Stellen Sie sich einen Compliance-Beauftragten in einem mittelständischen Maschinenbauunternehmen in München vor. Es ist ein regnerischer Vormittag im Juli 2026. Vor ihm liegt eine Liste von Anforderungen, die aus den technischen Dokumentationen des EU AI Act hervorgegangen sind. Er hat die Checklisten durchgearbeitet, die internen Prozesse analysiert und die KI-gestützten Qualitätskontrollsysteme in der Produktion katalogisiert. Doch an einem Punkt bleibt er stecken: Der Zertifizierung durch eine „Benannte Stelle“ (Notified Body). Er hat drei verschiedene Stellen kontaktiert; zwei haben nicht geantwortet, die dritte teilte ihm mit, dass ihre Kapazitäten für das aktuelle Quartal erschöpft seien und sie derzeit keine neuen Anträge für Hochrisiko-Systeme annehmen könnten. In genau vier Wochen, am 2. August 2026, tritt der AI Act in seiner Gesamtheit in Kraft. Das Gesetz ist da, die Fristen laufen, aber die Infrastruktur, die diese Gesetze in die Realität umsetzen soll, scheint in einer Art bürokratischem Vakuum zu schweben. Für den Compliance-Beauftragten fühlt sich das nicht wie rechtliche Sicherheit an, sondern wie ein administratives Tauziehen, bei dem die menschliche Sorgfalt gegen eine systemische Überlastung verliert.
Wir befinden uns im Juli 2026 an einem kritischen Wendepunkt der europäischen Digitalpolitik. Am 2. August tritt der EU Artificial Intelligence Act vollständig in Kraft – ein regulatorisches Monument, das darauf abzielt, Europa als globalen Vorreiter für „vertrauenswürdige KI“ zu positionieren. Die Architektur des Gesetzes ist ambitioniert: Ein risikobasierter Ansatz, der von einem totalen Verbot inakzeptabler Praktiken (wie dem Social Scoring) über strenge Auflagen für Hochrisiko-Systeme bis hin zu einfachen Transparenzpflichten für General-Purpose-AI reicht. In Deutschland wurde dieser Rahmen durch ein Durchführungsgesetz konkretisiert, das am 11. Juni 2026 vom Bundestag beschlossen wurde. Die Bundesnetzagentur (BNetzA) ist nun die zentrale Koordinierungsstelle, flankiert von einer neuen interministeriellen KI-Taskforce unter der Leitung des Digitalministeriums, die versuchen soll, das fragmentierte Zuständigkeitsgeflecht der verschiedenen Ministerien zu ordnen.
Doch hinter der glänzenden Fassade der legislativen Vollendung verbirgt sich ein tiefes Paradoxon. Während die Transparenzpflichten für Chatbots und die Verbote bestimmter KI-Praktiken nun unmittelbar greifen, gibt es eine massive Diskrepanz bei den Hochrisiko-Systemen. Durch das sogenannte „Digital Omnibus“-Paket wurden viele der weitreichendsten Verpflichtungen für diese Systeme bis Dezember 2027 verschoben – ein Zugeständnis an die schlichte Tatsache, dass die genannten „Benannten Stellen“ nicht in der notwendigen Zahl vorhanden oder zertifizierungsfähig sind. Wir erleben also eine Situation, in der das Gesetz zwar formell „gilt“, seine effektivsten Schutzmechanismen aber faktisch auf Eis liegen. Es ist ein Zustand des „Aufgeschoben, nicht aufgehoben“. Für Unternehmen in Deutschland, Österreich und der Schweiz (die aufgrund der extraterritorialen Wirkung des Gesetzes ebenfalls unter Druck stehen) bedeutet dies eine Phase der extremen Rechtsunsicherheit: Man muss bereit sein, darf aber die Instrumente zur Bestätigung dieser Bereitschaft oft gar nicht nutzen.
Die Analyse dieser Situation offenbart ein strukturelles Problem der europäischen Governance. Europa neigt dazu, regulatorische Ambitionen zu formulieren, bevor die Implementierungskapazitäten gesichert sind. Wir haben eine „Regulierungslücke“ geschaffen: Zwischen dem Anspruch des Gesetzes und der Fähigkeit der Behörden, dieses Gesetz durchzusetzen oder zu begleiten, klafft ein tiefer Graben. Besonders problematisch ist dies für den deutschen Mittelstand. Während Tech-Giganten aus den USA oder China über Heerscharen von Juristen verfügen, die jede Nuance des AI Acts analysieren, stehen KMU vor einer Wand aus Komplexität. In Österreich warnen Verbände bereits davor, dass die Kosten für eine vollständige Compliance – Schätzungen sprachen teils von fünfstelligen Beträgen pro System – existenzbedrohend wirken könnten, wenn nicht gleichzeitig massive staatliche Unterstützung bei der Zertifizierung erfolgt.
