Der Flaschenhals der Wahrheit: Wenn Benannte Stellen fehlen und die Frist tickt — Teil 3 von 3

In einem Besprechungsraum bei Stuttgart, April 2026. Ein Compliance-Beauftragter sitzt vor einem genehmigten Budget von 150.000 Euro für die KI-Act-Zertifizierung. Die Dokumentation ist vollständig. Das Qualitätsmanagementsystem ist implementiert. Die Mitarbeiterschulungen sind dokumentiert. Das KI-System zur Erkennung von Materialermüdung in Automobilkomponenten ist technisch ausgereift, sicher getestet, bereit für den Markt. Doch es gibt ein Problem, das kein Geld lösen kann: Die nächste akkreditierte Benannte Stelle hat eine Wartezeit von 18 Monaten. Der Antrag wurde im Januar eingereicht. Die Antwort kam im März: „Wir können Ihren Fall frühestens Oktober 2027 bearbeiten.” Der 2. August 2026 — das Datum, an dem die Hochrisiko-Vorschriften des EU AI Act in Kraft treten — liegt in weniger als vier Monaten. Das Unternehmen ist compliant-bereit. Aber das System ist es nicht. Dies ist keine Ausnahme. Dies ist die Realität, mit der sich Hunderte von DACH-Unternehmen konfrontiert sehen.

Benannte Stellen (Notified Bodies) sind die autorisierten Drittorganisationen, die Konformitätsbewertungen für Hochrisiko-KI-Systeme durchführen dürfen. Ohne ihre Zertifizierung dürfen diese Systeme nicht auf dem EU-Markt in Verkehr gebracht werden. Sie sind das Scharnier zwischen Regulierung und Realität, zwischen Anspruch und Umsetzung. Doch dieses Scharnier knarrt. Anfang 2026 warnen Branchenverbände und Aufsichtsbehörden vor einer gravierenden Kapazitätslücke. Die Warteschlangen für Audits sind bereits jetzt monatelang. Die Gründe sind vielfältig: Unklare Qualifikationsanforderungen für Benannte Stellen, komplexe Akkreditierungsverfahren, hohe Kosten für die Bindung von Expertise. KI-Systeme erfordern spezialisiertes Wissen — technische, rechtliche und ethische Expertise in einer Person oder einem Team. Diese Expertise ist knapp. Und sie ist teuer. Viele potenzielle Zertifizierer zögern, die Akkreditierung zu beantragen, weil der Aufwand die erwarteten Einnahmen übersteigt. Das Ergebnis ist ein Engpass, der Innovation nicht aus Sicherheitsgründen verzögert, sondern aus administrativen.

Die historische Parallele ist unübersehbar. Bei der Umsetzung der Medizinprodukteverordnung (MDR) und der In-vitro-Diagnostika-Verordnung (IVDR) zeigte sich dasselbe Muster: Zu wenige Benannte Stellen, zu viele zu zertifizierende Produkte, zu lange Wartezeiten. Die Folge waren Lieferengpässe bei medizinischen Geräten, Verzögerungen bei der Markteinführung neuer Technologien, und am Ende Patienten, die auf Behandlungen warten mussten. Die EU-Kommission hat aus dieser Krise gelernt — theoretisch. Praktisch wiederholt sich das Muster. Der Unterschied ist, dass es diesmal nicht nur um Medizinprodukte geht, sondern um KI-Systeme in kritischen Infrastrukturen, in der Bildung, bei Beschäftigungsentscheidungen, in der Kreditvergabe, in der Strafverfolgung. Die Bandbreite ist größer. Die Dringlichkeit ebenfalls. Ein verzögertes KI-System zur Früherkennung von Netzhauterkrankungen ist nicht nur ein wirtschaftlicher Verlust. Es ist eine verpasste Chance, Leid zu verhindern. Hier kehrt sich die Vorsorge-Logik um: Zu viel Vorsicht bei der Zertifizierung kann selbst zum Schaden werden.

