Neue Fristen, alte Lücken. Deshalb kann eure KI-Governance nicht warten

Dr. Jetmir Haxhija
21. Juli
3 Min. Lesezeit

Aktualisiert: 3. Aug.

Viele Unternehmen haben den 2. August 2026 im Kalender stehen. Dieses Datum ist überholt. Der Digital Omnibus verschiebt die strengen Pflichten für Hochrisiko-Systeme auf den 2. Dezember 2027, für Systeme in regulierten Produkten sogar auf den 2. August 2028. Parlament und Rat haben im Juni 2026 zugestimmt. Entwarnt sollte man deshalb aber dennoch nicht sein.

Eine Waage mit dem AI Act auf der einen und den Begriffen Compliance, Ethics und Transparency auf der anderen Seite, umgeben von Kalenderblättern mit den Jahreszahlen 2026, 2027 und 2028, einem Richterhammer, einem Schutzschild mit Häkchen und Bücherstapeln, im Hintergrund die EU-Flagge.

Drei Fälle aus der Praxis

Der Assistent auf der Website.

Ein Hersteller beantwortet Kundenanfragen automatisiert. Einstufung: begrenztes Risiko. Es greift die Transparenzpflicht nach Art. 50. Der Kunde muss erkennen, dass er mit einer Maschine schreibt. Aufwand: ein Hinweis im Fenster, eine Zeile in der Datenschutzerklärung.

Die Belegschaft, die längst loslegt.

Der Vertrieb schreibt Angebote, die Marketingabteilung erstellt Bilder, die Buchhaltung lässt sich Formeln erklären. Alles über private Zugänge. Einstufung: minimales Risiko, formal unproblematisch. Trotzdem greift die Kompetenzpflicht nach Art. 4, und zwar seit Februar 2025, unabhängig von der Risikoklasse. Der eigentliche Befund ist ein anderer: Kundendaten fließen unkontrolliert zu externen Anbietern, und niemand kann sagen, welche Werkzeuge überhaupt im eigenen Haus genutzt werden.

Die Bewerbervorauswahl.

300 Bewerbungen pro Stelle, ein System sortiert vor. Einstufung: Hochrisiko nach Anhang III, Personalauswahl steht ausdrücklich auf der Liste. Damit wird eine Aufsicht fällig durch eine Person mit echter Eingriffsbefugnis, inklusive Protokollierung über mindestens sechs Monate und Information der Bewerber. Wer selbst entwickelt, statt einzukaufen, braucht zusätzlich Risikomanagement, technische Dokumentation, Konformitätsbewertung und Registrierung. Die Linie verläuft dort, wo über Menschen entschieden wird: Personal, Kredit, Versicherung, Bildung und kritischer Infrastruktur.

Was Governance konkret bedeutet

Wer entscheidet?

Wer im Haus gibt eine Anwendung frei, und wer trägt die Folgen? In den meisten Betrieben lautet die Antwort heute: niemand, weil es nie festgelegt wurde. Es braucht keine neue Stabsstelle, sondern eine benannte Person mit Mandat.

Was ist überhaupt im Einsatz?

Steuern lässt sich nur, was bekannt ist. Es braucht ein Verzeichnis aller Anwendungen, auch der inoffiziellen. Das stellt dann manchmal ein ernüchternder Schritt im Projekt dar.

Wie wird eingestuft?

Jede Anwendung wird einer Risikoklasse zugordnet, mit dokumentierter Begründung. Gerade dann, wenn das Ergebnis „unkritisch“ lautet, muss es später begründbar sein.

Wie wird das belegt?

Protokolle, Dokumentation, Schulungsnachweise. Wer im Prüfungsfall nichts vorlegt, hat keine Governance, unabhängig davon, wie sauber intern gearbeitet wurde. Zuständig wird in Deutschland das BSI, der Bußgeldrahmen reicht bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes.

Deshalb steht KI-Governance unter Zeitdruck

Dezember 2027 klingt weit weg. Rückwärts gerechnet sieht es anders aus. Eine Konformitätsbewertung dauert erfahrungsgemäß drei bis sechs Monate. Davor müssen Verzeichnis und Einstufung stehen, Verantwortlichkeiten geklärt und Mitarbeitende geschult sein, erfahrungsgemäß dauert das noch einmal ein halbes Jahr. Und die Dokumentation muss mitlaufen, denn Nachweise lassen sich nicht rückwirkend erzeugen.

Damit landet der ehrliche Startpunkt bereits im Jahr 2026, nicht erst in 2027.

Wo Technik die Arbeit abnimmt

Verzeichnis und Nachweis sind die beiden Punkte, an denen Konzepte in der Praxis scheitern. Eine Liste, die von Hand gepflegt wird, ist nach drei Monaten veraltet. Belege, die niemand systematisch erzeugt, existieren im Prüfungsfall nicht. Läuft der Betrieb dagegen über eine zentrale Umgebung mit Anmeldung über das Firmenkonto und durchgehender Protokollierung, entstehen beide als Nebenprodukt des Alltags. Genau dafür ist der tisix ai workspace gebaut: in Deutschland gehostet, DSGVO-konform, mit den Strukturen, die Nachweisführung für eure KI-Governance überhaupt erst möglich machen. Die Entscheidungen bleiben bei euch. Die Grundlage liefern wir.