Qualität und Sicherheit durch KI in der Produktion: Bereits heute Realität
Eine politische Einigung, die die Pflichten für Hochrisiko-Anwendungen des EU AI Act auf Dezember 2027 und für KI als Sicherheitskomponente in regulierten Maschinen auf August 2028 verschiebt, hat viele Hersteller dazu verleitet, die gesamte Regulierung als „Problem für nächstes Jahr“ abzutun. Das ist jedoch ein Irrtum. Die Verschiebung betrifft nur bestimmte Kapitel des Gesetzes. Zahlreiche andere Pflichten wurden davon nie berührt, einige gelten bereits heute für KI-Tools zur Qualitäts- und Sicherheitsüberwachung.
Das praktische Risiko: Ein Hersteller stellt stillschweigend alle Governance-Aktivitäten für KI ein und stellt dann fest, dass Transparenzpflichten sowie Pflichten für Anbieter von General-Purpose-KI-Modellen – die oft die Basis von Qualitätsprüfungs-Tools bilden – nie Teil der Verschiebung waren. Dieser Artikel erläutert, was tatsächlich verschoben wurde, was weiterhin gilt und welche Bedeutung das für die laufende KI-Governance hat.
Executive Summary
Die Digital Omnibus-Änderung des EU AI Act verschob die Pflichten für Hochrisiko-Systeme aktuell auf Dezember 2027 für eigenständige Systeme und August 2028 für KI als Sicherheitskomponente in regulierten Maschinen, da technische Standards noch nicht fertiggestellt waren. Diese Verschiebung betrifft jedoch nicht die Verbote des Gesetzes, die Pflichten für Anbieter von General-Purpose-KI-Modellen oder die Transparenzanforderungen – viele davon sind für Hersteller bereits heute bindend.
wichtige Erkenntnisse
- Nur die Pflichten für Hochrisiko-Systeme in Kapitel III sowie für eingebettete Sicherheitskomponenten gemäß Anhang I wurden verschoben, nicht das gesamte Gesetz.
- Transparenzpflichten nach Artikel 50 wurden nicht verschoben und gelten bereits.
- Pflichten für Anbieter von General-Purpose-KI-Modellen wurden nicht verschoben. Viele Qualitäts- und Sicherheitstools basieren auf solchen Modellen.
- Verbotene KI-Praktiken bleiben unabhängig vom Hochrisiko-Zeitplan untersagt.
- Jetzt aufgebaute Governance-Infrastruktur für Transparenz und Dokumentation bleibt für künftige Hochrisiko-Klassifizierungen erhalten.
Was der Digital Omnibus für Qualitäts- und Sicherheits-KI tatsächlich verschoben hat
Der Mechanismus zur Verschiebung wurde eingeführt, weil die technischen Standards zur Umsetzung der Hochrisiko-Pflichten nicht rechtzeitig bereitstanden.
Gezielte Verschiebung von Kapitel III und Anhang I, kein Neustart des Gesetzes
Die Verschiebung betrifft die Konformitätsbewertung und das umfassende Compliance-Regime, dem Hochrisiko- und eingebettete Sicherheitskomponenten-Systeme unterliegen. Alles außerhalb dieser Kategorien läuft nach dem ursprünglichen Zeitplan des Gesetzes weiter.
Backstop-Termine, weil Standards noch aufgeholt werden müssen
Die neuen Termine dienen als Backstop – 2027 und 2028 sind die äußersten Fristen. Die Aufsichtsbehörden erwarten, dass Hersteller die Vorbereitungen während der Verlängerung fortsetzen.
Was für Hersteller bereits gilt – unabhängig von der Verschiebung
Mehrere Pflichten fallen vollständig außerhalb der verschobenen Kategorien und gelten weiterhin nach dem ursprünglichen Zeitplan.
Pflichten für General-Purpose-KI-Modelle bestanden schon vor der Verschiebung
Anbieter von General-Purpose-KI-Modellen, die vielen Qualitäts- und Sicherheitsüberwachungstools zugrunde liegen, unterliegen bereits seit vor dem Digital Omnibus Dokumentationspflichten.
Transparenz- und Offenlegungspflichten gelten bereits
Anforderungen an KI-generierte Inhalte und Offenlegung der KI-Interaktion gelten nach dem ursprünglichen Zeitplan des Gesetzes und wurden durch den Omnibus nicht verschoben.
Warum eine Pause bei der Umsetzung später teurer wird
Ein Hersteller, der alle Governance-Aktivitäten für KI einstellt, verschenkt Vorarbeit, die das Erreichen der Hochrisiko-Deadline erleichtert hätte.
KI-Governance auf das ausrichten, was heute tatsächlich gilt
Praktisch bedeutet das: Die Pflichten müssen in solche unterteilt werden, die bereits gelten, und solche mit Backstop-Termin. Die Governance-Arbeit sollte sofort auf die erste Gruppe ausgerichtet werden.
Wie eine Data Control Plane KI-Governance-Pflichten unterstützt, die bereits gelten
Die Kiteworks Data Control Plane setzt datenbewusste zero-trust-Kontrollen für jede Aktion eines Anwenders oder KI-Agenten über alle Kanäle hinweg ein und protokolliert jede Aktion in einem manipulationssicheren, nicht gedrosselten Audit-Log, das direkt in SIEM-Tools eingespeist wird. So erhalten Hersteller den detaillierten, abfragbaren Nachweis, den aktuelle Transparenzpflichten verlangen.
Hersteller, die wissen möchten, wie das für ihre aktuellen KI-Implementierungen funktioniert, können eine individuelle Demo vereinbaren.
Häufig gestellte Fragen
Nur die Pflichten für Hochrisiko-Systeme in Kapitel III und für eingebettete Sicherheitskomponenten gemäß Anhang I wurden verschoben – auf Dezember 2027 für eigenständige Systeme und August 2028 für KI in regulierten Maschinen.
Transparenzpflichten nach Artikel 50, Pflichten für Anbieter von General-Purpose-KI-Modellen und Verbote bestimmter Praktiken sind bereits aktiv und wurden von der Verschiebung nicht berührt.
Wer Governance-Arbeit jetzt einstellt, riskiert Nichteinhaltung der geltenden Regeln zu Transparenz und General-Purpose-Modellen und verliert die Vorteile der Vorarbeit, die künftige Hochrisiko-Deadlines erleichtert.
Sie setzt datenbewusste zero-trust-Kontrollen um und erfasst jede Aktion in einem manipulationssicheren Audit-Log, das direkt in SIEM-Tools eingespeist wird – so entstehen die detaillierten Nachweise, die aktive Transparenzregeln verlangen.