Die Analyse der Situation offenbart eine unbequeme Wahrheit: Regulierung ist nur so gut wie die Institutionen, die sie umsetzen. Der EU AI Act ist ambitioniert. Er setzt globale Maßstäbe. Er schützt Grundrechte. Doch all dies bleibt abstrakt, solange die Benannten Stellen fehlen, die Compliance bescheinigen sollen. Die Kapazitätskrise ist keine technische Panne. Sie ist eine politische Entscheidung — oder vielmehr das Ergebnis unterbliebener Entscheidungen. Die EU hätte frühzeitig in die Ausbildung von Auditoren investieren, Akkreditierungsverfahren straffen, Anreize für die Zertifizierer-Infrastruktur schaffen können. Stattdessen wurde die Umsetzung den Märkten überlassen. Die Folge ist ein Flaschenhals, der Unternehmen unterschiedlich trifft. Großunternehmen können warten. Sie haben die Ressourcen, um 18 Monate ohne neues KI-System zu überbrücken. Sie können die Compliance-as-a-Service-Startups bezahlen, die jetzt aus dem Boden sprießen und Pre-Audit-Dienstleistungen anbieten. Sie können sich die Big-Four-Beratungsfirmen leisten, die AI-Governance-Due-Diligence für €80.000 bis €250.000 pro Deal anbieten. KMU können dies nicht. Für sie ist die Wartezeit eine Existenzfrage. Die Verteilungsgerechtigkeit, die der AI Act schützen will, wird durch seine eigene Implementierungsstruktur untergraben.

Die DACH-Region ist besonders betroffen. Deutschland als Industrienation mit starkem Hochtechnologie-Sektor hat viele Unternehmen, die Hochrisiko-KI-Systeme entwickeln oder einsetzen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) akkreditiert Benannte Stellen, doch das Verfahren dauert. Österreich koordiniert über das Bundesministerium für Digitalisierung und Wirtschaftsstandort, hat aber ähnliche Kapazitätsgrenzen. Die Schweiz steht außerhalb des EU-Rahmens, doch Schweizer Unternehmen, die auf dem EU-Markt tätig sind, benötigen EU-Zertifizierungen. Sie konkurrieren um dieselben knappen Benannten Stellen wie ihre EU-Kollegen. Diese transnationale Konkurrenz um Zertifizierungskapazität schafft eine neue Form der Abhängigkeit: Nicht vom Kapital, nicht von der Technologie, sondern von der administrativen Infrastruktur eines Regulierungssystems. Die digitale Souveränität, die Europa anstrebt, wird an der Realität von Audit-Warteschlangen gemessen.

Die EU hat Vorschläge für einen „Stop-the-Clock”-Moratorium abgelehnt. Die August-2026-Frist bleibt formal bestehen. Doch das Digital-Omnibus-Paket könnte gezielte Verzögerungen für bestimmte Hochrisiko-Kategorien ermöglichen, falls harmonisierte Standards nicht rechtzeitig fertig werden. Diese Unsicherheit ist Gift für die Planungssicherheit, die Unternehmen benötigen. Einige Experten raten: „Warten Sie nicht auf eine Verzögerung. Der August 2026 ist real.” Andere verweisen auf die MDR-Erfahrung: Dort wurden Fristen mehrfach verschoben, als die Realität die Politik einholte. Welche Strategie ist rational? Compliance zum August 2026 anstreben und riskieren, dass die Zertifizierung nicht rechtzeitig kommt? Oder auf Verzögerungen hoffen und riskieren, bei einer plötzlichen Durchsetzungswelle als Nicht-Compliant zu gelten? Diese Unsicherheit ist selbst ein Compliance-Risiko. Und sie ist hausgemacht.

