EU-Regeln zu Daten und KI: Termin 12. Januar 2027

Der gesetzte Termin: 12. Januar 2027, Brüssel

Am 12. Januar 2027 versammelt die Europäische Kommission im Charlemagne-Gebäude in Brüssel die Data Union Conference.

Die Ankündigung trägt das Datum vom 18. September 2026 und stammt vom offiziellen Portal der Kommission^[1], das die Interessenbekundung öffnet und den Livestream bestätigt. Die Zulassung bleibt genehmigungspflichtig.

Die überprüfbare Tatsache ist hier ein politischer Terminkalender, weniger eine neue Norm. Das Treffen bringt öffentliche Entscheidungsträger, Unternehmen, Fachleute und Forschende rund um eine einzige Frage zusammen: wie sich die europäische Datenpolitik in mehr Daten für KI, in Wachstum und in Wettbewerbsfähigkeit übersetzen lässt. Die Kommission präsentiert sie als Beitrag zu einer breiteren Debatte über die Zukunft der europäischen Datenpolitik.

Für die Compliance-Funktionen wiegt dieses Datum so schwer wie eine Frist. Der Rahmen, an dem sie heute den Datenzugang für industrielle KI ausrichten, kommt genau dort in die öffentliche Diskussion, vor denen, die die EU-Regeln zu Daten und KI schreiben.

Das Rulebook, das Unternehmen heute anwenden

Der Data Act, Verordnung (EU) 2023/2854, gilt seit dem 12. September 2025 in der gesamten Union. Er regelt den Zugang zu Daten, die von vernetzten Produkten und verbundenen Diensten erzeugt werden, mit Weitergabepflichten gegenüber dem Nutzer und gegenüber den Dritten, die der Nutzer benennt.

Daneben besteht die Verordnung (EU) 2024/1689, der AI Act, seit dem 1. August 2024 in Kraft und in Phasen anwendbar. Die Transparenzpflichten aus Artikel 50 und die Regeln für Hochrisikosysteme nach Anhang III folgen jeweils einem eigenen Zeitplan.

Zu diesen beiden Texten kommen die DSGVO, der Data Governance Act und die Open-Data-Richtlinie hinzu.

Das Ergebnis ist ein in aufeinanderfolgenden Schichten gebautes Gefüge. Jede Schicht bringt eine eigene Aufsichtsbehörde mit, eine eigene Rechtsgrundlage, ein eigenes Anwendungsdatum. Ein europäisches Unternehmen durchquert sämtliche Schichten in dem Moment, in dem es ein Modell auf Industriedaten trainiert, die von Maschinen, Fahrzeugen oder Anlagen erhoben wurden.

Der Digital Omnibus eröffnet die Agenda

Die Kommission setzt die Vereinfachung an die erste Stelle der drei geplanten Themen.

Der Digital Omnibus zielt darauf, das europäische Daten-Rulebook zu verschlanken, den Verwaltungsaufwand zu senken und Innovation zu stützen, aufbauend auf dem Data Act und dem bereits geltenden Regelwerk. Die Reihenfolge der Tagesordnungspunkte kommuniziert eine politische Priorität, noch bevor sie einen technischen Inhalt kommuniziert.

Die Lesart dieses Desks bleibt unmissverständlich: Wer öffentliche Aufträge unterschreibt, wiegt im Zeitplan des Enforcements schwerer, als er erklärt. Die Verschiebung der Hochrisiko-Pflichten auf Dezember 2027 gehört zur Politik, noch vor der Technik. Ein Anbieter, der eine Frist verlangsamt, kauft Zeit für die gesamte Wertschöpfungskette, die von ihm abhängt.

Das Wort Vereinfachung trägt eine präzise operative Folge. Ein Compliance-Aufbau, der auf eine Pflicht geeicht ist, die ihre Form ändert, wird an einer Front überdimensioniert und an einer anderen ungedeckt. Das Audit bleibt gefordert; was sich ändert, ist der Prüfungsumfang.

Daten für industrielle KI: der Data Act auf dem Prüfstand

Der zweite Punkt der Agenda betrifft den Zugang zu qualitativ hochwertigen Daten über den Data Act. Die Data Union Strategy nennt praktische Maßnahmen, um die Verfügbarkeit von Daten zu erhöhen und die europäische Infrastruktur zu stärken.

Die Frage für den General Counsel ist hier konkret: auf welcher Rechtsgrundlage das Unternehmen die Industriedaten nutzt, die seine Modelle speisen.

