EU AI Act:Was in der Architektur jetzt zählt

Drei Meldungen, eine Botschaft

Ich habe diese Woche drei Meldungen zur KI-Regulierung auf dem Schreibtisch gehabt, die auf den ersten Blick nichts miteinander zu tun haben. Ein harmonisierter Standard, ein neues Verbot, ein aufgehobenes Bußgeld. Zusammen erzählen sie aber eine ziemlich klare Geschichte darüber, wo der EU AI Act gerade steht — und was das für Unternehmen im DACH-Raum bedeutet.

Kurz zur Einordnung, bevor es konkret wird.

Der erste harmonisierte Standard ist da

Pearl Cohen berichtet, dass der erste harmonisierte Standard zum EU AI Act veröffentlicht wurde — auf Basis von ISO/IEC und mit Fokus auf ein KI-spezifisches Qualitätsmanagementsystem. Das ist keine Kleinigkeit. Harmonisierte Standards sind im europäischen Recht der Weg, über den Unternehmen eine Konformitätsvermutung erlangen. Wer den Standard erfüllt, gilt als konform — bis zum Beweis des Gegenteils.

Für Architekten und IT-Leiter heißt das konkret: Die Frage ist nicht mehr nur, ob ein KI-System die funktionalen Anforderungen erfüllt. Die Frage ist, ob das Qualitätsmanagementsystem drumherum dokumentiert, auditierbar und auf den Lebenszyklus des Systems ausgerichtet ist. Wer heute ein Hochrisiko-System plant oder betreibt, sollte prüfen, ob die eigene QM-Struktur auf diesen Standard ausgerichtet werden kann. Das ist kein Projekt für die Compliance-Abteilung allein — das ist eine Architekturentscheidung.

• •

  Harmonisierte Standards erzeugen Konformitätsvermutung — das entlastet im Streitfall

• •

  QMS-Anforderungen betreffen den gesamten Lebenszyklus, nicht nur die Inbetriebnahme

• •

  Hochrisiko-Systeme brauchen eine dokumentierte Governance-Struktur, bevor sie produktiv gehen

Dezember 2026: Neue Verbote, aber auch Entlastung

Lumenova AI weist auf zwei Änderungen hin, die ab dem 2. Dezember 2026 greifen. Erstens: KI-generierte nicht-konsensuale intime Inhalte werden explizit verboten. Das klingt nach einem Randthema für Enterprise-Architekten — ist es aber nicht, sobald ein Unternehmen generative KI für Bild- oder Videoproduktion einsetzt oder entsprechende Dienste in Workflows integriert. Die Frage, welche Outputs ein Modell prinzipiell erzeugen kann, wird zur Compliance-Frage.

Zweitens — und das ist die überraschendere Nachricht — soll der Compliance-Aufwand für Standard-Software bei bestimmten industriellen Anwendungsfällen reduziert werden. Das ist ein Signal, das viele unterschätzen. Die EU differenziert. Nicht jede KI-Integration in einen Geschäftsprozess zieht denselben Aufwand nach sich. Wer seine Use Cases sauber nach Risikoklassen sortiert hat, profitiert davon. Wer das nicht getan hat, zahlt weiterhin den Pauschalpreis — in Form von Unsicherheit und überdimensioniertem Aufwand.

Das OpenAI-Urteil und was es über Vollstreckung verrät

Das Urteil aus Rom ist instruktiv, auch wenn es auf den ersten Blick wie eine Entlastung für OpenAI wirkt. Ein Gericht hat das 15-Millionen-Euro-Bußgeld der italienischen Datenschutzbehörde aufgehoben — nicht weil OpenAI im Recht war, sondern weil die irische Datenschutzbehörde (DPC) die Zuständigkeit hat, wie Blocksize HR berichtet. Die irische DPC ist damit die primäre Regulierungsbehörde für OpenAI in der EU.

