EU-Rat billigt Position zu KI-Erleichterungen: Fristen fuer Hochrisiko-Systeme sollen 2027 und 2028 greifen

Stand: 13. Maerz 2026

Der EU-Rat hat seine Position zu geplanten Erleichterungen im EU AI Act gebilligt. Im Kern geht es um eine politisch heikle, wirtschaftlich aber folgerichtige Verschiebung: Die Pflichten fuer eigenstaendige Hochrisiko-KI-Systeme sollen erst ab dem 2. Dezember 2027 greifen, waehrend fuer in regulierte Produkte eingebettete Hochrisiko-KI der Termin auf den 2. August 2028 gelegt werden soll, wie The Decoder berichtet und wie die EU ihre bisherige Taktung des AI Act grundsaetzlich selbst beschreibt auf der Seite der EU-Kommission. Fuer Unternehmen ist das relevant, weil sich damit zwar der unmittelbare Umsetzungsdruck bei besonders aufwendigen Compliance-Pflichten verringert, die Grundlogik des Gesetzes aber bestehen bleibt.

Diese Verschiebung ist mehr als ein technischer Zeitplan. Sie ist ein Eingestaendnis, dass ein anspruchsvolles Regelwerk allein noch keine funktionierende Regulierung ergibt. Beim AI Act haengt die praktische Durchsetzung an Normen, Aufsichtsstrukturen, Konformitaetsverfahren und belastbaren Leitlinien. Genau dort lagen zuletzt die groessten Luecken. Der Rat sendet deshalb ein Signal, das sich in zwei Richtungen lesen laesst: weniger Zeitdruck fuer Unternehmen, aber auch ein stilles Zugestaendnis, dass Europas KI-Regulierung in der Umsetzung schwieriger ist als in der politischen Architektur.

Das Wichtigste in Kuerze

• Der EU-Rat unterstuetzt eine Verschiebung der AI-Act-Pflichten fuer eigenstaendige Hochrisiko-KI-Systeme auf den 2. Dezember 2027, wie The Decoder und Ad Hoc News berichten.
• Fuer in regulierte Produkte integrierte Hochrisiko-KI soll die Frist auf den 2. August 2028 verschoben werden, ebenfalls laut The Decoder und Ad Hoc News.
• Unveraendert bleiben andere Stufen des AI Act: Verbote fuer KI mit unannehmbarem Risiko gelten seit Februar 2025, waehrend Regeln fuer General Purpose AI seit August 2025 beziehungsweise nach dem offiziellen Umsetzungsfahrplan relevant sind, wie der AI Act Service Desk der EU und die EU-Kommission darstellen.
• Der Aufschub ist Teil eines breiteren Omnibus beziehungsweise Vereinfachungspakets, das Regulierung praktikabler machen soll, nicht deren Grundlogik aufhebt, so The Decoder.
• Fuer Unternehmen bedeutet das vor allem mehr Vorbereitungszeit fuer Risikomanagement, Dokumentation, menschliche Aufsicht und Konformitaetsverfahren, waehrend Rechtsunsicherheit ueber Definitionen und Standards vorerst laenger bestehen bleibt, wie unter anderem Elsen GRC und ActiveMind ausfuehren.

Was der EU Rat genau beschlossen hat

Die aktuelle Entscheidung bedeutet noch nicht das letzte Wort im Gesetzgebungsprozess, sie markiert aber die offizielle Verhandlungsposition der Mitgliedstaaten. Laut The Decoder hat der Rat seine Position zu KI-Erleichterungen im Rahmen des sogenannten Omnibus-VII-Pakets gebilligt. Dieses Paket soll den digitalen Rechtsrahmen der EU vereinfachen und an der Stelle nachjustieren, an der politische Ambition und administrative Realitaet auseinanderlaufen.

Entscheidend sind die beiden neuen Daten. Eigenstaendige Hochrisiko-KI-Systeme, also Systeme aus Anhang III des AI Act, sollen erst am 2. Dezember 2027 voll unter die Pflichten fallen. Dazu zaehlen nach der Systematik des Gesetzes Anwendungen in Bereichen wie Personalentscheidungen, Kreditwuerdigkeit oder kritische Infrastrukturen, wie die EU-Kommission ihren Regulierungsrahmen fuer KI beschreibt. Fuer Hochrisiko-KI in regulierten Produkten, also vereinfacht gesagt KI, die in ohnehin streng regulierte Produktwelten eingebettet ist, soll der Termin auf den 2. August 2028 verschoben werden, wie The Decoder berichtet.

