Mehrere Großgesetze treten zeitgleich in Kraft – und stellen Unternehmen vor enorme Herausforderungen. Besonders betroffen: Anbieter von Cloud-Diensten und KI-Systemen.
Bereits Anfang der Woche einigten sich EU-Kommission und Europäischer Datenschutzausschuss (EDPB) auf gemeinsame Leitlinien. Sie sollen die Überschneidungen zwischen Wettbewerbsrecht und DSGVO klären – vor allem bei dominanten Plattformen und Datenportabilität. Ein klares Signal: Die Regulierungsdichte nimmt rasant zu.
Anzeige
Die neuen EU-Vorgaben stellen viele Unternehmen vor komplexe Herausforderungen bei der Dokumentation. Dieser kostenlose Praxis-Leitfaden zeigt Ihnen in 5 Schritten, wie Sie Ihre DSGVO-Pflichten rechtssicher und ohne juristisches Vorwissen abhaken. In 5 Schritten DSGVO-konform: Jetzt kostenlosen Ratgeber sichern
KI-Gesetz: Strenge Regeln ab August 2026
Der zentrale Treiber der aktuellen Compliance-Welle ist das EU-KI-Gesetz. Es erreicht am 2. August 2026 seine volle Wirksamkeit. Das Gesetz führt ein abgestuftes Risikosystem ein:
Verbotene Praktiken sind bereits seit Februar 2025 untersagt
Anforderungen für allgemeine KI-Modelle gelten seit August 2025
Für Hochrisiko-Systeme kommen nun strenge Dokumentations- und Transparenzpflichten hinzu
Betroffen sind KI-Anwendungen in kritischer Infrastruktur oder im Personalwesen. Die Strafen sind happig: Bei verbotenen Praktiken drohen bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes.
Die praktischen Risiken unkontrollierter KI sind längst sichtbar. Branchenbeobachter berichten von einem Vorfall, bei dem ein KI-Agent aufgrund unbegrenzter API-Berechtigungen die gesamte Produktionsdatenbank eines Startups löschte – in Sekundenschnelle.
Anzeige
Da viele der neuen EU-KI-Pflichten bereits seit August 2024 greifen, ist schnelles Handeln für die Compliance-Abteilungen gefragt. Ein kostenloser Umsetzungsleitfaden bietet Ihnen jetzt den notwendigen Überblick über Fristen, Risikoklassen und konkrete Anforderungen des AI Acts. Kostenloses E-Book zum EU AI Act herunterladen
Digital Omnibus: Weniger Cookie-Banner, mehr Flexibilität
Parallel zum KI-Gesetz treibt die EU-Kommission die Digital-Omnibus-Initiative voran. Vorgeschlagen am 19. November 2025, soll sie Data Act, DSGVO und KI-Gesetz besser verzahnen. Die Kernpunkte:
Verlängerung der Meldefrist bei Datenschutzverstößen von 72 auf 96 Stunden
Einführung eines „berechtigten Interesses“ als Rechtsgrundlage für KI-Training mit personenbezogenen Daten
Wechsel von Cookie-Opt-in zu einem Opt-out-Modell – weniger lästige Banner
Der EDPB startete Mitte April 2026 zudem eine öffentliche Konsultation zu einem einheitlichen Datenschutz-Folgenabschätzungs-Formular. Ziel: Schluss mit den unterschiedlichen Anforderungen in den EU-Mitgliedstaaten.
NIS2 und Cyber Resilience Act: Deutschland zieht die Zügel an
Neben der KI-Regulierung verschärft sich auch der Fokus auf die Sicherheit von Cloud-Infrastrukturen. In Deutschland gilt die NIS2-Richtlinie seit dem 6. Dezember 2025. Sie betrifft rund 30.000 Unternehmen und verlangt umfassendes Risikomanagement sowie Meldepflichten.
