Historischer Stand vom 29. Juni 2026: Diese Übersetzung bewahrt den Zeitplan vor dem positiven Formal Vote und dem nationalen BSI-Veröffentlichungsbericht vom 24. Juli 2026. Die englische Fassung enthält den aktuellen Status. Das zentrale Problem für Unternehmen ist eindeutig: Die rechtlichen Anwendungszeitpunkte stehen fest, während die Veröffentlichung der Normen noch aufholt. Für Anbieter, die Hochrisiko-KI-Systeme in der EU einsetzen wollen, entsteht dadurch ein Umsetzungsfenster, in dem Kontrollen belastbar sein müssen, bevor eine vollständige harmonisierte Normenabdeckung verfügbar ist. Der Digital Omnibus on AI, angenommen am 29. Juni 2026, hat den Hochrisiko-Termin für Anhang III auf den 2. Dezember 2027 verschoben. Das verlängert dieses Fenster und ändert nichts daran, was darin aufgebaut werden muss. Dieser Artikel erläutert das zeitliche Risiko und wie Sie ein glaubwürdiges Compliance-Programm auf Basis der neuen Termine aufsetzen.
Das Datum ist der 2. Dezember 2027 – mit wichtigen Ausnahmen
Die meisten Hochrisiko-KI-Pflichten gelten ab dem 2. Dezember 2027 für eigenständige Systeme nach Anhang III und ab dem 2. August 2028 für Hochrisiko-KI, die in Produkte nach den Rechtsvorschriften in Anhang I eingebettet ist. Beide Termine setzt der Digital Omnibus on AI: Das Europäische Parlament hat den Text am 16. Juni 2026 gebilligt, der Rat hat ihn am 29. Juni 2026 angenommen. Teams sollten diese Daten als operativen Ankerpunkt einplanen und dabei die festgelegten Ausnahmen sowie frühere Anwendungszeitpunkte der Verordnung berücksichtigen. Die Transparenzpflichten nach Artikel 50 gelten weiterhin ab dem 2. August 2026, sodass Offenlegung und Kennzeichnung von Inhalten beim ursprünglichen Termin bleiben.
Eine häufig übersehene Nuance: Bestimmte produktbezogene Hochrisiko-Klassifizierungselemente gelten erst zu einem späteren Zeitpunkt (einschließlich der Auswirkungen von Artikel 6 Absatz 1 im gestuften Anwendungsregime). Deshalb erfordern Compliance-Roadmaps eine präzise rechtliche Datenzuordnung – nicht einzeilige Zeitplanannahmen.
Für den grundlegenden Kontext stimmen Sie Ihren rechtlichen Kalender mit dem Text der KI-Verordnung und Ihrer rollenspezifischen Auslegung aus dem Leitfaden für Anbieter/Betreiber ab.
Warum die Normungsarbeit unter Druck steht
Die Normungsarbeit im Rahmen von CEN/CENELEC JTC 21 ist umfassend und interdependent. QMS, Risikomanagement, Vertrauenswürdigkeit, Cybersicherheit, Konformitätsbewertung und Data-Governance-Ergebnisse beeinflussen sich gegenseitig.
Öffentliche Updates von CEN-CENELEC und der Normungsseite der Europäischen Kommission zeigen sowohl Fortschritte als auch Zeitdruck.
Dies ist kein Versagen der Normung, sondern die vorhersehbare Folge davon, komplexe länderübergreifende Konsensarbeit in ein kurzes regulatorisches Zeitfenster zu pressen.
Die Compliance-Lücke, die Sie managen müssen
Wenn harmonisierte Normen noch nicht im Amtsblatt zitiert sind, entfällt für Organisationen der einfachste Weg zur Konformitätsvermutung. Sie müssen sich dann auf dokumentierte Alternativmaßnahmen, interne Konformitätslogik und evidenzbasierte Begründungen stützen.
Das blockiert die Marktaktivität nicht, erhöht aber die Beweislast für Anbieter und führt zu größerer Variation in der Art und Weise, wie Behörden die Umsetzungsqualität in den einzelnen Mitgliedstaaten bewerten.
- Stärkerer Fokus auf die Qualität der technischen Dokumentation und Rückverfolgbarkeitsnachweise
- Höherer Bedarf an expliziter Begründung bei Verwendung nicht harmonisierter Kontrollen
- Größere Bedeutung reproduzierbarer interner Prüfungen und Entscheidungsprotokolle
- Stärkere Prüfung von Rollengrenzen und dem Umgang mit wesentlichen Änderungen
Beschleunigungsmechanismen sind real – aber keine Strategie
CEN/CENELEC hat beschleunigte Verfahren signalisiert, bei denen die Veröffentlichung ohne separate formelle Abstimmung erfolgen kann, wenn die Enquiry-Abstimmung positiv ausfällt. Das ist eine nützliche Verfahrensflexibilität, aber keine Garantie für sofortige Rechtssicherheit.
Teams sollten Beschleunigungsupdates als Aufwärtspotenzial betrachten, Budgets und Personalplanung aber so aufstellen, als müssten sie eine Phase mit unvollständiger Normenabdeckung durchlaufen.
Umsetzungsplan bis zum 2. Dezember 2027
Das praktische Modell ist ein Zwei-Spur-Ansatz: Implementieren Sie die rechtlich vorgeschriebenen Kontrollen jetzt und bereiten Sie sich gleichzeitig darauf vor, harmonisierte Normen nach deren Zitierung zügig zu übernehmen. Die sechzehn zusätzlichen Monate verschieben die Frist. Der Umsetzungsaufwand bleibt gleich.
- Spur A: Aufbau der rechtlich vorgeschriebenen Kontrollen (Artikel 9–15 sowie Artikel 17 QMS) mit auditierbaren Nachweisen
- Spur B: Pflege von Normen-Delta-Maps zur schnellen Übernahme, sobald die Texte finalisiert sind
- Spur C: Führung einer Watchlist für nationale Behörden hinsichtlich Konsultationen und geänderter Leitlinien
- Spur D: Monatliche Governance-Reviews mit Verknüpfung zu Launch- und Release-Gates
Häufig gestellte Fragen
Sollten wir mit der Umsetzung von Kontrollen warten, bis alle Normen finalisiert sind?
Nein. Abwarten erzeugt Fristrisiken. Bauen Sie Ihre Kontrollen jetzt auf Basis der gesetzlichen Anforderungen auf und pflegen Sie einen Normen-Delta-Prozess, um finalisierte harmonisierte Texte bei Verfügbarkeit zügig zu übernehmen.
Können gemeinsame Spezifikationen harmonisierte Normen ersetzen?
In bestimmten Einzelfällen möglicherweise, aber Organisationen sollten nicht von einer breiten Ersetzung ausgehen. Erstellen Sie einen primären Plan auf Grundlage der direkten gesetzlichen Verpflichtungen und robuster Umsetzungsnachweise.
Was sollten Führungsteams monatlich verfolgen?
Verfolgen Sie den Fortschritt bei Kontrollen, offene rechtliche Auslegungsfragen, die Nachweisqualität, Ausnahmen bei Release-Gates sowie Normenstatusupdates von CEN/CENELEC und nationalen Stellen.
Die wichtigsten Erkenntnisse
Die tragfähige Haltung bis 2027 ist eine gestufte Umsetzung: rechtliche Compliance jetzt, Normenübernahme bei Finalisierung und eine Nachweisqualität, die einer behördlichen Prüfung standhält.