Vorbereitung auf die Frist des EU-KI-Gesetzes im August 2026: Die Führung, die Sie jetzt brauchen

Aktualisierung vom 16. September 2026: Die unten erwähnte Frist vom 2. August 2026 wurde durch das „Digital Omnibus“-Gesetz zur KI verschoben, das am 27. Juli 2026 in Kraft getreten ist. Die Verpflichtungen für eigenständige KI-Systeme mit hohem Risiko gelten nun ab dem 2. Dezember 2027 und für in Produkte integrierte KI ab dem 2. August 2028. Unsere Analyse der Auswirkungen dieser Verschiebung auf die Personalbeschaffung finden Sie hier: Die Frist des EU-KI-Gesetzes wurde auf 2027 verschoben. Die Frist für die Einstellung von KI-Fachkräften im Gesundheitswesen jedoch nicht.

In den meisten Diskussionen über das EU-KI-Gesetz wird dieses nach wie vor als rechtliche Angelegenheit betrachtet – als Compliance-Projekt für die Risiko- und Rechtsabteilungen. Für Organisationen, die KI im Gesundheitswesen, in den Biowissenschaften und anderen regulierten Branchen einsetzen, lässt diese Sichtweise den Aspekt außer Acht, der die kürzeste Vorlaufzeit erfordert. Nach dem Stand des Gesetzes zum Zeitpunkt der Abfassung dieses Artikels galten die Verpflichtungen für risikoreiche Systeme ab dem 2. August 2026. Die Erfüllung dieser Verpflichtungen hängt davon ab, dass Führungskräfte zur Verfügung stehen, die konforme, risikoreiche KI entwickeln und steuern können – und solche Fachkräfte sind rar. Ein Unternehmen, das erst im Sommer mit der Suche nach ihnen beginnt, wird angesichts des Fachkräftemangels zu überhöhten Konditionen einstellen müssen, und das bei einem feststehenden Stichtag.

Die wichtigsten Erkenntnisse

• Die zentralen Verpflichtungen des EU-KI-Gesetzes für Systeme mit hohem Risiko sollten ab dem 2. August 2026 gelten, und viele KI-Systeme im klinischen Bereich und in den Biowissenschaften fallen unter die Kategorie „hohes Risiko“.
• Die schwerwiegendsten Verstöße können mit Geldbußen von bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist (Verordnung (EU) 2024/1689, Artikel 99).
• Ein leitender Mitarbeiter muss die Verantwortung für die KI-Governance, die Risikoklassifizierung und die Einhaltung von Vorschriften übernehmen und in der Lage sein, diese Entscheidungen gegenüber einer Aufsichtsbehörde zu begründen.
• Menschen, die sich sowohl mit maschinellem Lernen als auch mit regulatorischen Rahmenbedingungen auskennen, sind rar, und Unternehmen stellen sie bereits ein.
• Wenn die Führungsrolle im Bereich der KI-Governance bereits in der ersten Hälfte des Jahres 2026 besetzt wird, lässt sich vermeiden, dass in den Monaten unmittelbar vor Ablauf der Frist ein Wettlauf um diese Position entsteht.

Was ändert sich am 2. August 2026?

Ab diesem Zeitpunkt unterliegen Anbieter und Betreiber von KI-Systemen mit hohem Risiko einer Reihe umfangreicher Verpflichtungen: einem Risikomanagementsystem, Daten-Governance, technischer Dokumentation, menschlicher Aufsicht, Anforderungen an Genauigkeit und Robustheit sowie einer Konformitätsbewertung. Der rote Faden dabei ist, dass KI, die in einer Weise eingesetzt wird, die sich auf Gesundheit, Sicherheit und Grundrechte auswirkt, nachweislich sicher, dokumentiert und überwacht sowie wirksam sein muss. Für ein Krankenhaus, das ein Diagnosemodell einsetzt, oder ein Pharmaunternehmen, das KI in einem regulierten Prozess nutzt, verändert dies die Art und Weise, wie Systeme aufgebaut werden und wer für sie verantwortlich ist.

Was das Gesetz in der Praxis von einer Organisation verlangt

Die Verpflichtungen betreffen zwei Rollen. Anbieter, die ein System entwickeln oder in Verkehr bringen, müssen ein Qualitätsmanagementsystem einrichten, technische Unterlagen erstellen und eine Überwachung nach dem Inverkehrbringen durchführen, die die Leistung des Systems während des Betriebs kontinuierlich verfolgt (Artikel 72). Anwender – dazu gehört beispielsweise ein Krankenhaus, das das Diagnosetool eines Anbieters nutzt – müssen das System gemäß den Anweisungen verwenden, die personelle Überwachung Personen übertragen, die über die entsprechende Kompetenz und Befugnis verfügen, den Betrieb überwachen und die automatisch generierten Protokolle mindestens sechs Monate lang aufbewahren (Artikel 26) (Verordnung (EU) 2024/1689).

