Das Datum, um das herum die meiste Compliance-Arbeit zur KI-Verordnung geplant wurde, der 2. August 2026, kam ohne die Pflichten, auf die sich alle vorbereitet hatten. Sechs Tage zuvor hatte die Verordnung (EU) 2026/1744 - der Digital Omnibus zur KI, am 24. Juli 2026 im Amtsblatt veröffentlicht und seit dem 27. Juli in Kraft - den Anwendungsbeginn für eigenständige Hochrisikosysteme nach Artikel 6 Absatz 2 und Anhang III auf den 2. Dezember 2027 verschoben, und für KI als Sicherheitsbauteil eines regulierten Produkts auf den 2. August 2028. Als Grund wurde genannt, dass die harmonisierten Normen nicht fertig seien. Artikel 26, in dem die Pflichten der Betreiber stehen, liegt genau in dem Block, der verschoben wurde.
Pünktlich kam Artikel 50, daneben ein Artikel 4, der seit dem 2. Februar 2025 ohnehin schon galt und den der Omnibus sechs Tage vorher umgeschrieben hat. Keiner von beiden fragt danach, ob Ihre KI hochriskant ist. Die Arbeit, die diese beiden Artikel erzeugen, ist ein Asset-Inventar und eine Aufbewahrungsregel für Logs - zwei Artefakte, die Ihre Evidence-Pakete für NIS2 und ISO 27001 zur Hälfte bereits enthalten. Niemand muss ein Modell klassifizieren, um eines von beiden zu erstellen.
Fast jedes Infrastruktur-Team ist Betreiber und nicht Anbieter: Sie setzen KI-Systeme in eigener Verantwortung beruflich ein, haben aber keines entwickelt und Ihren Namen darauf gesetzt. Das macht den Pflichtenkatalog kleiner, als die meisten Compliance-Anbieter suggerieren, und deutlich größer als nichts.
Betreiberpflichten der KI-Verordnung, und der Artikel, der Sie zum Anbieter macht
Artikel 25 Absatz 1 macht aus einem Betreiber einen Anbieter, mit dem vollen Pflichtenkatalog aus Kapitel III im Gepäck, und zwar in drei Fällen: Sie setzen Ihren eigenen Namen oder Ihre Marke auf ein Hochrisikosystem, das bereits auf dem Markt ist, Sie nehmen eine wesentliche Änderung an einem Hochrisikosystem vor, das hochriskant bleibt, oder Sie ändern die Zweckbestimmung eines KI-Systems - auch eines mit allgemeinem Verwendungszweck - so, dass es hochriskant wird. Der dritte Fall trifft Plattform-Teams, ohne dass jemand ein Modell anfasst: Einen Assistenten mit allgemeinem Verwendungszweck an eine Entscheidung zu hängen, die Anhang III auflistet, ist eine Zweckänderung, und der Papierkram danach ist nicht der Papierkram, den Sie eingeplant hatten. Diese Umwandlung läuft auf derselben verschobenen Uhr, ist also eine Design-Randbedingung für das, was Sie 2027 verdrahten, und keine Pflicht von heute.
Die Bußgeldzahl aus den Schlagzeilen gehört jemand anderem. Artikel 99 setzt verbotene Praktiken nach Artikel 5 bei bis zu 35 Millionen EUR oder 7 % des weltweiten Jahresumsatzes an. Verstöße gegen die Pflichten der Akteure, wo Artikel 26 und Artikel 50 zu Hause sind, liegen bei höchstens 15 Millionen EUR oder 3 %, und die Irreführung einer Behörde bei 7,5 Millionen EUR oder 1 %. Artikel 99 Absatz 6 dreht die Formel für KMU und Start-ups dann um und deckelt die Geldbuße auf den jeweils niedrigeren statt den höheren der beiden Werte.
