EU-KI-Verordnung Compliance-Checkliste für CTOs und CIOs

Die EU-KI-Verordnung (Verordnung (EU) 2024/1689) ist geltendes Recht, wird seit dem 2. August 2026 durchgesetzt, und ihre Pflichten werden in einem gestaffelten Zeitplan wirksam. Als CTO oder CIO sind Sie die Person, die am ehesten die technische Seite der Compliance verantwortet — und diejenige, die antworten muss, wenn der Vorstand fragt: „Sind wir bereit?"

Dieser Artikel bietet eine strukturierte, handlungsorientierte Checkliste, die Ihnen hilft, die Position Ihrer Organisation zu bewerten, Lücken zu identifizieren und einen Compliance-Fahrplan zu erstellen. Er richtet sich an Technologieführer in Unternehmen, die KI-Systeme entwickeln, einsetzen oder beschaffen, die den EU-Markt berühren.

Was sich im Juli 2026 geändert hat

Die Pflichten für Hochrisiko-KI-Systeme nach Artikel 6 Absatz 2 und Anhang III gelten nun ab dem 2. Dezember 2027 statt ab dem 2. August 2026. Für Hochrisikosysteme nach Artikel 6 Absatz 1 und Anhang I (Produkte und Sicherheitskomponenten) gilt der 2. August 2028 statt des 2. August 2027. Der allgemeine Geltungsbeginn am 2. August 2026 blieb dagegen unverändert.

Mit der Verordnung (EU) 2026/1744 („Digital Omnibus zur KI") vom 8. Juli 2026, in Kraft getreten am 27. Juli 2026, wurde die KI-Verordnung erstmals geändert. Verschoben wurden die Pflichten aus Kapitel III Abschnitte 1 bis 3 für Hochrisikosysteme — auf den 2. Dezember 2027 (Anhang III) beziehungsweise den 2. August 2028 (Anhang I) — sowie die Frist des Artikels 57, bis zu der die nationalen KI-Reallabore einsatzbereit sein müssen: nun der 2. August 2027.

Diese Verschiebung ist unbedingt. Der ursprüngliche Kommissionsvorschlag hätte die neuen Daten an eine Feststellung geknüpft, dass harmonisierte Normen vorliegen („Stop-the-clock"-Mechanismus); die Mitgesetzgeber haben diesen Auslöser gestrichen. Im verabschiedeten Text gibt es keine Normenbereitschafts-Bedingung und keine weitere automatische Verlängerung.

Ebenso wichtig ist, was nicht verschoben wurde: Die KI-Verordnung gilt seit dem 2. August 2026 allgemein, das KI-Büro und die nationalen Behörden haben zu diesem Datum mit der Durchsetzung begonnen, und die Transparenzpflichten nach Artikel 50 — Offenlegung bei Chatbots, Kennzeichnung von Deepfakes, maschinenlesbare Markierung synthetischer Inhalte — sind bereits jetzt verbindlich. Auch die Registrierungspflicht nach Artikel 49 gilt seit dem 2. August 2026.

Neu hinzugekommen sind zwei Verbote nach Artikel 5, die ab dem 2. Dezember 2026 gelten: KI-Systeme, die ohne Einwilligung realistische intime Bilder identifizierbarer Personen erzeugen oder manipulieren (Artikel 5 Absatz 1 Buchstabe ba), sowie KI-Systeme, die Darstellungen sexuellen Missbrauchs von Kindern erzeugen oder manipulieren (Artikel 5 Absatz 1 Buchstabe bb). Zum selben Datum läuft die neue Übergangsfrist des Artikels 111 Absatz 4 ab: Generative KI-Systeme, die vor dem 2. August 2026 in Verkehr gebracht wurden, müssen die maschinenlesbare Markierungspflicht des Artikels 50 Absatz 2 bis zum 2. Dezember 2026 erfüllen.

Phase 1: Bestandsaufnahme und Inventarisierung

Bevor Sie die Compliance sicherstellen können, müssen Sie wissen, was Sie haben. Die meisten Organisationen unterschätzen die Anzahl der KI-Systeme, die sie betreiben, erheblich.

