„Sovereignty-by-Design“ statt Nachrüstung

Es gibt einen gefährlichen Moment in jeder regulatorischen Debatte. Es ist jener, in dem eine verschobene Frist mit niedriger Dringlichkeit verwechselt wird. Genau an diesem Punkt stehen europäische Unternehmen im Sommer 2026.

Mit dem im Juni verabschiedeten Digital Omnibus hat die Europäische Union Teile des AI Acts zeitlich gestreckt. Zwar sind einzelne Transparenzpflichten, die den Schutz der Menschenwürde betreffen, bereits in Kraft. Die Pflichten für Hochrisiko-KI-Systeme jedoch, etwa in der Personalauswahl, in der Bildung, bei biometrischen Verfahren oder bei kritischer Infrastruktur, greifen nun überwiegend erst ab Dezember 2027. Für Systeme, die in Produkte eingebettet sind, gilt eine noch spätere Frist. Für viele in den Vorstandsetagen klingt das nach Aufschub, nach Luft zum Atmen, nach einem Grund, das Thema wieder nach hinten auf die Agenda zu schieben. Doch dies ist ein Trugschluss mit potenziell teuren Folgen.

Verschobene Fristen sind keine verschobene Verantwortung

Die zentrale Unterscheidung lautet: Compliance ist zu einem bestimmten Zeitpunkt gegeben, aber Governance ist eine Kompetenz. Eine Frist lässt sich verschieben, eine institutionelle Kompetenz nicht. Wer glaubt, KI-Governance ließe sich im Herbst 2027 kurzfristig „aufsetzen“, verkennt die Natur der Sache. Risikobewertung, menschliche Aufsicht, Bias-Erkennung, Audit-Trails und Verantwortlichkeitsstrukturen sind keine Häkchen auf einer Checkliste, die man kurz vor Fristablauf setzt. Es sind organisatorische Muskeln, die über die Zeit trainiert werden müssen – und es gibt keinen plausiblen Grund, damit zu warten.

Genau hier liegt die eigentliche Botschaft: Governance ist die institutionelle Fähigkeit, langfristig zu innovieren. Unternehmen, die ihre Governance-Strukturen jetzt verankern, während der regulatorische Druck noch vergleichsweise gering ist, gewinnen das Vertrauen von Kunden, Partnern und Investoren, die Belege für verantwortungsvolle KI verlangen. Denn Vertrauen ist in der KI-Ökonomie der ultimative Wettbewerbsvorteil.

Die zusätzliche Zeit ist also nicht dazu da, zu warten. Sie ist dazu da, es richtig zu machen. Gerade Branchen, die bereits mit der DSGVO und anderen regulatorischen Anforderungen vertraut sind, haben jetzt die Chance, das Thema mit Bedacht anzugehen: strukturiert statt überstürzt, strategisch statt reaktiv.

Die Regulatorik entzaubern

Ein Teil des Problems ist, dass der EU AI Act als monströses, undurchdringliches Regelwerk wahrgenommen wird. Diese Wahrnehmung ist übertrieben, und sie bremst europäische Unternehmen mehr aus, als dass sie ihnen nützt.

Zwei Dinge werden dabei regelmäßig übersehen. Erstens: Ein erheblicher Teil der Compliance mit dem AI Act ist in Wahrheit Compliance mit bereits bestehender Gesetzgebung. Wer die DSGVO ernst genommen hat, wer Datenschutz-Folgenabschätzungen kennt, wer über funktionierende Governance-Prozesse verfügt, ist für einen Großteil der Anforderungen bereits gut aufgestellt. Denn vieles überlappt. Der Digital Omnibus hat genau hier angesetzt und die Schnittstelle zwischen DSGVO und AI Act präzisiert.

Zweitens: Die Anforderungen an Hochrisiko-KI sind keineswegs so einschüchternd, wie oft dargestellt. Dass ein System, das über Einstellungen und Kündigungen mitentscheidet oder im Bildungsbereich eingesetzt wird, strengen Kontrollen unterliegt, ist keine bürokratische Schikane. Es ist schlicht vernünftig. Es lohnt sich, die Verhältnismäßigkeit zurück in die Debatte zu holen.

Wichtig ist auch: Vieles wird von der konkreten Umsetzung abhängen, nicht allein vom Gesetzestext. Und die Vereinfachung ist bereits im Gange, gerade für Sektoren, die dem europäischen und dem deutschen Markt besonders am Herzen liegen, etwa das produzierende Gewerbe.