Das KI-Inventar ist das Artefakt, auf dem alles andere steht
Eine IAPP-Analyse vom 6. Mai 2026 listet fünf Dinge auf, die Betreiber auf Nachfrage nicht vorlegen können: ein Register der KI-Systeme, eine schriftliche Begründung, wie jedes System eingestuft wurde, menschliche Aufsicht, dokumentiert als etwas anderes als ein Organigramm, eine Aufbewahrungsregel, die konkrete KI-Systeme benennt, und eine definierte Schwelle für Eskalation oder Abschaltung bei Vorfällen. Jedes dieser fünf Dinge baut ein Infrastruktur-Team, und vier davon sind ohne das erste unmöglich. Ein Register der KI-Systeme schreibt man gegen ein Maschinen-Inventar, und Sencai baut diese zweite Liste, indem es die Konten selbst ausliest - über elf Cloud-Provider hinweg und über die On-Premise-Hardware, die ein Host-Agent erreicht -, sodass sie vom Lauf datiert ist und nicht von demjenigen, der sie zuletzt bearbeitet hat.
Schatten-KI ist der Punkt, an dem das Register kippt, und sie hat einen Preis. IBMs Cost of a Data Breach Report 2025 fand, dass eine von fünf untersuchten Organisationen einen Vorfall meldete, an dem KI beteiligt war, die niemand genehmigt hatte, und dort, wo Schatten-KI stark im Spiel war, lagen diese Vorfälle rund 670.000 USD über dem globalen Mittel von 4,44 Millionen USD. Der gesetzliche Zusammenhang ist direkt: Artikel 50 verlangt von Ihnen offenzulegen, dass eine Person es mit einem KI-System zu tun hat, und ein System, von dem Sie nicht wissen, dass es läuft, können Sie nicht offenlegen.
Die Protokollpflichten der KI-Verordnung binden zwei Parteien an dieselben sechs Monate
Artikel 26 Absatz 6 verlangt von Betreibern, die automatisch erzeugten Protokolle eines Hochrisiko-KI-Systems, soweit sie in ihrer Kontrolle liegen, für einen der Zweckbestimmung angemessenen Zeitraum aufzubewahren, mindestens aber sechs Monate, sofern Unionsrecht oder nationales Recht nichts anderes bestimmt. Artikel 19 legt Anbietern die spiegelbildliche Pflicht mit derselben Untergrenze von sechs Monaten auf, sodass die Zahl zweimal in der Verordnung steht - bei zwei Parteien, von denen jede annehmen wird, die andere halte die Aufzeichnung vor.
Artikel 12 Absatz 3, geschrieben über biometrische Identifizierung, ist für jeden, der ein Log-Format entwirft, der nützlichste Absatz der ganzen Verordnung. Er nennt Datum und Uhrzeit von Beginn und Ende jedes Verwendungszeitraums, die abgeglichene Referenzdatenbank, die Eingabedaten, die zu einem Treffer geführt haben, und die Identität der Personen, die das Ergebnis überprüft haben. Liest man ihn als Spezifikation statt als Regel über Biometrie, beschreibt er, was eine belastbare Log-Zeile enthält: wann, wogegen, auf welcher Eingabe und in wessen Auftrag.
Derselbe Audit-Trail beantwortet NIS2 und ISO 27001
Nichts davon ist neue Nachweisarbeit, wenn Sie ohnehin unter NIS2 fallen. Die Richtlinie musste bis zum 17. Oktober 2024 umgesetzt werden und lässt bei erheblichen Sicherheitsvorfällen eine dreistufige Uhr laufen: eine Frühwarnung innerhalb von 24 Stunden, eine vollständigere Meldung innerhalb von 72, ein Abschlussbericht innerhalb eines Monats. Diese Uhr einzuhalten ist eine Rekonstruktionsübung, und das ist ein Log-Problem. ISO/IEC 27001:2022 enthält die passenden Controls seit ihrer Veröffentlichung: Anhang A 8.15 zum Erzeugen, Speichern und Schützen von Logs, 8.16 zum Überwachen auf auffälliges Verhalten. ISO/IEC 42001:2023, die am 18. Dezember 2023 veröffentlichte Norm für KI-Managementsysteme, ist noch keine harmonisierte europäische Norm - eine Zertifizierung danach kauft Ihnen also eine glaubwürdige Antwort gegenüber einem Kunden und keine Konformitätsvermutung nach der Verordnung.