Einige Pflichten galten bereits zum Zeitpunkt der Abfassung dieses Artikels. Die Verbote bestimmter KI-Praktiken und die Verpflichtung zur KI-Kompetenz gelten seit dem 2. Februar 2025, die Verpflichtungen für Allzweck-KI-Modelle seit dem 2. August 2025 (Europäische Kommission, Stand: 3. August 2026). Eine Organisation, die noch keine verantwortliche Person für die KI-Kompetenz oder für die Nutzung von Allzweckmodellen benannt hatte, war daher bereits im Rückstand, bevor die Verpflichtungen für Bereiche mit hohem Risiko in Kraft traten.

Gerade bei der menschlichen Aufsicht stellt sich die Frage nach der Führungsrolle am dringlichsten. Artikel 14 schreibt vor, dass risikoreiche Systeme so konzipiert sein müssen, dass die mit ihrer Überwachung betrauten Personen verstehen, was das System tut, erkennen können, wenn etwas schiefläuft, und eingreifen können. Das ist eine Anforderung an die Konzeption, keine politische Erklärung, und sie muss von jemandem umgesetzt werden, der sowohl das Modell als auch den klinischen Arbeitsablauf versteht, in den es eingebettet ist.

Warum die Rechtsabteilung das nicht alleine bewältigen kann

Die Konformität muss bereits in das System selbst integriert werden: in die Dokumentation, die Überwachungsmaßnahmen und die Kontrolle. Das bedeutet, dass es einen Verantwortlichen braucht, der sowohl die Technologie als auch die Vorschriften versteht. Dies ist die Rolle im Bereich der klinischen Governance, die wir beim Aufbau eines Führungsteams für KI im Gesundheitswesen beschrieben haben – die Person, die einer Aufsichtsbehörde oder einem Ausschuss für klinische Governance erklären kann, wie ein Modell entwickelt wurde und warum es sicher ist. Ohne diesen Verantwortlichen läuft die Compliance Gefahr, zu einer nachträglichen Dokumentation für Systeme zu werden, die nie unter diesem Gesichtspunkt konzipiert wurden – was sowohl der teuerste als auch der am schwersten zu verteidigende Ansatz ist.

Eine Konformitätsdatei muss beschreiben, wie ein System tatsächlich erstellt wurde, damit der Eigentümer den Erstellungsprozess nachvollziehen kann.

Das dafür erforderliche Profil

Führungskräfte, die dazu in der Lage sind, benötigen ausreichende Kenntnisse im Bereich des maschinellen Lernens, um die Entwicklung von Systemen mitzugestalten, ausreichende Kenntnisse der regulatorischen Rahmenbedingungen, um beurteilen zu können, was die Anforderungen eines Prüfers erfüllt, sowie genügend Erfahrung, um diese Themen vor den Vorstand zu bringen. Nur wenige Menschen verfügen über alle drei Eigenschaften. Wie wir in unserer Analyse zum Fachkräftemangel im Bereich KI dargelegt haben, sind Führungskräfte, die sowohl Systeme entwickeln als auch deren Einsatz steuern können, die knappste Ressource auf einem ohnehin schon angespannten Markt, und das Gesetz schafft eine große neue Nachfrage nach ihnen.

Die Anbieter sind weiterhin verpflichtet,

Viele Organisationen im Gesundheitswesen setzen KI ein, die sie nicht selbst entwickelt haben, und es ist verlockend anzunehmen, dass die Einhaltung der Vorschriften das Problem des Anbieters ist. Nach dem Gesetz trägt der Anbieter die schwerwiegendsten Pflichten, doch die Pflichten des Anwenders bleiben bestehen: das System gemäß den Anweisungen zu nutzen, eine kompetente menschliche Aufsicht zu gewährleisten, den Betrieb zu überwachen und Protokolle zu führen (Verordnung (EU) 2024/1689, Artikel 26). Ein Krankenhaus kann diese Pflichten nicht erfüllen, ohne jemanden zu haben, der versteht, was das System des Anbieters leistet, wie dessen Leistung überprüft werden sollte und welche Fragen bei Änderungen zu stellen sind.

Damit ist die Beschaffung Teil der Führungsaufgabe. Zu den Fragen, die ein Einsatzverantwortlicher einem Anbieter stellen sollte, gehören unter anderem, wie das System validiert wurde, an welchen Zielgruppen, wie Updates kontrolliert und kommuniziert werden und welche Überwachungsdaten der Anbieter zur Verfügung stellen wird. Jemand muss in der Lage sein, die Antworten zu beurteilen, und in den meisten Organisationen gibt es diese Person noch nicht.

