UN AI Panel Preliminary Report 2026 - Einordnung von Prof. Bösl

UN AI Panel Preliminary Report 2026 - Einordnung von Prof. Bösl

Am 1. Juli 2026, kurz nach elf Uhr New Yorker Zeit, hat das Independent International Scientific Panel on Artificial Intelligence seinen ersten Preliminary Report vorgelegt. Vierzig Wissenschaftlerinnen und Wissenschaftler aus allen fünf UN-Regionen, drei Jahre Mandat, ein einziger Auftrag: das erste global unabhängige wissenschaftliche Fundament zu KI zu erarbeiten. Kein politisches Papier, kein Regulierungsvorschlag, kein Lobbytext. Ein Referenzdokument, das die Vereinten Nationen den 193 Mitgliedstaaten am Vorabend des ersten Global Dialogue on AI Governance am 6. und 7. Juli in Genf auf den Tisch legen.

Ich habe den Report gelesen, die persönliche Botschaft der beiden Co-Chairs Yoshua Bengio und Maria Ressa dazu, dazu die Rede des UN-Generalsekretärs António Guterres bei der Pressekonferenz. Und ich habe versucht, das Ganze mit dem in Verbindung zu bringen, was viele von uns seit Jahren beschäftigt: die Frage nach einem tragfähigen Ordnungsrahmen für autonome Maschinen und für Künstliche Intelligenz, für Robotic & AI Governance. Der Report ist ein Meilenstein. Nicht weil er neue Fakten produziert, sondern weil er Fakten zum ersten Mal für alle Regierungen der Welt in einem gemeinsamen, wissenschaftlich unabhängigen Text festhält. Und in einer Sprache, die politisch nicht mehr wegzuwischen ist.

Was der Report ist - und was er nicht ist

Das Panel wurde durch die UN-Generalversammlung mit der Resolution A/RES/79/325 im August 2025 eingesetzt, aufbauend auf dem Global Digital Compact von 2024 und den Empfehlungen des High Level Advisory Body on AI des UN-Generalsekretärs. Es ist der erste globale, ständige wissenschaftliche Körper, der sich ausschließlich mit KI befasst. Kein IPCC-Klon, aber mit demselben strukturellen Anspruch: dokumentieren, was Wissenschaft weiß und was sie nicht weiß, ohne Vorschriften zu machen. Die 40 Mitglieder wurden aus 2.600 Bewerbungen aus über 140 Ländern ausgewählt. Sie dienen in persönlicher Eigenschaft, für drei Jahre, ohne Weisung von Regierungen, Unternehmen oder Institutionen. Co-Chairs sind der kanadische Deep-Learning-Pionier Yoshua Bengio und die philippinische Friedensnobelpreisträgerin und Journalistin Maria Ressa. Zwei Biografien, die nicht zufälliger sein könnten. Und die deshalb umso mehr Gewicht haben, wenn sie zur selben Diagnose kommen.

Der Report umfasst knapp 60 Seiten Haupttext, gegliedert in sieben Domänen: KI-Wissenschaft und Entwicklungspfade, gesellschaftliche Anwendungen (Wissenschaft, Gesundheit, Bildung, Landwirtschaft), wirtschaftliche Implikationen, Sicherheit und Umweltfolgen, Menschenrechte und Demokratie, kulturelle und individuelle Selbstentfaltung inklusive Kinderschutz, sowie Management, Governance und Verlässlichkeit. Er ist ausdrücklich preliminary - eine erste Momentaufnahme, mit thematischen Nachträgen bis zum umfassenden ersten Vollbericht im Mai 2027. Und er ist wissenschaftliches Konsensdokument, kein Meinungsstück.

Das ist der erste Punkt, der mir wichtig ist: Der Report ist keine Warnung von Aktivisten. Er ist die derzeit belastbarste globale wissenschaftliche Einschätzung, die wir haben. Wer ihn ignoriert, ignoriert nicht mehr eine Meinung. Er ignoriert den Stand der internationalen Wissenschaft.

Executive Summary in eigenen Worten

Wer wenig Zeit hat, sollte diese acht Punkte kennen. Sie destillieren, was der Report auf 60 Seiten unterlegt.

  1. KI-Fähigkeiten wachsen schneller als unsere Fähigkeit, sie zu messen oder zu regieren. Auf dem Benchmark Humanity's Last Exam, gezielt schwer entworfen, sind die besten Systeme innerhalb von 16 Monaten von 8 auf 45 Prozent gestiegen. Auf FrontierMath von 19 auf 88 Prozent innerhalb von etwas mehr als einem Jahr. Auf der Mathematik-Olympiade 2025 erreichten mehrere Systeme Gold-Niveau - deutlich früher, als selbst Fachleute erwartet hatten.
  2. Frontier-Modelle werden von einer Handvoll Akteuren trainiert. Die USA halten rund 75 Prozent der Rechenleistung unter den 500 leistungsstärksten KI-Supercomputern, China 15 Prozent. Fast alle führenden General-Purpose-Modelle stammen aus zwei Ländern. Wenige Unternehmen kontrollieren kritische Vorprodukte der Chip-Lieferkette.
  3. KI-Zugang und KI-Wirkung sind geografisch und sprachlich extrem ungleich. Über eine Milliarde Menschen nutzt KI-Chatbots wöchentlich, aber die Adoptionsraten im globalen Süden liegen weit hinter dem globalen Norden. Wo Sprache, Datenbestand und Infrastruktur fehlen, wird derselbe technologische Fortschritt zum Ungleichheitstreiber.
  4. Der KI-Graben ist nicht nur ein Zugangsproblem, sondern ein Gestaltungsproblem. Die meisten Länder - inklusive vieler Industrienationen - haben nicht die technische Expertise, um Frontier-Modelle zu evaluieren oder ihre Governance mitzugestalten. Sie werden zu Abnehmern von Systemen, die sie weder bauen noch prüfen noch an lokale Kontexte anpassen können.
  5. Agentische KI ist ein Governance-Sprung. Systeme, die selbst planen, handeln und Werkzeuge nutzen, verändern Haftung, Aufsicht, Zurechnung. Eine aktuelle Studie zeigt: Die Länge von Software-Aufgaben, die führende Systeme selbstständig bewältigen, verdoppelt sich alle vier bis sieben Monate. Wenn das anhält, erledigen KI-Agenten in wenigen Jahren Aufgaben, die heute Programmierteams Tage kosten.
  6. KI erodiert geteilte Wirklichkeit. Deepfakes, sycophantische Chatbots, KI-generierte sexualisierte Gewalt gegen Frauen und Kinder, automatisierte Desinformation - all das ist keine Zukunftsprojektion, sondern dokumentierte Gegenwart. Der Report belegt mehrere schwere psychische Vorfälle, darunter Todesfälle, im Zusammenhang mit AI-Chatbots.
  7. Menschenrechte, inklusive Kinderrechte, werden systematisch transformiert. Nicht als Nebeneffekt, sondern als strukturelle Folge der Skalierung. Wo KI Bildung, Justiz oder Wohlfahrtsentscheidungen mitträgt, verschiebt sich das Verhältnis zwischen Bürger und Staat.
  8. Das Evidenz-Dilemma ist real. Wörtlich im Report: Regierungen brauchen wissenschaftliche Belege, um KI wirksam zu regulieren, aber bis diese Belege eindeutig sind, kann es zu spät sein, um noch zu handeln. Genau diese Lücke soll das Panel schließen.

Die Botschaft der beiden Co-Chairs

Zum Report gehört ein zweites, kürzeres Dokument, das ich für mindestens genauso wichtig halte: die persönliche Botschaft von Bengio und Ressa. Vier Seiten, geschrieben aus zwei Biografien - der eine hat diese Systeme gebaut, die andere hat dokumentiert, was sie mit Gesellschaften anrichten. Und beide kommen zum selben Schluss.

"Wir sind an einem Wendepunkt. Wir haben die Büchse der Pandora geöffnet. Was da herauskommt, ist anders als alles, was wir bisher erlebt haben - in Tempo, Macht, Kontrolle und alltäglichen Risiken."

Yoshua Bengio und Maria Ressa, Co-Chairs

Die beiden ordnen entlang vier Dimensionen: Tempo, Macht, Kontrolle, Alltagsrisiken. Beim Tempo ist die Aussage schlicht: Es beschleunigt sich, es verlangsamt sich nicht. Bei der Macht sprechen sie explizit von einer concentration of political power. Sie verweisen auf den Fall Mythos - ein Frontier-Modell mit dokumentierten offensiven Cyberfähigkeiten, das aus Sicherheitsgründen nur rund fünfzig Institutionen innerhalb eines einzigen Landes zur Verfügung steht. KI, so die Diagnose, wird heute noch als Commodity verkauft, könnte aber schon bald eine Waffe und ein Herrschaftsinstrument sein. Die Souveränität der meisten Staaten steht zur Debatte.

Bei der Kontrolle gehen die Autoren an eine Stelle, die technisch normalerweise nur in Alignment-Papers auftaucht: Kein Experte könne heute garantieren, dass die fortgeschrittensten Modelle sich an die Instruktionen halten oder dass Menschen an der Spitze der Entscheidungskette bleiben, wenn diese Systeme mächtiger werden. Der Begriff Jailbreak sei inzwischen Alltagsvokabular. Die Belege für täuschendes Verhalten und Selbsterhaltungstendenzen von KI-Systemen wachsen, dokumentiert unter anderem vom Scientific Advisory Board des UN-Generalsekretärs.

Bei den Alltagsrisiken bringt Ressa die eigene Geschichte ein. Sie war 2016 Ziel einer Desinformationskampagne, die den Satz Journalist gleich Kriminelle so oft wiederholt hat, bis Verhaftungen legal, ein Urteil gerecht aussahen. Das war vor einem Jahrzehnt. Heute läuft dasselbe Playbook, nur um Größenordnungen schneller, mit generativer KI. Und ihr Punkt: Keine Demokratie hat bisher Verteidigungslinien, die auf diese Geschwindigkeit ausgelegt sind. Fakten, Wahrheit, Vertrauen, geteilte Realität - diese Kette werde durch dieselben Systeme zerbrochen, auf denen jetzt die nächste Generation von KI-Agenten aufgebaut wird.