Damit wird aus einer urspruenglich deutlich strafferen Taktung ein laengerer Uebergang. Nach der Grundlogik des AI Act trat die Verordnung am 1. August 2024 in Kraft; fuer die Hochrisiko-Regeln war urspruenglich ein Start nach 24 Monaten, also im August 2026, vorgesehen, wie die EU-Kommission, die IHK Rheinhessen und der AI Act Service Desk den Zeitplan darstellen.

Warum ausgerechnet Hochrisiko KI mehr Zeit bekommt

Der entscheidende Punkt ist nicht, dass Europa ploetzlich weniger regulieren will. Der Punkt ist, dass Hochrisiko-KI der Teil des AI Act ist, der am tiefsten in reale Organisationen, technische Prozesse und Produkthaftung eingreift. Wer ein System in dieser Kategorie betreibt oder in Verkehr bringt, muss je nach Fall Risikomanagement, technische Dokumentation, Daten-Governance, menschliche Aufsicht, Protokollierung und Konformitaetsbewertungen umsetzen, wie die EU-Kommission den risikobasierten Ansatz und die Bundesnetzagentur die Zielrichtung der Regulierung beschreiben.

In der politischen Debatte klingt das oft nach Compliance im ueblichen Sinn. Praktisch ist es komplexer. Unternehmen brauchen nicht nur eine juristische Einordnung, sondern auch technische Standards, Formate fuer Dokumentation, Ansprechpartner bei Aufsichtsfragen und gegebenenfalls benannte Stellen oder andere Verfahren zur Konformitaetspruefung. Genau hier war der Vorwurf aus Wirtschaft, Verbaenden und Teilen der Mitgliedstaaten zuletzt konsistent: Die Pflichten ruecken naeher, waehrend die Umsetzungswerkzeuge noch nicht im gleichen Takt verfuegbar sind.

Elsen GRC formuliert das entsprechend als Versuch, Unternehmen, Behoerden und Aufsichtsstellen mehr Zeit fuer die technische und organisatorische Umsetzung zu geben. Auch ActiveMind verweist darauf, dass die Aenderungen vor allem dort ansetzen, wo Fristen und Realisierbarkeit auseinandergeraten. Der Aufschub ist damit keine Abkehr vom AI Act, sondern ein Reparaturversuch an dessen Zeitplanung.

Was am AI Act unveraendert bleibt

Wer aus der Verschiebung den Schluss zieht, der AI Act werde grundsaetzlich weichgespuelt, liest die Lage zu grob. Der risikobasierte Grundaufbau bleibt erhalten. Die EU unterscheidet weiterhin zwischen Anwendungen mit minimalem Risiko, begrenztem Risiko, Hochrisiko-Systemen und Praktiken mit unannehmbarem Risiko, wie die Kommission den Regulierungsrahmen erklaert.

Vor allem die bereits angelaufenen Teile des Gesetzes bleiben unberuehrt. Verbote fuer bestimmte Praktiken mit unannehmbarem Risiko gelten seit Februar 2025, wie der offizielle EU-Zeitplan zeigt. Auch die Regeln fuer General Purpose AI, also Modelle allgemeinen Verwendungszwecks, sind nicht einfach mit nach hinten geschoben worden. Vielmehr bleibt die Staffelung des Gesetzes bestehen, nur der anspruchsvollste und fuer viele Anwender operativ teuerste Block wird neu kalibriert.

Hinzu kommt, dass der Rat laut The Decoder sogar ein weiteres ausdrueckliches Verbot aufnehmen will: KI soll nicht fuer die Erzeugung nicht einvernehmlicher sexueller und intimer Inhalte oder von Material zu sexuellem Kindesmissbrauch eingesetzt werden duerfen. Politisch ist das ein wichtiges Detail. Es zeigt, dass Vereinfachung nicht automatisch Deregulierung bedeutet. An Stellen, an denen der Gesetzgeber klare Missbrauchsrisiken sieht, wird die Linie eher schaerfer als lockerer.