Das Cyber Resilience Act (CRA) ist seit Ende 2024 teilweise in Kraft. Ab dem 11. September 2026 werden Meldepflichten für Software- und Hardware-Schwachstellen verbindlich.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) führte im April 2026 die „C3A“-Kriterien für Cloud-Souveränität ein. Ein wichtiger Schritt – und Teil einer breiteren Debatte über „KI-Souveränität“. Eine Kommission empfahl dem Staat, als „Ankerkunde“ für europäische KI-Infrastruktur aufzutreten. Sogar 10 Prozent des Sondervermögens Bundeswehr sollten in KI-Entwicklung und Rechenzentren fließen.
Bußgelder und Urteile: Behörden zeigen Härte
Die Aufsichtsbehörden machen Ernst. Im Februar 2026 verhängte die britische ICO eine Strafe von 14,7 Millionen Pfund gegen Reddit wegen Verstößen beim Kinderdatenschutz. Im März folgte eine gemeinsame Erklärung von ICO und Ofcom: Sie fordern robustere Altersverifikationstechniken statt bloßer Selbstauskünfte.
Auch der Europäische Gerichtshof (EuGH) sorgte für Klarheit:
Im Fall „Brillen Rottler“ (19. März 2026) entschied der EuGH: Datenauskunftsanträge können abgelehnt werden, wenn sie missbräuchlich sind.
Ein weiteres Urteil im März 2026 stellte klar: Schadensersatz nach DSGVO setzt tatsächlichen Schaden voraus – ein bloßer Verstoß reicht nicht.
In den USA expandiert die staatliche Regulierung weiter. Alabama verabschiedete am 17. April 2026 ein umfassendes Verbraucherdatenschutzgesetz – der 22. Bundesstaat mit einem solchen Rahmenwerk.
Shadow AI: Die heimliche KI-Nutzung boomt
Trotz der Regulierungswelle klafft eine Lücke zwischen KI-Nutzung und formaler Governance. Eine Forsa-Umfrage im Auftrag des TÜV-Verbands (Januar bis März 2026) zeigt:
56 Prozent der deutschen Unternehmen nutzen generative KI
Nur 29 Prozent haben eine schriftliche KI-Strategie
Gerade 27 Prozent schulen ihre Mitarbeiter formell
Die Folge: „Shadow AI“ breitet sich aus. Branchenberichten zufolge nutzen bis zu 70 Prozent der Angestellten wöchentlich KI-Tools – oft ohne Wissen der IT-Abteilung.
Neue Tools für automatische Compliance
Die Industrie reagiert. Am 27. April 2026 veröffentlichte Eye Security das Open-Source-Tool „complisec“. Es integriert DSGVO- und NIS2-Anforderungen direkt in KI-Agenten-Workflows – erkennt sensible Daten und dokumentiert Entscheidungsprozesse.
Am selben Tag griff die EU-Kommission direkt ein: Sie erließ eine vorläufige Anordnung nach dem Digital Markets Act (DMA). Google muss seine Android-APIs für konkurrierende KI-Assistenten öffnen – für fairen Marktzugang.
Ausblick: Die nächsten Meilensteine
Die kommenden Monate werden entscheidend. Zwar gelten die strengsten KI-Gesetzesregeln erst ab August 2026 – doch die Vorbereitung läuft jetzt:
Datenschutz-Folgenabschätzungen
Einrichtung nationaler Aufsichtsbehörden wie der Bundesnetzagentur
EU Digital ID Wallet bis Ende 2026
Vollständige Durchsetzung des Cyber Resilience Act bis Dezember 2027
Im Gesundheitssektor bereitet das Medizinregistergesetz (vom Bundeskabinett am 11. März 2026 verabschiedet) den Weg für verpflichtende Datenteilung zu Forschungszwecken – nach einem Opt-out-Modell. Es ist der Vorläufer des Europäischen Gesundheitsdatenraums (EHDS), der für 2029 geplant ist.
Für Unternehmen bedeutet das: Compliance ist kein Randthema mehr. Sie wird zum Kern der digitalen Marktteilnahme. Wer jetzt nicht handelt, riskiert nicht nur Bußgelder – sondern den Marktzugang in Europa.