EU AI Act 2026: Was jetzt gilt und was noch auf dich zukommt - Mit Philipp Hacker

Ab dem Sommer, ab dem 2. August, gilt der Großteil der Transparenzregeln. Das bedeutet, immer dann, wenn ihr zum Beispiel ein Chatbot aufsetzt, muss dieser Chatbot mitteilen, dass es sich um KI handelt. Also, wir wollen uns heute mal angucken, wo wir stehen im Bereich der KI-Regulierung. Das ist ja ein Thema, das für viele natürlich jetzt nicht nur positiv besetzt ist, möchte ich mal milde gesprochen sagen, weil es gewisse Kosten mit sich bringt, gewisse Möglichkeiten manchmal auch abschneidet. Aber wir wollen natürlich auch in Europa die KI in Bahnen lenken, die sozial günstig und nützlich sind. Wir wollen keine chinesischen Verhältnisse hier, wo sozusagen jeder mit allem und allen Daten überwacht wird. Und deshalb ist es gut und richtig, dass wir uns Gedanken machen darüber, wie man gewisse Grenzen setzt. Und es ist ja so, dass auch vieles nicht verboten ist, sondern es wird dann im Europäischen AI-Act beispielsweise bestimmten Regeln unterworfen, die einfach dafür sorgen, dass man auch noch bestimmte Qualitätsmaßstäbe nachzieht, nachschärft, Best Practices werden verbindlich gemacht. Das alles macht der AI-Act, an dessen Aushandlung ich auch maßgeblich beteiligt war. Und ich möchte euch jetzt so ein bisschen auf den neuesten Stand bringen, was da jetzt in den letzten, man muss sagen, einfach Tagen passiert ist. Denn das Rad dreht sich momentan wieder relativ schnell in Brüssel. Ich habe es mal genannt im Omnibus zum Hochrisiko. Wir werden gleich sehen, was hinter diesem wahnsinnig witzigen Wortspiel steckt. Denn das ist das Erste, was ich euch mitbringen wollte. Es ist so, dass es momentan eine Überarbeitung gibt der KI-Verordnung. Die ist noch gar nicht ganz in Kraft getreten. Ihr habt vielleicht mitbekommen, dass im Jahr 2024 dieses umfassende Rahmenwerk für KI verabschiedet wurde von der Europäischen Union. Und jetzt ist es so, dass wir diese KI-Verordnung bereits in Teilen überholen. Warum? Es hat sich gezeigt, dass manches, wie zum Beispiel die Zeitrahmen, die man sich vorgestellt hat, nicht richtig hinhauen. Es hat auch sich gezeigt, dass es Nachschärfungsbedarf gibt an den ein oder anderen Stellen. Und dass an mancher Stelle auch man versuchen kann, Doppelregulierungen zu vermeiden. Wir haben im letzten Oktober eine große Studie herausgebracht, die heißt Simplifying EU AI Regulation. Und haben die auch der Kommission vorgestellt und dort einiges untersucht und vorweggenommen, was jetzt in diesem Update des AI-Acts enthalten ist. Ich habe mich kurz hier zusammengestellt, wie das aussieht. Ihr könnt diese Studie auch jederzeit im Internet kostenfrei herunterladen. Da erfahrt ihr noch mehr zu den einzelnen Punkten. Was ist jetzt das für euch Wesentliche? Das erste Mal ist der Zeitrahmen. Es gibt bestimmte Dinge aus dem AI-Act, die ja jetzt schon gelten. Das sind zum Beispiel die verbotenen Praktiken. Das Einzige, was da eigentlich im Wirtschaftskontext wirklich relevant ist, ist Emotionserkennung am Arbeitsplatz. Also wenn ich jetzt hier mal kurz drüber laufen lasse, weil das irgendwie die Cloud anbietet, wer ist denn happy in dem Call und wer ist hier morgens eher schlecht drauf? Das würde ich jedenfalls am Arbeitsplatz, wenn das jetzt ein richtiges Arbeitsmeeting im Unternehmenskontext wäre, würde ich das auf keinen Fall machen. Kunden gegenüber dürfte man das machen, aber auch da fragt sich, ob der Sinn wirklich so groß ist. Das sind die verbotenen Praktiken. Was auch noch bereits anwendbar ist, sind die AI Literacy, also die KI-Kompetenzkriterien. Das bedeutet, dass alle, die mit KI Umgang haben, ein bisschen