EU verschiebt Hochrisiko-KI-Fristen – aber verschärft Transparenzpflichten für generative KI und Deepfakes

Während die großen KI-Aktien – allen voran Anbieter von Foundation Models wie OpenAI-Partner Microsoft, Alphabet, Meta, aber auch europäische Cloud- und SaaS-Werte – kurzfristig durch verschärfte Transparenzpflichten unter Margendruck geraten könnten, dürfte die Verschiebung der schärfsten Hochrisiko-KI-Regeln bis 2027 denselben Unternehmen operative Luft verschaffen. Gewinner sind vor allem regulierungserfahrene Tech-Konzerne und Compliance-Dienstleister, Verlierer eher kleinere KI-Start-ups ohne starken Rechts- und Governance-Apparat. Für Investoren stellt sich damit weniger die Frage, ob KI reguliert wird – sondern wer am schnellsten regulatorische Compliance in ein Geschäftsmodell-Vorteil verwandeln kann.

EU-AI-Act im Fluss: Was sich konkret verschiebt – und was schneller kommt als gedacht

Die EU hat mit dem Artificial Intelligence Act (AI Act) den weltweit ersten umfassenden Rechtsrahmen für KI vorgelegt. Das Gesetz ist am 1. August 2024 in Kraft getreten, entfaltet seine volle Wirkung aber erst gestaffelt über mehrere Jahre. Während Brüssel in offiziellen Verlautbarungen die historische Dimension betont, wird im politischen Feintuning nun deutlich differenziert: Hochrisiko-KI bekommt mehr Zeit – generative KI und Deepfakes stehen früher und härter im Fokus.

Die EU-Kommission beschreibt den AI Act als ersten umfassenden Rechtsrahmen, der KI nach Risiken klassifiziert und damit gleichzeitig Innovation und Grundrechtsschutz sichern soll. Zentrale Elemente:

• Verbotene KI-Praktiken (z. B. soziale Bewertung durch Staaten, bestimmte Formen biometrischer Massenüberwachung).
• Hochrisiko-KI-Systeme (z. B. in kritischer Infrastruktur, Gesundheitswesen, Bildung, Strafverfolgung) mit strengen Auflagen.
• Transparenzpflichten für bestimmte KI-Systeme, insbesondere generative Modelle und Deepfakes.
• Ein gestuftes Inkrafttreten mit Übergangsfristen, in denen Unternehmen sich technisch und organisatorisch auf das Regelwerk vorbereiten müssen.

Neu ist nun, dass die EU-Mitgliedstaaten die Anwendung der strengsten Vorgaben für Hochrisiko-KI nach hinten schieben, während Transparenzpflichten für generative KI früher greifen und präziser ausgestaltet werden.

Verschobene Fristen für Hochrisiko-KI: Dezember 2027 statt 2026

Die Mitgliedstaaten haben sich darauf verständigt, zentrale Vorschriften für besonders risikoreiche KI-Systeme erst Ende 2027 greifen zu lassen. Wie der Spiegel berichtet, sollen die Regelungen für Hochrisiko-KI damit rund 16 Monate später anwendbar sein als ursprünglich vorgesehen.

Das hat mehrere Gründe:

• Implementierungsrealität: Unternehmen signalisieren, dass die technischen und dokumentatorischen Anforderungen – etwa zur Daten-Governance, menschlichen Aufsicht und Risikomanagement – deutlich komplexer sind als zunächst angenommen.
• Institutionelle Vorbereitung: Nationale Aufsichtsbehörden, Konformitätsbewertungsstellen und das Europäische KI-Büro benötigen Zeit, um Verfahren, Personal und technische Prüfkapazitäten aufzubauen.
• Vermeidung eines Innovationsschocks: Zu schnelle und harte Hochrisiko-Regeln könnten Investitionen in sensible, aber gesellschaftlich wichtige Bereiche wie Gesundheit oder Verkehr aus Europa abziehen.

Mit dem Aufschub wird vor allem Betreibern von Systemen in Bereichen wie Medizintechnik, kritischer Infrastruktur oder autonomem Fahren eine kritische Verschnaufpause eingeräumt. Gleichzeitig setzt die EU damit de facto ein Signal: Hochrisiko-KI bleibt reguliert – aber nicht um den Preis einer abrupten Innovationsbremsung.

