Durchsetzung der KI-Verordnung der EU beginnt, während die Union digitale Souveränität anstrebt

Die Europäische Union KI-Verordnung wurde am 2. August 2026 vollständig durchsetzbar, was das Ende einer zweijährigen Umsetzungsfrist und den Beginn dessen markiert, was Brüssel als neues Modell für die Governance künstlicher Intelligenz hofft. Im Gegensatz zur Ära der sozialen Medien, in der Plattformen globale Dominanz erreichten, bevor Gesetzgeber reagierten, versucht die EU, generative KI zu regulieren, während sich die Technologie noch ausbreitet. Die Verordnung führt Transparenzregeln ein, die KI-Systeme verpflichten, offenzulegen, wenn Nutzer mit ihnen interagieren, und synthetische Inhalte, einschließlich Deepfakes, zu kennzeichnen. Sie etabliert auch ein Compliance-Regime, das durch ein deutlich erweitertes Europäisches KI-Büro und neue Meldekanäle für Hinweisgeber und Nutzer gestützt wird.

Durchsetzungsarchitektur nimmt Gestalt an

Das Europäische KI-Büro, angesiedelt innerhalb der Europäischen Kommission, wurde gemäß Berichten der Associated Press, bestätigt durch eigene Stellenlisten der Kommission, mit 38 neuen Einstellungen verstärkt. Das Büro umfasst nun Technologiespezialisten, Anwälte, Ökonomen, Politikexperten und Verwaltungspersonal, organisiert in Einheiten ranging von Regulierung und Compliance bis hin zu KI für das gesellschaftliche Wohl. Ihr Mandat deckt die Überwachung der Melde- und Dokumentationspflichten ab, die für Anbieter von Allgemeinzweck-KI-Modellen und Hochrisikosystemen gelten. Verstöße, nach denen sie suchen werden, umfassen die Veröffentlichung von sexuell explizitem synthetischem Material, gefälschten Fotos und Videos sowie Cyberbedrohungen für die öffentliche Infrastruktur. Die Verordnung definiert auch „systemische Risiken" breit und umfasst chemische, biologische, radiologische und nukleare Vorfälle, Kontrollverlust über autonome Systeme, offensive Cyberfähigkeiten, schädliche Manipulation und Bedrohungen für Grundrechte.

Zwei neue digitale Tools begleiten den Personalzuwachs. Ein Hinweisgebersystem ermöglicht Mitarbeitern von KI-Unternehmen, vertrauliche Berichte über Fehlverhalten einzureichen. Ein Compliance-Tool ermöglicht es Nutzern, vermutete Verstöße direkt zu melden. Beide sollen die eigene Aufsichtskapazität des Büros ergänzen, die im Verhältnis zur Anzahl der Unternehmen, die nun der Verordnung unterliegen, bescheiden bleibt. Die Kommission hat das Gesamtbudget des Büros nicht offengelegt, aber die 38 zusätzlichen Stellen stellen eine bedeutende Erweiterung für eine Behörde dar, die Anfang 2025 noch ihr Gründungsteam rekrutierte.

Deepfake-Betrug treibt Detektionsboom an

Der regulatorische Vorstoß fällt mit einem messbaren Anstieg KI-gestützter Betrugsfälle zusammen. Deepfake-Versuche sollen bis 2028 jährlich 334 Millionen überschreiten, laut Branchenschätzungen, die von der Kommission in ihrer Folgenabschätzung zitiert wurden. Ein gemeinsam von Biometric Update und Goode Intelligence veröffentlichter Bericht, „Der Markt für Deepfake-Betrugserkennung 2026: Sicherung der Identität im KI-Zeitalter", prognostiziert, dass Voice-Deepfake-Checks von über 2,88 Milliarden im Jahr 2026 auf über 5,45 Milliarden im Jahr 2028 steigen werden, während Face-Deepfake-Checks im gleichen Zeitraum von über 3,16 Milliarden auf über 6,78 Milliarden klettern werden. Der kombinierte Umsatz für Stimmen- und Gesichtserkennung soll von knapp über 3,02 Milliarden Dollar im Jahr 2026 auf über 6,12 Milliarden Dollar im Jahr 2028 wachsen, wobei die Stimmenerkennung allein 2,7 Milliarden Dollar und die Gesichtserkennung 3,39 Milliarden Dollar erreicht.