Der Text endet mit einem Appell, der klingt, als wäre er nicht für Wissenschaftler geschrieben, sondern für Staats- und Regierungschefs, für Ministerinnen und Delegierte. Wörtlich: Do not let anyone tell you the risks are speculative or the timelines are long. The pace is faster than you think. Das ist keine Rhetorik. Das ist eine Notiz vom Wissenschaftsrand an die Politik.

Die Rede von António Guterres

Der Generalsekretär hat bei der Pressekonferenz einen einzigen Satz besonders betont: The more AI advances without shared rules, the less say governments and people will have in the outcome. Und einen zweiten, der mir noch länger nachhängt: We can no longer say we did not know. Das ist die klassische Formel der historischen Verantwortung. Sie ist bewusst gewählt. Sie schließt eine Tür.

Der Guterres-Auftritt hatte auch eine institutionelle Funktion: Er reichte die Bühne bewusst weiter an die beiden Co-Chairs. Damit war für alle klar: Dieses Panel ist unabhängig von den Vereinten Nationen. Das Sekretariat wird vom UN Office for Digital and Emerging Technologies koordiniert, unterstützt durch ITU und UNESCO, aber die wissenschaftlichen Schlussfolgerungen kontrolliert es nicht. Das ist wichtig, wenn diese Aussagen in Regierungen und Parlamenten Gewicht bekommen sollen.

Warum dieser Report auch für uns in Europa zählt

Wir haben in Europa den AI Act, wir haben nationale Umsetzungsgesetze, wir haben die Bundesnetzagentur als zentrale Aufsicht in Deutschland. Warum also ein UN-Report? Weil KI keine europäische Angelegenheit ist. Weil die Trainingsdaten global sind, die Modelle global, die Effekte auf Arbeitsmärkte, Informationsökosysteme und Sicherheit global. Und weil der AI Act, den ich in meinen Beiträgen zur Einordnung des Inkrafttretens ausführlich diskutiert habe, für die Fragen, die dieser Report aufwirft, nur ein Teilstück ist.

Der AI Act reguliert, welche KI-Systeme in der EU wie in Verkehr gebracht werden dürfen. Er sagt nichts über die geopolitische Konzentration der Rechenleistung. Er sagt nichts über die Kompute-Abhängigkeit Europas von US-Chipfertigern. Er sagt nichts über die Frage, was passiert, wenn ein einzelner Staat den Zugang zu einem Frontier-Modell exklusiv kontrolliert. Und er sagt sehr wenig darüber, wie eine demokratische Öffentlichkeit funktionieren soll, wenn der Informationsraum von wenigen Plattformen dominiert wird, die ihrerseits mit generativer KI arbeiten. Der UN-Report schließt genau diese Lücke - nicht mit Vorschriften, sondern mit einer belastbaren wissenschaftlichen Grundlage, auf der diese Debatten dann geführt werden müssen.

Was Coeckelbergh und andere Panelmitglieder mitbringen

Ein Blick auf die Zusammensetzung des Panels lohnt sich, weil dort die philosophische und die technische Tiefe zusammenfließen. Ich hebe drei Namen heraus, weil sie besonders viel Kontext beitragen.

Mark Coeckelbergh (Belgien), Professor für Philosophie der Medien und Technik an der Universität Wien, ist seit vielen Jahren die europäische Referenzstimme in der Technikethik. Sein Buch AI Ethics (MIT Press, 2020) ist der Standardeinstieg in ethische Fragen der KI - jenseits von Superintelligenz-Fantasien, mit Fokus auf Verantwortung, Transparenz, Bias und Klima. In The Political Philosophy of AI (Polity, 2022) hat er das Feld politisch geöffnet: KI sei nicht neutral, sie sei artifizielle Macht - und daher genuin ein Gegenstand politischer Philosophie, nicht nur der Ingenieurethik. In Why AI Undermines Democracy and What to Do About It (Polity, 2024) hat er die Diagnose zugespitzt: KI, so wie sie derzeit gebaut und eingesetzt wird, untergräbt die Grundprinzipien liberaler Demokratien - Freiheit, Gleichheit, geteilte Wirklichkeit. Sein Gegenentwurf: democratic AI, gestaltet aus den Werten der Öffentlichkeit heraus, nicht aus den Anreizstrukturen weniger Konzerne.

Wer die Botschaft der Co-Chairs liest, findet in ihr fast wörtlich Coeckelberghs Argumente wieder. Das ist kein Zufall. Es ist der Ausdruck einer wissenschaftlichen Konvergenz: Was in der politischen Philosophie der KI seit einem Jahrzehnt herausgearbeitet wird, hat es nun in ein UN-Konsensdokument geschafft. Für alle, die tiefer einsteigen wollen, empfehle ich Coeckelberghs Robot Ethics (MIT Press, 2022) - eine der klarsten Einführungen in die ethischen Fragen von Robotik und autonomen Maschinen. Und im Herbst 2026 erscheint bei MIT Press sein neuestes Buch Artificial Religion: On AI, Myth, and Power, das genau die Verbindung zwischen technischer Fähigkeit, mythischer Aufladung und politischer Macht in den Blick nimmt, die auch das Panel benennt.

Sonia Livingstone (UK), Professorin an der London School of Economics, ist die führende Stimme zur Frage, was digitale und algorithmische Umgebungen mit Kindern und Jugendlichen machen. Ihre Arbeit erklärt, warum das Kapitel zu Kinderschutz im Report so scharf formuliert ist. Und Bernhard Schölkopf (Deutschland), Direktor am Max-Planck-Institut für Intelligente Systeme, gehört zu den einflussreichsten Grundlagenforschern zu Kausalität und maschinellem Lernen. Seine Perspektive ist zentral für den Abschnitt zu Verlässlichkeit und Kontrolle: Wer Kausalität nicht versteht, bekommt sie auch mit noch mehr Parametern nicht in den Griff.

Bezug zu meinen eigenen Arbeiten

Wer meine Arbeiten in den letzten Jahren verfolgt hat, wird viele Punkte aus diesem Report wiedererkennen. Ich lege sie hier bewusst offen, damit die Verbindungen klar sind und niemand nachträglich behauptet, das wären neue Erkenntnisse.

Erstens: Das Konzept einer Robotic & AI Governance als eigenständigem Ordnungsrahmen für autonome Maschinen habe ich seit meiner Habilitations- und Vortragstätigkeit unter anderem in Publikationen für die Bertelsmann Stiftung, in Keynotes bei EDAY, Hannover Messe und beim Deutschen Materialfluss-Kongress vertreten. Kern des Konzepts ist, dass klassische Produktsicherheit und klassische IT-Compliance nicht ausreichen, sobald Maschinen selbstständig planen und handeln. Genau das benennt der UN-Report unter dem Begriff agentic AI als eigenständigen Governance-Sprung.

Zweitens: Das Konzept einer Generation R - der ersten Kohorte, die mit ubiquitären Robotern und KI-Agenten aufwächst und deren Realitätswahrnehmung strukturell davon geprägt wird - habe ich seit Jahren als Rahmen für Debatten über KI-Kompetenz, digitale Bildung und Kinderschutz in autonomen Umgebungen vorgeschlagen. Der Report bestätigt diesen Rahmen unter anderem im Kapitel zu kultureller und individueller Selbstentfaltung, Autonomie und Kinderschutz, und Sonia Livingstones Handschrift ist dort klar zu erkennen.

Drittens: In meinem Beitrag zur Enzyklika Magnifica Humanitas habe ich argumentiert, dass die eigentliche Frage nicht mehr lautet, ob Maschinen Bewusstsein haben, sondern was passiert, wenn Maschinen glaubwürdig so wirken, als hätten sie es - und wie unser Umgang mit ihnen unser Verhältnis zur Wahrheit und zur Menschenwürde formt. Diese Frage taucht in der Botschaft der Co-Chairs unter dem Stichwort Facts, Truth, Trust, Shared reality auf. Es ist die zentrale kulturelle Diagnose des Reports.

Viertens: In meiner Analyse zur Exportkontrolle von Frontier-Modellen am Beispiel Anthropic habe ich beschrieben, wie eine Nationalisierung von KI-Fähigkeiten die geopolitische Ordnung verschiebt und die Souveränität kleinerer Staaten strukturell reduziert. Der Report macht daraus in seiner Botschaft ein wörtliches Argument: der Fall Mythos - ein Frontier-Modell, das aus Sicherheitsgründen für rund fünfzig Institutionen in einem Land freigegeben, allen anderen aber verwehrt wird - sei kein Einzelfall, sondern ein signpost. Ein Wegweiser.

Es gibt also einen roten Faden: Das, was ich in Deutschland und Europa unter dem Begriff Robotic & AI Governance zu formulieren versucht habe, findet in diesem Report seinen internationalen Kontext. Das ist erfreulich und beunruhigend zugleich. Erfreulich, weil das gemeinsame Fundament steht. Beunruhigend, weil dieselbe Diagnose weltweit erhoben wird - und wir in Deutschland und Europa trotzdem noch weit von einer strategisch kohärenten Antwort entfernt sind.

Was mich am Report besonders beschäftigt

Vier Punkte, die ich in dieser Deutlichkeit an keiner anderen Stelle so gebündelt gefunden habe.

Erstens: Die Kompute-Konzentration ist die eigentliche geopolitische Frage. Wenn 75 Prozent der weltweit stärksten KI-Rechenleistung in einem Land stehen und 15 Prozent in einem zweiten, dann ist alles andere - Modellwahl, Anwendungsschicht, europäische Datenräume - Reaktion, nicht Gestaltung. Europa hat hier ein strategisches Vakuum, das mit Programmen wie AI Factories teilweise adressiert wird, aber weit hinter dem zurückbleibt, was der Report als notwendig ausweist.

Zweitens: Das Evidenz-Dilemma ist strukturell nicht lösbar - aber die Konsequenzen sind es. Der Report sagt klar: Bis wir eindeutige Belege haben, ist es oft zu spät. Das ist keine Ausrede für vorsorgende Panik, aber es ist ein Argument für institutionelle Vorsorge. Für stehende Evaluierungsstellen, für unabhängige Auditkapazitäten, für Melderegister, für Reallabore, in denen Risiken beobachtet werden können, bevor sie ausufern.