das Wissen müssen über die technischen Hintergründe und auch über die rechtlichen Hintergründe. Also genau das, was wir heute Morgen sozusagen machen. Euer KI-Café jede Woche ist ein großer Baustein, würde ich sagen, auf dem Weg zu solcher gesetzlich geforderten KI-Kompetenz. Das ist aber noch nicht alles. Es gibt gewisse Regeln für die Anbieter der großen generativen KI-Modelle. Die nennen sich GPIE Models, General Purpose AI Models. Das sind die Googles, Open AIs und so weiter. Die haben auch schon bestimmte Regeln auferlegt bekommen. Da ist es wichtig, einfach zu sehen, dass man selber nicht aus Versehen der Anbieter eines solchen Modells wird, obwohl man es selber eigentlich gar nicht entwickelt hat. Wie kann das passieren? Das könnte beispielsweise passieren, wenn ihr jetzt ein Modell nehmt, von Google, von Mistral oder sonst wo, und euren Namen draufpappt. Ihr tut sozusagen so, als hättet ihr das entwickelt und sagt, das ist jetzt mein Unternehmens-GPT und vermarktet das in der Welt. Dann habt ihr euer Label draufgeklebt. Und das ist zwar ganz cool, weil das dann irgendwie sexy aussieht, aber es kann dazu führen, dass ihr sozusagen in die rechtliche Haftung reinkommt. Das ist also etwas, wovon ich euch abraten würde. Lifehack, einfach einen Fantasien-Namen nehmen. Das dürfte schon helfen. Nennt es einfach irgendwie nach eurem Lieblingshund, eurer Lieblingsfernsehserie oder Einhorn-GPT oder sonst was. Das sind die Sachen, die aber schon gelten. Was jetzt neu ist, sind die Hochrisikoregeln und die Transparenzregeln. Und da gibt es folgende Abstufung jetzt. Ab dem Sommer, ab dem 2. August, gilt der Großteil der Transparenzregeln. Das bedeutet, immer dann, wenn ihr z.B. ein Chatbot aufsetzt, muss dieser Chatbot mitteilen, dass es sich um KI handelt. Nicht, dass irgendwie Oma Else denkt, oh, die Mitarbeiterin arbeitet aber wirklich nach 24-Stunden-Schichten. Nein, das muss kurz klargestellt werden. Am Anfang ist ja auch völlig in Ordnung, dass es hier KI generiert. Dann gibt es Regeln zu Watermarking und Labeling. Das ist ganz spannend, das müssen die Anbieter machen. Aber ihr als Abnehmer müsst dann darauf achten, dass ihr KI-Systeme einsetzt, bei denen, sofern das technisch möglich ist, ein Wasserzeichen hinterlegt ist oder andere Möglichkeiten technisch sicherzustellen, dass das Ganze als KI-Output entsprechend gekennzeichnet wird. So, und diese Regeln, da haben wir jetzt die erste Verschiebung, diese Regeln gelten erst ab Dezember 2026. Warum das? Weil es bestimmte Compliance-Werkzeuge gibt, die man gewissermaßen den Anwendern versprochen hat. Das ist in dem Fall ein Praxisleitfaden, ein Code of Practice. Da liegt auch schon ein Entwurf vor, den könnt ihr euch anschauen im Internet, wie man sowas macht mit dem Labeln, in welchen Fällen usw. Aber der ist noch nicht final. Und deshalb hat man gesagt, da schieben wir das noch ein bisschen raus. Und genauso sieht es mit den Hochrisikopflichten aus. Und die schauen wir uns gleich noch ein bisschen genauer an. Ganz kurze Unterbrechung nochmal an dieser Stelle. Und vielleicht folgst du uns hier beim Podcast oder an anderer Stelle aber noch nicht auf LinkedIn. Auf LinkedIn teile ich auch jede Woche mehrere Male unterschiedliche Impulse, Hinweise, Neuigkeiten und gebe Einblick in unser Wirken. Und dazu müsstest du nur eins tun, dich mit mir zu vernetzen unter www.linkedin.com und dann gibst du einfach meinen Namen ein, Thorsten Körting. Und dann drückst du auf Follow und dann wirst du gleich versorgt als einer der Ersten mit den neuesten Inspirationen und auch transformativen Wirkungen, die die KI ermöglicht. In diesem Sinne jetzt weiter mit der Show