Checkliste: KI-System-Inventar

Identifizieren Sie alle KI-Systeme in der gesamten Organisation — nicht nur die, die als „KI" gekennzeichnet sind. Die Definition der Verordnung (Artikel 3 Absatz 1) ist weit gefasst: jedes maschinenbasierte System, das mit unterschiedlichem Grad an Autonomie operiert und Ausgaben wie Vorhersagen, Empfehlungen, Entscheidungen oder Inhalte generiert.
Berücksichtigen Sie Drittanbieter-KI — Systeme, die Sie beschaffen, einbetten oder über API nutzen. Als Betreiber haben Sie Pflichten auch für Systeme, die Sie nicht selbst entwickelt haben.
Ordnen Sie KI-Systeme Geschäftsfunktionen zu — HR, Kundenservice, Betrugserkennung, Content-Moderation, Lieferkette, Marketing, Produktfunktionen, interne Tools.
Dokumentieren Sie Zweck und Umfang jedes Systems — welche Entscheidungen es beeinflusst, welche Daten es verarbeitet, wer von seinen Ausgaben betroffen ist.
Identifizieren Sie den Anbieter für jedes System — intern entwickelt, von einem Anbieter beschafft oder Open Source? Ihre Pflichten unterscheiden sich je nach Ihrer Rolle in der Wertschöpfungskette.

Die Definition des „KI-Systems" unter der Verordnung ist absichtlich weit gefasst. Sie umfasst Machine-Learning-Modelle, regelbasierte Expertensysteme, statistische Ansätze und hybride Systeme. Im Zweifelsfall nehmen Sie ein System in Ihr Inventar auf — es ist weitaus besser, zu viel zu klassifizieren und dann auszuschließen, als ein System zu übersehen, das sich als relevant herausstellt.

Checkliste: Rollenidentifikation

Die KI-Verordnung weist je nach Rolle unterschiedliche Pflichten zu. Sie können gleichzeitig mehrere Rollen innehaben:

Anbieter (Artikel 3 Absatz 3) — Sie entwickeln ein KI-System oder lassen eines in Ihrem Auftrag entwickeln und bringen es unter eigenem Namen oder eigener Marke in Verkehr
Betreiber (Artikel 3 Absatz 4) — Sie nutzen ein KI-System unter Ihrer Verantwortung (auch wenn Sie es nicht selbst entwickelt haben)
Einführer — Sie bringen ein KI-System eines außerhalb der EU ansässigen Anbieters auf den EU-Markt
Händler — Sie stellen ein KI-System auf dem EU-Markt bereit, ohne Anbieter oder Einführer zu sein
Bevollmächtigter Vertreter — Sie wurden von einem Nicht-EU-Anbieter beauftragt, in dessen Namen zu handeln

Phase 2: Risikoklassifizierung

Das Herzstück der KI-Verordnung ist ihr risikobasierter Ansatz. Ihre Pflichten hängen vollständig davon ab, in welche Risikokategorie jedes KI-System fällt.

Checkliste: Prüfung verbotener Praktiken (Artikel 5)

Überprüfen Sie jedes KI-System anhand aller in Artikel 5 aufgeführten verbotenen Praktiken. Diese gelten seit dem 2. Februar 2025 und sind der am härtesten sanktionierte Teil der Verordnung.
Kennzeichnen Sie jedes System, das beinhaltet: unterschwellige oder manipulative Techniken, Ausnutzung vulnerabler Gruppen, Social Scoring, individuelle prädiktive Polizeiarbeit, ungezieltes Scraping von Gesichtsbildern, Emotionserkennung am Arbeitsplatz/in der Bildung, biometrische Kategorisierung nach sensiblen Merkmalen oder biometrische Echtzeit-Fernidentifizierung in öffentlichen Räumen
Prüfen Sie die beiden neuen Verbote, die ab dem 2. Dezember 2026 gelten: die Erzeugung oder Manipulation realistischer intimer Bilder identifizierbarer Personen ohne deren Einwilligung (Artikel 5 Absatz 1 Buchstabe ba) und die Erzeugung oder Manipulation von Darstellungen sexuellen Missbrauchs von Kindern (Artikel 5 Absatz 1 Buchstabe bb). Der Anwendungsbereich ist in den neuen Absätzen 1a und 1b des Artikels 5 präzisiert.
Für gekennzeichnete Systeme: Entscheiden Sie umgehend, ob das System eingestellt, umgestaltet werden muss oder unter eine enge Ausnahme fällt
Dokumentieren Sie Ihre Analyse für jedes System — einschließlich der Begründung, warum Systeme in der Nähe der Grenze nicht verboten sind