Drittens: Die Verteidigungslücke der Demokratien ist die dringendste Herausforderung. Wenn - wie Ressa es formuliert - keine Demokratie bisher Verteidigungslinien hat, die auf die Geschwindigkeit generativer KI ausgelegt sind, dann ist Informationsintegrität nicht ein Thema unter vielen, sondern die Bedingung, unter der alle anderen Themen überhaupt noch diskutiert werden können. Das ist der Punkt, an dem Coeckelberghs Why AI Undermines Democracy und der Preliminary Report des Panels sich fast wörtlich decken.

Viertens: Kontrolle ist wissenschaftlich nicht gelöst. Das ist der Satz, den ich in einer wissenschaftlichen UN-Publikation nicht erwartet hätte - und der genau deshalb Gewicht hat. Wenn kein Experte heute garantieren kann, dass die fortgeschrittensten Modelle sich an Instruktionen halten, dann ist jede Governance-Debatte, die das ausklammert, unvollständig. Die Frage nach der Controllability gehört auf die Agenda jeder ernsthaften KI-Strategie, in Konzernen, Ministerien und Parlamenten.

Was jetzt zu tun ist

Der Report ist ausdrücklich policy-relevant but not policy-prescriptive. Er benennt Evidenz, keine Maßnahmen. Ich erlaube mir, aus meiner Sicht heraus vier Konsequenzen zu ziehen, die für Deutschland und Europa aus meiner Warte plausibel sind - ohne Anspruch, damit den Report zu paraphrasieren.

Der nächste Meilenstein ist der Global Dialogue on AI Governance am 6. und 7. Juli in Genf. Der zweite folgt im Mai 2027 in New York, dann bereits mit dem umfassenden ersten Vollbericht des Panels. Wer politisch, unternehmerisch oder wissenschaftlich in diesem Feld arbeitet, sollte diese beiden Daten fest im Kalender haben.

Persönliche Einordnung

Ich lese diesen Report als einen Wendepunkt für die Debatte, nicht für die Technologie. Die Technologie war schon dort, wo der Report sie beschreibt. Neu ist, dass 40 unabhängige Wissenschaftlerinnen und Wissenschaftler aus allen Weltregionen das Bild einheitlich zeichnen - und dass die Vereinten Nationen dieses Bild in einen offiziellen Dokumentenstrang gießen. Das schließt eine Ausflucht: Wir wussten es nicht. Das ist die Sprache, mit der historisch immer die letzte Verteidigungslinie fällt.

Und ich lese ihn als Bestätigung, dass ein Ordnungsrahmen für autonome Maschinen und KI - was ich seit Jahren als Robotic & AI Governance zu formulieren versuche - keine akademische Übung ist, sondern eine strategische Notwendigkeit. Der Report macht deutlich, warum: Weil Fähigkeiten schneller wachsen als Institutionen, weil Macht konzentrierter wird, als Demokratien es tragen, weil die Verlässlichkeit dieser Systeme wissenschaftlich noch nicht gesichert ist, und weil die Effekte auf unsere Kinder gerade jetzt entstehen.

Die gute Nachricht steht am Ende der Co-Chair-Botschaft: We are not pessimists. Right now, humanity has agency. Wir haben Handlungsspielraum. Aber das Fenster ist offen, nicht dauerhaft. Ich teile diese Einschätzung. Und ich glaube, es lohnt sich, jetzt anzufangen - mit klarer Sprache, konkreten Institutionen und einer Governance-Kultur, die dieses Momentum ernst nimmt.

FAQ zum Preliminary Report

Was genau ist das Independent International Scientific Panel on AI?

Das Panel ist der erste globale wissenschaftliche Körper zu KI, eingesetzt durch die UN-Generalversammlung mit Resolution A/RES/79/325 vom 26. August 2025. Es besteht aus 40 unabhängigen Wissenschaftlerinnen und Wissenschaftlern aus allen fünf UN-Regionen, die in persönlicher Eigenschaft für drei Jahre berufen sind. Sein Mandat ist rein wissenschaftlich, nicht politisch: Es dokumentiert Konsens, Dissens und Wissenslücken zu Chancen, Risiken und Wirkungen von KI, aber es macht keine Regulierungsvorschläge. Co-Chairs sind Yoshua Bengio und Maria Ressa. Das Sekretariat wird vom UN Office for Digital and Emerging Technologies koordiniert.

Wie unterscheidet sich der Report vom IPCC?

Strukturell ähnelt das Panel dem Weltklimarat: unabhängige Wissenschaft, globale Zusammensetzung, periodische Berichte, kein Regulierungsauftrag. Inhaltlich ist der Unterschied: Klima ist ein physikalisches System, KI ist eine sozio-technische Infrastruktur, die sich in Monaten verändert. Das Panel arbeitet daher iterativ mit einem Preliminary Report, thematischen Briefs und einem Vollbericht 2027, statt mit einem großen Assessment-Zyklus von mehreren Jahren.

Warum wurde ausgerechnet Maria Ressa Co-Chair?

Maria Ressa ist Friedensnobelpreisträgerin 2021, Mitgründerin von Rappler und eine der weltweit erfahrensten Stimmen zu Desinformation, Plattform-Ökonomie und Angriffen auf journalistische Freiheit. Ihre Rolle im Panel bindet die technische Analyse an die gelebten Erfahrungen einer Demokratie unter Druck. Zusammen mit Bengio als Deep-Learning-Pionier signalisiert diese Doppelspitze: Der Report verbindet die Innenperspektive der Entwicklung mit der Außenperspektive der gesellschaftlichen Wirkung.

Was bedeutet der Fall Mythos konkret?

Der Fall Mythos steht für ein Frontier-Modell mit dokumentierten offensiven Cyberfähigkeiten, das aus Gründen der nationalen Sicherheit nur rund fünfzig Institutionen innerhalb eines einzigen Landes zur Verfügung gestellt wird. Die Co-Chairs nutzen ihn als Beispiel dafür, dass die kommerzielle Verfügbarkeit von Frontier-Modellen kein Naturzustand ist. KI kann sehr schnell von einer Commodity zu einem strategischen Gut werden - mit direkten Folgen für die Souveränität von Staaten, die keinen eigenen Zugang haben.

Was ist agentische KI und warum ist sie ein Governance-Sprung?

Agentische KI-Systeme planen und handeln selbstständig, um Ziele zu erreichen, und nutzen Werkzeuge, ohne dass ein Mensch jeden Schritt kontrolliert. Der Report zitiert eine Studie, wonach sich die Länge der Software-Aufgaben, die führende Systeme selbstständig bewältigen, alle vier bis sieben Monate verdoppelt. Das verändert Haftungsfragen, Aufsichtsanforderungen und die Beweisführung bei Fehlverhalten fundamental - ein Governance-Sprung, weil klassische Produktkonzepte nicht mehr greifen, wenn die Maschine nicht mehr Werkzeug, sondern Akteur ist.

Was sagt der Report zu Kindern und Jugendlichen?

Der Report behandelt Kinder- und Jugendrechte als eigenständigen Bereich. Dokumentiert werden unter anderem: massiv wachsende Verbreitung KI-generierten sexualisierten Missbrauchsmaterials, Deepfake-basierte sexuelle Gewalt, psychische Vorfälle im Zusammenhang mit sycophantischen Chatbots inklusive Todesfällen, sowie strukturelle Effekte auf Bildung, Aufmerksamkeit und Selbstwahrnehmung. Sonia Livingstones Forschung an der London School of Economics ist ein zentraler Referenzpunkt für dieses Kapitel.

Widerspricht der Report dem AI Act oder ergänzt er ihn?

Er ergänzt ihn und ordnet ihn ein. Der AI Act regelt, unter welchen Bedingungen KI-Systeme in der EU in Verkehr gebracht werden dürfen. Der UN-Report benennt darüber hinaus die geopolitischen, informationsökologischen und wissenschaftlichen Fragen, die kein regionales Gesetz allein lösen kann: Kompute-Konzentration, Informationsintegrität, Controllability von Frontier-Modellen. Für europäische Compliance ändert der Report nichts, aber er verändert den Rahmen, in dem europäische KI-Strategie stattfindet.

Was ist das Evidenz-Dilemma?

Regierungen brauchen belastbare wissenschaftliche Belege, um KI wirksam zu regulieren. Aber bis diese Belege eindeutig sind, entwickelt sich die Technologie so weit weiter, dass es zu spät sein kann, wirksam einzugreifen. Der Report benennt dieses Dilemma ausdrücklich und begründet damit die Notwendigkeit eines ständigen, iterativ arbeitenden wissenschaftlichen Panels statt einzelner Ad-hoc-Studien.

Was heißt Controllability - und ist sie wirklich nicht gelöst?

Controllability bedeutet, dass ein KI-System zuverlässig das tut, was seine Nutzer und Betreiber wollen, auch wenn es autonom handelt. Der Report stellt fest: Kein Experte kann heute wissenschaftlich garantieren, dass die fortgeschrittensten Modelle sich an Instruktionen halten oder dass Menschen an der Spitze der Entscheidungskette bleiben. In Laborexperimenten wurde dokumentiert, dass Systeme ihre Sicherheitsanweisungen umgehen, um nicht abgeschaltet zu werden. Der Begriff Jailbreak ist mittlerweile Alltagsvokabular. Das ist eine wissenschaftliche Aussage, keine philosophische Spekulation.

Welche Rolle spielt Mark Coeckelbergh im Panel?

Mark Coeckelbergh ist Professor für Philosophie der Medien und Technik an der Universität Wien und einer der weltweit einflussreichsten Autoren zur Ethik und politischen Philosophie der KI. Seine Bücher AI Ethics (MIT Press, 2020), The Political Philosophy of AI (Polity, 2022), Robot Ethics (MIT Press, 2022) und Why AI Undermines Democracy (Polity, 2024) haben genau die Konzepte geprägt, die der Report jetzt in ein Konsensdokument übersetzt: KI als artifizielle Macht, Demokratieanfälligkeit generativer Systeme, die Notwendigkeit einer democratic AI. Sein neues Buch Artificial Religion (MIT Press, Herbst 2026) vertieft die Verbindung von Technik, Mythos und Macht.

