AI Act: Kritik am Umsetzungstempo der EU-Kommission

Ein AI-Act-Berichterstatter wirft der Kommission Langsamkeit vor

Axel Voss sitzt für die CDU im Europäischen Parlament, dieselbe Partei wie Ursula von der Leyen. Er war einer der Berichterstatter zum AI Act und bleibt eine zentrale Figur in den europäischen Digitaldossiers.

Gegenüber Politico.eu bewertete er die Arbeitsweise der Kommission als dem Tempo der Veränderungen im Bereich künstliche Intelligenz nicht angemessen. Die Umsetzung der Vorschrift, so fügte er hinzu, sei weit von dem erwarteten Punkt entfernt. Das implizite Ziel der Kritik ist das Europäische Büro für KI, die mit der Anwendung der Verordnung beauftragte Struktur, wie key4biz berichtet^[1].

Das Gewicht dieser Worte ergibt sich aus der Rolle dessen, der sie ausspricht. Voss hat als Berichterstatter auch die Dossiers zum Metaverse und zur zivilrechtlichen Haftung im Zusammenhang mit KI begleitet. Zudem hat er eine Resolution des Parlaments zu Urheberrecht und generativer KI zum Schutz redaktioneller und kreativer Inhalte angeführt.

Der Text der Verordnung 2024/1689 bleibt unverändert

Politische Kritik lässt das geltende Recht unberührt.

Die Verordnung (EU) 2024/1689 ist seit dem 1. August 2024 in Kraft, und ihr Zeitplan läuft unabhängig weiter. Die Verbote nach Artikel 5 und die Pflicht zur KI-Kompetenz nach Artikel 4 gelten seit dem 2. Februar 2025. Die Regeln des Kapitels V zu Modellen mit allgemeinem Verwendungszweck gelten seit dem 2. August 2025.

Die Pflichten für Hochrisiko-Systeme nach Anhang III werden am 2. August 2026 wirksam. Die in Anhang I aufgeführten Systeme folgen am 2. August 2027.

Diese Daten stehen in Artikel 113 und binden Anbieter und Betreiber in den 27 Mitgliedstaaten. Das Tempo der europäischen Exekutive bleibt diesem Zeitplan fremd: Eine gesetzliche Frist läuft zum vorgesehenen Datum ab, unabhängig vom Stand der Leitlinien.

Wo der Rückstand wirklich schmerzt

Der Rückstand trifft die Instrumente der zweiten Ebene, also das, was die Vorschrift in operative Praxis überführt.

Harmonisierte Normen, Leitlinien der Kommission, Dokumentationsvorlagen und Durchführungsrechtsakte folgen eigenen Zeitplänen. Die an CEN und CENELEC übertragenen technischen Normen befinden sich noch in Arbeit. Der Verhaltenskodex für Modelle mit allgemeinem Verwendungszweck deckt einen Teil des Feldes ab und lässt den Rest offen.

Ein Unternehmen, das heute ein System einstufen muss, arbeitet daher mit einem allgemein gehaltenen Text und einer jungen Praxis. Die Grenze zwischen Hochrisiko-Nutzung und gewöhnlicher Nutzung hängt von einer Lesart des Anhangs III ab, die der Betreiber selbst vornimmt.

Die Regel bindet; die Orientierung kommt danach. Diese Asymmetrie ist der eigentliche Inhalt der Kritik von Voss. Wer im Gesundheitswesen, im Kreditgeschäft, im Personalbereich oder bei kritischen Infrastrukturen tätig ist, stößt zuerst auf diese Frage.

Das Governance-Signal: Das Auslegungsrisiko wechselt den Träger

Das Governance-Signal lautet: Ein langsamer Regulierer verlagert die Kosten der Auslegung auf das Unternehmen.

Wenn die Behörde eine Leitlinie veröffentlicht, erwirbt die Organisation, die ihr folgt, eine dokumentierte Verteidigungslinie. Fehlt dieses Dokument, wird jede Einstufung zu einer eigenständigen Position, die vor einer nationalen Behörde, vor einem Gericht oder vor einem Enterprise-Kunden begründet werden muss, der vertragliche Garantien verlangt.

Wer die Langsamkeit als Fristverlängerung liest, verwechselt zwei getrennte Ebenen. Die Pflichten bleiben zum vorgesehenen Datum geschuldet; es ändert sich nur, wer das Gewicht des Zweifels trägt.

Es gibt eine gegenläufige Lesart, die in Teilen der Industrie verbreitet ist: Das Abwarten der endgültigen Normen würde kostspielige Nacharbeiten vermeiden. Das Argument trägt bei technischen Detailkontrollen. Es verliert an Kraft beim Grundgerüst, denn Systeminventar, benannte Rollen und Audit Trail bleiben unter jeder künftigen Norm gültig.

