Die Transparenzpflichten der EU-KI-Verordnung gelten weiterhin ab dem 2. August 2026. Die Hochrisiko-Pflichten verschieben sich auf den 2. Dezember 2027.
Die meisten Berater zur KI-Verordnung sagen Ihnen, wo Ihr Risiko liegt. Wir sagen es Ihnen — und bauen anschließend die selbst gehostete, europäisch-souveräne Lösung. Beratung und Umsetzung aus einer Hand, ohne Übergabe an Dritte.
Für regulierte Organisationen: Finanzdienstleister, Versicherung, Gesundheit, HR-Tech, öffentlicher Sektor und Mittelstand mit schützenswertem geistigem Eigentum.
Ein Stichtag hat sich verschoben. Der Stichtag in sechs Tagen nicht.
Die EU-KI-Verordnung (Verordnung (EU) 2024/1689) ist am 1. August 2024 in Kraft getreten und seither schrittweise anwendbar geworden. Am 24. Juli 2026 wurde der Digital-Omnibus zur KI (Verordnung (EU) 2026/1744) im Amtsblatt veröffentlicht; er tritt am 27. Juli 2026 in Kraft. Er verschiebt die materiellen Pflichten für Hochrisiko-KI-Systeme: eigenständige Systeme nach Anhang III vom 2. August 2026 auf den 2. Dezember 2027, eingebettete Systeme nach Anhang I — Medizinprodukte, Maschinen, Spielzeug — auf den 2. August 2028.
Nicht verschoben wurde Artikel 50. Die Transparenzpflichten gelten weiterhin ab dem 2. August 2026. Wenn Sie ein System betreiben, das mit Menschen interagiert, Inhalte erzeugt oder manipuliert oder Emotionserkennung beziehungsweise biometrische Kategorisierung durchführt, trifft Sie eine Offenlegungspflicht: Menschen darüber zu informieren, dass sie es mit einem KI-System zu tun haben, synthetische Inhalte maschinenlesbar zu kennzeichnen sowie Deepfakes und Emotionserkennung zu kennzeichnen. Eine eng begrenzte Erleichterung, die in beide Richtungen wirkt: Für Systeme, die bereits vor dem 2. August 2026 in Verkehr gebracht wurden, haben Anbieter bis zum 2. Dezember 2026 Zeit, die maschinenlesbare Kennzeichnung nach Artikel 50 Absatz 2 umzusetzen. Für alles, was ab dem 2. August neu in Verkehr gebracht wird, gibt es keine Übergangsfrist. Wer im Herbst ein neues Produkt ausliefert, ist ab dem ersten Tag betroffen, während ein etablierter Anbieter vier Monate hat.
Zwei weitere Punkte galten bereits und haben sich nicht verschoben. Die verbotenen Praktiken nach Artikel 5 gelten seit dem 2. Februar 2025. Die Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck gelten seit dem 2. August 2025. Der Digital-Omnibus rührt an keinem von beiden.
Der Anwendungsbereich für Hochrisiko-Systeme selbst bleibt unverändert, lediglich der Zeitpunkt verschiebt sich. Sie fallen als Betreiber in den Anwendungsbereich, wenn Sie ein Hochrisiko-KI-System in Ihrem Betrieb einsetzen, auch wenn Sie es nicht selbst als Anbieter entwickelt haben. Der Anwendungsbereich ist extraterritorial: Auch Unternehmen außerhalb der EU sind erfasst, wenn die Ergebnisse des Systems in der EU verwendet werden. „Hochrisiko“ ist eine klar definierte Liste, kein Ermessensbegriff — sie umfasst unter anderem KI-Einsatz bei Beschäftigung und Personalmanagement, Biometrie, kritischer Infrastruktur, Bildung und Prüfungsbewertung, Zugang zu wesentlichen Dienstleistungen (Bonitätsprüfung, Versicherungstarifierung), Strafverfolgung, Migration und der Justiz.
Lesen Sie den mittleren Wert genau. Artikel 99 Absatz 4 bildet einen einzigen Bußgeldrahmen, der sowohl die Hochrisiko-Pflichten der Akteure als auch die Transparenzpflichten nach Artikel 50 erfasst. Da die Hochrisiko-Pflichten verschoben wurden, ist der 2026 maßgebliche Auslöser dieses Rahmens Artikel 50 — nicht Anhang III. Der Höchstbetrag bleibt derselbe; was ihn auslöst, hat sich geändert. Wer weiterhin ein Hochrisiko-Bußgeldrisiko zum 2. August 2026 darstellt, arbeitet mit einem Stand vor dem Digital-Omnibus. Für KMU und Startups gilt jeweils der niedrigere Betrag aus Festsumme oder Prozentsatz.