Unacceptable Risk

Die Leitlinien der Kommission zu verbotenen Praktiken vom 4. Februar 2025 sind weiterhin die maßgebliche Auslegungshilfe zu Artikel 5. Sie behandeln die beiden neuen Verbote noch nicht — Sie müssen deren Anwendungsbereich daher vorerst unmittelbar aus dem Verordnungstext ableiten und Ihre Bewertung sorgfältig dokumentieren.

Checkliste: Hochrisiko-Klassifizierung (Artikel 6 und Anhang III)

Die materiellen Anforderungen an Hochrisikosysteme gelten ab dem 2. Dezember 2027 (Anhang III) beziehungsweise dem 2. August 2028 (Anhang I). Die Klassifizierung selbst sollten Sie dennoch jetzt abschließen: Sie bestimmt, welche der folgenden Phasen für Sie überhaupt relevant sind, und der Aufbau von Datengovernance und technischer Dokumentation dauert typischerweise deutlich länger als die verbleibende Zeit.

Prüfen Sie Anhang I — dient Ihr KI-System als Sicherheitskomponente eines Produkts oder ist es selbst ein Produkt, das unter EU-Harmonisierungsgesetzgebung fällt (Medizinprodukte, Maschinen, Spielzeug, Fahrzeuge, Luftfahrt usw.)? Beachten Sie, dass die Verordnung (EU) 2026/1744 den Anhang I geändert hat: Maschinen wurden von Abschnitt A in Abschnitt B verschoben.
Prüfen Sie Anhang III — fällt Ihr KI-System in einen der acht Hochrisikobereiche?
- Biometrische Identifizierung und Kategorisierung
- Verwaltung und Betrieb kritischer Infrastrukturen
- Bildung und Berufsausbildung (Zulassungen, Bewertungen)
- Beschäftigung, Personalmanagement und Zugang zur Selbstständigkeit (Einstellung, Aufgabenverteilung, Überwachung, Bewertung)
- Zugang zu wesentlichen privaten und öffentlichen Dienstleistungen (Kreditbewertung, Versicherungspreisgestaltung, Notfalldienste)
- Strafverfolgung (Risikobewertung, Polygraphen, Beweisanalyse)
- Migration, Asyl und Grenzkontrolle
- Rechtspflege und demokratische Prozesse
Wenden Sie die Ausnahme nach Artikel 6 Absatz 3 an — auch wenn in Anhang III aufgeführt, ist ein System nicht hochriskant, wenn es kein erhebliches Schadensrisiko darstellt. Die Regel, dass ein in Anhang III genanntes System, das Profiling betreibt, stets hochriskant ist, gilt unverändert. Dokumentieren Sie diese Bewertung sorgfältig, wenn Sie sich darauf stützen.
Dokumentieren Sie die Klassifizierungsbegründung für jedes KI-System — dies wird ein Schlüsseldokument bei jeder regulatorischen Anfrage sein

High Risk

Der Wortlaut des Anhangs III wurde durch die Verordnung (EU) 2026/1744 nicht geändert; die acht Anwendungsbereiche gelten wie erlassen. Die Leitlinien der Kommission zur Einstufung nach Artikel 6 Absatz 5, die am 19. Mai 2026 veröffentlicht wurden, liegen bislang nur als Entwurf vor — die Konsultation endete am 23. Juli 2026. Stützen Sie Ihre Klassifizierung daher primär auf den Verordnungstext und behandeln Sie Positionen aus diesen Dokumenten ausdrücklich als vorläufige Auslegung.

