Die Frist für das EU-KI-Gesetz mag sich verschieben, doch die Risiken im Zusammenhang mit Ihren KI-Daten warten nicht

Die anspruchsvollste Phase des EU-KI-Gesetzes ist für August 2026 vorgesehen, auch wenn Brüssel derzeit darauf hinarbeitet, diese auf 2027 zu verschieben. Für Sicherheits- und Datenschutzteams stellt dieses Datum eine Ablenkung dar. Die eigentliche Bewährungsprobe besteht darin, ob Sie erkennen können, dass die KI Ihre Daten bereits verarbeitet.

Derzeit macht in den Führungsetagen der Sicherheitsbranche eine beruhigende Geschichte die Runde. Das läuft folgendermaßen ab. Die strengsten Auflagen des EU-KI-Gesetzes waren ursprünglich für August 2026 vorgesehen; durch das „Digital Omnibus“-Paket werden sie nun auf Dezember 2027 verschoben, sodass etwas Spielraum entsteht. Die Hälfte dieser Geschichte entspricht der Wahrheit. Die Schlussfolgerung ist falsch.

Wie der aktuelle Stand der Zeitachse ist

Hier sehen Sie die genaue Darstellung. Das KI-Gesetz ist seit August 2024 in Kraft und wird schrittweise umgesetzt. Verbotene Praktiken und Pflichten im Bereich der KI-Kompetenz gelten seit Februar 2025. Seit August 2025 gelten die Vorschriften zur Governance sowie die Verpflichtungen im Bereich der allgemein einsetzbaren KI. Die Verpflichtungen für Systeme mit hohem Risiko sollten ursprünglich am 2. August 2026 in Kraft treten, und dieser Stichtag gilt auch heute noch als verbindlich. Der „Digital Omnibus“, auf den sich die EU-Institutionen grundsätzlich geeinigt haben, würde die Verpflichtungen im Zusammenhang mit hohen Risiken auf den 2. Dezember 2027 verschieben; er wird jedoch erst dann rechtskräftig, wenn er formell verabschiedet und veröffentlicht wurde. Bis es soweit ist, gilt weiterhin der August 2026. Die im Gesetz vorgesehenen Bußgelder betragen bis zu 35 Millionen Euro oder 7 % des weltweiten Umsatzes und gelten für Unternehmen außerhalb der EU, die KI-Produkte auf den EU-Markt bringen.

Es kann also sein, dass sich der Termin verschiebt. Beachten Sie, was sich nicht mitbewegt.

Das EU-KI-Gesetz tritt schrittweise in Kraft. Der August 2026 bleibt in Kraft, sofern nicht zuvor das „Digital Omnibus“-Gesetz formell verabschiedet wird.

Der Termin verschiebt sich, die Verpflichtung jedoch bleibt bestehen

Das KI-Gesetz ersetzt die DSGVO nicht. Beides gilt gleichzeitig für jedes KI-System, das mit personenbezogenen Daten in Berührung kommt, was bedeutet, dass Ihre bestehenden Datenschutzverpflichtungen von etwaigen Verzögerungen beim Zeitplan für Systeme mit hohem Risiko unberührt bleiben. Die bereits geltenden Verpflichtungen hinsichtlich KI-Kompetenz und KI-Governance setzen etwas voraus, das die meisten Organisationen derzeit noch nicht leisten können: ein klares und aktuelles Verständnis darüber, welche KI-Systeme im Unternehmen im Einsatz sind und auf welche Daten diese zugreifen können. Dokumentation, menschliche Kontrolle und Risikomanagement sind keine reinen Verwaltungsaufgaben. Es ist unmöglich, diese über Aktivitäten hinweg durchzuführen, die Sie nicht sehen können.

Das ist die Lücke, und sie vergrößert sich schneller als die Regulierung. Ganze 80 % der Fortune-500-Unternehmen setzen mittlerweile aktive KI-Agenten ein, doch nur 14 % verfügen über eine vollständige Sicherheitsfreigabe dafür. Agenten und KI-Tools greifen auf sensible Daten über Wege zu, die von herkömmlichen Kontrollmechanismen nie überwacht werden konnten: MCP-verbundene Arbeitsabläufe, kommerzielle Agenten, von Mitarbeitern erstellte Automatisierungen und „Schatten“-KI-Tools, die von niemandem genehmigt wurden. Datenverlust ist längst nicht mehr nur ein Problem, das auf Menschen zurückzuführen ist. Ein Beauftragter, der im Namen eines Mitarbeiters handelt, kann eine vertrauliche Datei innerhalb von Sekunden verschieben, und die meisten Sicherheitslösungen werden diesen Vorgang niemals protokollieren.