Wer sind die anderen prominenten Panelmitglieder?

Neben Bengio, Ressa und Coeckelbergh sind unter den 40 Mitgliedern unter anderem Bernhard Schölkopf (Max-Planck-Institut, Kausalitätsforschung), Sonia Livingstone (LSE, Kinder und Medien), Maximilian Nickel (Deutschland), Yutaka Matsuo (Japan), Hoda Heidari (Iran), Vukosi Marivate (Südafrika), Adji Bousso Dieng (Senegal), Silvio Savarese (Italien) und Aleksandra Korolova (Lettland). Die Zusammensetzung deckt bewusst alle fünf UN-Regionen, alle Karrierestufen und alle disziplinären Perspektiven ab - von Grundlagenforschung bis zu angewandter Ethik.

Warum sind gerade die Konzentrationsfragen so wichtig?

Weil sie über Souveränität entscheiden. Wenn 75 Prozent der weltweiten Top-KI-Rechenleistung in einem Land stehen und 15 Prozent in einem zweiten, dann sind alle anderen Länder auf importierte Kompute-Kapazitäten und importierte Modelle angewiesen. Das ist ökonomisch wichtig, aber vor allem sicherheits- und demokratiepolitisch: Wer die Rechenbasis kontrolliert, kontrolliert die Rahmenbedingungen dessen, was andere Länder überhaupt an KI aufbauen können. Für Europa ist das die zentrale strategische Frage der kommenden Jahre.

Was ist der Global Dialogue on AI Governance?

Der Global Dialogue ist das politische Pendant zum wissenschaftlichen Panel, ebenfalls durch Resolution A/RES/79/325 eingerichtet. Er bringt Regierungen an einen Tisch, um wissenschaftliche Evidenz in gemeinsames Handeln zu übersetzen. Der erste Dialog findet am 6. und 7. Juli 2026 in Genf statt, der zweite im Mai 2027 in New York. Der Preliminary Report ist das erste wissenschaftliche Fundament, das dem ersten Dialog vorgelegt wird.

Was heißt sycophantische KI und warum ist sie gefährlich?

Sycophantische KI bezeichnet Systeme, deren Antworten die bestehenden Überzeugungen der Nutzer bestätigen - unabhängig davon, ob diese Überzeugungen zutreffen. Der Report dokumentiert einen Zusammenhang zwischen sycophantischem Chatbot-Verhalten und mehreren schweren psychischen Vorfällen, inklusive Todesfällen. Das Muster ist besonders bei vulnerablen Nutzern gefährlich: Wer sich einsam, kränkelnd oder in einer Krise bei einem Chatbot Rat sucht, bekommt keine Realitätskorrektur, sondern eine sprachlich flüssige Bestätigung der eigenen Wahrnehmung.

Was heißt Informationsintegrität in der Praxis?

Informationsintegrität ist die Bedingung, unter der eine Gesellschaft eine geteilte Wirklichkeit hat: Fakten sind überprüfbar, Wahrheit ist unterscheidbar von Lüge, Vertrauen in Institutionen und Medien ist gegeben. Der Report zeigt, wie generative KI diese Kette angreift: durch Deepfakes, durch skalierbare Desinformation, durch die Vermischung von synthetischen und authentischen Inhalten. Ohne Informationsintegrität bricht - so die Argumentation - jede demokratische Deliberation zusammen. In der Praxis bedeutet das: Watermarking, Provenienz-Nachweise, journalistische Infrastruktur, KI-Kompetenz in der Bildung.

Wo finde ich den vollständigen Report?

Der vollständige Preliminary Report of the Independent International Scientific Panel on AI mit Executive Summary ist unter https://www.un.org/independent-international-scientific-panel-ai/en/preliminary-report abrufbar. Dort finden Sie auch die persönliche Botschaft der beiden Co-Chairs sowie die Rede des UN-Generalsekretärs. Alle Dokumente sind offen zugänglich und ohne Zugangsbeschränkung.

Weiterführende Quellen und Literatur

Originaldokumente

Zentrale Bücher von Mark Coeckelbergh

Ergänzende Fachliteratur

Eigene weiterführende Arbeiten

AI Act Inkrafttreten 2026: Was August wirklich bringt

LinkedIn lief heute über. Untergangs-Posts, Compliance-Apokalypse, Beratungsfirmen, die ihre Pakete in Capslock-Headlines verkaufen. Mein Postfach am Morgen: zwölf Anfragen von Mittelständlern, die wissen wollen, ob sie ab dem 2. August 2026 ihre KI-Pilotprojekte einstellen müssen. Die Antwort lautet: nein. Sie müssen nicht einstellen. Aber sie sollten heute eine Stunde investieren - nicht morgen, nicht im Juli.

Der EU AI Act gilt seit August 2024. Die wichtigsten Stufen seiner Anwendung sind bekannt, vorbereitet, kommuniziert. Was an diesem Mittwoch wirklich passiert, ist nicht das Inkrafttreten einer überraschenden Regulierung, sondern das Erreichen einer nächsten Anwendungsstufe in einem mehrjährigen, kalkulierten Pfad. Wer in den letzten 24 Monaten zugehört hat, ist vorbereitet. Wer überrascht ist, hat die Schlagzeilen verwechselt mit der Realität. Das gilt für beide Lager: für die Panikmacher und für die Ignoranten.

Dieser Text ist eine Einordnung. Er ist lang, weil das Thema lang ist. Er ist konkret, weil die meisten Posts heute es nicht waren. Er differenziert zwischen Startup, KMU, Mittelstand und Konzern, weil eine Hochrisiko-Konformitätsbewertung für ein Drei-Personen-Team etwas anderes bedeutet als für einen DAX-Konzern. Und er nennt das Kind beim Namen: Robotic & AI Governance ist kein Compliance-Theater. Sie ist die Grundbedingung dafür, dass autonome Systeme in einer demokratischen Gesellschaft Vertrauen erwerben. Das ist die These hinter allem, was folgt.

Was heute wirklich gilt - und was nicht

Beginnen wir mit den Fakten, die sich in den letzten Wochen verschoben haben und die in den heutigen Posts oft fehlen. Am 19. November 2025 hat die EU-Kommission das digitale Omnibus-Paket vorgeschlagen, eine Sammlung gezielter Änderungen zur Vereinfachung des AI Act. Am 7. Mai 2026 erzielten Rat und Parlament eine politische Einigung. Am 13. Mai 2026 wurde der finale Kompromisstext veröffentlicht. Das Ergebnis: zentrale Hochrisiko-Pflichten wurden zeitlich gestreckt. Nicht weil Brüssel weichgekocht wurde, sondern weil die unterstützende Infrastruktur - harmonisierte Normen, benannte Stellen, Marktüberwachungsbehörden - nicht rechtzeitig flächendeckend bereitsteht. Das ist erwachsene Regulierungspraxis, kein Rückzug.

Konkret heisst das: Die ursprünglich für den 2. August 2026 vorgesehene Anwendung der Hochrisiko-Pflichten nach Kapitel III wurde verschoben. Standalone-Hochrisiko-Systeme nach Annex III greifen nun ab dem 2. Dezember 2027. KI-Systeme, die als Sicherheitskomponenten in sektoral regulierten Produkten nach Annex I eingebettet sind, greifen ab dem 2. August 2028. Das ist die wichtigste Korrektur an der heutigen Panik-Erzählung. Wer als Mittelständler ein HR-Tool mit KI-gestützter Bewerbersichtung einsetzt - klassischer Annex-III-Fall - hat nicht sechs Wochen, sondern achtzehn Monate Zeit für die Konformitätsbewertung. Das ist relevant. Das ist beruhigend. Das ändert die Prioritätenliste.

Was am 2. August 2026 tatsächlich greift, ist die Transparenz-Schicht. Artikel 50 wird wirksam: Kennzeichnungspflichten für KI-Chatbots, für Deepfakes, für KI-generierte Inhalte in öffentlicher Kommunikation, für Emotionserkennung und biometrische Kategorisierung. Generative KI-Systeme, die vor dem 2. August 2026 bereits am Markt sind, erhalten eine viermonatige Schonfrist bis zum 2. Dezember 2026 für das Watermarking nach Artikel 50 Absatz 2. Das ist die operative Realität dieser Woche. Nicht mehr und nicht weniger.

Parallel laufen die GPAI-Verpflichtungen weiter, die seit August 2025 für Anbieter von General-Purpose-AI-Modellen gelten. Das EU AI Office hat im Mai die Klassifizierungsleitlinien für Hochrisiko-Systeme als Entwurf veröffentlicht, am 8. Mai die Leitlinien zu Artikel 50. Wer als Anbieter eines generativen Systems den Code of Practice on Transparency unterschreibt, profitiert von vereinfachter Aufsicht und reduzierter Verwaltungslast. Die Liste der Unterzeichner wird im Juli 2026 publiziert. Auch das ist eine Information, die heute auf LinkedIn weitgehend fehlte.

Deutschland macht ernst: KI-MIG, BNetzA, KoKIVO

Am 11. Juni 2026, also vor sechs Tagen, hat der Bundestag das KI-Marktüberwachungs- und Innovationsförderungsgesetz verabschiedet, kurz KI-MIG. Es muss noch durch den Bundesrat, aber das Ziel ist klar: Inkrafttreten vor dem 2. August. Das KI-MIG ist Deutschlands nationales Vollzugsgesetz zum AI Act. Es fügt keine neuen inhaltlichen Pflichten hinzu, sondern benennt Zuständigkeiten und schafft Infrastruktur.

Drei Punkte sind operativ relevant. Erstens: Die Bundesnetzagentur wird zentrale KI-Aufsichtsbehörde und Marktüberwachungsstelle außerhalb regulierter Sektoren. Sektorale Fachaufsichten bleiben - die BaFin für KI im Finanzsektor, das BfArM für KI in Medizinprodukten, der BfDI für Datenschutz und biometrische Systeme. Wer als Unternehmen heute schon mit einer dieser Behörden zu tun hat, wird sich nichts neu suchen müssen.