Eine EU, die KI nicht als das regulieren kann, was sie tatsächlich ist – nämlich nicht bloß Technologie, sondern eine neue Schicht sozialer, wirtschaftlicher und verfassungsmäßiger Infrastruktur – ist keine souveräne EU. Sie wäre ein Markt für Systeme, die anderswo gebaut und regiert werden.

„Sovereignty-by-Design“: der zukunftssichere Ansatz

Damit rückt der Kern ins Blickfeld: die Souveränität. Souveränität bedeutet nicht, Grenzen für Technologie zu schließen. Sie bedeutet die Fähigkeit von Ländern und Unternehmen, im globalen digitalen Ökosystem aufrecht zu stehen, und zwar zu den eigenen Bedingungen. Denn KI-Systeme, die überwiegend mit fremden Daten trainiert sind, verarbeiten Informationen nicht nur anders. Sie tragen lokalen und regionalen Werten, kulturellen Annahmen und politischen Prioritäten mitunter nicht genügend Rechnung.

Dabei lohnt sich ein genauer Blick darauf, wie diese Werte überhaupt in ein System gelangen. Sie stecken nicht nur in den Trainingsdaten, sondern vor allem in jener Ebene, die entscheidet, was ein Modell ablehnen, zulassen oder priorisieren soll – in den Sicherheitsregeln und im menschlichen Feedback. Genau hier spiegelt sich wider, wie eine Rechtskultur Meinungsfreiheit, Würde und den Umgang mit Risiken gewichtet. Souveränität ist deshalb nicht allein die Frage, wo das Rechenzentrum steht, sondern ebenso, wer die Regeln geschrieben hat, denen das Modell folgt.

Wie übersetzt sich dies in unternehmerisches Handeln? Durch einen Ansatz, der sich als Sovereignty-by-Design beschreiben lässt, also die technische Ausprägung eines politischen Imperativs.

Konkret bedeutet das dreierlei: Erstens sollten Unternehmen ihre Daten und Risiken abstufen. Nicht alles ist gleich sensibel, nicht alles verlangt denselben Schutz. Es gilt, genau zu unterscheiden, welche Daten und Prozesse strengere Kontrollen, europäische Anbieter oder eine bestimmte Datenresidenz erfordern und welche nicht. Zweitens muss Souveränität von Anfang an mitgedacht werden, etwa bei der Auswahl von Anbietern, Produkten und Architekturen, nicht als nachträglicher Zusatz. Wer weiß, woher seine Trainingsdaten stammen, welche Werte sie kodieren und wer die Infrastruktur kontrolliert, auf der die Systeme laufen, trifft souveräne Entscheidungen.

Hinzu kommt die Ersetzbarkeit: die Fähigkeit, rasch von einem Modell zu einem anderen zu wechseln, ohne dass der Betrieb zusammenbricht. Wenn ein einzelner Anbieter ein System abschalten kann, zählt am Ende nicht, wem es gehört. Sovereignty-by-Design heißt deshalb, keine kritische Funktion fest an einen einzigen Anbieter zu koppeln. Entscheidend ist nicht, ob ein Unternehmen ein System selbst gebaut hat, sondern ob es sich im Ernstfall von jedem einzelnen Baustein wieder lösen könnte.

Drittens gilt es, in Governance-Kompetenzen und menschliches Urteilsvermögen zu investieren. Die Fähigkeit, KI zu steuern, also Risiken zu bewerten, Systeme zu auditieren, Privacy und Resilienz by-Design umzusetzen und sinnvolle menschliche Aufsicht auszuüben, ist strategisch ebenso wichtig wie technische KI-Kompetenz. Europa braucht einen Skills-Rahmen, der diese Fähigkeit im großen Maßstab aufbaut: bei Entwicklern, Juristen, Einkäufern und Risikomanagern. Andernfalls könnte Europa die beste Regulierung der Welt haben, aber immer noch nicht die Kapazität, sie umzusetzen.

Jetzt ist die Zeit zu handeln

Governance, die von Beginn an mitgedacht wird, kostet weniger als eine, die unter Druck improvisiert werden muss – und ungleich weniger als der Vertrauensverlust, wenn am Ende beides fehlt. Genau vor dieser Wahl stehen Europas Vorstände in diesem Sommer: Es geht nicht darum, pünktlich zu einem Stichtag die Vorgaben zu erfüllen, sondern darum, eine Kompetenz aufzubauen, die keine Frist im letzten Moment liefern kann.