzpflichten verlangen.

Unternehmen, die erfahren möchten, wie kontinuierliche, kanalübergreifende Nachweise ihre aktuellen KI-Governance-Pflichten unterstützen, können eine individuelle Demo vereinbaren.