Die nationale Umsetzung: Deutschland schaltet auf Verwaltungspraxis

Parallel arbeitet die Bundesregierung an einem Gesetz zur Durchführung der KI-Verordnung, das Zuständigkeiten, Aufsicht und Sanktionsmechanismen in Deutschland konkretisiert. Dadurch entsteht zwischen EU- und nationaler Ebene ein zweistufiges Regulierungsnetz:

• Die EU-Verordnung definiert die materiellen Anforderungen an KI-Systeme.
• Das nationale Ausführungsgesetz regelt die behördliche Praxis – wer kontrolliert, wie sanktioniert wird und welche Meldewege gelten.

Für Unternehmen bedeutet das: Sie müssen nicht nur technische Vorgaben erfüllen, sondern sich früh mit den erwartbaren Prüfstandards der eigenen nationalen Behörden auseinandersetzen.

Beschleunigte Transparenzpflichten für generative KI und Deepfakes

Parallel zur Entzerrung bei Hochrisiko-KI zieht die EU an anderer Stelle das Tempo an – bei generativen Modellen, Chatbots und Deepfakes. Der AI Act sieht spezifische Transparenzpflichten für Systeme vor, die Inhalte erstellen, die leicht mit menschlichen Werken verwechselt werden können.

Das betrifft unter anderem:

• Große generative Modelle (Large Generative AI Models, darunter multimodale Systeme wie GPT-5.x, Claude, Gemini oder europäische Open-Source-Modelle).
• Plattformen mit generativen Features, etwa Social-Media-Dienste, Office-Suiten oder Multimedia-Tools.
• Deepfake-Erstellung und -Verbreitung, sobald biometrische Merkmale realer Personen betroffen sind oder Aussagen fälschlich einem Menschen zugeschrieben werden.

Bereits frühe Analysen des AI Acts, etwa im AI Act Explorer, weisen darauf hin, dass Transparenzanforderungen für generative KI nicht nur Kennzeichnung, sondern auch Dokumentation von Trainingsdaten, Modellarchitektur und Performance umfassen.

Neue Wissenspunkte: Was sich im Detail verschärft

In der Debatte rund um generative KI und Deepfakes kristallisieren sich mindestens drei neue, oft unterschätzte Aspekte heraus:

1. „Systemische“ generative KI unter besonderer Beobachtung

Die EU diskutiert eine Kategorie „systemischer“ KI-Modelle, also sehr leistungsfähiger Basismodelle mit potenziell weitreichenden gesellschaftlichen Auswirkungen. Für diese Modelle sind zusätzliche Pflichten vorgesehen, etwa:

• erweiterte Risikobewertungen in Bezug auf gesellschaftliche Stabilität, Wahlbeeinflussung oder Desinformation;
• stärkere Transparenzpflichten gegenüber Aufsichtsbehörden, etwa zur Offenlegung von Sicherheits- und Red-Teaming-Strategien;
• eine mögliche Meldepflicht für neu erkannte Gefahren, insbesondere bei Missbrauchsszenarien (z. B. bio- oder cyberphysikalische Risiken).

Das passt zu den Diskussionen, die bereits bei Modellen wie GPT-5.5-Cyber oder Claude Mythos geführt werden, weil sie autonome Zero-Day-Schwachstellen finden oder offensive Cyberfunktionen simulieren können – Themen, die im Beitrag OpenAI-Gegenstück zu Cyber-KI: Wie GPT-5.5-Cyber die EU-Debatte über gefährliche KI-Funktionen verändert bereits vertieft wurden.

2. Deepfake-Kennzeichnung wird zur Pflicht – auch für Plattformen

Die EU zieht eine klare Linie: KI-generierte oder -manipulierte Inhalte, die Menschen realistisch imitieren, müssen grundsätzlich gekennzeichnet werden. Das umfasst:

• Video-Deepfakes (politische Reden, gefälschte Interviews, vermeintliche Skandalszenen),
• synthetische Audioaufnahmen (Nachahmung von Stimmen),
• realistisch wirkende synthetische Bilder (z. B. fingierte Fotos von Ereignissen oder Personen).

Wichtig: Nicht nur die Ersteller von Deepfakes, sondern auch Verbreitungsplattformen – etwa soziale Netzwerke, Videoportale oder Messaging-Dienste mit öffentlicher Reichweite – geraten unter Druck, Erkennung und Kennzeichnung technisch zu unterstützen. Die Kennzeichnungspflicht wird damit nicht nur zu einer Nutzer-, sondern zu einer Infrastrukturaufgabe.

In unserem eigenen Blog haben wir im Artikel EU AI Act Article 50: Die neuen Transparenzrichtlinien der Kommission verpflichten zu Kennzeichnung von Chatbots und Deepfakes ab August 2026 bereits gezeigt, wie Artikel 50 der Verordnung konkret zu Watermarking, Labeling und automatisierten Hinweisen führen dürfte.