Diese Überschneidung ist das Argument dafür, eine KI-gestützte Aktion wie jede andere Änderung zu protokollieren, statt eine zweite KI-Governance-Aufzeichnung aufzubauen, die bis zum zweiten Quartal veraltet ist. Sencai nimmt das wörtlich: Eine Maßnahme, die ein Modell vorgeschlagen und ein Mensch freigegeben hat, liegt neben einer Firewall-Regel, die jemand von Hand bearbeitet hat, und Updates und Deletes werden von der Storage-Ebene abgelehnt statt per Richtlinie missbilligt. Liest man Artikel 26 Absatz 6 gegen dieses Design, wird sein Sinn schärfer. Sechs Monate Logs sind nur dann sechs Monate Nachweis, wenn die Aufbewahrung eine Eigenschaft des Speichers ist; eine Aufzeichnung, die ein Operator im vierten Monat still bearbeiten kann, hat eine Aufbewahrungsregel so, wie eine aufgekeilte Tür ein Schloss hat.
Der Lieferantenfragebogen kommt lange vor dem Regulator
Ihre Kunden fallen ebenfalls in den Anwendungsbereich, und deren Compliance-Programm erreicht Sie als Dokumentenanforderung, Monate bevor irgendein Regulator es tut. Die Fragen sind immer dieselben: welche Modellanbieter unsere Daten verarbeiten, wann sie eingeschaltet werden, mit welcher Aufbewahrungsfrist, und was verhindert, dass die Nutzung davonläuft. Drei der vier Fragen lassen sich aus einem Dokument beantworten, das man einmal schreibt und veröffentlicht - genau so beantworten wir sie. Die vierte sperrt sich dagegen, denn eine wahrheitsgemäße Antwort braucht eine Zahl, keinen Absatz: unsere ist ein Budget pro Person mit einer festen Obergrenze, die einzige Form, die ein Kunde anhand einer Rechnung prüfen kann. Eine Liste der Subprozessoren nennt Unternehmen; ob das Nennen reicht, entscheiden Ihr AV-Vertrag und Ihre eigene Einstufungsbegründung.
Was zuerst gebaut wird, und was bis 2027 warten kann
Fangen Sie mit dem Register an: Artikel 50 bindet heute, und alles Spätere hängt davon ab, dass Sie wissen, was Sie betreiben. Für die maschinenlesbare Kennzeichnung synthetischer Ausgaben aus generativen Systemen, die vor dem 2. August 2026 bereits auf dem Markt waren, läuft eine Übergangsfrist am 2. Dezember 2026 aus, und die Kennzeichnungspflichten für Deepfakes und für KI-erzeugte Texte zu Fragen von öffentlichem Interesse treffen den Betreiber, nicht den Anbieter, der Ihnen das Modell verkauft hat. Legen Sie dann die Aufbewahrung fest: Sechs Monate sind bei Hochrisikosystemen eine Untergrenze, kein Ziel, und sie werden mit einer Datenschutzregel kollidieren, die Sie längst geschrieben haben.
Artikel 4 kostet von den dreien am wenigsten. Der Omnibus hat ihn abgeschwächt: Aus dem Sicherstellen eines ausreichenden Maßes an KI-Kompetenz wurde das Ergreifen von Maßnahmen, die deren Entwicklung unterstützen, mit dem ausdrücklichen Zusatz, dass kein bestimmtes Niveau bei einer einzelnen Person garantiert werden muss. Ein datierter Anwesenheitsnachweis für eine einstündige Schulung ist damit das billigste konforme Artefakt der ganzen Verordnung. Erledigen Sie diese Arbeit im Lauf des Jahres 2027, dann kommt der 2. Dezember mit einem geschriebenen Register und einer Aufbewahrungsregel, die auf die dort genannten Systeme bereits angewendet ist - statt im selben Monat entworfen zu werden, in dem diese Systeme in den Anwendungsbereich fallen. Das Register kommt trotzdem zuerst.