EU AI Act & ISO 42001

Der EU AI Act (Verordnung (EU) 2024/1689) ist die erste umfassende KI-Regulierung weltweit. Seit dem 2. August 2026 gilt sie in weiten Teilen — auch wenn kurz zuvor die schärfsten Pflichten verschoben wurden. Für Unternehmen entsteht daraus eine unübersichtliche Lage: Manches gilt längst, anderes erst 2027 oder 2028, und dazwischen liegt ein Sicherheitsproblem, das mit der Verordnung gar nichts zu tun hat, aber dringender ist als sie.

Ein wichtiger Hinweis vorweg: IT-Wachdienst bietet keine Beratung im juristischen Sinn an. Wir unterstützen Sie bei der technischen Umsetzung der Anforderungen. Die Interpretation der hier zitierten Rechtstexte ist naheliegend, erhebt aber keinen Anspruch auf Vollständigkeit oder Korrektheit.

Wie wir arbeiten — und wo unsere Partner übernehmen

Wie bei NIS2 und beim Cyber Resilience Act trennen wir sauber.

Governance und Zertifizierung — Betroffenheitsanalyse, Einstufung Ihrer Systeme, Aufbau eines KI-Managementsystems nach ISO/IEC 42001, Dokumentation, Zertifizierungsbegleitung: Das ist Managementsystem-Arbeit, und dafür haben wir Partner im Netzwerk.

Technik und Sicherheit — Was setzen Sie tatsächlich ein? Wo fließen Daten ab? Hält die KI-gestützte Anwendung einem Angriff stand? Wissen Ihre Leute, was sie in ein Eingabefeld schreiben dürfen und was nicht? Das ist unsere Seite.

Was gilt und was verschoben wurde

Der Digital Omnibus (Verordnung (EU) 2026/1744) wurde am 24. Juli 2026 im Amtsblatt veröffentlicht und trat am 27. Juli in Kraft — sechs Tage vor der ursprünglichen Hochrisiko-Frist.

Die Verschiebung betrifft ausschließlich die Hochrisiko-Pflichten. Wer daraus schließt, der AI Act sei vertagt, liegt falsch.

Was das für ein mittelständisches Unternehmen heißt

Die meisten Betriebe in unserer Zielgruppe entwickeln keine Hochrisiko-KI. Sie verwenden KI — in Office-Werkzeugen, im Kundenservice, im Marketing, zunehmend in der Entwicklung. Daraus ergeben sich drei Punkte, die schon heute greifen:

• KI-Kompetenz (Artikel 4). Sie müssen Maßnahmen ergreifen, um die KI-Kompetenz Ihrer Mitarbeitenden zu fördern. Der Omnibus hat das von „sicherstellen" auf „fördern" abgeschwächt, gestrichen wurde es nicht. Die nationale Aufsicht läuft seit 3. August 2026. Ein vorgeschriebenes Zertifikat gibt es nicht — was zählt, ist, dass überhaupt etwas passiert ist und Sie es belegen können.
• Transparenz (Artikel 50). Wenn Menschen mit einem Chatbot sprechen, müssen sie das wissen. KI-generierte oder -veränderte Inhalte müssen als solche erkennbar sein.
• Verbotene Praktiken (Artikel 5). Etwa Emotionserkennung am Arbeitsplatz — ein Punkt, der bei Personalsoftware schneller relevant wird, als man denkt.

Und ein vierter, der oft übersehen wird: Anhang III umfasst KI im Personalwesen — Bewerbervorauswahl, Leistungsbewertung. Viele mittelständische Unternehmen setzen solche Funktionen bereits ein, ohne sie als Hochrisiko-KI wahrzunehmen. Die Frist dafür ist der 2. Dezember 2027 — und der ist näher, als er klingt.

Der blinde Fleck: Schatten-KI

Während alle über Fristen reden, entsteht das eigentliche Risiko im Alltag. Mitarbeitende nutzen KI-Werkzeuge, die niemand freigegeben hat: Ein Angebot wird zur Überarbeitung in einen kostenlosen Dienst kopiert, Quellcode in einen Chatbot, eine Kundenliste in ein Übersetzungswerkzeug.

Laut dem IBM Cost of a Data Breach Report 2026 stehen 43 Prozent aller Sicherheitsvorfälle mit ungesteuerter Schatten-KI in Verbindung — ein Jahr zuvor waren es 20 Prozent. Der Verizon DBIR 2026 beziffert den Anteil der Beschäftigten, die nicht freigegebene KI-Werkzeuge verwenden, auf 45 Prozent, verdreifacht binnen eines Jahres.

Das ist kein Regulierungsthema, sondern ein Sicherheitsthema — und es lässt sich angehen, ohne auf eine Frist zu warten. Der erste Schritt ist immer derselbe: herausfinden, was tatsächlich im Einsatz ist.

Welche unserer Leistungen hier greifen

• Angriffsoberflächen-Analyse — Bestandsaufnahme dessen, was von außen erreichbar ist, einschließlich exponierter KI-Schnittstellen und Dienste, die niemand auf dem Zettel hatte. Die Grundlage für jede ehrliche Inventarisierung.
• Penetrationstest — Prüfung Ihrer KI-gestützten Anwendungen aus Angreifer-Sicht: Lassen sich Eingaben so gestalten, dass das System Daten preisgibt oder Anweisungen befolgt, die nicht vorgesehen waren?
• Threat-Modeling-Prozess — Bedrohungsanalyse für KI-Komponenten schon im Entwurf, statt nachträglich. Das ist zugleich die technische Substanz, die ein Managementsystem nach ISO 42001 voraussetzt.
• IT-Sicherheits Training — Schulung Ihrer Entwickler und Mitarbeitenden. Trägt unmittelbar zur Bemühenspflicht nach Artikel 4 bei, auch wenn die Verordnung kein bestimmtes Format vorschreibt.
• Schwachstellen-Scan — laufende Prüfung der Infrastruktur, auf der Ihre KI-Anwendungen betrieben werden.

Warum die Verschiebung kein Grund zum Abwarten ist

Zwei Jahre klingen nach viel Zeit. In der Praxis sind sie es nicht, aus einem einfachen Grund: Die Hochrisiko-Pflichten verlangen eine dokumentierte Risikobewertung, Daten-Governance und technische Nachweise über Systeme, die heute schon produktiv laufen und laufend weiterentwickelt werden. Wer erst 2027 anfängt, muss rückwirkend belegen, was über zwei Jahre hinweg passiert ist.

Und unabhängig von jeder Frist bleibt der Befund derselbe: Die Schatten-KI im eigenen Haus richtet heute Schaden an, nicht im Dezember 2027.

Verwandte Regulierungsthemen

• NIS2 / NISG 2026 — für Betreiber in kritischen Sektoren, ab 1. Oktober 2026.
• Cyber Resilience Act (CRA) — wenn Sie Produkte mit digitalen Elementen herstellen. Enthält Ihr Produkt KI, greifen beide Verordnungen.
• IT-Sicherheit für kleine und mittlere Unternehmen — wie wir mit Betrieben Ihrer Größenordnung arbeiten.

Klären wir, wo Sie stehen

Im Erstgespräch sehen wir uns an, welche KI-Systeme bei Ihnen tatsächlich im Einsatz sind, welche Pflichten daraus folgen und was davon technisch zu lösen ist. Liegt der Schwerpunkt bei Ihnen auf Governance oder einer ISO-42001-Zertifizierung, vermitteln wir Sie an die passenden Kolleginnen und Kollegen aus unserem Netzwerk.

Vereinbaren Sie jetzt ein unverbindliches Erstgespräch!