Viele deutsche Unternehmen unterschätzen die aktuelle Lage: Während die Frist für Hochrisiko-KI-Systeme bis Dezember 2027 verschoben wurde, sind die Durchsetzungsmaßnahmen für General Purpose AI (GPAI) bereits seit dem 2. August 2026 aktiv. Das europäische AI Office kann von Anbietern Dokumentationen anfordern, Modelle evaluieren und Rückrufe anordnen. Bei Verstößen drohen Bußgelder von bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Umsatzes.
Kurz & knapp
- GPAI-Regeln gelten bereits seit 2. August 2026 – der Aufschub betrifft nur Hochrisikosysteme
- 35 Prozent der deutschen Unternehmen sehen das Management von Maschinenidentitäten als größte KI-Sicherheitslücke (Keeper-Security-Studie 2026)
- Code of Practice verlangt technische Absicherung: zentrale Verwaltung von Zugangsdaten, zeitlich begrenzte Zugriffe, revisionssichere Protokollierung
- Dezember 2027 ist die neue Frist für Hochrisikosysteme – bis dahin müssen aber bereits heute geltende Maßnahmen umgesetzt sein
Der Digital Omnibus verschiebt, aber nicht alles
Der Digital Omnibus, auf den sich die Beteiligten Anfang dieses Jahres vorläufig geeinigt haben, soll tatsächlich Erleichterung bringen – aber nur für einen Teil der Anforderungen. Die Klassifizierung und Konformitätsbewertung von Hochrisikosystemen rückt auf Dezember 2027. Das gibt Organisationen mehr Zeit für die Planung. Doch dieser Aufschub ändert nichts an den Maßnahmen, die heute schon gelten: Der freiwillige GPAI Code of Practice ist bereits bindend für Anbieter, die ihre Compliance nachweisen wollen.
Das Kapitel zu Safety und Security im Code of Practice ist dabei deutlicher als viele Diskussionen auf politischer Ebene: Es geht nicht um Richtlinienpapiere, sondern um Access Governance – also die technische Absicherung von Modellgewichten, die Abwehr von Insider-Bedrohungen und strikte Zugriffskontrolle.
Maschinenidentitäten: Die unterschätzte Schwachstelle
Hier liegt das eigentliche Problem: Jeder Trainingscluster, jede Fine-Tuning-Pipeline und jeder Inference-Endpunkt bringt Maschinenidentitäten mit sich, die Zugangsdaten benötigen. Diese werden in der Regel schneller bereitgestellt, als sie angemessen verwaltet werden können.
Eine Studie von Keeper Security zeigt, dass 35 Prozent der deutschen Unternehmen das Management nicht-menschlicher Identitäten bereits als eine ihrer größten Sicherheitslücken im KI-Bereich nennen – ein Wert über dem globalen Durchschnitt. Das ist kein Zufall: Deutsche Unternehmen betreiben oft komplexe KI-Infrastrukturen mit vielen dezentralen Zugriffspunkten.
Um die Sicherheitserwartungen des Code of Practice zu erfüllen, müssen Organisationen drei Dinge umsetzen:
| Maßnahme | Anforderung |
|---|---|
| Zentrale Verwaltung | Infrastruktur-Zugangsdaten in einem zentralen Tresor |
| Just-in-Time-Zugriffe | Zeitlich begrenzte Berechtigungen statt Dauerzugang |
| Protokollierung | Revisionssichere Dokumentation aller privilegierten Sitzungen |
Was das für dich bedeutet
Wer jetzt wartet und denkt, die Frist bis 2027 sei ausreichend, verwechselt zwei verschiedene Dinge: den Aufschub für Hochrisikosysteme und die bereits geltenden GPAI-Anforderungen. Unternehmen, die heute ihre Infrastruktur-Zugangsdaten absichern und Access Governance umsetzen, schaffen damit die Grundlage für den erforderlichen Compliance-Nachweis – und vermeiden später teure Nachbesserungen. Für den deutschen Mittelstand bedeutet das konkret: Wer KI-Modelle trainiert oder einsetzt, sollte jetzt seine Maschinenidentitäten inventarisieren und zentral verwalten. Das ist nicht optional, sondern Teil der heute schon geltenden Regeln.
Quellen
Redaktionell verantwortet von Ideal Syka. Quellen und Arbeitsweise: Redaktion & Methode. Hinweise und Korrekturen: ai@i6eal.de.