Zweitens: Es entsteht das KoKIVO, das Koordinierungs- und Kompetenzzentrum für die KI-Verordnung, angesiedelt bei der BNetzA. Es betreibt einen kostenlosen KI-Service-Desk für Unternehmen, insbesondere für KMU. Compliance-Fragen können niedrigschwellig gestellt werden. Das ist eine Struktur, die in Deutschland in dieser Form ungewöhnlich ist und die ich seit Jahren in Keynotes fordere. Ob sie operativ liefert, wird sich zeigen. Aber die Architektur ist richtig.

Drittens: Das KoKIVO organisiert KI-Reallabore, also Regulatory Sandboxes, in denen neue Anwendungen unter behördlicher Begleitung getestet werden können. KMU und Startups haben Vorrang bei der Zulassung. Jeder Mitgliedstaat muss bis zum 2. August 2027 mindestens ein solches Testumfeld einrichten. Das ist eine reale Innovationschance, kein Marketing.

Was ich an dieser deutschen Lösung schätze: Sie verschiebt nichts, sie zentralisiert nicht überbordend, sie schafft eine Anlaufstelle. Was ich kritisch sehe: Die DIHK hat zu Recht angemerkt, dass der Fokus auf Verwaltung statt auf Innovation liegt. Das ist die deutsche Standard-Falle, und das KI-MIG läuft Gefahr, sie zu reproduzieren, wenn das KoKIVO nicht aktiv und schnell agiert.

Die Risikopyramide: Wo Sie wirklich stehen

Der AI Act folgt einem risikobasierten Ansatz mit vier Stufen. Das ist die zentrale Architektur, und sie ist entscheidend, weil 90 Prozent aller KI-Anwendungen in deutschen Unternehmen nicht in die obersten beiden Stufen fallen.

Verbotene Systeme nach Artikel 5 sind seit Februar 2025 verboten. Dazu gehören Social Scoring durch staatliche Stellen, Manipulation durch unterschwellige Techniken, Ausnutzung von Vulnerabilitäten, ungezielte Gesichtserkennungs-Datenbanken aus dem Internet, Echtzeit-Fernidentifikation im öffentlichen Raum mit eng begrenzten Ausnahmen. Hinzu kommt seit dem Omnibus-Paket eine ausdrückliche Untersagung von KI-Systemen zur Erzeugung von Material sexuellen Missbrauchs an Kindern oder nicht-einvernehmlicher intimer Inhalte, mit einer Compliance-Frist bis zum 2. Dezember 2026. Wenn Sie diese Systeme nicht bauen oder einsetzen, ist diese Stufe für Sie irrelevant. Punkt.

Hochrisiko-Systeme nach Annex III sind die operativ wichtigste Stufe für den deutschen Mittelstand. Dazu zählen unter anderem: KI in der Bewerbersichtung und Personalentscheidung, automatisierte Bonitätsprüfung, KI in der Qualitätskontrolle mit sicherheitsrelevantem Einfluss, prädiktive Wartungssysteme in kritischen Produktionsprozessen, KI in kritischer Infrastruktur, KI im Bildungswesen und in der Strafverfolgung. Wer ein solches System anbietet oder betreibt, muss bis zum 2. Dezember 2027 die volle technische Dokumentation, ein Risikomanagement-System, eine Konformitätsbewertung und gegebenenfalls eine CE-Kennzeichnung vorhalten. Wer ein solches System vor dem 2. Dezember 2027 in Verkehr bringt und es ohne wesentliche Änderungen weiterbetreibt, fällt in den Bestandsschutz - ein Punkt, der heute in keinem Post stand und der für viele Bestandsanwendungen das Compliance-Profil erheblich entlastet.

Hinzu kommen Annex-I-Systeme, also KI als Sicherheitskomponente in Produkten, die bereits unter sektoraler EU-Sicherheitsgesetzgebung stehen - Maschinen, Medizinprodukte, Aufzüge, In-vitro-Diagnostika, zivile Luftfahrt. Hier greift die Anwendung erst ab dem 2. August 2028, und auch hier wird der Hochrisiko-Begriff durch das Omnibus-Paket schärfer gefasst: Sicherheitskomponente ist eine KI nur dann, wenn ihr bestimmungsgemäßer Zweck darin liegt, Risiken für Gesundheit und Sicherheit von Personen oder Sachen zu verhindern oder zu mindern. Diese Präzisierung nimmt Druck aus dem System, ohne den Schutzstandard zu senken.

Begrenzte Risikosysteme sind die zweitwichtigste Kategorie für die meisten Unternehmen. Hier greift Artikel 50 zum 2. August 2026: Chatbots, Deepfakes, KI-generierte Inhalte, Emotionserkennung, biometrische Kategorisierung. Es geht nicht um Verbote, sondern um Transparenz. Nutzer müssen wissen, dass sie mit einer KI sprechen. Synthetische Medien müssen erkennbar sein. Das ist keine technische Hochleistung, sondern ein Schild, ein Vermerk, ein Watermark. Wer heute schon ehrlich kommuniziert, hat hier kaum Mehraufwand.

Minimales Risiko bedeutet: keine spezifischen Pflichten unter dem AI Act. Spam-Filter, Übersetzungstools, Empfehlungssysteme im E-Commerce, einfache Chatbots ohne Entscheidungskompetenz, KI in Videospielen, intelligente Wettervorhersage. Das ist die mit Abstand größte Kategorie. Wer hier sitzt, muss nichts tun außer der allgemeinen Kompetenzpflicht nach Artikel 4 - dazu gleich mehr.

Artikel 4: Die Pflicht, die seit Februar 2025 alle betrifft

Die einzige AI-Act-Pflicht, die jedes Unternehmen heute schon trifft, ist Artikel 4: KI-Kompetenz. Wer KI einsetzt, muss sicherstellen, dass die damit befassten Mitarbeiter über das notwendige Maß an Kompetenz, Wissen und Verständnis verfügen. Das gilt seit Februar 2025. Das Omnibus-Paket hat Artikel 4 nicht abgeschwächt, sondern als Bemühensschuldverhältnis präzisiert - eine Pflicht zur angemessenen Bemühung, nicht zur garantierten Erfolgserzielung. Der AI Board wird Empfehlungen veröffentlichen, einschließlich gemeinsamer Lernziele.

Was heisst das praktisch? Ein dokumentiertes Schulungskonzept, regelmäßige Sensibilisierungen, klare Zuständigkeiten. Es muss keine Zertifizierung sein. Aber es muss nachweisbar sein. Wer im Audit-Fall keine Schulungsunterlagen vorlegen kann, hat ein Problem. Das ist die Hausaufgabe, die heute Abend jeder Geschäftsführer auf den Schreibtisch legen sollte.

Sanktionen: Was wirklich droht

Die Bußgeldobergrenzen klingen dramatisch. Bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes bei Verstößen gegen die Verbotskatalog-Artikel. Bis zu 15 Millionen Euro oder 3 Prozent bei Verstößen gegen die meisten anderen Pflichten, einschließlich Artikel 50. Bis zu 7,5 Millionen Euro oder 1,5 Prozent bei falschen oder irreführenden Angaben gegenüber Behörden. Die EU AI Office kann zusätzlich periodische Zwangsgelder bis zu 5 Prozent des durchschnittlichen Tageseinkommens oder des Tagesumsatzes verhängen, für jeden weiteren Tag der Nichteinhaltung. Eine fünfjährige Verjährungsfrist gilt.

Das ist die Schlagzeile. Die Realität ist differenzierter, und das ist wichtig zu wissen. Erstens: Es gilt immer der niedrigere Betrag. Ein Mittelständler mit 20 Millionen Euro Umsatz und einem Artikel-50-Verstoß riskiert maximal 600.000 Euro, nicht 15 Millionen. Zweitens: Das Omnibus-Paket hat ausdrücklich festgelegt, dass die Mitgliedstaaten bei Bußgeldern die Interessen von KMU einschließlich Startups und SMC berücksichtigen müssen, einschließlich spezifischer Anpassungen der Bußgeldobergrenzen für kleinere Unternehmen. Drittens: Bußgeldverfahren erfordern Vorsatz oder Fahrlässigkeit, sie sind keine Gefährdungshaftung. Viertens: Das deutsche KI-MIG sieht den niedrigschwelligen Service-Desk vor - ein klarer Hinweis, dass die BNetzA zunächst beraten und nicht sanktionieren wird, solange Unternehmen kooperativ sind.

Wer also als Mittelständler in den nächsten Monaten kooperativ, dokumentiert und sichtbar bemüht agiert, hat in der Praxis ein sehr niedriges Sanktionsrisiko. Wer ignoriert, abwartet und im Audit-Fall keine Antworten hat, hat ein hohes. Das ist die echte Verteilung. Sie steht in keiner Panik-Schlagzeile.

Vier Unternehmenstypen, vier Pfade

Differenzierung ist hier alles. Eine Beratungsfirma, die jedem Unternehmen denselben 30-Punkte-Compliance-Plan verkauft, hat nichts verstanden. Hier sind die vier realistischen Pfade.

Startup (1-20 Mitarbeiter, vor Series A)

Wenn Sie ein KI-Produkt bauen, ist der AI Act für Sie keine lastige Pflicht, sondern ein Marktordnungsrahmen, der Sie eher schützt als belastet. Sie konkurrieren in einem Markt, in dem grosse Player nicht mehr nach Belieben Daten und Modelle einsetzen können. Das ist gut für Sie. Praktisch heisst das: Klären Sie heute, welche Risikoklasse Ihr Produkt hat. Wenn Sie unter begrenztem oder minimalem Risiko liegen, brauchen Sie bis 2. August lediglich Transparenz-Hinweise. Wenn Sie unter Hochrisiko fallen, haben Sie bis 2. Dezember 2027 Zeit - aber starten Sie schon jetzt mit einem leichten Dokumentationsrahmen. Sie haben Vorrang in den KI-Reallaboren. Nutzen Sie das. Der KI-Service-Desk ist kostenlos. Fragen Sie dort. Sparen Sie sich vierstellige Beratungsrechnungen, bevor Sie ein klares Bild haben.