und wir sehen uns auf LinkedIn. Die Hochrisikopflichten, das sind also die Bereiche, in denen man gesagt hat als Gesetzgeber, hier müssen wir ein bisschen genauer hinschauen. Hier gelten bestimmte Regeln, zum Beispiel für Risikomanagement, zum Beispiel für Datengovernance, zum Beispiel für Transparenz und menschliche Aufsicht. Und das sind Regeln, wo man auch darauf setzt, dass Standardisierungsorganisationen, das ist also große Organisationen, wie Sensenelec in Europa, Regeln herausbringen, technische Standards, die es dann den Unternehmen ermöglichen, diese Regeln umzusetzen. Denn so ein Standard, der baut sich nicht von selber in ein Unternehmen ein. Das dauert typischerweise mehrere Monate, kann auch durchaus mal ein Jahr dauern, bis der ganze Ablauf da eingespielt ist und dieser Standard integriert ist in die Unternehmens-IT, in die Abläufe, in die Compliance-Funktionen. Und deshalb hat man gesagt, das schieben wir noch ein bisschen raus. Das schieben wir also raus bis 2027 oder teilweise sogar 2028. Das heißt, es sind noch anderthalb Jahre bis teilweise knapp zwei Jahre, bis diese Hochrisikoregeln gelten. Der vielleicht wichtigste Hochrisikofall für euch ist das Recruiting. Und das schauen wir uns gleich nochmal genauer an. Was sonst noch so geschehen ist im Omnibus, kann ich jetzt nicht alles en Detail hier besprechen. Wichtig vielleicht noch zu wissen, dass das, was damals groß Furore gemacht hat, auch richtigerweise einen erheblichen Skandal generiert hat, die Nacktbilder auf Ex und generiert durch GROK, die sind jetzt mit einem Verbot belegt. Das wird auch ab dem Sommer gelten. Das heißt, solche Art von KI, ein klares Beispiel dafür, was wir in Europa tatsächlich nicht wollen, sexualisierte massive Gewalt, vor allem auch gegen Mädchen, gegen Frauen. Das ist etwas, was der europäische Gesetzgeber jetzt richtigerweise bei der Anlegnung verboten hat. Wir gucken uns für euch noch einmal jetzt aber etwas genauer an. Was sind Hilfsmittel, die ihr nutzen könnt, wenn ihr nicht genau wisst, was kommt da auf mich zu, was muss ich machen? Das eine ist, und jetzt geht es wirklich im fast Tagestakt, am 8. Mai 2026 sind rausgekommen, die Entwürfe des Leitfadens, also der Guidelines für die Transparenzpflicht. Also wie mache ich das jetzt, wenn ich beim Chatbot einpflegen muss, dass der sagt, dass es menschengenerierte Ergebnisse sind? Wie mache ich das insbesondere bei Deepfakes? Und das sind überhaupt Deepfakes. Deepfakes eigentlich immer dann, wenn etwas Authentizität vortäuscht, das aber nicht wirklich authentisch ist. Achtung, das sind nicht nur Personen. Man denkt immer an den Papst hier mit seiner Bollerjacke usw. Das ist ein Deepfake. Aber Deepfakes sind auch täuschend echte Objekte, Events, historische Events oder auch Service-Events, die ihr generiert, wenn ihr ein Hotelzimmer KI generieren lasst und das dann auf eure Webseite stellt, weil ihr ein Hotel habt, statt ein Foto zu machen. Das ist ein Deepfake, muss als solches markiert werden. Da muss so ein kleiner Bubble rein, KI generiert. Also das ist ein relativ breiter Begriff. Gerade bei Werbung und Marketing muss man da genauer hinschauen. Wenn ihr sozusagen nur ganz kleine Sachen, ein bisschen die Farbe editiert, dann ist das okay. Das gilt nicht als Deepfake. Aber sobald da sozusagen substanziell eingegriffen wird in das Bild, auch wenn es nur verändert wird, das ist ein Deepfake und muss als solches gelabelt werden. Und da gibt es eben die Draft Guidelines, da könnt ihr reingucken. Da steht das alles auf den mehreren Seiten eigentlich relativ eingängig mit vielen Beispielen erklärt, was ist zum Beispiel ein Deepfake, was ist kein Deepfake.