Mit der Zustimmung des Bundesrates zum KI-Durchf\u00fchrungsgesetz am 10. Juli 2026 sind die nationalen Weichen f\u00fcr die \u00dcberwachung von KI-Systemen gestellt. Gleichzeitig setzen knappe Fristen f\u00fcr technische Dokumentation und Meldewege die Compliance-Abteilungen unter Druck.<\/p>\n
Transparenzpflichten ab August<\/p>\n
Der EU AI Act sieht weitreichende Transparenzpflichten vor, die bereits ab dem 2. August 2026 greifen. F\u00fcr Hochrisiko-KI-Systeme gelten gestaffelte \u00dcbergangsfristen: bis Dezember 2027 f\u00fcr eigenst\u00e4ndige Tools und bis August 2028 f\u00fcr KI in regulierten Produkten.<\/p>\n
Die wirtschaftlichen Risiken bei Nichtbeachtung sind erheblich. Die Verordnung sieht Bu\u00dfgelder von bis zu 35 Millionen Euro oder sieben Prozent des weltweiten Jahresumsatzes vor.<\/p>\n
Cyber Resilience Act kommt im September<\/p>\n
Parallel dazu r\u00fcckt der Cyber Resilience Act (CRA) in den Fokus. Ab dem 11. September 2026 greift eine verbindliche Meldepflicht f\u00fcr Schwachstellen. Abgewickelt wird sie \u00fcber eine Plattform der EU-Agentur f\u00fcr Cybersicherheit (ENISA).<\/p>\n
Die Vorbereitung der Unternehmen ist jedoch mangelhaft. Laut einer ENISA-Umfrage vom Juni 2026 kennen zwar zwei Drittel der Firmen den CRA. Aber nur 13 Prozent haben ein tiefgehendes Verst\u00e4ndnis f\u00fcr die geforderte technische Dokumentation.<\/p>\n
Strukturelle L\u00fccken in der internen Kontrolle<\/p>\n
Die Implementierung erfordert klare Verantwortlichkeiten im Three-Lines-of-Defense-Modell (3LoD). F\u00fcr KI-Systeme ist eine strikte Trennung zwischen operativer \u00dcberwachung, Risikomanagement und unabh\u00e4ngiger Revision n\u00f6tig.<\/p>\n
Anzeige<\/p>\n
Wer die knappen Fristen des EU AI Act ab August 2026 im Blick behalten muss, findet in diesem Report die wichtigsten Compliance-Hebel \u2013 von der technischen Dokumentation bis zur 3LoD-Implementierung. Jetzt kostenlosen Report anfordern<\/a><\/p>\n In der Praxis zeigen sich jedoch strukturelle L\u00fccken. Besonders in kleineren Instituten besteht oft eine personelle Identit\u00e4t zwischen erster und zweiter Kontrolllinie \u2013 ein regulatorisches Risiko. Fachleute warnen zudem vor \u201eSchatten-KI\u201c, also Anwendungen au\u00dferhalb der offiziellen Governance-Strukturen.<\/p>\n Cyber-Risiken: Zugangsdaten im Visier<\/p>\n Ein weiterer Fokus liegt auf dem Schutz von Mitarbeiterdaten. Sicherheitsanalysen f\u00fcr 2026 zeigen: Anmeldedatenbezogene Angriffe sind mit 25 Prozent die h\u00e4ufigste Bedrohung in Deutschland.<\/p>\n Kritisch ist die Reaktionsgeschwindigkeit. Mehr als die H\u00e4lfte der befragten deutschen Unternehmen bemerkt den Missbrauch von Zugangsdaten erst nach mehreren Stunden. Angreifer nutzen zunehmend doppelte Erpressungsmodelle \u2013 das unterstreicht die Notwendigkeit robuster interner Zugriffskontrollen.<\/p>\n Internationale Entwicklungen<\/p>\n Auch international ver\u00e4ndert sich das Umfeld. In den USA signalisierte die B\u00f6rsenaufsicht SEC Anfang Juli 2026 eine zur\u00fcckhaltendere Rolle bei Streitigkeiten um Aktion\u00e4rsantr\u00e4ge. Folge: Unternehmen m\u00fcssen solche Konflikte verst\u00e4rkt intern l\u00f6sen.<\/p>\n Gleichzeitig fordern Wirtschaftsvertreter wie DIHK-Pr\u00e4sident Peter Adrian eine Reform der Genehmigungsverfahren. Baugenehmigungen dauern derzeit bis zu zw\u00f6lf Monate, Verfahren im Immissionsschutz oft \u00fcber zwei Jahre.<\/p>\n Anzeige<\/p>\n