Welche Systeme jetzt spaeter reguliert werden

Die Fristverschiebung ist nur dann sinnvoll einzuordnen, wenn klar ist, worum es bei Hochrisiko-KI ueberhaupt geht. Der AI Act behandelt nicht jede leistungsstarke KI automatisch als Hochrisiko. Entscheidend ist der Einsatzkontext. Laut EU-Kommission und IHK Rheinhessen fallen darunter vor allem Systeme, die tief in sensible Entscheidungen oder regulierte Umgebungen eingreifen.

Bei Anhang III geht es typischerweise um eigenstaendige Systeme in Bereichen wie Personalwesen, Kreditvergabe, kritische Infrastruktur, Bildung, Strafverfolgung oder Zugang zu wesentlichen Dienstleistungen. Das sind genau jene Einsatzfelder, in denen KI nicht nur Texte erzeugt oder Bilder sortiert, sondern Zugangsentscheidungen trifft oder faktisch vorstrukturiert.

Bei Anhang I steht hingegen eingebettete KI im Vordergrund, also KI als Bestandteil eines bereits regulierten Produkts. Hier reicht eine pauschale Rede von KI im Produkt nicht aus; relevant ist die Einbettung in Produktwelten mit eigener Sicherheits- und Zulassungslogik. Dass die EU fuer diese Kategorie mit dem 2. August 2028 einen noch spaeteren Termin ansetzt, ist deshalb plausibel: Wo KI, Produktsicherheit und sektorales Fachrecht aufeinandertreffen, wird Compliance langsamer, teurer und technisch anspruchsvoller.

Warum die EU an ihrer eigenen Regulierung nachjustieren muss

Die politische Pointe liegt darin, dass die EU mit dem AI Act bewusst Vorreiter sein wollte. Gerade deshalb wiegt es schwer, wenn nun ausgerechnet die Umsetzungsseite stockt. Die Kommission hat den Rechtsrahmen frueh aufgebaut, doch harmonisierte Normen, Leitlinien, Sandboxes, Aufsichtskoordination und belastbare Praxishilfen folgen nicht immer in derselben Geschwindigkeit. Ad Hoc News verweist darauf, dass Bruessel die zentralen Fristen verschieben will, um eben dieses Auseinanderlaufen von Rechtsanspruch und Anwendungsrealitaet zu korrigieren.

Das ist nicht nur ein Verwaltungsproblem. Es beruehrt einen Grundkonflikt europaeischer Technologiepolitik. Europa will erstens frueh Standards setzen, zweitens Grundrechte schuetzen und drittens die eigene Wettbewerbsfaehigkeit nicht durch administrative Ueberforderung schwaechen. Solange diese drei Ziele parallel laufen, wirkt der AI Act strategisch. Sobald aber die Umsetzungsinfrastruktur hinterherhaengt, kippt das Projekt schnell in das Gegenteil dessen, was es eigentlich leisten soll: statt Rechtssicherheit entstuende Unsicherheit, statt verstaendlicher Regeln ein Flickenteppich aus offenen Fragen.

Marilena Raouna betonte laut The Decoder, dass die Vereinfachung der KI-Regeln fuer die digitale Souveraenitaet der EU entscheidend sei. Damit ist das politische Narrativ klar umrissen. Vereinfachung wird nicht als Rueckzug verkauft, sondern als Voraussetzung dafuer, dass Regulierung ueberhaupt wirksam sein kann.

Was die Verschiebung fuer Unternehmen konkret bedeutet

Fuer Unternehmen in Europa ist die Entscheidung vor allem eine Atempause. Das gilt besonders fuer Anbieter und Betreiber in Personalabteilungen, Finanzdienstleistungen, Infrastrukturbetrieb, Gesundheitsumfeldern oder industriellen Anwendungsfeldern. Dort laesst sich AI-Act-Compliance nicht mit einer Datenschutzerklaerung und einem internen Memo erledigen. Sie verlangt Prozesse, Verantwortlichkeiten und oft eine technische Neubewertung bestehender Systeme.