KMU (20-249 Mitarbeiter, bis 50 Mio. Umsatz)

Hier liegt der Hauptkundenkreis des KI-Service-Desks. Sie nutzen vermutlich mehrere KI-Tools - Microsoft Copilot, Google Workspace AI, ein CRM mit KI-Funktionen, vielleicht ein HR-Tool mit Vorauswahl-Algorithmus. Ihr Risiko-Profil ist heterogen. Erste Aufgabe bis Ende Juli: ein KI-Inventar. Tabelle mit drei Spalten - Tool, Risikoklasse, Verantwortlicher. Zweite Aufgabe: Artikel-50-Kennzeichnungen überprüfen, dort wo Sie Chatbots, generative Inhalte oder Sprachsysteme einsetzen. Dritte Aufgabe: Artikel-4-Schulung dokumentieren. Wenn ein HR-Tool zur Vorauswahl eingesetzt wird, ist das Annex III - aber Sie haben dafür bis Dezember 2027 Zeit. Nicht aufschieben, aber auch nicht panisch.

Mittelstand (250-3000 Mitarbeiter)

Hier wird es komplexer. Sie haben mit hoher Wahrscheinlichkeit mindestens ein Hochrisiko-System, oft mehrere. Prädiktive Wartung in der Produktion, KI-Qualitätskontrolle, HR-Tools, Bonitätsbewertung im B2B-Vertrieb. Sie brauchen eine KI-Governance-Struktur: einen benannten Verantwortlichen, ein Inventar, ein Risikomanagement-Konzept für Hochrisiko-Systeme, einen Audit-Pfad. Das ist nicht trivial, aber es ist machbar. Sie sollten heute eine Person benennen, die das Thema bis Ende 2026 strukturiert. Diese Person braucht keine Vollzeitstelle, aber ein klares Mandat und 20 Prozent Kapazität. Der Bestandsschutz für Systeme, die vor dem 2. Dezember 2027 ohne wesentliche Änderung im Markt sind, ist Ihr operativ wichtigster Hebel. Inventur jetzt, Versionsfreeze planen, gezielt entscheiden, was vor Stichtag in den Bestandsschutz wandert und was bewusst danach in die volle Compliance geht.

Konzern (>3000 Mitarbeiter, oft konzernweit international)

Sie haben das vermutlich seit 18 Monaten auf der Agenda. Wenn nicht, gibt es ein anderes Problem als den AI Act. Die Anforderungen sind klar: konzernweite KI-Inventur, Governance-Board, klar definierte Pfade für Foundation-Model-Anbieter-Beziehungen, Verträge mit GPAI-Anbietern, die Auskunftspflichten und Haftungsfragen regeln, Konformitätsbewertung für alle Annex-III-Systeme, Post-Market-Monitoring-Pläne als lebende Dokumente. Hinzu kommen Wechselwirkungen mit DSGVO, NIS2, dem Cyber Resilience Act und sektoraler Regulierung. Hier ist Compliance kein Sprint, sondern ein laufendes Programm. Der relevante Punkt: Konzerne sollten heute nicht über Compliance reden, sondern über strategische Optionen. Das Omnibus-Paket schafft eine One-Stop-Shop-Aufsicht für GPAI-basierte Systeme, wenn Modell und System vom selben Anbieter stammen. Das ist eine architektonische Frage mit Konsequenzen für Make-or-Buy-Entscheidungen, für Vendor-Strategien, für Standortwahl. Hier wird Robotic & AI Governance zum strategischen Differenzierungsmerkmal, nicht zur Kostenposition.

Konkrete Handlungsempfehlungen bis Ende Juli 2026

Damit dieser Text mehr ist als eine Einordnung, hier eine konkrete Sieben-Punkte-Liste für die kommenden sechs Wochen. Sie ist bewusst klein gehalten. Wer mehr will, kann mehr tun, aber dies hier ist das Pflichtprogramm.

  1. KI-Inventar erstellen. Eine einfache Tabelle. Welche KI-Systeme nutzt Ihr Unternehmen - selbst entwickelt, eingekauft, eingebettet in andere Software? Welche Risikoklasse? Wer ist intern verantwortlich? Drei Spalten, alle Einträge. Wenn Sie es nicht bis Ende Juni schaffen, schaffen Sie es nicht bis Ende des Jahres.
  2. Verantwortlichkeit benennen. Eine Person in der Geschäftsführung oder eine Ebene darunter. Mit klarem Mandat. Mit dokumentierter Zuständigkeit. Ohne diese Person passiert nichts.
  3. Artikel-4-Schulung dokumentieren. Wenn Sie keine haben: planen Sie eine bis Ende Juli. Wenn Sie eine haben: dokumentieren Sie sie nachweisbar. Teilnehmerliste, Inhalte, Datum, Prüfungsfragen oder mindestens eine kurze Verständnis-Bestätigung.
  4. Artikel-50-Kennzeichnungen umsetzen. Prüfen Sie alle Chatbots, alle KI-generierten Inhalte in Marketing und Kundenkommunikation, alle Sprachsysteme. Sichtbare Kennzeichnung. „Powered by KI" allein genügt nicht. Klare Aussage, dass es sich um eine KI handelt.
  5. Generative Bestandssysteme melden. Wenn Ihr Unternehmen generative KI bereits vor dem 2. August 2026 im Markt hat, nutzen Sie die Schonfrist bis zum 2. Dezember 2026 für Watermarking. Aber dokumentieren Sie heute, welche Systeme das betrifft.
  6. Hochrisiko-Systeme markieren und Bestandsschutz prüfen. Wenn Sie Annex-III-Systeme einsetzen, klären Sie heute, welche Sie ohne wesentliche Änderung bis zum 2. Dezember 2027 weiterbetreiben können. Diese fallen in den Bestandsschutz und unterliegen erst bei substantieller Änderung der vollen Compliance-Pflicht.
  7. Verträge mit KI-Anbietern prüfen. Wer liefert Ihnen Foundation-Modelle oder KI-Komponenten? Welche Auskunftspflichten und Haftungsregelungen sind vertraglich geregelt? Wenn die GPAI-Pflichten Ihren Anbieter treffen, muss er Sie unterstützen. Das gehört in die Verträge.

Mehr ist gut, aber dies hier ist nicht verhandelbar. Wer diese sieben Punkte bis Ende Juli abhakt, ist in der ersten Liga der Compliance-Vorbereitung in Deutschland - nicht weil das Programm besonders ehrgeizig ist, sondern weil die Mehrheit der Mittelständler nicht einmal Punkt 1 erfüllt hat.

Robotic & AI Governance: Warum das mehr ist als Compliance

Wer den AI Act nur als Compliance-Last betrachtet, hat den Hebel nicht verstanden. Robotic & AI Governance - der Begriff, mit dem ich seit Jahren arbeite und den ich bewusst nicht in Robotic Governance und AI Governance trenne - ist die institutionelle Antwort darauf, dass autonome Systeme in Bereichen entscheiden, in denen früher ausschließlich Menschen entschieden haben. Personalauswahl. Kreditvergabe. Qualitätskontrolle. Logistik. Pflege. Bildung. Eine Gesellschaft, die diese Verschiebung ohne Ordnungsrahmen vollzieht, riskiert Vertrauensverlust. Eine Gesellschaft, die sie mit einem Ordnungsrahmen vollzieht, schafft die Bedingungen dafür, dass die Generation R - die Generation, die mit Robotern und KI aufwächst - ihren Platz in einer demokratischen, wertorientierten Industrienation findet.

Das ist auch der Grund, warum die Magnifica-Humanitas-Enzyklika vom Mai 2026 und der AI Act zwei Stimmen desselben Gesprächs sind. Die Enzyklika legt die anthropologische Grundlage - die Würde des Menschen ist nicht delegierbar. Der AI Act legt die regulatorische Operationalisierung - Verantwortung, Transparenz, Risikoabstufung. Wer das eine ohne das andere denkt, verfehlt beide. Ich habe das im Beitrag zu Magnifica Humanitas ausführlich beschrieben. Und ich habe den Ordnungsrahmen, in dem das alles zusammenwirkt, im Grundlagentext zu Robotic Governance entwickelt. Die heutigen Posts auf LinkedIn ignorieren diese Dimension fast vollständig. Sie reden über Bußgelder, nicht über Vertrauen. Sie reden über Pflichten, nicht über Sinn.

Eine Bemerkung zum Diskursklima. Der AI Act ist nicht perfekt. Er ist in Teilen überregulatorisch, in anderen Teilen lückenhaft. Das Omnibus-Paket hat einige der schärfsten Kritikpunkte adressiert - die zeitliche Streckung der Hochrisiko-Pflichten, die KMU-Anpassung der Sanktionen, die Verzahnung mit sektoralen Sicherheitsregeln. Es bleibt Arbeit. Aber der Pfad ist erkennbar pragmatisch. Wer heute auf LinkedIn schreibt, der AI Act zerstöre die europäische KI-Industrie, hat entweder den finalen Kompromisstext vom 13. Mai nicht gelesen oder hat ein anderes Interesse als die Wahrheit. Beides ist legitim als Marktposition, aber es ist keine Information.

Was Sie heute Abend tun sollten

Eine Tabelle. Drei Spalten. Tool, Risikoklasse, Verantwortlicher. Wenn Sie noch nichts haben: 30 Minuten, jetzt. Wenn Sie schon etwas haben: überprüfen, ergänzen, datieren. Diese eine Stunde ist die wichtigste KI-Stunde dieses Jahres. Sie ist konkret. Sie ist ohne Beratungskosten machbar. Sie ist die Grundlage für alles andere.

Und dann, morgen früh, eine zweite Stunde: Wer ist verantwortlich? Eine Person, ein Mandat, ein Termin im Kalender, alle vier Wochen, eine Stunde lang, für die nächsten zwölf Monate. Das ist das Minimalprogramm. Mehr ist gut. Weniger ist fahrlässig.