Diese Zahlen spiegeln einen Markt wider, der auf Notwendigkeit rather than Spekulation reagiert. Finanzinstitute, Grenzbehörden, Identitätsverifizierungsanbieter und Kommunikationsplattformen integrieren alle Deepfake-Erkennung in Onboarding- und Authentifizierungsabläufe. Die Kennzeichnungsvorgaben der KI-Verordnung für synthetische Inhalte schaffen einen weiteren Compliance-Treiber: Plattformen, die KI-generierte Medien hosten oder verbreiten, müssen nun Erkennungs- und Kennzeichnungstools implementieren oder sehen sich Strafen von bis zu 3 % des globalen Jahresumsatzes wegen Nichteinhaltung der Transparenzpflichten gegenüber.

Geldbußen signalisieren härteren Kurs bei digitaler Souveränität

In den Wochen um das Durchsetzungsdatum der KI-Verordnung herum hat die Kommission eine Reihe von Wettbewerbs- und Verbraucherschutzgeldbußen verhängt, die ihre Bereitschaft unterstreichen, sich mit nichteuropäischen Plattformen auseinanderzusetzen. Google erhielt eine Geldbuße von 1 Milliarde Dollar für Praktiken im Zusammenhang mit seinem Werbetech-Stack. AliExpress, der Alibaba gehörende Marktplatz, wurde mit 629 Millionen Dollar für Mängel beim Verkauf nicht konformer Produkte und unzureichende Händlerverifizierung belegt. Temu, der chinesische Discount-Einzelhändler, erhielt eine Geldbuße von 230 Millionen Dollar für ähnliche Verstöße gegen das Gesetz über digitale Dienste. Die drei Fälle sind in ihren Rechtsgrundlagen distinct, aber zusammen bilden sie ein Muster: Brüssel nutzt sein gesamtes regulatorisches Instrumentarium, Wettbewerbsrecht, das Gesetz über digitale Dienste, die KI-Verordnung, um festzustellen, dass der Zugang zum Binnenmarkt die Einhaltung europäischer Regeln erfordert, unabhängig vom Ursprung eines Unternehmens.

Dieser Ansatz hat diplomatische Konsequenzen. Die Vereinigten Staaten und China haben beide den regulatorischen Kurs der EU als protektionistisch kritisiert. Washington argumentiert, dass die kumulative Belastung durch das Gesetz über digitale Dienste, das Gesetz über digitale Märkte, die KI-Verordnung und das Daten-Gesetz amerikanische Unternehmen unverhältnismäßig stark betrifft. Peking betrachtet die Überprüfung chinesischer E-Commerce-Plattformen als politisch motiviert. Die Kommission weist beide Charakterisierungen zurück und besteht darauf, dass die Regeln gleichermaßen für europäische Unternehmen gelten. Aber die Realität ist, dass der globale KI-Markt von US-Firmen dominiert wird, Apple, Google, Meta, Microsoft, OpenAI, und die regulatorischen Kosten für die Bedienung von 450 Millionen europäischen Nutzern sind nun erheblich höher als vor drei Jahren.

Europäische Biometrieunternehmen wittern eine Chance

Für den europäischen Biometriesektor schafft der regulatorische Wandel eine kommerzielle Gelegenheit. Heimische Anbieter wie Regula, Innovatrics, Gataca, Signicat, Unissey und Thales sind bereits in nationale Identitätssysteme, Grenzkontrollsysteme und Banking-KYC-Prozesse im gesamten Block eingebettet. Die Einstufung von biometrischen Identifizierungs- und Kategorisierungssystemen als Hochrisiko durch die KI-Verordnung bedeutet, dass sich jeder nichteuropäische Anbieter, der in diese Anwendungsfälle verkaufen will, einer Konformitätsbewertung unterziehen, technische Dokumentation pflegen und sich in einer EU-Datenbank registrieren muss. Europäische etablierte Unternehmen haben hingegen Jahre damit verbracht, sich durch die DSGVO, eIDAS und nationale Zertifizierungssysteme zu navigieren. Sie profitieren auch von Datenlokalisierungspräferenzen bei der öffentlichen Beschaffung und vom expliziten Ziel der Kommission, die strategische Abhängigkeit von US- und chinesischen Technologiestacks zu reduzieren.