3. Transparenzpflichten für Chatbots und Agenten im Alltag

Neben spektakulären Deepfakes stehen auch ganz banale Alltagsanwendungen im Fokus. Chatbots, Voice-Assistenten und KI-Agenten müssen klar kenntlich machen, dass Nutzer mit einer Maschine interagieren. Das trifft zum Beispiel:

• KI-gestützte Kundenservices in Banken, Versicherungen oder E-Commerce,
• automatisierte Bewerbungs- und HR-Systeme,
• In-Car-Assistenten wie Googles Gemini im Auto oder Office-Agenten von Microsoft.

Gerade der Trend zu autonomen KI-Agenten – etwa in Produkten wie Microsoft Agent 365 und Copilot-Agenten oder „Co-Piloten“ im Fahrzeug – wird damit regulatorisch geerdet: Nutzer sollen jederzeit wissen, dass Entscheidungen, Vorschläge oder Handlungen algorithmisch generiert sind und unter Umständen Fehler enthalten.

EU-KI-Büro, KI-Fabriken und Omnibus-Verordnung: Infrastruktur für Regulierung und Innovation

Regulierung allein reicht nicht; die EU versucht parallel, eine eigene KI-Infrastruktur auszubauen. Laut der Europäischen Kommission wurde 2024 das Europäische KI-Büro eingerichtet, das für kohärente Umsetzung und Durchsetzung des AI Acts sorgen soll. Darüber hinaus wird an 19 „KI-Fabriken“ in 16 Mitgliedstaaten gearbeitet, die bis 2026 produktiv sein sollen. Sie bündeln:

• EU-Supercomputer,
• Datenressourcen,
• Trainingsinfrastruktur, Hochschulen und Start-ups,
• Humankapital für Forschung und Anwendung.

Parallel steht eine „digitale Omnibus-Verordnung“ in der Diskussion, die den AI Act praxisnäher machen soll. Ein KPMG-Papier skizziert, dass Unternehmen mit Erleichterungen bei Dokumentation und Meldepflichten rechnen können, sofern bestimmte Standards und Branchenlösungen etabliert werden. Die Idee: Weniger bürokratische Einzellösungen, mehr standardisierte Compliance-Bausteine für die Wirtschaft.

Reaktionen aus Wirtschaft und Zivilgesellschaft

Die Wirtschaftsreaktionen auf die Verschiebung der Hochrisiko-Fristen sind ambivalent – aber tendenziell positiv:

• Großunternehmen begrüßen die zusätzliche Zeit, um komplexe GRC-Strukturen (Governance, Risk, Compliance) auszubauen und Zertifizierungen vorzubereiten.
• KMU und Start-ups sehen die verlängerte Frist als Chance, MVPs und Pilotprojekte im Hochrisikobereich zu testen, bevor die volle Regulierung greift – fürchten aber, dass sie bis dahin von großen Playern überholt werden.
• Zivilgesellschaftliche Organisationen warnen davor, dass hochriskante Anwendungen – etwa algorithmische Polizeiarbeit oder automatisierte Sozialleistungsentscheidungen – nun länger mit geringerer Kontrolle laufen könnten.

Deutschlandfunk hebt in einem Hintergrundbericht hervor, dass der AI Act zwar seit August 2024 in Kraft ist, aber wegen der Übergangsfristen „frühestens in zweieinhalb bis drei Jahren Wirkung entfalten“ werde. EU-Kommissarin Vestager sprach bereits früher von einem freiwilligen KI-Verhaltenskodex, um die Zeit bis zur vollen Wirksamkeit der Gesetzgebung zu überbrücken. Genau diese Logik wiederholt sich nun im Verschieben der Hochrisiko-Fristen: Selbstregulierung soll einen Teil der Lücke füllen – verbunden mit der Hoffnung, dass die Industrie in dieser Zeit verantwortungsvoll agiert.

Auswirkungen auf Geschäftsmodelle: Wer profitiert, wer gerät unter Druck?

Strategisch betrachtet verschiebt sich das Spielfeld entlang zweier Achsen: Zeit und Transparenz.

Gewinner: Unternehmen, die Transparenz zur Marke machen

Unternehmen, die früh in erklärbare KI, Auditierbarkeit und Dokumentation investiert haben, sind im Vorteil. Dazu gehören:

• große Cloud-Anbieter, die „Trust Layer“ und Governance-Tools als Zusatzdienst verkaufen,
• SaaS-Anbieter, die ihren Kunden fertige AI-Compliance-Module liefern (z. B. Logging, Modellkarten, Risiko-Dashboards),
• Beratungen und Legal-Tech-Firmen mit Spezialisierung auf AI Act-Compliance.