Wie diese Bereitschaft konkret aussieht

Aus diesem Grund ist es falsch, die Planung an der Frist auszurichten. Unabhängig davon, ob die risikoreichen Verpflichtungen im Jahr 2026 oder 2027 zum Tragen kommen – die Maßnahmen, die eine Organisation widerstandsfähig machen, sind dieselben, und sie müssen bereits jetzt in Angriff genommen werden.

Erstellen Sie zunächst eine aktuelle Bestandsaufnahme der eingesetzten KI – sowohl der genehmigten als auch der nicht genehmigten – und ordnen Sie diese den Daten zu, auf die sie zugreifen kann. Was man nicht sehen kann, kann man weder steuern noch darüber berichten noch dafür einstehen. Incydr wurde entwickelt, um Sicherheitsteams genau dort Transparenz zu verschaffen, wo Daten tatsächlich übertragen werden – über Endgeräte, Browser, SaaS-Anwendungen und KI-Tools hinweg –, und deckt dabei den gesamten Weg der Unternehmensdaten vom Eingang bis zum Ausgang ab.

Incydr bietet Transparenz vom Dateneingang bis zum Datenausgang über alle Pfade hinweg, die Agenten und KI-Tools zur Datenübertragung nutzen.

Zweitens: Übernehmen Sie schnell die Kontrolle. Die behördlichen Fristen sind knapp bemessen, und eine Umsetzung, die sich über mehrere Quartale erstreckt, ist keine Hilfe, wenn die Verpflichtung bereits in Kraft ist. Der Vorteil von Incydr gegenüber schwerfälligen DLP-Lösungen zur Inhaltsklassifizierung liegt in der Geschwindigkeit: Sie erhalten innerhalb weniger Tage aussagekräftige Einblicke, anstatt auf ein Programm warten zu müssen, das sich über mehrere Quartale erstreckt und dessen Wirksamkeit bereits verfallen ist, bevor es überhaupt Ergebnisse liefert.

Drittens: Beurteilen Sie die Absicht, nicht nur den Inhalt. Sowohl die Aufsichtsbehörden als auch die Wirtschaftsprüfer und Ihr eigenes Risikomodell legen Wert darauf, ob ein Risiko durch vorsätzliches Handeln, Fahrlässigkeit oder routinemäßige Handlungen entstanden ist. Tools, die sich ausschließlich auf den Inhalt konzentrieren, können Ihnen das nicht sagen. Incydr bewertet den Kontext rund um Datenbewegungen, sodass sich die Teams auf die Ereignisse konzentrieren können, die ein echtes Risiko bergen, anstatt jedem Fehlalarm hinterherzujagen.

Agenten übertragen dieses Problem auf neue Bereiche, und genau dorthin entwickelt sich diese Kategorie als Nächstes. Auf der RSAC 2026 stellte Mimecast das „Agent Risk Center“ vor, eine Erweiterung von Incydr, die darauf ausgelegt ist, Datenlecks zu erkennen, zu kontrollieren und zu beheben – unabhängig davon, ob die Handlung von einem Mitarbeiter oder einem in dessen Auftrag handelnden Beauftragten ausgeht. Das Prinzip steht im Einklang mit allem, was oben dargelegt wurde: eine einheitliche Sicht auf die Datenaktivitäten von Personen und Akteuren, messbare Governance und Korrekturmaßnahmen, die einen Befund mit einer Maßnahme verknüpfen. Dies ist die logische Antwort auf ein regulatorisches Umfeld, in dem zunehmend von Ihnen erwartet wird, dass Sie autonome Software genauso verbuchen, wie Sie Mitarbeiter verbuchen.

Die Teams, die bereit sein werden, sind nicht diejenigen, die den Trilog-Kalender im Auge behalten. Sie sind es, die den August 2026 als den Anstoß betrachten, der er ist – als Anlass, endlich zu erkennen, was die KI mit ihren Daten anstellt. Der Termin könnte sich verschieben. Die Berichterstattung ist bereits da.

Die Überbrückung der Lücke bei der KI-Bereitschaft beginnt mit einem „Proof of Value“ von Incydr

Ein 30-tägiger Proof of Value, der auf 50 bis 100 Nutzer in einer Abteilung mit hohem KI-Einsatz wie der Technik ausgerichtet ist, liefert bereits in der ersten Woche ein aussagekräftiges Bild. Am 30. Tag verfügen Sie über Belege, Kontrollmechanismen und ein Konzept zur Unternehmensführung, das Sie dem Vorstand und den Aufsichtsbehörden vorlegen können.