Was folgt daraus für DACH-Unternehmen? Zwei Dinge. Erstens: Die Zuständigkeitsfrage bei grenzüberschreitenden KI-Diensten ist real und ungelöst. Wer einen US-Anbieter mit EU-Niederlassung in Irland nutzt, hat eine andere Behördenstruktur im Rücken als bei einem deutschen Anbieter. Das ist kein akademisches Detail — es beeinflusst, welche Behörde im Ernstfall zuständig ist und wie schnell Entscheidungen fallen. Zweitens: Die Vollstreckung des EU AI Act wird ähnlich fragmentiert verlaufen wie die DSGVO-Vollstreckung. Wer darauf wartet, dass eine nationale Behörde schon für Ordnung sorgt, wartet möglicherweise lange.

Was das für Architektur- und Governance-Entscheidungen bedeutet

Die drei Meldungen zusammen ergeben ein Bild, das ich so beschreiben würde: Der regulatorische Rahmen wird konkreter, die Vollstreckung bleibt uneinheitlich, und die Unternehmen, die jetzt strukturiert vorgehen, verschaffen sich einen echten Vorteil. Nicht weil sie Bußgelder vermeiden — das ist die Minimalambition. Sondern weil sie schneller entscheiden können, welche KI-Projekte sie mit welchem Aufwand vorantreiben.

Konkret empfehle ich drei Schritte. Erstens: Use Cases nach Risikoklassen sortieren — der Leitfaden zu den EU AI Act-Risikoklassen gibt dafür eine strukturierte Grundlage. Zweitens: Prüfen, ob die eigene Governance-Struktur auf den neuen harmonisierten Standard ausgerichtet werden kann. Das ist eine Frage, die IT-Leiter und Compliance-Verantwortliche gemeinsam beantworten müssen, nicht getrennt voneinander. Drittens: Die Anbieterlandschaft unter dem Gesichtspunkt der Behördenzuständigkeit neu bewerten — gerade wenn generative KI-Dienste aus dem US-Markt genutzt werden. Der Leitfaden zum Aufbau von AI Governance gibt dafür einen Rahmen, der über die reine Dokumentationspflicht hinausgeht.

Das Compliance Center im AI Navigator hilft dabei, den eigenen Stand gegen die aktuellen Anforderungen zu prüfen — ohne dass man sich durch alle Primärquellen arbeiten muss.

• •

  Risikoklassifizierung aller aktiven KI-Use-Cases — vor Dezember 2026

• •

  QMS-Struktur gegen den neuen harmonisierten Standard prüfen

• •

  Behördenzuständigkeit bei Drittanbietern dokumentieren

• •

  Governance-Verantwortung klar zuweisen, nicht im Organigramm verschwimmen lassen

Was ich mitnehme

Mich beschäftigt an diesen drei Meldungen vor allem das Timing. Der harmonisierte Standard kommt, die neuen Verbote kommen im Dezember, und die Vollstreckungslage ist noch unübersichtlich. Das ist kein Widerspruch — das ist der normale Zustand in einer frühen Regulierungsphase. Die Unternehmen, die jetzt trotzdem strukturiert vorgehen, werden in zwei Jahren weniger erklären müssen.

Was offen bleibt: wie schnell die irische DPC tatsächlich handelt und ob die nationalen Behörden im DACH-Raum eigene Schwerpunkte setzen werden. Das werde ich beobachten. Mein Schreibtisch auch.

Quellen

Dieser Entwurf wurde KI-gestützt aus folgenden Meldungen erstellt und ist vor der Veröffentlichung redaktionell zu prüfen.

• •

  Erster harmonisierter Standard zum EU AI Act veröffentlicht (ISO/IEC-basiertes QMS) – Pearl Cohen: pearlcohen.com/eu-ai-acts-first-harmonized-standard-publis… (öffnet in neuem Tab)

• •

  EU AI Act: Zwei neue Verbote ab 2. Dezember 2026 – KI-generierte intime Inhalte und weiteres – Lumenova AI: lumenova.ai/blog/eu-ai-act-delays-july-2026 (öffnet in neuem Tab)

• •

  Gericht Rom hebt 15-Mio.-€-DSGVO-Bußgeld gegen OpenAI auf – Irische DPC übernimmt Zuständigkeit – Blocksize HR / AI Blog: ai.blocksize.hr/blog/de/… (öffnet in neuem Tab)