Checkliste: Systeme mit begrenztem und minimalem Risiko

Identifizieren Sie Systeme mit Transparenzpflichten (Artikel 50) — Chatbots, Deepfakes, Emotionserkennung, biometrische Kategorisierung. Diese Pflichten gelten seit dem 2. August 2026 und wurden nicht verschoben: Artikel 50 steht in Kapitel IV und ist von der Verschiebung des Kapitels III nicht erfasst.
Setzen Sie die maschinenlesbare Markierung synthetischer Inhalte um (Artikel 50 Absatz 2). Für generative KI-Systeme, die vor dem 2. August 2026 in Verkehr gebracht wurden, räumt Artikel 111 Absatz 4 eine Übergangsfrist bis zum 2. Dezember 2026 ein.
Klassifizieren Sie verbleibende Systeme als minimales Risiko — freiwillige Verhaltenskodizes empfohlen, aber keine verbindlichen Pflichten
Dokumentieren Sie alle Klassifizierungen in Ihrem KI-Register

Von allen Pflichten dieser Checkliste ist Artikel 50 diejenige, die heute unmittelbar durchsetzbar ist. Verstöße gegen Betreiber- und Anbieterpflichten wie Artikel 50 sind nach Artikel 99 mit Geldbußen von bis zu 15 000 000 EUR oder 3 % des weltweiten Jahresumsatzes bedroht, je nachdem, welcher Betrag höher ist. Wenn Sie Ihre Prioritäten neu ordnen, gehört Artikel 50 nach vorn, nicht die Hochrisiko-Dokumentation.

Automatisieren Sie Ihre Compliance-Dokumentation

Ctrl AI generiert prüfungssichere Ausführungsnachweise und vertrauensgekennzeichnete Ausgaben für jede KI-Entscheidung und gibt CTOs die Evidenzbasis, die Aufsichtsbehörden erwarten.

Mehr über Ctrl AI erfahren

Phase 3: Lückenanalyse für Hochrisikosysteme

Wenn Sie Hochrisiko-KI-Systeme identifiziert haben, beginnt hier die eigentliche Arbeit. Die Artikel 8 bis 15 definieren die Anforderungen.

Checkliste: Datengovernance (Artikel 10)

Dokumentieren Sie Trainings-, Validierungs- und Testdatensätze — einschließlich Herkunft, Relevanz, Repräsentativität und bekannter Lücken oder Verzerrungen
Implementieren Sie Datenqualitätskriterien — prüfen Sie Daten vor dem Training und fortlaufend auf Fehler, Unvollständigkeiten und Verzerrungen
Stellen Sie eine angemessene Datengovernance sicher — einschließlich Datenerhebungsprozesse, Kennzeichnung, Bereinigung und Anreicherung
Behandeln Sie Verzerrungen in Datensätzen — insbesondere hinsichtlich geschützter Merkmale (Geschlecht, Ethnie, Alter, Behinderung)
Bei Verarbeitung personenbezogener Daten: Bestätigen Sie die DSGVO-Konformität, einschließlich Rechtsgrundlage, Datenminimierung und Zweckbindung

Checkliste: Technische Dokumentation (Artikel 11)

Erstellen Sie technische Dokumentation bevor ein System in Verkehr gebracht wird — dies ist nicht optional und muss aktuell gehalten werden
Umfassen Sie alle in Anhang IV genannten Elemente: allgemeine Beschreibung, Entwicklungsprozess, Überwachung und Kontrolle, Risikomanagement, Änderungen und angewandte Normen
Stellen Sie sicher, dass die Dokumentation umfassend genug ist, damit Behörden die Compliance bewerten können — vage oder oberflächliche Dokumentation reicht nicht aus

Checkliste: Aufzeichnungen und Protokollierung (Artikel 12)

Implementieren Sie automatische Protokollierung von Ereignissen während des KI-Systembetriebs — die Verordnung verlangt Rückverfolgbarkeit
Stellen Sie sicher, dass Protokolle erfassen: den Zeitraum jeder Nutzung, die Referenzdatenbank, Eingabedaten mit Übereinstimmung und die Identifizierung der an der menschlichen Aufsicht beteiligten Personen
Definieren Sie Aufbewahrungsfristen für Protokolle — mindestens für den dem Verwendungszweck angemessenen Zeitraum und nicht weniger als sechs Monate, sofern nicht anders angegeben
Stellen Sie sicher, dass Protokolle zugänglich sind für Betreiber und auf Anfrage für Behörden verfügbar

