Es gibt zwei Arten, auf Regulierung zu reagieren. Die erste: minimal erfüllen, Aufwand begrenzen, an die Rechtsabteilung delegieren. Die zweite: verstehen, dass Regulierung die Spielregeln eines Marktes neu ordnet, und dass derjenige gewinnt, der die neuen Regeln zuerst operativ beherrscht.
Beim EU AI Act entscheidet sich gerade quer durch Zentraleuropa, welche Organisationen welchen Weg wählen. Meine These, nach Jahren in Konzern-Verantwortung für AI-Koordination und Governance und aus der CETL-Arbeit mit Banken, Industrie und öffentlichem Sektor: Der AI Act belohnt strukturell genau die Fähigkeiten, die ohnehin über Erfolg oder Scheitern von KI-Initiativen entscheiden. Wer ihn als lästige Pflicht behandelt, zahlt doppelt, einmal für die Compliance und einmal für die verpasste Reife.
Was der AI Act wirklich verlangt
Jenseits der juristischen Details verlangt der AI Act von Organisationen, die KI-Systeme mit relevantem Risiko einsetzen, im Kern vier Dinge:
- Wissen, was man betreibt: ein vollständiges Inventar der eingesetzten KI-Systeme inklusive Risikoklassifizierung. Klingt trivial, ist es nicht. KI-Funktionalität kommt längst eingebettet in SaaS-Produkte, Fachbereichs-Tools und Schatten-IT ins Haus.
- Erklären können, wie es funktioniert: Dokumentation von Datengrundlagen, Modellverhalten und Entscheidungslogik in einer Tiefe, die einer Prüfung standhält.
- Menschen in der Verantwortung halten: wirksame menschliche Aufsicht, nicht als Feigenblatt, sondern als definierter Prozess mit qualifizierten Personen, die eingreifen können und dürfen.
- Kompetenz nachweisen: Artikel 4 verpflichtet Betreiber, für ausreichende AI-Kompetenz des Personals zu sorgen, das mit den Systemen arbeitet. Weiterbildung wird von der freiwilligen Investition zur regulatorischen Anforderung.
Wer diese Liste neben die Scheiternsmuster gescheiterter KI-Projekte legt, erkennt das Muster sofort: Es ist dieselbe Liste. Fehlendes System-Inventar, undokumentierte Datengrundlagen, unklare Verantwortlichkeiten und Kompetenzlücken sind exakt die Gründe, aus denen Piloten den Enterprise-Betrieb nie erreichen. Der Regulator verlangt nichts, was eine reife Organisation nicht ohnehin bräuchte.
Die Kostenasymmetrie zwischen früh und spät
Die Pflichten des AI Act treten gestaffelt in Kraft, und die anspruchsvollsten Anforderungen (insbesondere für Hochrisiko-Systeme) erreichen Organisationen jetzt und in den kommenden Monaten. Das eigentliche Problem ist aber nicht der Stichtag. Es ist die Vorlaufzeit: Belastbares Modellrisiko-Management, saubere Daten-Lineage und funktionierende Aufsichtsprozesse entstehen über Monate, in denen Systeme inventarisiert, Prozesse definiert, Zuständigkeiten verhandelt und Teams qualifiziert werden. Organisationen, die erst unter Prüfungsdruck beginnen, haben strukturell nur zwei Optionen: teuer improvisieren oder Systeme abschalten.
„Früh begonnene Governance kostet Projektbudget. Spät begonnene Governance kostet Handlungsfähigkeit.“
Drei strategische Fehler, die ich derzeit beobachte
Fehler 1: Der AI Act wird als reines Rechtsthema geführt
Die Rechtsabteilung kann Anforderungen interpretieren, sie kann keine Datenarchitektur umbauen, keine Evaluations-Pipeline aufsetzen und keine Aufsichtsprozesse in den Betrieb integrieren. AI-Act-Readiness ist zu großen Teilen ein Architektur- und Organisationsthema. Wo sie ausschließlich juristisch geführt wird, entstehen Papierberge ohne operative Substanz. Compliance-Theater, das der ersten ernsthaften Prüfung nicht standhält.
Fehler 2: Kompetenzaufbau wird auf E-Learning reduziert
Die Kompetenzpflicht des Artikel 4 lässt sich formal mit Klick-Schulungen bedienen. Aber der Regulator fragt im Ernstfall nicht nach Teilnahmequoten, sondern nach wirksamer Aufsicht, und wirksame Aufsicht setzt Personal voraus, das Systemverhalten tatsächlich beurteilen kann. Der Unterschied zwischen absolvierter Schulung und vorhandener Urteilskompetenz ist genau der Unterschied, der vor einer Aufsichtsbehörde trägt.
Fehler 3: Governance wird gegen Innovation ausgespielt
Das hartnäckigste Narrativ: Regulierung bremse die KI-Adoption. Die operative Realität zeigt das Gegenteil. Organisationen mit klaren Governance-Strukturen skalieren schneller, weil jede einzelne Initiative nicht mehr bei null verhandeln muss, was erlaubt, dokumentiert und verantwortet ist. Governance ist keine Bremse, sie ist die Fahrbahn. Ohne sie fährt jedes Projekt querfeldein.
Governance-Reife als Marktposition
Für regulierte Branchen kommt eine zweite Ebene hinzu: Banken, kritische Infrastruktur und öffentliche Auftraggeber werden AI-Governance-Nachweise zunehmend in ihre Lieferketten und Vergabekriterien durchreichen. Wer heute prüffähige Strukturen aufbaut, ist morgen der Partner, der Ausschreibungen gewinnt, während Wettbewerber Fragebögen nicht beantworten können. Damit dreht sich die Logik: Governance-Reife ist nicht der Preis für die Teilnahme am Markt. Sie wird zum Differenzierungsmerkmal in ihm.
Wo anfangen
Der pragmatische Einstieg folgt in meiner Erfahrung drei Schritten:
- Inventar und Risiko-Triage: Vollständige Erfassung aller KI-Systeme (inklusive eingebetteter und eingekaufter) mit erster Risikoklassifizierung. Ohne diese Landkarte ist jede weitere Maßnahme Spekulation.
- Gap-Analyse gegen die eigene Zielarchitektur: Nicht gegen den Gesetzestext, sondern gegen die Frage: Welche Governance-Struktur bräuchten wir, um unsere KI-Ambitionen sicher zu skalieren? Der AI Act ist dann eine Teilmenge davon.
- Kompetenzaufbau auf beiden Ebenen: Urteilskompetenz in Führung und Aufsicht, operative Kompetenz in den Teams, die Systeme betreiben und überwachen, mit messbarem Transfer statt Teilnahmezertifikaten.
Der AI Act stellt Organisationen vor eine Wahl, die keine ist: Die Fähigkeiten, die er verlangt, sind dieselben, die aus KI-Investitionen Wertschöpfung machen. Die Frage ist nur, ob man sie unter Druck aufbaut, oder mit Vorsprung.