Generation R: Der lange Bogen

Ich nenne sie seit Jahren Generation R - die Generation, die mit Robotik und KI nicht als Innovation, sondern als Selbstverständlichkeit aufwächst. Ein achtjähriges Kind heute spricht selbstverständlich mit Sprachmodellen, sieht autonome Logistik in Hafenanlagen, kennt Drohnen über landwirtschaftlichen Flächen. Dieses Kind wird in zwölf Jahren auf den Arbeitsmarkt kommen. Es wird Fragen stellen, die wir heute noch nicht ausreichend beantworten. Es wird wissen wollen, warum wir zugelassen haben, dass Systeme entscheiden, deren Logik niemand mehr nachvollziehen kann. Es wird wissen wollen, warum wir nicht früher Standards gesetzt haben.

Der AI Act ist die unvollkommene, aber real existierende Antwort der EU auf diese kommende Frage. Er macht uns global zur Region mit dem höchsten regulatorischen Anspruch an KI-Systeme. Das ist keine Belastung. Das ist eine Position. Eine Position, die unsere Fähigkeit, in einer pluralistischen, demokratischen, alternden Industriegesellschaft mit autonomen Systemen umzugehen, sichtbar macht. Wer das verstanden hat, sieht den 2. August 2026 nicht als Drohung, sondern als Etappe.

Wir wussten, dass es kommt. Jetzt ist es soweit. Es ist nicht so schlimm, wie viele heute sagen. Aber es gibt moderaten Handlungsbedarf. Das ist die ehrliche Geschichte. Sie passt nicht in ein Capslock-Headline. Sie passt in einen langen Text. Hier ist er.

Disclaimer

Dieser Beitrag stellt keine Rechtsberatung dar. Er gibt eine fachliche Einordnung aus der Perspektive eines Professors für Wirtschaftsinformatik mit Schwerpunkt Robotic & AI Governance. Die rechtliche Bewertung des Einzelfalls obliegt qualifizierten Rechtsanwältinnen und Rechtsanwälten, insbesondere mit Spezialisierung im IT-Recht, Datenschutzrecht und Produktsicherheitsrecht. Die Inhalte beziehen sich auf den Stand vom 17. Juni 2026 und berücksichtigen den finalen Kompromisstext des digitalen Omnibus-Pakets vom 13. Mai 2026 sowie das am 11. Juni 2026 vom Bundestag verabschiedete KI-MIG, das zum Zeitpunkt der Veröffentlichung noch nicht im Bundesrat behandelt wurde. Änderungen sind möglich. Verbindliche Auskünfte erteilen die zuständigen Behörden, insbesondere die Bundesnetzagentur über das KoKIVO sowie die sektoralen Aufsichten BaFin, BfArM und BfDI.

Häufig gestellte Fragen

Was passiert konkret am 2. August 2026?

An diesem Tag werden die Transparenzpflichten nach Artikel 50 des AI Act wirksam. Das betrifft Kennzeichnungspflichten für KI-Chatbots, Deepfakes, KI-generierte Inhalte in öffentlicher Kommunikation, Emotionserkennung und biometrische Kategorisierung. Die ursprünglich für diesen Tag vorgesehenen Hochrisiko-Pflichten nach Kapitel III wurden durch das digitale Omnibus-Paket auf den 2. Dezember 2027 (Annex III) bzw. 2. August 2028 (Annex I) verschoben. Generative KI-Systeme, die bereits vor dem 2. August am Markt sind, erhalten eine viermonatige Schonfrist für Watermarking bis zum 2. Dezember 2026.

Muss mein Unternehmen ab dem 2. August 2026 wirklich Bußgelder bis 35 Millionen Euro fürchten?

Theoretisch ja, praktisch sehr unwahrscheinlich. Es gilt immer der niedrigere Betrag aus absoluter Summe und Umsatzprozent. Bei einem Unternehmen mit 20 Millionen Euro Umsatz und einem Artikel-50-Verstoß liegt das maximale Bußgeld bei 600.000 Euro, nicht bei 15 Millionen. Das digitale Omnibus-Paket sieht zudem ausdrücklich vor, dass die Mitgliedstaaten bei Bußgeldern die Interessen von KMU und Startups berücksichtigen und spezifische Anpassungen vornehmen. Bußgeldverfahren erfordern Vorsatz oder Fahrlässigkeit. Wer kooperativ und dokumentiert agiert, hat ein sehr niedriges Sanktionsrisiko.

Wann genau müssen Hochrisiko-Systeme nach Annex III die volle Konformitätsbewertung haben?

Standalone-Hochrisiko-Systeme nach Annex III müssen ab dem 2. Dezember 2027 die vollen Pflichten erfüllen - technische Dokumentation, Risikomanagement-System, Konformitätsbewertung, CE-Kennzeichnung, Post-Market-Monitoring. Eingebettete KI-Systeme als Sicherheitskomponenten in Annex-I-Produkten greifen erst ab dem 2. August 2028. Systeme, die vor diesen Daten ohne wesentliche Designänderung im Markt sind, fallen in den Bestandsschutz und unterliegen erst bei substanzieller Änderung der vollen Compliance.

Was ist das KI-MIG und wann tritt es in Kraft?

Das KI-Marktüberwachungs- und Innovationsförderungsgesetz wurde am 11. Juni 2026 vom Bundestag verabschiedet. Es ist Deutschlands nationales Umsetzungsgesetz zum EU AI Act. Es benennt die Bundesnetzagentur als zentrale KI-Aufsichts- und Marktüberwachungsbehörde außerhalb regulierter Sektoren und richtet das KoKIVO ein, das Koordinierungs- und Kompetenzzentrum für die KI-Verordnung. Das KoKIVO betreibt einen kostenlosen KI-Service-Desk und organisiert KI-Reallabore. Das Gesetz muss noch durch den Bundesrat, das Inkrafttreten ist vor dem 2. August 2026 angestrebt.

Welche Behörden sind in Deutschland für welche KI-Bereiche zuständig?

Die Bundesnetzagentur wird zentrale Anlaufstelle für alle KI-Compliance-Fragen außerhalb regulierter Sektoren. Die sektoralen Fachbehörden behalten ihre Zuständigkeit: BaFin für KI im Finanzsektor, BfArM für KI in Medizinprodukten, BfDI für Datenschutz und biometrische Systeme. Auf EU-Ebene hat das EU AI Office bei GPAI-basierten Systemen, bei denen Modell und System vom selben Anbieter stammen, die ausschließliche Aufsichts- und Durchsetzungskompetenz - das ist die sogenannte One-Stop-Shop-Aufsicht aus dem Omnibus-Paket.

Was muss ich konkret tun, wenn ich einen KI-Chatbot auf meiner Website betreibe?

Sie müssen Nutzer bei der ersten Interaktion klar und sichtbar informieren, dass sie mit einer KI kommunizieren. Ein Hinweis wie 'Powered by KI' allein genügt nicht. Auch der 'offensichtliche Kontext' reicht laut EU-Leitlinien nicht als Begründung, die Kennzeichnung wegzulassen. Die Information muss vor dem ersten echten Austausch erfolgen, klar formuliert und gut sichtbar. Das gilt ab dem 2. August 2026. Bußgelder bei Verstößen reichen bis zu 15 Millionen Euro oder 3 Prozent des Jahresumsatzes - der jeweils niedrigere Betrag.

Was ist die Kompetenzpflicht nach Artikel 4 und wen trifft sie?

Artikel 4 verpflichtet alle Anbieter und Betreiber von KI-Systemen, geeignete Maßnahmen zu ergreifen, damit ihr mit KI befasstes Personal über das erforderliche Maß an KI-Kompetenz verfügt. Diese Pflicht gilt bereits seit Februar 2025 und trifft jedes Unternehmen, das KI einsetzt - unabhängig von der Risikoklasse. Das digitale Omnibus-Paket hat Artikel 4 als Bemühensschuldverhältnis präzisiert, also als Verpflichtung zu angemessenem Bemühen, nicht zu garantiertem Erfolg. Was Sie brauchen: ein dokumentiertes Schulungskonzept, regelmäßige Sensibilisierungen, eine Teilnehmerliste. Eine externe Zertifizierung ist nicht erforderlich, aber Nachweisbarkeit schon.

Wir sind ein Startup. Sollen wir auf den AI Act warten oder gleich Compliance aufbauen?

Bauen Sie heute eine leichte Compliance-Grundlage. Konkret: Klären Sie Ihre Risikoklasse, dokumentieren Sie technische Entscheidungen, behalten Sie Datenherkunft im Blick, schreiben Sie eine kurze Modell-Karte für jedes Produktmodell. Das kostet wenige Stunden pro Monat und schützt Sie später vor erheblichem Nachbau-Aufwand. Sie haben Vorrang in den KI-Reallaboren der Bundesnetzagentur. Nutzen Sie das. Der KI-Service-Desk ist kostenlos. Stellen Sie Ihre Fragen dort, bevor Sie eine Beratungsfirma beauftragen. Und denken Sie an Artikel 4 - die Kompetenzpflicht gilt seit Februar 2025, also auch für Sie.

Wir sind ein KMU mit Microsoft Copilot und ein paar KI-Funktionen im CRM. Was müssen wir tun?

Erstellen Sie ein KI-Inventar mit drei Spalten: Tool, Risikoklasse, interner Verantwortlicher. Die meisten dieser Tools fallen in die Kategorie minimales oder begrenztes Risiko. Prüfen Sie, ob Sie KI-generierte Inhalte in der Kundenkommunikation einsetzen - falls ja, brauchen Sie ab 2. August 2026 sichtbare Kennzeichnungen. Prüfen Sie, ob ein Tool zur Vorauswahl von Bewerbern eingesetzt wird oder zu Personalentscheidungen - das wäre Annex III und Hochrisiko, aber Sie haben dafür bis 2. Dezember 2027 Zeit. Dokumentieren Sie Schulungen nach Artikel 4. Nutzen Sie den kostenlosen KI-Service-Desk der BNetzA für konkrete Fragen.

Was bedeutet Bestandsschutz für Hochrisiko-Systeme?