Checkliste: Transparenz und Information (Artikel 13)

Gestalten Sie Systeme transparent — Betreiber müssen die Ausgabe des Systems verstehen und angemessen nutzen können
Stellen Sie klare Gebrauchsanweisungen bereit, die Folgendes abdecken: Verwendungszweck, Genauigkeits- und Robustheitsniveau, bekannte Einschränkungen, vorhersehbare Fehlnutzungsrisiken, Maßnahmen zur menschlichen Aufsicht und erwartete Eingabedatenspezifikationen
Wo zutreffend: Informieren Sie Personen, dass sie einer Entscheidung durch ein Hochrisiko-KI-System unterliegen

Checkliste: Menschliche Aufsicht (Artikel 14)

Gestalten Sie Systeme für wirksame menschliche Aufsicht — das bedeutet echte, sinnvolle Aufsicht, nicht ein Gummistempel
Stellen Sie sicher, dass die Aufsichtsperson: die Fähigkeiten und Grenzen des Systems vollständig verstehen, Ausgaben korrekt interpretieren, entscheiden kann, das System nicht zu verwenden oder dessen Ausgabe zu überstimmen, und in das System eingreifen oder es anhalten kann
Implementieren Sie „Human-on-the-loop"- oder „Human-in-the-loop"-Mechanismen, die dem Risikoniveau und Kontext angemessen sind
Schulen Sie die Personen, die für die menschliche Aufsicht verantwortlich sind — sie müssen die Kompetenz, Schulung und Befugnis haben, ihre Rolle auszuüben

Checkliste: Genauigkeit, Robustheit und Cybersicherheit (Artikel 15)

Definieren und deklarieren Sie Genauigkeitsmetriken — das System muss die für seinen Verwendungszweck angemessene Genauigkeit erreichen
Testen Sie auf Robustheit — das System sollte unter erwarteten Bedingungen konsistent arbeiten und Fehler oder Inkonsistenzen angemessen behandeln
Implementieren Sie Cybersicherheitsmaßnahmen — Schutz gegen unbefugte Manipulation von Trainingsdaten, Eingaben oder dem Modell selbst (Data Poisoning, Adversarial Examples, Modellextraktion)
Dokumentieren Sie alle Testergebnisse und nehmen Sie sie in die technische Dokumentation auf

Phase 4: Organisatorische Bereitschaft

Technische Compliance ist notwendig, aber nicht ausreichend. Sie benötigen auch organisatorische Strukturen und Prozesse.

Checkliste: Qualitätsmanagementsystem (Artikel 16)

Richten Sie ein Qualitätsmanagementsystem ein, das der Größe Ihrer Organisation angemessen ist — dokumentierte Richtlinien und Verfahren für die Entwicklung, den Einsatz und die Überwachung von KI-Systemen
Nehmen Sie Compliance-Strategie, Ressourcenallokation und Verantwortlichkeit in das QMS auf
Implementieren Sie ein Marktüberwachungssystem nach dem Inverkehrbringen (Artikel 72) — systematische Prozesse zur Erhebung und Analyse von Daten über die Leistung Ihrer KI-Systeme nach dem Einsatz
Definieren Sie einen Prozess zur Meldung schwerwiegender Vorfälle (Artikel 73) — Sie müssen den Behörden innerhalb von 15 Tagen nach Kenntnisnahme eines schwerwiegenden Vorfalls Bericht erstatten

Checkliste: Konformitätsbewertung (Artikel 43-44)

Bestimmen Sie, welches Konformitätsbewertungsverfahren für jedes Hochrisikosystem gilt — interne Kontrolle (Anhang VI) oder Drittbewertung (Anhang VII)
Ermitteln Sie, ob eine Benannte Stelle erforderlich ist — dies ist für bestimmte biometrische und kritische Infrastruktur-KI-Systeme zwingend
Erstellen Sie die EU-Konformitätserklärung (Artikel 47) — eine formelle Erklärung, dass das System alle geltenden Anforderungen erfüllt
Bringen Sie die CE-Kennzeichnung an (Artikel 48) vor dem Inverkehrbringen des Systems
Registrieren Sie das System in der EU-Datenbank (Artikel 49). Diese Pflicht wurde nicht verschoben: Artikel 49 steht in Kapitel III Abschnitt 5, also außerhalb der Abschnitte 1 bis 3, und gilt seit dem 2. August 2026.

Planen Sie nicht damit, dass harmonisierte Normen Ihnen die Konformitätsbewertung abnehmen: Bis heute wurde keine harmonisierte Norm im Amtsblatt zitiert, und damit begründet noch kein Ergebnis von CEN-CENELEC JTC 21 eine Konformitätsvermutung nach Artikel 40. Der Normungsauftrag M/613 läuft bis zum 28. Februar 2027. Ihre Nachweisführung muss daher unmittelbar an den Artikeln 8 bis 15 ausgerichtet sein.

Checkliste: Betreiberpflichten (Artikel 26)

Wenn Sie Hochrisiko-KI-Systeme einsetzen (nutzen), die von anderen entwickelt wurden:

Verwenden Sie das System gemäß den Gebrauchsanweisungen des Anbieters
Weisen Sie die menschliche Aufsicht Personen mit der erforderlichen Kompetenz, Schulung und Befugnis zu
Stellen Sie sicher, dass die Eingabedaten relevant und hinreichend repräsentativ für den Verwendungszweck des Systems sind
Überwachen Sie den Betrieb des Systems und melden Sie schwerwiegende Vorfälle dem Anbieter und der zuständigen Behörde
Führen Sie eine Grundrechte-Folgenabschätzung durch (Artikel 27), wenn Sie eine Einrichtung des öffentlichen Rechts sind oder ein privates Unternehmen, das öffentliche Dienstleistungen erbringt
Informieren Sie Einzelpersonen, dass sie einer Entscheidung eines Hochrisiko-KI-Systems unterliegen, sofern erforderlich

Betreiberpflichten gelten auch dann, wenn Sie ein KI-System von einem Anbieter gekauft haben, der behauptet, „EU-KI-Verordnung-konform" zu sein. Compliance ist eine geteilte Verantwortung. Sie können Ihre Betreiberpflichten nicht an Ihren Anbieter auslagern.

Phase 5: Zeitplan und Fahrplan

Erstellen Sie einen konkreten Fahrplan mit Meilensteinen, die auf den gestaffelten Durchsetzungszeitplan der Verordnung abgestimmt sind.

Phase 6: Laufende Compliance

Compliance ist kein einmaliges Projekt. Die KI-Verordnung erfordert kontinuierliche Überwachung und Anpassung.

Checkliste: Laufende Pflichten

Überwachen Sie die KI-Systemleistung nach dem Einsatz — verfolgen Sie Genauigkeits-, Verzerrung- und Zuverlässigkeitsmetriken im Zeitverlauf
Aktualisieren Sie die technische Dokumentation, wenn das System wesentlich verändert wird (Artikel 43 Absatz 4)
Melden Sie schwerwiegende Vorfälle der zuständigen Marktüberwachungsbehörde innerhalb der vorgeschriebenen Frist
Bleiben Sie bei regulatorischen Leitlinien auf dem Laufenden — das KI-Büro, der KI-Ausschuss und nationale Behörden werden bis 2028 weitere Durchführungsrechtsakte, harmonisierte Normen, Leitlinien und Verhaltenskodizes herausgeben; mehrere zentrale Dokumente liegen bislang nur im Entwurf vor
Führen Sie regelmäßige interne Audits Ihrer KI-Systeme anhand der Anforderungen der Verordnung durch
Schulen Sie Ihre Teams nach, wenn sich die regulatorische Landschaft weiterentwickelt
Pflegen Sie Ihr KI-Register — halten Sie es aktuell, wenn Systeme hinzugefügt, geändert oder außer Betrieb genommen werden

Organisationen, die die Compliance mit der KI-Verordnung als laufendes Programm behandeln — nicht als einmalige Checkbox-Übung — werden sich nicht nur für die regulatorische Compliance, sondern auch für den Aufbau wirklich vertrauenswürdiger KI-Systeme besser positioniert finden. Die Anforderungen an Datengovernance, Transparenz, menschliche Aufsicht und Robustheit sind schlicht gute Engineering-Praktiken, die in Gesetze gegossen wurden.

Häufige Fallstricke für Technologieführer

Basierend auf den Anforderungen der Verordnung und frühen Durchsetzungssignalen sind hier die Fehler, die CTOs und CIOs aktiv vermeiden sollten:

Unterschätzung des Umfangs. Die Definition des „KI-Systems" in der KI-Verordnung ist breiter als viele erwarten. Wenn Sie nur Systeme betrachten, die explizit als „KI" oder „ML" gekennzeichnet sind, übersehen Sie regelbasierte Systeme, statistische Modelle und eingebettete KI in Drittanbieter-Tools.

Compliance nur als Rechtsangelegenheit behandeln. Die Compliance mit der KI-Verordnung erfordert tiefgreifende technische Arbeit — Datengovernance, Protokollierung, Tests, Dokumentation. Rechtsabteilungen können dies nicht allein bewältigen. Die technische Führung muss direkt einbezogen werden.

Betreiberpflichten ignorieren. Viele CTOs gehen davon aus, dass sie abgesichert sind, wenn sie ein KI-System von einem konformen Anbieter kaufen. Das sind sie nicht. Betreiber haben eigenständige Pflichten in Bezug auf menschliche Aufsicht, Überwachung und Eingabedatenqualität.

Die Verschiebung als Pause missverstehen. Die Verlängerung bis zum 2. Dezember 2027 betrifft ausschließlich Kapitel III Abschnitte 1 bis 3. Die Verordnung gilt seit dem 2. August 2026 allgemein und wird durchgesetzt; verbotene Praktiken, Transparenzpflichten und Registrierung sind heute verbindlich. Wer das Programm jetzt anhält, verliert die einzige Vorlaufzeit, die für den Aufbau von Datengovernance und Nachweisführung realistisch zur Verfügung steht — rund 16 Monate.

Auf eine weitere Verlängerung setzen. Die Verschiebung ist zwar unbedingt, sie enthält aber keinen Mechanismus für eine weitere automatische Verlängerung. Der ursprünglich vorgeschlagene Auslöser, der die Daten an die Verfügbarkeit harmonisierter Normen geknüpft hätte, wurde gestrichen. Der 2. Dezember 2027 steht unabhängig davon, ob Normen bis dahin vorliegen.

GPAI-Modellpflichten übersehen. Wenn Ihre Organisation ein KI-Modell mit allgemeinem Verwendungszweck bereitstellt oder feinabstimmt, gelten zusätzliche Anforderungen gemäß den Artikeln 51-55 seit dem 2. August 2025. Kapitel V wurde durch die Verordnung (EU) 2026/1744 inhaltlich nicht geändert. Für Modelle, die vor dem 2. August 2025 in Verkehr gebracht wurden, gilt weiterhin die Frist 2. August 2027.

Fazit

Die Compliance mit der EU-KI-Verordnung ist eine technische und organisatorische Herausforderung, die direkt in der Verantwortung des CTO und CIO liegt. Die obige Checkliste bietet einen strukturierten Weg von der Bestandsaufnahme bis zur laufenden Compliance, abgestimmt auf den gestaffelten Durchsetzungszeitplan der Verordnung.

Die Organisationen, die diesen Übergang am reibungslosesten meistern werden, sind diejenigen, die in systematische Inventarisierung und Klassifizierung investieren und Compliance nicht als Last, sondern als Chance betrachten, KI-Systeme zu bauen, die transparent, robust und vertrauenswürdig sind.

Der Zeitplan ist nach der Verordnung (EU) 2026/1744 klarer als zuvor: Artikel 5 und Artikel 50 sind heute durchsetzbar, die neuen Verbote und die Markierungs-Übergangsfrist laufen am 2. Dezember 2026 aus, und die Hochrisikopflichten greifen am 2. Dezember 2027 beziehungsweise am 2. August 2028. Die Anforderungen sind definiert, und es gibt keinen weiteren Aufschub in Sicht. Die Frage ist, ob Ihre Organisation bereit sein wird.