Nach Einschätzung von Elsen GRC verschafft der neue Zeitplan mehr Raum fuer technische und organisatorische Vorbereitung. In der Praxis heisst das: Unternehmen koennen ihre Systemlandschaft sauberer klassifizieren, Governance-Strukturen aufbauen, Dokumentationspflichten vorbereiten und die Verbindung zu anderen Regimen wie DSGVO, Produktsicherheitsrecht oder internen Auditprozessen frueher und kontrollierter herstellen.

Auch fuer kleine und mittlere Unternehmen ist die Verschiebung relevant, obwohl grosse Plattformen oft die Schlagzeilen dominieren. Laut The Decoder will der Rat Erleichterungen fuer KMU teils auch auf kleinere Mid-Caps ausweiten, etwa bei technischer Dokumentation und Registrierung. Das ist mehr als eine Randnotiz. Gerade in Europa sitzen viele spezialisierte Anbieter nicht in Konzernzentralen, sondern im gehobenen Mittelstand. Wenn diese Akteure regulatorisch ueberfordert werden, trifft das die Breite des Innovationssystems staerker als die grossen US-Plattformen.

Wo die Entlastung endet und die Unsicherheit beginnt

Der Aufschub reduziert kurzfristig den Druck, beseitigt aber nicht die Unsicherheit. Im Gegenteil: In einigen Punkten verlaengert er sie sogar. Unternehmen wissen nun eher, wann etwas gilt, aber nicht automatisch praeziser, wie es umzusetzen ist. Das betrifft insbesondere die Abgrenzung zwischen Hochrisiko-Systemen, allgemeinen KI-Modellen und bloss unterstuetzenden Funktionen sowie die Frage, welche Nachweise in der Praxis als ausreichend gelten.

Hinzu kommt ein typisches Problem europaeischer Digitalregulierung: Je spaeter Detailstandards vorliegen, desto groesser wird die Versuchung, bis kurz vor Fristablauf abzuwarten. Strategisch waere das ein Fehler. Denn der neue Zeitplan bietet keine Entwarnung, sondern nur mehr Vorlauf. Wer erst 2027 oder 2028 mit Klassifizierung, Dokumentation und interner Kontrolle beginnt, hat aus dem Aufschub den falschen Schluss gezogen.

ActiveMind und Personalwirtschaft machen deutlich, dass gerade HR-nahe KI-Anwendungen ein typisches Feld sind, in dem Unternehmen frueh pruefen muessen, ob ein System nur assistiert oder bereits in eine regulierte Hochrisiko-Logik faellt. Die Verschiebung schenkt also Zeit, aber sie belohnt nur diejenigen, die sie nutzen.

Warum die Staerkung des EU KI Bueros wichtig ist

Ein zweiter, oft uebersehener Aspekt der Ratsposition ist die Praezisierung der Zustaendigkeiten des EU-KI-Bueros. Laut The Decoder sollen dessen Aufgaben klarer gefasst werden.

Das ist regulatorisch bedeutsam, weil Europa zwei Risiken gleichzeitig vermeiden muss: erstens einen Vollzugsstillstand, weil niemand sich fuer zustaendig haelt, und zweitens einen national zersplitterten Vollzug, bei dem jedes Land den AI Act anders interpretiert. Ein staerkeres KI-Buero verspricht mehr Einheitlichkeit. Allerdings bedeutet Zentralisierung auch strengere und professionellere Aufsicht. Fuer Unternehmen ist das ambivalent: mehr Klarheit, aber vermutlich auch weniger Raum fuer kreative Eigeninterpretationen.

Gerade bei General Purpose AI und plattformnahen KI-Diensten duerfte dieser Aspekt an Gewicht gewinnen. Denn waehrend die Fristen fuer Hochrisiko-Systeme verschoben werden, bleibt der politische Druck auf grosse Modelle und marktpraegende Anbieter hoch. Die EU differenziert damit feiner: weniger operative Ueberforderung bei klassischen Hochrisiko-Anwendungen, aber kein Rueckzug bei der Aufsicht ueber besonders relevante KI-Infrastrukturen.

