EU AI Act und US-Exekutivverordnung: der Fahrplan für Einkäufer

IT-Einkäufer, MSPs und Compliance-Verantwortliche, die die KI-Regulierung auf beiden Seiten des Atlantiks verfolgen, haben es mit zwei Systemen zu tun, die weder Zeitplan noch Geltungsbereich noch Grundkonzept teilen. Eine Verwechslung kann dazu führen, dass ein weiterhin zulässiges Projekt gestoppt wird oder eine Compliance-Aussage eines Anbieters akzeptiert wird, die nicht standhält. Dieser Leitfaden zeigt, wo der EU AI Act und die US-Exekutivverordnung zur KI mit Stand September 2026 tatsächlich stehen, was sich geändert hat und was vor einer Unterschrift zu prüfen ist.

Was in der EU bereits gilt

Die Transparenzpflichten des AI Act nach Artikel 50 — Offenlegungspflichten für Chatbots und Kennzeichnung KI-generierter Inhalte — gelten seit dem 2. August 2026, und das KI-Büro der Europäischen Kommission verfügt bereits über Durchsetzungsbefugnisse für die Pflichten von KI-Modellen mit allgemeinem Verwendungszweck, die ein Jahr zuvor in Kraft traten. Die verbotenen Praktiken nach Artikel 5 und die Pflichten zur KI-Kompetenz nach Artikel 4 gelten schon länger, seit Februar 2025. Daran hat das Digital Omnibus von 2026 nichts geändert.

Was sich 2026 geändert hat

Geändert hat sich der Zeitplan für Hochrisikosysteme. Das Digital Omnibus zur KI der EU, vom Europäischen Parlament am 16. Juni 2026 gebilligt und vom Rat am 29. Juni 2026 bestätigt, hat die materiellen Hochrisiko-Pflichten verschoben. Eigenständige Systeme nach Anhang III — etwa in den Bereichen Beschäftigung, Bildung und Biometrie — gelten ab dem 2. Dezember 2027 statt ab August 2026, und produktintegrierte Systeme nach Anhang I verschieben sich auf August 2028.

Als Grund wird angegeben, dass die harmonisierten technischen Normen, die Hochrisikosystemen eine Konformitätsvermutung verschaffen sollen, noch nicht fertig waren. Der Inhalt der Regeln hat sich nicht geändert, nur der Zeitpunkt, ab dem sie greifen.

Was die US-Exekutivverordnung tatsächlich regelt

Die USA haben einen anderen Weg gewählt. Präsident Trump unterzeichnete die Executive Order 14409, „Promoting Advanced Artificial Intelligence Innovation and Security“, am 2. Juni 2026. Sie gilt für Bundesbehörden und nicht direkt für private Unternehmen und behandelt KI vor allem als Frage der Cybersicherheit und Innovation, nicht als risikobasiertes Compliance-Regime.

Die Verordnung verpflichtet die Behörden, die Cyberabwehr ziviler Bundessysteme innerhalb von 30 Tagen nach Unterzeichnung zu priorisieren, wobei die CISA entsprechende Leitlinien herausgibt, und richtet eine KI-Cybersicherheits-Clearingstelle ein — koordiniert vom Finanzministerium, der NSA und der CISA — für den Austausch von Schwachstellen- und Abhilfeinformationen zu KI-Systemen. Daneben schafft sie einen freiwilligen Rahmen, über den Entwickler „erfasste Frontier-Modelle“ der Regierung vor der Veröffentlichung zur Bewertung vorlegen können.

Die Verordnung schließt verpflichtende Lizenzierung ausdrücklich aus: Abschnitt 3(c) legt fest, dass nichts darin eine verpflichtende staatliche Lizenz-, Vorabgenehmigungs- oder Erlaubnispflicht für die Entwicklung, Veröffentlichung oder Verbreitung neuer KI-Modelle begründet. Das ist eine politische Zusage in dieser Verordnung, kein dauerhaftes rechtliches Verbot, da eine künftige Verordnung oder ein Gesetz eine solche Pflicht dennoch einführen könnte. Zudem fehlt ein Klassifizierungssystem nach Art von Anhang III sowie ein Gegenstück zu den EU-Pflichten für Betreiber von Hochrisikosystemen.

Was das für Einkäufer bedeutet

Die US-Position eines Anbieters unter der EO 14409 sagt nichts über dessen Vorbereitung auf den EU AI Act aus, und umgekehrt gilt dasselbe: Die beiden Regelwerke betreffen unterschiedliche Themen, unterschiedliche Akteure und unterschiedliche Zeitpläne. Für europäische IT-Verantwortliche hat die Verordnung keine unmittelbare Rechtswirkung, signalisiert aber das Umfeld, in dem US-KI-Anbieter tätig sind — freiwillige statt verpflichtende Prüfung vor der Veröffentlichung, wobei Cybersicherheitspflichten bei Bundesbehörden liegen und nicht bei den kommerziellen Produkten der Anbieter.

Es lohnt sich, nach Belegen für die Teilnahme eines Anbieters am freiwilligen Frontier-Modell-Rahmen zu suchen, statt anzunehmen, dies entspreche einer Prüfung nach dem EU AI Act. Wer bereits Nachweise für NIS2 und DORA sammelt, kann dieselbe Disziplin auf die Fristen des AI Act anwenden: Auris Comply bietet Unterstützung für NIS2/DORA-Compliance und Audit-Trails für genau diese Art von Dokumentation.

Was zu tun ist

Bevor eine Compliance-Aussage eines Anbieters als geklärt gilt, hilft eine kurze Checkliste:

• Nachfragen, welchen konkreten Artikel oder Anhang der Anbieter erfüllen will, und prüfen, ab welchem Datum diese Vorschrift tatsächlich gilt — manche EU-Fristen haben sich verschoben, andere nicht.
• Die Verschiebung von Anhang III auf Dezember 2027 als zusätzlichen Vorlauf behandeln, nicht als Befreiung: Die Transparenzpflichten nach Artikel 50 gelten bereits unabhängig davon, wann Anhang III greift.
• Bei US-Anbietern nachfragen, ob sie Modelle über den freiwilligen Frontier-Modell-Rahmen der EO 14409 geteilt haben, statt eine formale staatliche Prüfung zu unterstellen.
• Das Fehlen einer Lizenzpflicht in der US-Verordnung nicht als Beleg für EU-AI-Act-Konformität werten: Beide Texte regeln völlig unterschiedliche Fragen.
• Die EU- und die US-Zeitpläne in Verträgen und Prüfunterlagen getrennt führen, da eine Verschiebung auf der einen Seite die Fristen der anderen Seite nicht verändert.

Quellen: artificialintelligenceact.eu, Das Weiße Haus, Congressional Research Service.