Der Data Act weist dem Nutzer des vernetzten Produkts Zugangsrechte zu und dem Dateninhaber Pflichten. Ein auf diesen Datenströmen trainiertes Modell erbt diese Rechte entlang der gesamten Kette. Ein 2023 unterzeichneter Liefervertrag ignoriert das Thema oft vollständig.

Unternehmen, die ihre Data-Sharing-Klauseln jetzt neu lesen, kommen 2027 mit einem fertigen Inventar und einer Karte der Einwilligungen an. Die anderen kommen mit einer Discovery an, die unter Druck zu eröffnen ist, während die Aufsicht Unterlagen verlangt. Die Kosten derselben Tätigkeit unterscheiden sich zwischen den beiden Szenarien erheblich.

Internationale Datenflüsse: der dritte Punkt

Das dritte Thema betrifft offene und vertrauenswürdige Datenflüsse sowie eine faire Behandlung europäischer Unternehmen auf Auslandsmärkten.

Die Kommission erklärt, sie arbeite daran, grenzüberschreitende Übermittlungen zu erleichtern und die unfairen Beschränkungen anzugehen, auf die Unternehmen der Union andernorts stoßen. Wir stehen vor einer Verhandlungsposition, noch vor einem verbindlichen Text.

Für den Chief Risk Officer berührt der Punkt die Lieferantenlandkarte. Ein außerhalb der Union gehostetes Modell, trainiert auf Daten europäischer Kunden, hängt von einem gültigen Übermittlungsinstrument nach Kapitel V der DSGVO ab. Dieses Instrument lebt von politischen Entscheidungen, die in Foren wie diesem reifen.

Das Governance-Signal

Das Governance-Signal: Die Kommission öffnet ihr eigenes Daten-Rulebook, bevor die anspruchsvollste Phase des AI Act voll greift.

Wer heute ein Compliance-Programm entwirft, arbeitet somit an einem Text in Bewegung. Das ändert die Art, interne Verfahren zu schreiben: besser ein versionierter Verweis auf die Pflicht als eine eingefrorene Kopie des Artikels in einem Handbuch.

Eine Präzisierung ist angebracht. Der Termin am 12. Januar 2027 ist eine Konferenz, erzeugt also politische Leitlinien und Verhandlungssignale. Die Gesetzesänderungen durchlaufen anschließend das ordentliche Verfahren, mit Parlament und Rat, und haben ihre eigenen Fristen. Wer eine Agenda wie geltendes Recht behandelt, begeht einen Kategorienfehler, mit Folgen für das Compliance-Budget.

Drei Entscheidungen für das Board

Erste Entscheidung: welche Rolle, namentlich und schriftlich, für den Zugang zu den Daten einsteht, die zum Training der Unternehmensmodelle verwendet werden. Ein Framework ohne einen Namen erzeugt Dokumentation, weniger Governance.

Zweite Entscheidung: welche Information der Prüfungs- und Risikoausschuss den Aktionären vorlegt, während der Zeitplan der Pflichten in Überarbeitung bleibt. Ein Regulierungsrisiko, das als stabil beschrieben wird, während die Texte wieder geöffnet werden, setzt die Verwaltungsorgane auf der Ebene der Transparenz aus.

Dritte Entscheidung: welche Compliance-Ausgabe der CEO jetzt freigibt, im Nachgang zur Konferenz. Organisationen, die heute namentliche Accountability, Audit Trail und Risikoklassifizierung aufbauen, gewinnen einen Vorsprung von 18-24 Monaten in dem Moment, in dem das Enforcement in die volle Phase eintritt. KI-Compliance zählt als Wettbewerbshebel, weniger als Kostenposition.

Regulatory horizon

Aktueller Stand: Der Data Act gilt seit dem 12. September 2025; der AI Act ist seit dem 1. August 2024 in Kraft, mit gestaffelter Anwendung je Systemkategorie. Zuständigkeitsbereich: Europäische Union, 27 Mitgliedstaaten.

Nächster öffentlicher Termin: 12. Januar 2027, Charlemagne-Gebäude, Brüssel, mit einer Agenda, die auf dem Portal Digital Strategy der Kommission^[1] veröffentlicht wird, und angekündigtem Livestream.

Die Frage, was Europa von Unternehmen in Sachen Daten verlangt, hat in den Texten von 2023 und 2024 eine Antwort erhalten. Eine zweite Frage hat sich jetzt aufgetan: wie lange diese Antwort halten wird.