Interview: Zwei Jahre nach Inkrafttreten des EU AI Acts

Ein Interview mit Hendrik Reese, Responsible AI Leader bei PwC Deutschland.

Hendrik Reese ist Partner bei PwC Deutschland und Responsible AI Lead. Er unterstützt Unternehmen dabei, KI verantwortungsvoll, sicher und skalierbar in ihre Wertschöpfung zu integrieren. Sein Schwerpunkt liegt auf Governance-Architekturen, die Innovation ermöglichen – von Agentic AI und Operating Models über Data & Model Trust bis hin zur Umsetzung regulatorischer Anforderungen wie dem EU AI Act.

Der EU AI Act ist seit August 2024 in Kraft. Knapp zwei Jahre später: Wie fällt die Zwischenbilanz aus?

Hendrik Reese: 2024 war die zentrale Frage: „Wie schaffen wir Regulierungssicherheit?“ Heute ist die Regulierung Realität, die Verbote sind seit Februar 2025 scharf gestellt, die Pflichten für General Purpose AI seit August 2025, und im August 2026 greifen die Transparenzpflichten samt Durchsetzungsbefugnissen. Der viel diskutierte „Big Bang“ für Hochrisiko-KI ist durch den „Digital Omnibus“ verschoben worden, von August 2026 auf Dezember 2027. Das verschafft Unternehmen Luft, ist aber ausdrücklich kein Grund, das Thema zu pausieren.

Was hat sich durch den „Digital Omnibus“ konkret geändert?

Reese: Der Omnibus ist die größte Anpassung des AI Act seit Inkrafttreten. Einige Dinge haben sich geändert, drei nicht. Standalone-Hochrisiko-Systeme (Annex III) haben jetzt bis 2. Dezember 2027 Zeit, eingebettete Systeme (Annex I) bis August 2028. Nicht geändert haben sich die Verbote, die GPAI-Pflichten und, ganz wichtig, die Transparenzpflichten nach Artikel 50 zum 2. August 2026. 

Ist der Aufschub eine Entwarnung?

Reese: Im Gegenteil. Eine Konformitätsbewertung, ein Qualitätsmanagementsystem, die technische Dokumentation und die Neuverhandlung von Lieferantenverträgen brauchen realistisch mindestens 12 Monate. Wer die zusätzliche Zeit als Pausenknopf missversteht, läuft 2027 in genau die Engstelle, die er eigentlich vermeiden wollte. Ich würde es so formulieren:

Wo stehen die Unternehmen heute beim Reifegrad ihrer AI Governance?

Reese: Wenn ich unsere Projekte quer über die Branchen betrachte, sehe ich drei klar unterscheidbare Reifestufen: 

Fast die Hälfte der Unternehmen befinden sich noch in der Foundational-Phase: KI wird überwiegend zugekauft, es gibt wenig Eigenentwicklung, kein operationalisiertes Framework, häufig kümmert sich eine einzelne Person oder ein bestehendes Team nebenbei darum. Der Fokus liegt schlicht darauf, ein Register aufzubauen und den Anforderungen des AI Acts Genüge zu tun.

Eine ähnlich große Gruppe ist in der Operationalizing-Phase: Erste Agenten-Use-Cases, eigene KI-Produkte, erste Governance-Workflows, die aber noch weitgehend manuell sind. Diese Unternehmen haben dafür dediziertes Governance-Personal eingestellt bzw. tun es noch.

Und dann gibt es die wenigen Unternehmen, die schon skalieren: produktiver Rollout, mehrere agentische Plattformen, ein eigenes Team mit Ressourcen und Tooling und dem klaren Ziel „Governance by Design“ statt nachträglicher Kontrolle. 

Die entscheidende Bewegung: Governance verschiebt sich von „Register aufbauen und Policies schreiben“ hin zu „Prozesse tatsächlich operationalisieren“. Genau an dieser Schwelle steckt heute die Mehrheit.

Was treibt die Unternehmen aktuell am meisten um, wo liegen die Fokusthemen und größten Herausforderungen?

Reese: Das sind gleich mehrere große Themenblöcke, die aber thematisch zusammenhängen:

• Scale of AI wird zum Bottleneck, wenn Compliance manuell geschieht. Wenn hunderte Use Cases und Agenten entstehen, skaliert manuelle Governance schlicht nicht mehr. 
• Daraus ergibt sich direkt das nächste Thema, die Agentic Governance. Agenten, die eigenständig entscheiden und handeln, heben den potenziellen Wertbeitrag von KI enorm, aber das Risikomodell des AI Act geht implizit von abgegrenzten, dokumentierbaren Systemen aus. Bei Agenten, die zur Laufzeit dynamisch andere Tools und Modelle orchestrieren, ist das kaum noch sauber abbildbar.
• Parallel laufen – trotz des Aufschubs auf Dezember 2027 – die Vorbereitungen auf die AI-Act-Deadline weiter.
• Hinzu kommen zwei Dauerbrenner: Shadow AI Detection: KI, die im Unternehmen genutzt wird, ohne dass die Governance davon weiß, egal ob absichtlich oder nicht, 
• und die AI Risk Mitigation. Risiken, die es 2024 so noch gar nicht gab, etwa bei generativer und agentischer KI, für die klassische Kontrollmechanismen nicht ausgelegt sind.

Erschwerend kommt hinzu, dass diese Themen auf eine deutliche Kompetenzlücke am Markt treffen: Es gibt bislang nur wenige verfügbare Experten und kaum erprobtes, praxiserprobtes Fachwissen.

Welche Fähigkeiten versuchen Unternehmen gerade konkret aufzubauen, um genau diese Themen zu bewältigen?

Reese: Aus den Herausforderungen lassen sich sehr gut konkrete Fähigkeiten ableiten, an denen Unternehmen aktuell arbeiten:

• Compliance Automation bzw. „Governance for AI with AI“: KI, die die eigene KI-Governance unterstützt, weil manuelle Prozesse mit dem Scale nicht mehr mithalten.
• Technical Governance bzw. Integration: Kontrolle und Evidenzen direkt am System statt nachgelagert in Assessements auf dem Papier, laufende Überwachung statt punktueller Audits.
• Runtime Enforcement für Agenten: Governance, die zur Ausführungszeit greift, statt erst in der Dokumentation. Die technische Antwort auf das Agentic-Risiko.

Was unterscheidet die Unternehmen, die das gut machen und bleibt Ihre These, dass der AI Act kein Innovationskiller ist?

Reese: Über alle Reifegrade hinweg sehe ich fünf wiederkehrende Erfolgsmuster:

1. Klare Governance-Struktur: Eindeutige Verantwortlichkeiten statt „nebenbei“.
2. Integration in bestehende Prozesse statt isolierter Insellösungen, das war schon 2024 meine Kernbotschaft und gilt heute umso mehr.
3. Risikobasiertes Tiering, die Intensität der Kontrolle folgt dem tatsächlichen Risiko.
4. Governance by Design: Governance früh im Lebenszyklus verankern, nicht nachträglich aufsetzen.
5. Path of Least Resistance: Governance so gestalten, dass der konforme Weg auch der einfachste für die Fachbereiche ist. Alles andere wird umgangen.

Und ja, meine These von 2024 gilt weiter: