EU-KI-Gesetz tritt im August 2026 in Kraft, Hochrisiko-Regeln verzögert

Das EU-KI-Gesetz gilt offiziell, aber mit einem Haken

Seit Anfang August 2026 ist das KI-Gesetz der Europäischen Union von einer ausstehenden Gesetzgebung zu einem Rechtskorpus geworden, den Unternehmen tatsächlich befolgen müssen. Der neueste Datenschutz-Digest von TechGDPR markiert diesen Meilenstein und weist darauf hin, dass das Gesetz anwendbar wurde, während die Vorschriften für Hochrisiko-KI-Systeme vorübergehend ausgenommen bleiben. Für alle, die verfolgen, wie KI-Regulierung und Datenschutz sich überschneiden, ist dies ein bemerkenswerter Moment: Das Gesetz ist technisch in Kraft, aber eines seiner folgenreichsten Kapitel ist ausgesetzt.

Das KI-Gesetz wurde um einen risikobasierten Rahmen herum konzipiert. Systeme werden in Kategorien eingeteilt, von minimalem Risiko bis zu inakzeptablem Risiko, wobei die Pflichten entsprechend ansteigen. Hochrisiko-KI, also Systeme, die bei der Einstellung, Bonitätsprüfung, Strafverfolgung oder medizinischen Diagnostik eingesetzt werden, sollten immer die schwerste Compliance-Last tragen: Konformitätsbewertungen, Anforderungen an die menschliche Aufsicht und detaillierte Dokumentation. Die Tatsache, dass diese spezifischen Verpflichtungen verzögert werden, während das breitere Gesetz in Kraft tritt, sagt einiges darüber aus, wie schwierig es für Regulierungsbehörden und Industrie war, sich auf Umsetzungsfristen für die strengsten Bestimmungen zu einigen.

Warum die Hochrisiko-KI-Regeln ausgesetzt sind

Die Verzögerung ist kein Zeichen dafür, dass die Regulierungsbehörden ihre Haltung zur KI-Aufsicht aufgeweicht haben. Stattdessen spiegelt sie die praktische Realität wider, ein so komplexes Gesetz einzuführen. Normungsgremien, nationale Regulierungsbehörden und die Europäische Kommission benötigten mehr Zeit, um die technischen Spezifikationen fertigzustellen, die Hochrisiko-KI-Anbieter erfüllen müssen. Anstatt Unternehmen zu zwingen, sich an noch nicht vollständig definierte Regeln zu halten, wurden die mit Hochrisiko-Systemen verbundenen Pflichten zurückgestellt, während der Rest des Gesetzes, einschließlich der Bestimmungen zu verbotenen Praktiken und KI-Kompetenz, planmäßig voranschritt.

Diese gestaffelte Einführung ist insbesondere für Datenschutzfachleute von Bedeutung. Viele Hochrisiko-KI-Anwendungsfälle – biometrische Identifikation, automatisierte Entscheidungsfindung im Arbeits- oder Kreditwesen – beinhalten eine erhebliche Verarbeitung personenbezogener Daten. Wenn die Compliance-Frist für diese Systeme verschoben wird, entsteht eine vorübergehende Lücke, in der KI-spezifische Schutzmaßnahmen noch nicht durchsetzbar sind, obwohl die DSGVO-Verpflichtungen für dieselben Datenverarbeitungstätigkeiten uneingeschränkt in Kraft bleiben. Organisationen können die Verzögerung nicht als Freifahrtschein für die Einhaltung des Datenschutzes im Allgemeinen betrachten, sondern nur für die zusätzliche Anforderungsebene des KI-Gesetzes für Hochrisikokategorien.