Der Markt für Deepfake-Erkennung ist eine natürliche Erweiterung. Mehrere der aufgeführten Firmen haben synthetische Medienerkennung bereits in ihre Identitätsverifizierungs-SDKs integriert. Signicat bietet beispielsweise Liveness-Erkennung mit Deepfake-Abwehr als Modul innerhalb seiner Digital Identity Platform an. Innovatrics hat Präsentationsangriffserkennung, die auf generierte Gesichter abgestimmt ist, zu seiner ABIS-Plattform hinzugefügt. Thales liefert durch sein Gemalto-Erbe biometrische Grenzkontrollschleusen an mehrere Mitgliedstaaten und hat generative-KI-Erkennung in Flughafentests pilotiert. Die Prognose einer Verdoppelung der Detektionseinnahmen bis 2028 geht davon aus, dass diese und ähnliche Firmen einen erheblichen Anteil der europäischen Beschaffungspipeline capturing.

Das Souveränitäts-Narrativ und seine Grenzen

Henna Virkkunen, die Exekutiv-Vizepräsidentin der Kommission für technologische Souveränität, Sicherheit und Demokratie, rahmte den Start der Durchsetzung in explizit geopolitischen Begriffen. „Mit Beginn der Durchsetzung machen wir einen wichtigen Schritt hin zu einer KI, die Menschen und Unternehmen verstehen und der sie vertrauen können, und deren Vorteile breit in unserer Gesellschaft geteilt werden", sagte sie. Die Rhetorik aligniert mit der breiteren Strategie der Kommission der „offenen strategischen Autonomie", eine Phrase, die von der Handelspolitik in die Digitalregulierung migriert ist. Die EU verhandelt Handelsabkommen mit Brasilien, Australien, Kenia und anderen, während sie gleichzeitig regulatorische Brücken mit gleichgesinnten Partnern durch den Handels- und Technologierat EU-US und den G7-Hiroshima-KI-Prozess baut.

Doch das Souveränitätsargument hat praktische Grenzen. Die fortschrittlichsten Foundation-Modelle, GPT-4, Claude, Gemini, Llama, werden auf Infrastruktur trainiert, die im Besitz US-amerikanischer Hyperscaler ist. Die europäische Cloud-Kapazität ist ein Bruchteil dessen, was Amazon, Microsoft und Google betreiben. Das Chip-Gesetz der EU und die IPCEI-Finanzierung für Mikroelektronik zielen darauf ab, die Hardwarelücke zu schließen, aber der erste europäische Exascale-Supercomputer, Jupiter, ging erst 2025 am Forschungszentrum Jülich online. Das Training eines wettbewerbsfähigen Frontier-Modells erfordert weiterhin Zugang zu Rechenleistung, die überwiegend amerikanisch ist. Die KI-Verordnung adressiert diese Asymmetrie nicht, sie reguliert Bereitstellung, nicht Entwicklung.

Was als Nächstes geschieht

Die ersten Konformitätsbewertungsentscheidungen für Hochrisiko-KI-Systeme werden im ersten Quartal 2027 erwartet, sobald benannte Stellen Audits der von Anbietern eingereichten technischen Dokumentation abschließen. Das KI-Büro wird seinen ersten Jahresbericht zur systemischen Risikoüberwachung bis Ende 2026 veröffentlichen. In der Zwischenzeit bereitet die Kommission delegierte Rechtsakte vor, um die Liste der Hochrisiko-Anwendungsfälle zu aktualisieren und den Schwellenwert für die systemische Risikoklassifizierung von Allgemeinzweckmodellen zu klären. Eine Überprüfungsklausel in Artikel 112 verpflichtet die Kommission, die Wirksamkeit der Verordnung bis August 2029 zu bewerten, wobei ein möglicher legislativer Vorschlag folgen könnte. Für europäische Biometrieunternehmen ist der nächste Meilenstein die Umsetzungsfrist für eIDAS 2.0 im Jahr 2027, die interoperable digitale Identitäts-Wallets im gesamten Block mandates, ein Markt, in dem deepfake-resistente Verifizierung eine Voraussetzung ist.