Interessanterweise spiegelt sich diese institutionelle Überlastung in einer wachsenden gesellschaftlichen Skepsis wider. Aktuelle Studien aus Deutschland zeigen ein faszinierendes Muster: Die Menschen nutzen KI-Tools im Alltag gerne – für die Effizienz, die Kreativität, die Geschwindigkeit –, aber sie weigern sich vehement, ihr das Sagen über ihre Lebensumstände zu überlassen. Es gibt einen tiefen Widerstand gegen automatisierte Entscheidungen in sensiblen Bereichen wie der Gesundheit, dem Wohnungsmarkt oder dem Rechtssystem. Hier kollidiert der technologische Optimismus mit einem kulturell tief verwurzelten Bedürfnis nach menschlicher Letztentscheidung. Die Bürger spüren instinktiv, dass eine „zertifizierte“ KI nicht zwangsläufig eine „gerechte“ KI ist. Wenn die Zertifizierungsprozesse selbst aufgrund von Kapazitätsmängeln beschleunigt oder oberflächlich durchgeführt werden, wird das Versprechen der „vertrauenswürdigen KI“ zu einer leeren Worthülle.
Aus der Perspektive des Hauses 7 müssen wir hier ansetzen: Die Frage ist nicht, ob die Checkliste abgehakt wurde, sondern ob die *Menschenwürde* (Menschenwürde) im Zentrum dieser Prozesse steht. Wenn ein Bürger in Wien einen automatisierten Ablehnungsbescheid erhält und zwar formell das Recht hat, eine menschliche Überprüfung zu verlangen, diese aber aufgrund von Personalmangel in der Verwaltung nur theoretisch existiert, dann ist die Würde des Menschen verletzt. Rechtsstaatlichkeit (Rechtsstaatlichkeit) bedeutet nicht die bloße Existenz eines Gesetzesbuches, sondern die Gewährleistung einer funktionierenden Prozedur, die den Einzelnen vor willkürlicher oder fehlerhafter Macht – ob staatlich oder algorithmisch – schützt.
Das aktuelle Dilemma des 2. August ist somit ein Symptom für eine tiefere Krise der Verantwortung (Verantwortung). Wir haben Verantwortung in Form von Gesetzen kodifiziert, aber wir haben die infrastrukturelle Verantwortung vernachlässigt. Ein Gesetz ohne funktionierende Aufsicht und Zertifizierung ist kein Schutzschild, sondern ein Papiertiger. Es besteht die Gefahr, dass Compliance zu einer rein formalen Übung wird – einem „Tick-the-Box“-Verfahren –, bei dem es nur noch darum geht, rechtliche Haftungsrisiken zu minimieren, anstatt tatsächlich sicherzustellen, dass KI-Systeme nicht diskriminieren oder Grundrechte verletzen. Wenn die Notwendigkeit der Geschwindigkeit (der Wettlauf gegen die USA und China) über die Gründlichkeit der Implementierung triumphiert, opfern wir genau jene Werte, die den EU AI Act ursprünglich legitimiert haben.
Wir müssen uns daher fragen: Wollen wir eine digitale Gesellschaft, in der „Compliance“ bedeutet, dass man ein teures Zertifikat an der Wand hat, oder wollen wir eine Gesellschaft, in der Algorithmen tatsächlich an der Würde des Menschen gemessen werden? Die kommenden Monate werden zeigen, ob Europa in der Lage ist, die Lücke zwischen legislativer Ambition und administrativer Realität zu schließen. Wenn nicht, riskieren wir, dass der AI Act als ein Projekt in die Geschichte eingeht, das zwar den richtigen Ton traf, aber an der eigenen bürokratischen Trägheit scheiterte.
Welche Garantien brauchen wir konkret, damit die „menschliche Aufsicht“, die der AI Act verspricht, nicht zu einer bloßen Formsache verkommt, sondern zu einem echten Korrektiv gegen algorithmische Entfremdung wird?