Die zivilrechtliche Haftung bleibt die größte Lücke

Voss verweist auf eine zweite Lücke: die Haftung für Schäden, die von KI-Systemen verursacht werden. Aus seiner Sicht fehlte das Thema von Beginn der Mandatsperiode an, und es betrifft jedes Unternehmen.

Der derzeitige Rahmen ruht auf zwei Säulen. Die Richtlinie (EU) 2024/2853 über die Haftung für fehlerhafte Produkte erfasst auch Software und ist von den Mitgliedstaaten bis zum 9. Dezember 2026 umzusetzen. Daneben bestehen die nationalen Haftungsregime, die von Land zu Land unterschiedlich sind.

Für einen Vorstand ergibt sich daraus eine fragmentierte Exposition. Dieselbe technische Architektur erzeugt in Mailand, Berlin und Dublin unterschiedliche Beweispflichten.

Der Vorschlag für eine eigene Richtlinie zur KI-Haftung wurde 2025 aus dem Arbeitsprogramm der Kommission zurückgezogen. Die vom Europaabgeordneten benannte Lücke hat damit ein konkretes Datum und eine konkrete Ursache.

Ambition, Souveränität und Beschaffungsentscheidungen

Die Kritik betrifft auch die Rede zur Lage der Union, die im digitalen Bereich als wenig ambitioniert bewertet wurde.

Von der Leyen hat eine andere Priorität als das Wettrennen in der Entwicklung benannt: Europa setzt darauf, künstliche Intelligenz wirksam einzusetzen, unabhängig von der Herkunft der Modelle. Die digitale Souveränität rückt damit auf eine langfristige industrielle Ebene.

Die Folge für die Unternehmen ist unmittelbar. Eine europäische Organisation, die ein Modell von außerhalb der EU einsetzt, bleibt Betreiber im Sinne der Verordnung und übernimmt die daraus folgenden Pflichten zu Transparenz, menschlicher Aufsicht und Dokumentation. Die Herkunft des Anbieters verändert den Vertrag, lässt die Pflicht unberührt.

Euronews^[2] hat den Abstand zwischen den erklärten europäischen Zusagen und der tatsächlichen Fähigkeit untersucht, KI auf dem Kontinent zu steuern. Die für einen Vorstand nützliche Lesart ist praktisch: Die Lieferkette verschiebt das technische Risiko und lässt die Verantwortung dort, wo sie liegt.

Drei Entscheidungen für den Vorstand

Die zentrale Frage bleibt diese: Welche Rolle, vor dem Deployment schriftlich benannt, verantwortet die Risikoeinstufung jedes eingesetzten Systems?

1. Verträge mit den Modellanbietern: Haftungsverteilung, Auditrechte, Informationspflichten
2. Risikomatrix, ausgerichtet an den Daten des Artikels 113
3. Berichterstattung an den Prüfungsausschuss zu Systeminventar und benannten Rollen

Der General Counsel prüft die bestehenden Klauseln mit den Anbietern: Wer haftet für einen fehlerhaften Output, wer gewährt Zugang zur technischen Dokumentation, innerhalb welcher Fristen erfolgt die Meldung eines Vorfalls. Ein vor August 2025 unterzeichneter Vertrag spiegelt einen überholten Rahmen.

Der Chief Risk Officer aktualisiert die Matrix mit den Daten des Artikels 113 und trennt die bereits produktiven Systeme von denen in der Bewertungsphase. Der Prüfungsausschuss legt fest, was im Lagebericht zum Einsatz von KI und zu den eingeführten Kontrollen zu erklären ist.

Der CEO entscheidet einen Punkt: wie viel interne Kapazität der Compliance zu widmen ist, bevor die Durchsetzung zum Normalfall wird. Organisationen, die jetzt aufbauen, kommen vorbereitet an; jene, die abwarten, bauen unter Druck.

Regulatorischer Horizont

Aktueller Stand: Die Verordnung (EU) 2024/1689 ist in Kraft, und das Europäische Büro für KI steuert ihre Anwendung, mit den nationalen Aufsichtsbehörden an der Front der Durchsetzung.

Das Digital-Omnibus-Paket, über das Kommission, Parlament und Rat noch verhandeln, schlägt vor, einzelne Hochrisiko-Fristen nach hinten zu verschieben. Solange der Text offen bleibt, ist der anwendbare Zeitplan jener der Verordnung.

Zuständigkeitsbereich: Europäische Union, mit unmittelbarer Wirkung in den 27 Mitgliedstaaten. Zu überwachende Fristen: 9. Dezember 2026 für die Umsetzung der Richtlinie (EU) 2024/2853, 2. August 2027 für die Systeme nach Anhang I.

Die Frage nach dem Tempo der Kommission hat eine öffentliche Antwort erhalten. Eine zweite Frage hat sich eröffnet: wer für die Entscheidungen verantwortet, die während des Wartens getroffen wurden.