Die Europäische Union steuert auf eine Ausweitung der Meldepflichten sowie auf neue Anpassungen bei den Compliance-Fristen für Entwickler und Anwender von Systemen mit Künstlicher Intelligenz zu. Am 23. Oktober 2026 zeichnete sich dieser regulatorische Kurs weiter ab, während die europäischen Institutionen parallel die Durchsetzung bestehender Vorgaben vorantreiben und an der Abstimmung verfahrensrechtlicher Details arbeiten.
Rat legt Verhandlungsposition zum Digital Omnibus fest
Einen wesentlichen Schritt bei der Überarbeitung des bestehenden Rahmens markierte die Einigung im Rat der Europäischen Union. Unter irischer Präsidentschaft verständigte sich das Gremium am 21. Oktober 2026 auf sein Mandat für die anstehenden Trilog-Verhandlungen mit dem Europäischen Parlament zum sogenannten Digital Omnibus.
Der Ratsentwurf sieht vor, die Definition personenbezogener Daten gemäß der Datenschutz-Grundverordnung beizubehalten, ergänzt diese jedoch um Klarstellungen zur Pseudonymisierung und zum Umgang mit sensiblen Daten bei biometrischen Verfahren sowie KI-Anwendungen.
Mit einem neuen Artikel 88 bis soll verankert werden, dass die Verarbeitung personenbezogener Daten für das Training und den Betrieb von KI-Systemen grundsätzlich auf ein berechtigtes Interesse gestützt werden kann. Ursprünglich von der Kommission vorgesehene Einschränkungen bezüglich ausdrücklicher Einwilligungen oder spezifischer Kinderrechtsabwägungen wurden im Ratsmandat gestrichen.
Stattdessen setzt der Rat auf allgemeine technische und organisatorische Schutzmaßnahmen sowie das bestehende Widerspruchsrecht. Die Datenschutzorganisation noyb kritisierte den Vorstoß des Rates als digitale Enteignung.
Ergänzend umfasst das Mandat des Rates Anpassungen im ePrivacy-Bereich, die weitere Ausnahmen von der Cookie-Einwilligungspflicht für Basisdienste, Reichweitenmessung und IT-Sicherheit vorsehen. Im Bereich der Cybersicherheit plädiert der Rat für nationale statt zentraler europäischer Meldewege.
Wer sich mit den neuen regulatorischen Anforderungen durch den EU AI Act befasst, benötigt eine klare Übersicht über alle anstehenden Pflichten. Dieser kostenlose Umsetzungsleitfaden hilft IT- und Rechtsabteilungen, die komplexen Fristen und Risikoklassen der KI-Verordnung kompakt zu verstehen. EU AI Act in 5 Schritten verstehen
Aufsichtsbehörden verschärfen Kontrollen und bieten Beratung
Während die Gesetzgebung verhandelt wird, greift die Aufsicht durch das europäische KI-Büro bereits im laufenden Betrieb. Die Behörde, deren Durchsetzungsbefugnisse für Allzweck-KI-Modelle seit August 2026 gelten, leitete Mitte Oktober 2026 erste formelle Schritte ein.
Am 13. Oktober forderte das KI-Büro nach Vorfällen mit Kontrollverlusten bei fortgeschrittenen Systemen Sicherheitsberichte von nicht namentlich genannten Entwicklern an, ohne jedoch einen Gesetzesverstoß festzustellen. Am 14. Oktober 2026 folgten offizielle Informationsersuchen an OpenAI und Anthropic infolge von Zwischenfällen bei Modelltests im vergangenen Sommer.
Flankierend startete die Europäische Kommission am 12. Oktober 2026 eine Konsultation zu künftigen Verfahrensregeln, die bis zum 9. November 2026 läuft. Zur Unterstützung betroffener Organisationen richtete die Kommission zudem einen AI Act Service Desk sowie eine zentrale Kontaktstelle für mehrsprachige Compliance-Auskünfte ein.
Darüber hinaus können über das Whistleblower-Tool der Behörde vertrauliche Meldungen zu Allzweck-KI und regulierten Systemen in allen EU-Amtssprachen eingereicht werden.
Angesichts der neuen EU-KI-Verordnung und drohender Bußgelder bei Verstößen ist eine proaktive Compliance-Strategie für Unternehmen unerlässlich. Ein kostenloser Report klärt auf, welche rechtlichen Pflichten und konkreten Bedrohungen Unternehmer jetzt im Blick behalten müssen. Kostenlosen Umsetzungsleitfaden zum EU AI Act anfordern
Zeitplan für Hochrisiko-Systeme verlangt Vorbereitung
Für Unternehmen bleiben die bereits im Frühjahr 2026 festgelegten Fristen für Hochrisiko-KI der zentrale Orientierungsrahmen. Eigenständige Hochrisiko-Systeme müssen die regulatorischen Kernanforderungen ab dem 2. Dezember 2027 erfüllen.
Für KI-Systeme, die als Sicherheitskomponenten in bereits anderweitig regulierte Produkte wie Maschinen oder Medizinprodukte eingebettet sind, greifen die Vorgaben ab dem 2. August 2028. Zugleich prüft das KI-Büro derzeit, inwieweit die praktische Konformitätsbewertung an die Fertigstellung harmonisierter europäischer Standards gekoppelt werden muss.
Branchenvertreter betonen die Notwendigkeit frühzeitiger technischer Anpassungen. Francisco Molero, Geschäftsführer von Confluent für Spanien und Portugal, hob hervor, dass die verbleibende Zeit eine geordnete Vorbereitung ermögliche.
Unternehmen sollten sich vorrangig auf den Aufbau eines vollständigen KI-Inventars, die lückenlose Rückverfolgbarkeit von Datenflüssen, kontinuierliches Monitoring nach Inbetriebnahme sowie die Einbindung in bestehende interne Kontrollsysteme konzentrieren.