Was der Schritt ueber Europas Regulierungsstil verraet

Der Ratsbeschluss laesst sich auch als Korrektur eines typisch europaeischen Musters lesen. Die EU baut gern umfassende Rechtsrahmen, die normativ durchdacht sind und Grundrechte sichtbar absichern. Schwieriger wird es oft in der Phase danach: wenn Gesetze in betriebliche Wirklichkeit, technische Standards und Aufsichtspraxis uebersetzt werden muessen. Der AI Act ist dafuer ein besonders lehrreiches Beispiel, weil hier Hochtechnologie, Produktsicherheit, Datenschutz, Verwaltungsaufbau und Binnenmarktpolitik gleichzeitig beruehrt werden.

Dass der Rat nun auf realistischere Fristen setzt, ist deshalb kein Zeichen politischer Schwaeche. Es ist eher der Moment, in dem das Projekt von der symbolischen zur operativen Ebene wechselt. Solange Regulierung nur auf dem Papier ambitioniert ist, traegt sie sich politisch leicht. Erst die Frage, ob Unternehmen, Aufsichtsbehoerden und Zertifizierungsstrukturen den Kalender auch tatsaechlich einhalten koennen, trennt Anspruch von Regierungsfaehigkeit.

Fuer Europas Wettbewerbsfaehigkeit ist das zentral. Ein AI Act, der auf dem Papier hart, in der Praxis aber unklar ist, wuerde weder Innovation foerdern noch Vertrauen schaffen. Ein AI Act, der spaeter greift, dafuer aber verstaendlicher und belastbarer durchgesetzt werden kann, ist aus Sicht vieler Unternehmen die rationalere Variante. Genau darin liegt der industriepolitische Kern dieser Entscheidung.

Wie es jetzt weitergeht

Die Position des Rates ist noch nicht die letzte Fassung des Rechts. Als naechster Schritt folgen die Verhandlungen mit dem Europaeischen Parlament. Laut The Decoder geht es nun in den Trilog. Dort kann sich an Details noch etwas verschieben, auch wenn die politische Richtung inzwischen klar erkennbar ist: mehr Zeit fuer Hochrisiko-Compliance, mehr Entlastung fuer kleinere Unternehmen und gleichzeitig punktuelle Nachschaerfungen bei besonders sensiblen Missbrauchsformen.

Fuer Unternehmen und oeffentliche Stellen bedeutet das: Sie sollten die neuen Daten als wahrscheinliche Arbeitsgrundlage behandeln, ohne die formale Restunsicherheit zu ignorieren. Strategisch sinnvoll ist jetzt kein Abwarten, sondern ein gestuftes Vorgehen. Erstens Systeminventur: Welche KI-Systeme sind ueberhaupt im Einsatz? Zweitens Klassifizierung: Wo besteht realistischer Hochrisiko-Bezug? Drittens Governance: Welche Verantwortlichkeiten, Dokumentationspfade und Kontrollschritte fehlen noch? Viertens Beobachtung: Welche Leitlinien, Standards und Auslegungshilfen folgen aus EU und nationaler Aufsicht?

Fazit

Der EU-Rat hat mit seiner Position zu den KI-Erleichterungen keinen Kurswechsel beim AI Act eingeleitet, sondern eine faellige Korrektur an dessen Zeitplan vorgenommen. Dass die Pflichten fuer eigenstaendige Hochrisiko-KI nun auf den 2. Dezember 2027 und fuer eingebettete Hochrisiko-KI auf den 2. August 2028 rutschen sollen, ist vor allem ein Eingestaendnis regulatorischer Wirklichkeit. Europas KI-Regeln sind weitreichend, aber ihre Glaubwuerdigkeit haengt davon ab, ob sie auch umsetzbar sind.

Fuer Unternehmen ist das eine Entlastung, allerdings keine Schonfrist im bequemen Sinn. Wer den Aufschub als Einladung zum Nichtstun missversteht, wird spaeter denselben Druck nur mit kuerzerer Reaktionszeit wiedersehen. Politisch ist die Entwicklung dennoch bemerkenswert: Die EU verteidigt ihren risikobasierten Ansatz, justiert aber dort nach, wo Regulierung ohne Standards, Werkzeuge und Aufsichtspraxis in Leerlauf geraten wuerde. Genau daran wird sich entscheiden, ob der AI Act am Ende als Vorbild fuer praxistaugliche Technikregulierung gilt oder als Beispiel dafuer, wie gute Absichten an der Umsetzung scheitern.