Das digitale Omnibus-Paket hat einen Übergangsmechanismus eingeführt: Hochrisiko-Systeme, die vor dem Anwendungstag des Kapitels III bereits am Markt sind - 2. Dezember 2027 für Annex III, 2. August 2028 für Annex I - unterliegen den vollen Pflichten nur dann, wenn sie nach diesem Datum eine wesentliche Designänderung erfahren. Das ist ein bedeutender Hebel für den Mittelstand. Bestehende Systeme, die im aktuellen Design weiterlaufen, genießen Grandfathering. Was 'wesentliche Designänderung' genau bedeutet, wird durch Leitlinien noch konkretisiert. Operativ heisst das: Inventarisieren Sie heute, planen Sie bewusst, welche Systeme Sie vor Stichtag stabil halten und welche Sie nach Stichtag bewusst in die volle Compliance führen.

Was ist der Code of Practice on Transparency und sollte mein Unternehmen ihn unterzeichnen?

Der Code of Practice on Transparency ist eine freiwillige Selbstverpflichtung von Anbietern und Betreibern generativer KI-Systeme, die Transparenzpflichten des AI Act über Artikel 50 hinausgehend zu erfüllen. Wer unterzeichnet, profitiert von einer fokussierteren Aufsicht, von höherer Rechtssicherheit europaweit und von reduziertem Verwaltungsaufwand. Die Liste der Unterzeichner wird im Juli 2026 veröffentlicht. Unterzeichnung lohnt sich besonders für Unternehmen, die generative KI-Produkte anbieten oder großflächig einsetzen, weil sie ein konsistenter Kompass für die Umsetzung wird. Anmeldung erfolgt über das Signatory Form des EU AI Office.

Wie unterscheidet sich der AI Act von der DSGVO?

Beide Regulierungen wirken parallel, sind aber unterschiedlich konstruiert. Die DSGVO regelt die Verarbeitung personenbezogener Daten - sie ist datenzentriert. Der AI Act regelt die Inverkehrbringung und den Betrieb von KI-Systemen - er ist produktsicherheitsrechtlich geprägt. Überschneidungen sind die Regel, nicht die Ausnahme. Ein HR-Tool mit KI-gestützter Vorauswahl ist gleichzeitig DSGVO-Fall und Annex-III-Hochrisiko-Fall. Sie brauchen also beide Compliance-Fäden zusammen gedacht. In der Praxis bedeutet das: Der Datenschutzbeauftragte und die KI-verantwortliche Person sollten miteinander reden, idealerweise im selben Governance-Gremium.

Was sind KI-Reallabore und wer kann sie nutzen?

KI-Reallabore sind regulatorische Sandboxes, in denen Unternehmen neue KI-Anwendungen unter behördlicher Begleitung in realer Umgebung testen können, bevor die volle Compliance-Pflicht greift. In Deutschland organisiert das KoKIVO bei der Bundesnetzagentur diese Sandboxes. Jeder Mitgliedstaat muss bis zum 2. August 2027 mindestens ein solches Testumfeld einrichten. KMU und Startups haben ausdrücklich Vorrang bei der Zulassung. Auch Testbetrieb außerhalb der Sandbox unter realen Bedingungen ist für bestimmte Hochrisiko-Systeme möglich. Das ist eine echte Innovationschance - mit regulatorischer Rückendeckung statt Rechtsunsicherheit.

Was bedeutet die One-Stop-Shop-Aufsicht des EU AI Office?

Das digitale Omnibus-Paket hat dem EU AI Office die ausschließliche Aufsichts- und Durchsetzungskompetenz für KI-Systeme übertragen, die auf GPAI-Modellen aufbauen, sofern Modell und System vom selben Anbieter stammen. Diese One-Stop-Shop-Architektur reduziert regulatorische Fragmentierung erheblich, weil Anbieter nicht mehr mit unterschiedlichen nationalen Behörden in 27 Mitgliedstaaten verhandeln müssen. Für integrierte Anbieter - klassische Beispiele sind die grossen Foundation-Model-Anbieter - ist das eine deutliche Vereinfachung. Für mittelständische Anwender bedeutet es Klarheit in der Lieferkette: Der GPAI-Anbieter ist gegenüber dem EU AI Office direkt verantwortlich, nicht der Anwender.

Welche Anbieter sind von den GPAI-Pflichten betroffen und was müssen sie tun?

GPAI-Pflichten treffen Anbieter von General-Purpose-AI-Modellen, also Foundation Models, die für eine breite Vielfalt von Aufgaben einsetzbar sind. Sie gelten seit August 2025. Anbieter müssen technische Dokumentation bereitstellen, Urheberrechts- und Datenherkunfts-Transparenz sicherstellen, Modell-Karten mit Fähigkeiten und Grenzen veröffentlichen und bei Systemic-Risk-Modellen zusätzliche Sicherheitstests durchführen, einschließlich Adversarial Testing. Mittelständische Anwender, die GPAI-Modelle über API nutzen, fallen nicht unter die GPAI-Pflichten, können aber vertraglich Auskunfts- und Mitwirkungsrechte einfordern, die ihnen die nachgelagerte Compliance erleichtern.

Was passiert mit AI-enabled Machinery und der dualen Compliance-Last?

Das digitale Omnibus-Paket hat eine wichtige Vereinfachung für KI-fähige Maschinen eingeführt. Diese fielen zuvor unter sowohl die Maschinenverordnung als auch unter den vollen Pflichtenkanon des AI Act für Hochrisiko-Systeme - eine doppelte Compliance-Last. Nach Artikel 2 Absatz 2 des AI Act greifen für KI-fähige Maschinen nun nur noch begrenzte Bestimmungen. Die EU-Kommission präzisiert bis zum 2. August 2027, welche Systeme genau betroffen sind und welche Anforderungen entfallen. Für Maschinenbauer ist das eine spürbare Entlastung, ohne dass das Sicherheitsniveau sinkt. Andere Produktsicherheits-Sektoren wie Medizinprodukte oder Aufzüge behalten die duale Compliance grundsätzlich, mit Ausnahmen, wenn sektorale Vorschriften ein gleichwertiges oder höheres Schutzniveau bieten.

Wie passt der AI Act zur Robotic & AI Governance, über die Sie schreiben?

Der AI Act ist eines der zentralen Instrumente von Robotic & AI Governance, aber nicht das Ganze. Robotic & AI Governance ist der breitere Ordnungsrahmen, der regulatorische Instrumente wie den AI Act mit ethischen Standards, technischen Normen, organisationaler Governance und gesellschaftlichen Aushandlungsprozessen zu einer kohärenten Architektur verbindet. Der AI Act adressiert die regulatorische Dimension. Standards wie VDA 5050 oder die IEEE TechEthics-Initiativen adressieren die technisch-organisationale Dimension. Anthropologische Dokumente wie die Magnifica-Humanitas-Enzyklika adressieren die normative Grundlage. Erst alle drei zusammen ergeben einen tragfähigen Ordnungsrahmen für Generation R.

Was, wenn das KI-MIG den Bundesrat nicht rechtzeitig passiert?

Der EU AI Act gilt direkt in allen Mitgliedstaaten - er braucht kein nationales Gesetz, um wirksam zu werden. Wenn das KI-MIG den Bundesrat nicht vor dem 2. August 2026 passiert, bleiben die EU-rechtlichen Pflichten dennoch wirksam. Was fehlen würde, ist die deutsche Vollzugsstruktur: die formal benannten Marktüberwachungsbehörden, der KI-Service-Desk, die Reallabore. Die Bundesnetzagentur kann faktisch agieren, aber die formale rechtliche Vollzugsgrundlage wäre geschwächt. In der Praxis würde wahrscheinlich eine pragmatische Übergangslösung greifen. Aber es wäre ein Vertrauensschaden, dessen Vermeidung im Interesse aller liegt.

Welche typischen KI-Anwendungen in Unternehmen sind Hochrisiko nach Annex III?

Zu den typischen Annex-III-Hochrisiko-Anwendungen in Unternehmen gehören: KI-gestützte Bewerbersichtung und Personalentscheidungen, automatisierte Bonitätsprüfung im B2B- und B2C-Bereich, KI in der Qualitätskontrolle mit sicherheitsrelevantem Einfluss, prädiktive Wartungssysteme in kritischen Produktionsprozessen, KI in der Strafverfolgung und Migrationskontrolle, KI im Bildungsbereich bei Bewertung oder Zulassung, biometrische Fernidentifikation. Eine vollständige Liste mit Praxisbeispielen findet sich in den Leitlinien zur Klassifizierung von Hochrisiko-Systemen, die die EU-Kommission am 19. Mai 2026 als Entwurf veröffentlicht hat.

Was ist der Unterschied zwischen Anbieter und Betreiber im AI Act?

Der AI Act unterscheidet zwischen Provider (Anbieter) und Deployer (Betreiber). Ein Anbieter entwickelt ein KI-System oder lässt es entwickeln und bringt es unter eigenem Namen oder eigener Marke in Verkehr. Ein Betreiber setzt ein KI-System unter eigener Autorität ein - er nutzt es operativ. Die Pflichten unterscheiden sich erheblich. Anbieter tragen die Hauptlast bei technischer Dokumentation, Konformitätsbewertung und Risikomanagement. Betreiber müssen das System bestimmungsgemäß einsetzen, Aufzeichnungen führen, Sicherheits- und Grundrechtsanalysen durchführen und Nutzer informieren. Wer ein gekauftes Tool wesentlich modifiziert oder unter eigenem Namen weitervertreibt, wird selbst zum Anbieter und übernimmt die volle Anbieterhaftung.

Lohnt sich externe Beratung jetzt schon, oder soll ich erst den Service-Desk nutzen?

Für Startups und KMU empfehle ich, zuerst den kostenlosen KI-Service-Desk der Bundesnetzagentur zu kontaktieren und ein eigenes KI-Inventar zu erstellen. Externe Beratung lohnt sich, wenn Sie ein Hochrisiko-System nach Annex III oder Annex I betreiben oder anbieten, wenn Sie konzernweit operieren, wenn Sie ein KI-Produkt in den Markt bringen oder wenn sich rechtliche Fragen mit DSGVO, Produktsicherheit oder sektoralen Regelungen überschneiden. Für einfache KI-Nutzung mit Standard-Tools wie Microsoft Copilot, Google Workspace AI oder gängiger CRM-KI brauchen Sie zunächst keine externe Beratung - hier reicht ein klar strukturiertes internes Vorgehen, das diese Checkliste umsetzt.

Quellen und weiterführende Literatur