Aktien von Unternehmen, die KI-Compliance-as-a-Service anbieten, dürften mittelfristig profitieren, weil Transparenzpflichten eine dauerhafte Nachfrage nach Tools und Services zur Dokumentation, Wasserzeichenerkennung, Prompt-Logging und Modell-Erklärung erzeugen.

Verlierer: Intransparente „Black-Box-KI“ ohne Governance-Story

Absehbar unter Druck geraten Anbieter, die:

• ihre Modelle als völlig intransparent positionieren („keine Auskünfte zu Trainingsdaten, Architektur, Sicherheit“),
• keine Ressourcen für Dokumentation, Governance und Auditierung aufbauen,
• sich primär über Geschwindigkeit und Feature-Fülle, nicht über Vertrauenswürdigkeit definieren.

Für börsennotierte Tech-Unternehmen wird „AI Governance“ damit zu einem Investorenthema. Analysten werden stärker fragen: Wie AI-Act-ready ist das Produktportfolio? Welche zusätzlichen Kosten entstehen? Wie lassen sich Transparenzanforderungen in differenzierende Features umwandeln?

Vor- und Nachteile für die gesamte Wirtschaft

Vorteile

• Vertrauensgewinn bei Kunden und Bürgern: Klar gekennzeichnete KI-Systeme und Deepfakes reduzieren Manipulationsrisiken und erhöhen die Akzeptanz von KI-gestützten Services. Das ist besonders wichtig in sensiblen Bereichen wie Gesundheit, Mobilität oder Finanzdienstleistungen.
• Rechtssicherheit für Investitionen: Der AI Act schafft einen berechenbaren Rahmen. Unternehmen können langfristig planen, welche technischen und organisatorischen Anforderungen zu erfüllen sind.
• Wettbewerbsvorteil „Made in Europe“: Europäische Firmen, die früh konforme, transparente KI-Lösungen anbieten, können dieses Qualitätslabel global vermarkten – ähnlich wie bei Datenschutz (GDPR).
• Innovationsfokus auf hochwertige Anwendungen: Der regulatorische Druck lenkt Kapital tendenziell in robustere, geprüfte Lösungen statt in „move fast and break things“-Experimente, die gesellschaftlich riskant sind.

Nachteile

• Erhöhte Compliance-Kosten: Dokumentation, Risikomanagement, Audits und Kennzeichnung erfordern zusätzlichen Capex und Opex. Für KMU kann das zur Markteintrittsbarriere werden.
• Regulatorische Unsicherheit in der Übergangszeit: Verschobene Fristen und parallel diskutierte Omnibus-Verordnungen erschweren die Planung – Unternehmen laufen Gefahr, zweimal implementieren zu müssen (erst nach Entwurf, dann nach finaler Klarstellung).
• Fragmentierungsrisiko: Wenn nationale Umsetzungsgesetze und Aufsichtspraktiken stark divergieren, droht ein Flickenteppich innerhalb der EU.
• Verzögerte Nutzung mancher Hochrisiko-Innovationen: Manche Unternehmen werden aus Vorsicht bestimmte Hochrisiko-Anwendungen vorerst nicht ausrollen, bis die regulatorische Linie völlig klar ist – ein potenzieller Wettbewerbsnachteil gegenüber Regionen mit laxer Regulierung.

In Summe ist die Bilanz für die europäische Wirtschaft dennoch eher positiv: Zwar steigen kurzfristig Kosten und Komplexität, dafür wird langfristig ein Markt für vertrauenswürdige KI geschaffen, der europaweit skaliert werden kann.

Aus Anlegersicht ist entscheidend, welche Unternehmen Transparenz- und Governance-Anforderungen in Produkte, Services und Markenkommunikation einbauen, statt sie nur als lästige Pflicht zu behandeln. Wer generative KI mit integrierter Kennzeichnung, Erklärbarkeit und Auditierbarkeit anbietet, wird nicht nur regulatorische Hürden leichter nehmen, sondern auch schneller Zugang zu sensiblen Branchen und öffentlichen Aufträgen erhalten. In den kommenden Jahren ist daher mit einem Konsolidierungsschub zu rechnen: kleine Anbieter ohne Compliance-DNA werden von größeren Playern mit starker Governance-Struktur übernommen oder aus dem Markt gedrängt. Die verschobenen Hochrisiko-Fristen geben allen Beteiligten etwas mehr Zeit – aber die härteren Transparenzpflichten für generative KI und Deepfakes machen klar, wohin die Reise geht: KI, die sich nicht erklären und kennzeichnen lässt, wird in Europa ein Nischenphänomen bleiben.