Nüchtern betrachtet: Ihr Risiko zum 2. August sind die Transparenzpflichten, und es ist sechs Tage entfernt. Ihr Hochrisiko-Thema ist nicht verschwunden, es hat sich verschoben — und verschoben hat sich der Pflichttermin, nicht die Vorlaufzeit für die Umsetzung. Konformitätsbewertung, technische Dokumentation, Nachweise zur Datengovernance und Beobachtung nach dem Inverkehrbringen sind für ein bereits produktiv laufendes System ein Programm über mehrere Quartale, keine Dokumentationsübung. Wer Mitte 2027 beginnt, kauft Notfall-Umsetzung zu Notfallpreisen.
Und das Risiko, das mit dem Digital-Omnibus nichts zu tun hat, hat sich überhaupt nicht bewegt. Wenn Ihre Organisation personenbezogene Daten aus der EU über einen US-gehosteten KI-/LLM-Dienst, ein SaaS-Tool mit integrierten KI-Funktionen oder eine US-Konzernmutter verarbeitet, ist Ihr Risiko aus DSGVO-Drittlandübermittlung und CLOUD Act heute aktiv, wird heute durchgesetzt und bleibt von allem unberührt, was die EU in diesem Monat veröffentlicht hat.
Was Sie erhalten
Ein Audit mit festem Umfang, ein bis zwei Wochen, das Ihnen genau zeigt, wo Sie stehen — bevor eine Aufsichtsbehörde, ein Kunde oder ein Prüfer fragt.
Die fünf Ergebnisse
- Datenfluss-Kartierung Jede Stelle, an der die KI-/LLM-Nutzung Ihrer Organisation Daten außerhalb der EU sendet — direkte API-Aufrufe an US-gehostete Modelle, SaaS-Tools mit nachgerüsteten KI-Funktionen, alles, was über eine US-Konzernmutter läuft, selbst wenn die Server formal in Frankfurt stehen.
- Bewertung der CLOUD-Act-Risiken Was die US-Rechtshoheit über Ihre Daten in der Praxis bedeutet, und wo sie konkret mit den internationalen Übermittlungsregeln der DSGVO kollidiert.
- Risikoeinstufung nach der KI-Verordnung, System für System Verboten, hochriskant, begrenztes Risiko oder minimales Risiko — für jedes tatsächlich eingesetzte KI-System, mit nachvollziehbarer Begründung, damit Ihre Rechts- und Compliance-Abteilung die Einstufung verteidigen kann, statt sie nur zu übernehmen.
- Kartierung regulatorischer Überschneidungen Wo sich Pflichten der KI-Verordnung mit DSGVO, DORA (Finanzsektor) und NIS2 (kritische Infrastrukturen) überlagern — das kumulierte Risiko, das ein Audit mit nur einem Regelwerk im Blick übersieht, und das tatsächlich über die Höhe möglicher Bußgelder entscheidet.
- Priorisierter Umsetzungsfahrplan Was vor dem 2. August 2026 für die Transparenzpflichten erledigt sein muss, was auf den längeren Weg bis zum 2. Dezember 2027 für die Hochrisiko-Pflichten gehört, und eine realistische Aufwands- und Kostenschätzung je Punkt — ein Plan, den Sie umsetzen können, kein 40-seitiger Bericht, der mit „weitere Beratung erforderlich“ endet.
- Dauer
- 1–2 Wochen, fester Umfang
- Zahlung
- 50 % bei Auftrag, 50 % bei Lieferung
- Inklusive
- Ein Klärungsgespräch
- Preis & Leistungsumfang
- westoverlabs.eu →
Fester Umfang, vorab festgelegt — echte Unbekannte werden zu einer kurzen, schriftlichen Change-Order, nie zu stillem Scope-Creep. Der verbindliche Preis und der vollständige Leistungsumfang stehen in der Preisliste unter westoverlabs.eu.
Warum eine selbst gehostete, europäisch-souveräne Lösung der eigentliche Compliance-Vorteil ist — nicht nur eine Architekturfrage.