Die DSGVO-Verbindung: Datenschutz weiterhin im Fokus

Eine der hilfreichsten Erkenntnisse zum KI-Gesetz ist, dass es die DSGVO nicht ersetzt, sondern neben ihr existiert. Jedes KI-System, das personenbezogene Daten verarbeitet, unabhängig davon, ob es als Hochrisiko eingestuft ist oder nicht, muss weiterhin das bestehende Datenschutzrecht erfüllen: Rechtsgrundlage für die Verarbeitung, Transparenz gegenüber den betroffenen Personen und Schutzmaßnahmen gegen Missbrauch. Das KI-Gesetz fügt sektorspezifische und risikospezifische Regeln auf dieser Grundlage hinzu.

Dieser zweigleisige Ansatz ist nicht einzigartig für die EU. Datenschutzregime auf der ganzen Welt setzen sich mit ähnlichen Fragen auseinander, wie neue Technologien reguliert werden können, ohne Lücken in der Aufsicht zu hinterlassen. Simbabwes Telekommunikationsregulierer beispielsweise bereitet sich darauf vor, ab September 2026 sein eigenes Datenschutzgesetz aktiv durchzusetzen – ein Wandel, über den wir in unserem Bericht über POTRAZ' Durchsetzungspläne berichtet haben. Andernorts haben Vorschläge wie Südafrikas Plan, die Registrierung mobiler SIM-Karten mit der digitalen Identität zu verknüpfen, ähnliche Bedenken aufgeworfen, wie personenbezogene Daten genutzt werden, sobald sie erhoben sind – ein Thema, das wir in unserer Berichterstattung über Südafrikas SIM-zu-ID-Debatte behandelt haben. Unterschiedliche Regionen, unterschiedliche Mechanismen, aber das gleiche grundlegende Spannungsverhältnis: Technologie bewegt sich schneller als die Regeln, die sie lenken sollen.

Was das für Sie bedeutet

Wenn Sie Verbraucher sind, sind die unmittelbaren praktischen Auswirkungen begrenzt. Die Hochrisiko-Bestimmungen des EU-KI-Gesetzes richteten sich stets an die Unternehmen und öffentlichen Stellen, die KI-Systeme einsetzen, nicht an einzelne Nutzer. Die breitere Einführung ist jedoch aufmerksam zu verfolgen, denn sie zeigt, wie ernst die Regulierungsbehörden die KI-gesteuerte Datenverarbeitung nehmen und wie viel Arbeit noch vor uns liegt, bevor diese Schutzmaßnahmen vollständig greifen.

Wenn Sie in einem Unternehmen arbeiten, das KI-Tools entwickelt oder einsetzt, die EU-Nutzer berühren, bedeutet die Verzögerung der Hochrisiko-Pflichten nicht, dass Sie mit der Vorbereitung warten können. Die Regulierungsbehörden haben klargestellt, dass es bei der Verschiebung um Umsetzungsfristen geht, nicht um eine Richtungsänderung. Jetzt schon Dokumentation, Risikobewertungen und Data Governance voranzutreiben, wird entscheidend sein, sobald die Hochrisiko-Fristen tatsächlich eintreten.

Wichtige Erkenntnisse

• Das EU-KI-Gesetz wurde im August 2026 anwendbar, aber die Pflichten für Hochrisiko-KI-Systeme wurden vorübergehend ausgenommen, solange die technischen Standards noch nicht finalisiert sind.
• Die DSGVO-Verpflichtungen gelten unabhängig von der schrittweisen Einführung des KI-Gesetzes uneingeschränkt weiter, sodass die Datenverarbeitung im Zusammenhang mit KI-Systemen weiterhin eine Rechtsgrundlage und Transparenz erfordert.
• Unternehmen, die KI in der EU einsetzen, sollten die Verzögerung als Planungsfenster und nicht als Compliance-Befreiung betrachten und weiter auf die künftigen Hochrisiko-Anforderungen hinarbeiten.
• Die Beobachtung, wie andere Rechtsordnungen von Simbabwe bis Südafrika die Durchsetzung des Datenschutzes handhaben, liefert nützlichen Kontext dafür, wie die globale Regulierungsdynamik im Bereich personenbezogener Daten parallel zu KI-spezifischen Regeln an Fahrt aufnimmt.