Wie die Rollen zusammenpassen

In einer Organisation im Gesundheitswesen oder im Bereich der Biowissenschaften liegt die Verantwortung für die KI-Governance selten bei einer einzigen Person. Das Muster, das wir am häufigsten beobachten, besteht aus drei Teilen: Ein hochrangiger KI-Verantwortlicher ist für das Systemportfolio zuständig und gegenüber dem Vorstand dafür verantwortlich, wie diese Systeme aufgebaut und gesteuert werden. Ein Governance- oder KI-Risikobeauftragter, der entweder diesem Verantwortlichen oder dem Chief Risk Officer unterstellt ist, kümmert sich um die Klassifizierung, Dokumentation und Überwachung. Und die bestehenden Funktionen für klinische Sicherheit und Qualität erweitern ihre Prozesse auf den KI-Bereich, anstatt dass ein neues Team diese Aufgaben doppelt erledigt. Bei der Personalbesetzung stellt sich die Frage, welche dieser Rollen bereits in irgendeiner Form vorhanden ist und welche neu besetzt werden muss.

Die Funktion schrittweise aufbauen

Organisationen, die das Gesetz gut umgesetzt haben, bauten die Governance in der Regel schrittweise auf, anstatt alles auf einmal zu erledigen. Der erste Schritt ist eine Bestandsaufnahme: jedes KI-System, das im Einsatz ist oder entwickelt wird, wer es bereitgestellt hat, wofür es genutzt wird und ob es wahrscheinlich in eine Hochrisikokategorie fällt. Diese Liste ist in der Regel länger als erwartet, da sie auch Anbieter-Tools umfasst, die von einzelnen Abteilungen angeschafft wurden. Der zweite Schritt ist die Zuständigkeitszuweisung: eine namentlich benannte Person, die für jedes System verantwortlich ist, sowie eine Führungskraft, die für das gesamte Portfolio verantwortlich ist. Die dritte Stufe betrifft die Kompetenz: Es muss sichergestellt werden, dass die Personen, die die Systeme nutzen und überwachen, diese gut genug verstehen, um diese Aufgaben wahrnehmen zu können.

Erst dann lässt sich die detaillierte Arbeit der Dokumentation, Überwachung und Konformitätssicherung bewältigen, da sie einen Verantwortlichen und einen festgelegten Umfang hat. Organisationen, die mit der Dokumentation begannen, bevor sie wussten, was sie hatten oder wer dafür verantwortlich war, erstellten oft Unterlagen, die die Systeme ungenau beschrieben und neu verfasst werden mussten. Die Reihenfolge ist entscheidend, und jede Phase benötigt eine Führungskraft mit ausreichender Autorität, um die Abteilungen dazu zu bewegen, offenzulegen, was sie verwenden.

Die Kosten des Abwartens

Jedes betroffene Unternehmen arbeitet auf denselben Stichtag hin. Je näher dieser rückt, desto mehr von ihnen werden gleichzeitig nach derselben kleinen Gruppe von KI-Führungskräften suchen, die sich mit Governance auskennen. Wie wir in unserem Einstellungsausblick für 2026 dargelegt haben, ist die Kombination aus Knappheit und einer festen Frist die Situation, in der die stärksten Kandidaten die höchsten Gehälter erzielen und die schnellsten Verfahren den Zuschlag erhalten. Unserer Ansicht nach wird die Personalbeschaffung im ersten oder zweiten Quartal kostengünstiger und zeitsparender sein als in den Wochen vor August.

Was nun?

Beginnen Sie damit, Ihre KI-Systeme ehrlich einzustufen und herauszufinden, welche davon im Sinne des Gesetzes wahrscheinlich ein hohes Risiko darstellen, denn davon hängt ab, welche Führungsrolle Sie benötigen. Legen Sie dann fest, wer dafür verantwortlich ist: ein Chief AI Officer, zu dessen Aufgabenbereich die Governance gehört, oder ein eigenständiger KI-Governance-Beauftragter, der eng mit Ihrer technischen Führung zusammenarbeitet. Unser Leitfaden zur Besetzung von Führungspositionen im Datenbereich erläutert die Vor- und Nachteile dieser Modelle. Beginnen Sie schließlich frühzeitig mit der Suche. Die Besetzung knapper, leitender Positionen mit einem festen Eintrittsdatum ist genau die Art von Auftrag, für die spezialisierte Personalberatungen ausgelegt sind.

Die Frist läuft ab, unabhängig davon, ob die richtigen Personen bereits im Amt sind oder nicht. Unternehmen, die ihre Einstellungsentscheidung in der ersten Jahreshälfte treffen, gehen bereits mit einem Verantwortlichen für ihre risikoreichen Systeme in den August.

Fergal Nolan ist Gründer von Banba, einer auf Healthcare-KI und Life-Sciences-KI spezialisierten Personalberatungsagentur mit Niederlassungen in New York, London und Berlin. Er verfügt über mehr als 25 Jahre Erfahrung in der Personalbeschaffung, unter anderem als Gründungsmitglied von SThree / Real Staffing und als Gründer von Upstream, wo er Data-Science- und KI-Teams sowie Führungskräfte im KI-Bereich für Start-ups, Scale-ups und globale Unternehmen aufgebaut hat.