Ein erheblicher Teil dieser Pflichten — der Hochrisiko-Pflichten, die nun 2027 greifen, ebenso wie der Transparenz- und Dokumentationspflichten, die nächste Woche greifen — dreht sich im Kern um zwei Dinge: Kontrolle und Nachweisbarkeit. Datengovernance. Protokollierung. Menschliche Aufsicht. Das genaue Wissen, wo die Inferenz läuft und wohin Ihre Daten gelangen.
Nachweisbar
Bei einer selbst gehosteten oder europäisch-souveränen Lösung können Sie all das direkt nachweisen. Ihre Daten verlassen nie Ihre Kontrolle. Vollständige Protokolle liegen vor. Es gibt keine Drittlandübermittlung zu erklären — weil es keine gibt.
Schwerer nachweisbar
Die Rechtshoheit des US CLOUD Act bedeutet, dass Sie nicht vollständig garantieren können, wohin Ihre Daten gelangen, sobald die Anfrage Ihr Netzwerk verlässt — was den Datengovernance- und Datenübermittlungspflichten, die Sie eigentlich erfüllen wollen, unmittelbar entgegensteht. Sie können einen US-gehosteten Dienst weiterhin verantwortungsvoll einsetzen, aber Sie schließen die Compliance-Lücke dann mit einem Richtliniendokument statt mit einer architektonischen Tatsache.
Das ist der praktische Grund, warum „souveräne KI“ hier zählt — nicht als Schlagwort, sondern als Infrastrukturentscheidung, die aus einer Pflicht etwas Nachweisbares macht statt einer bloßen Behauptung.
Es ist zugleich die Hälfte Ihres Risikos, die der Digital-Omnibus nicht berührt hat. Die Rechtshoheit des US CLOUD Act, die Schrems-II-Rechtsprechung und die Drittlandübermittlungsregeln der DSGVO folgen ihrem eigenen Zeitplan, werden heute durchgesetzt und werden nicht aufgeschoben. Was auch immer der Hochrisiko-Kalender der KI-Verordnung sagt: Dieser Teil war ohnehin bereits fällig.
Warum Westover Labs und nicht eine reine Compliance-Kanzlei
Die meisten Berater zur KI-Verordnung kommen aus einem juristischen oder GRC-Hintergrund. Sie sind gut in der ersten Hälfte der Aufgabe: Ihnen zu sagen, was falsch läuft und was die Verordnung verlangt. Was ihnen in der Regel fehlt, ist die zweite Hälfte — die selbst gehostete oder europäisch-souveräne Infrastruktur tatsächlich aufzubauen, die das Risiko behebt.
James Westover war mehrere Jahre als Staff Engineer bei Uber (Navigation und geografische Systeme) und bei HERE tätig. Heute betreibt er die Produktivinfrastruktur von Westover Labs im Tagesgeschäft selbst: eine selbst gehostete Multi-Agent-KI-Plattform mit Zero-Egress-Architektur, vollständig als Infrastructure-as-Code dokumentiert, sowie zwei im App Store veröffentlichte Consumer-Apps mit zahlenden Abonnenten, bei denen Datenschutz das eigentliche Produkt ist — nicht nur ein Compliance-Kriterium.
Dieses Audit wird von der Person geschrieben und durchgeführt, die auch Ihre Umsetzung bauen würde — ohne anschließende Übergabe an Dritte. Das bedeutet: Die Empfehlungen, die Sie erhalten, sind tatsächlich umsetzbar, realistisch bepreist und in der Reihenfolge geplant, in der echte technische Arbeit tatsächlich abläuft — nicht in der Reihenfolge einer Präsentation.
„Beratung und Umsetzung aus einer Hand, ohne Übergabe.“
Was regulierte Käufer zuerst fragen.
Die Frist für Hochrisiko-Systeme wurde gerade auf Dezember 2027 verschoben. Brauchen wir das jetzt überhaupt noch?
Wir haben bereits ein DSGVO-Audit oder ein Audit zur KI-Verordnung von einer Kanzlei. Wozu noch dieses?
Muss unsere Organisation als „hochriskant“ gelten, damit sich das lohnt?
Was, wenn das Audit ergibt, dass wir einen US-gehosteten KI-Anbieter vollständig verlassen müssen?
Wie lange dauert das Audit, und was kostet es?
Was passiert nach dem Audit?
Ein Stichtag hat sich verschoben. Der andere ist sechs Tage entfernt. Klären Sie, welcher Sie tatsächlich betrifft.
Ein Audit mit festem Umfang, ein bis zwei Wochen, durchgeführt von der Person, die auch die Lösung bauen würde.