Die Menschenwürde-Perspektive stellt eine provokante Frage: Was geschieht, wenn Vorsorge zum Hindernis wird? Der AI Act folgt dem Vorsorgeprinzip — besser zu langsam zertifizieren als zu schnell Schaden zulassen. Doch wenn die Zertifizierungskapazität fehlt, werden sichere KI-Systeme nicht eingesetzt. KI zur Früherkennung von Krankheiten. KI zur Optimierung von Energienetzen. KI zur Vermeidung von Verkehrsunfällen. Diese Systeme sind nicht risikofrei. Aber ihr Nutzen kann ihr Risiko überwiegen. Wenn die Zertifizierung sie monatelang aufhält, wer trägt dann die Verantwortung für den verhinderten Nutzen? Die Benannte Stelle, die überlastet ist? Die EU, die nicht in Kapazität investiert hat? Das Unternehmen, das compliant ist aber nicht zertifiziert werden kann? Die Würde-Kaskade wirkt in beide Richtungen: Kontaminierte KI-Entscheidungen verletzen Würde. Aber verhinderte sichere KI-Entscheidungen können ebenfalls Würde verletzen — indem sie Menschen den Nutzen vorenthalten, der ihre Lebensumstände verbessern würde. Diese Dialektik wird im AI Act nicht adressiert.

Das Prinzip der Rechtsstaatlichkeit verlangt, dass Regeln nicht nur existieren, sondern auch anwendbar sind. Ein Gesetz, das institutionelle Kapazitäten voraussetzt, die nicht vorhanden sind, ist kein Rechtsstaat. Es ist Regulierungstheater. Die EU hat mit dem AI Act Maßstäbe gesetzt. Jetzt muss sie die Institutionen bauen, die diese Maßstäbe umsetzen. Sonst bleibt der AI Act, was er jetzt schon zu werden droht: ein Monument guter Absichten, das in der Praxis an seiner eigenen Ambition erstickt. Die Verantwortung (Verantwortung) für diese Situation ist diffus. Die Kommission verweist auf die Mitgliedstaaten. Die Mitgliedstaaten verweisen auf die Akkreditierungsstellen. Die Akkreditierungsstellen verweisen auf den Mangel an qualifiziertem Personal. Und die Unternehmen stehen in der Warteschlange. Diese Diffusion ist kein Zufall. Sie ist das Ergebnis komplexer Governance-Strukturen, die Verantwortung so verteilen, dass niemand sie tragen muss.

Die Nachhaltigkeitsfrage betrifft die langfristige Glaubwürdigkeit des europäischen Regulierungsmodells. Wenn Unternehmen erfahren, dass Compliance nicht an ihrem Willen scheitert, sondern an der Kapazität des Systems, dann verlieren sie das Vertrauen in die Regulierung. Wenn Innovation nicht aus Sicherheitsbedenken verzögert wird, sondern aus administrativen Engpässen, dann wird der AI Act nicht als Schutz wahrgenommen, sondern als Hindernis. Die Welt beobachtet. Und die Welt wird sehen, ob Europa nicht nur Regeln schreiben kann, sondern auch Institutionen bauen kann, die diese Regeln tragen. Die August-2026-Frist wird kommen. Die Frage ist, ob Europa bis dahin die Kapazität geschaffen hat, sie sinnvoll zu erfüllen. Sonst bleibt der AI Act, was er jetzt schon ist: ein Versprechen, das sich selbst einlösen muss — mit Warteschlangen.

Was bedeutet dies für die Leserinnen und Leser in Deutschland, Österreich und der Schweiz? Es bedeutet, dass sie frühzeitig handeln müssen. Warten Sie nicht auf den Juli 2026. Suchen Sie jetzt Kontakt zu Benannten Stellen. Dokumentieren Sie Ihre Bemühungen. Prüfen Sie, ob Sie von vereinfachten Verfahren für KMU profitieren können. Erwägen Sie Compliance-as-a-Service-Angebote, aber prüfen Sie deren Seriosität. Und verstehen Sie: Die Frist ist real, aber die Unsicherheit ebenfalls. Planen Sie für beide Szenarien. Es bedeutet auch, dass die Politik handeln muss — nicht mit weiteren Verschiebungen, sondern mit Investitionen in Kapazität. Die August-2026-Frist ist nicht das Problem. Die fehlenden Benannten Stellen sind es. Und diese zu schaffen, dauert länger als die verbleibenden Monate. Die Wahrheit ist unbequem: Europa hat sich übernommen. Nicht im Anspruch. In der Umsetzung. Und jetzt muss es die Konsequenzen tragen — oder den Mut haben, die Frist anzupassen, bevor die Realität es für ihn tut.