KI-Reallabor nach EU AI Act: Warum die Frist auf 2027 verschoben wurde

Wer aktuell nach einer staatlichen Testumgebung für seine Künstliche Intelligenz sucht, steht vor verschlossenen Türen. Entgegen vieler veralteter Publikationen griff die Pflicht zur Einrichtung nationaler KI-Reallabore gemäß Artikel 57 des EU AI Act nicht am 2. August 2026. Die Europäische Union hat diese Frist mit der Änderungsverordnung (EU) 2026/1744, dem sogenannten Digital Omnibus on AI, kurzfristig um ein Jahr auf den 2. August 2027 verschoben. Für mittelständische Unternehmen bedeutet das: Der Staat stellt vorerst keine geschützte Umgebung bereit, um KI-Systeme vor dem Inverkehrbringen rechtskonform zu erproben. Die rechtliche Absicherung des KI-Betriebs muss stattdessen sofort in der eigenen Systemarchitektur abgebildet werden.

Warum das KI-Reallabor nach EU AI Act erst 2027 kommt

Die Fristverlängerung auf den 2. August 2027 wurde durch den Digital Omnibus on AI rechtskräftig, da die Mitgliedstaaten die ursprüngliche Vorgabe nicht rechtzeitig umsetzen konnten. Ursprünglich verlangte Artikel 57 der Verordnung (EU) 2024/1689, dass jede nationale Behörde bis August 2026 mindestens ein operatives Reallabor (Regulatory Sandbox) bereitstellt. Diese Umgebung sollte es Unternehmen ermöglichen, innovative KI-Systeme unter behördlicher Aufsicht zu testen, bevor sie auf den Markt kommen. Mit der im Juli 2026 in Kraft getretenen Änderungsverordnung wurde nicht nur die Frist verschoben, sondern auch ein neues unionsweites Reallabor durch das AI Office angekündigt, das kleinen und mittleren Unternehmen priorisierten Zugang gewähren soll.

Wer in Deutschland zuständig ist und wo wir aktuell stehen

Die Bundesnetzagentur ist gemäß dem neuen KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG) für die Errichtung des deutschen Reallabors zuständig, hat aber derzeit keinen operativen Betrieb. Das KI-MIG trat Ende Juli 2026 in Kraft und macht die Bundesnetzagentur zur zentralen Marktüberwachungsbehörde. Bisher gab es lediglich ein trilaterales Pilotprojekt zur Simulation eines solchen Reallabors, das im März 2026 endete. Ein echtes, für den Mittelstand nutzbares nationales Reallabor lässt auf sich warten.

Was die Verzögerung für den KI-Einsatz im Mittelstand bedeutet

Unternehmen können die Einführung von KI-Systemen nicht bis August 2027 pausieren, sondern müssen die regulatorischen Anforderungen des EU AI Act selbst in ihren Systemen verankern. Die Teilnahme an einem Reallabor hätte ohnehin nicht von den materiellen Pflichten der Verordnung befreit. Wer heute KI in Kernprozessen wie dem Controlling, der Buchhaltung oder der Preisgestaltung einsetzt, trägt die volle Verantwortung für Risikoklassifizierung, Transparenz und Datenschutz. Das Warten auf staatliche Testumgebungen ist keine Strategie. Die Lösung liegt in einer Systemarchitektur, die Governance nicht als nachträgliches Anhängsel, sondern als Fundament begreift.

Wie eine regulatorisch abgesicherte KI-Architektur in der Praxis aussieht

Ein rechtskonformer KI-Betrieb erfordert fest eingebaute Freigabestufen, lückenlose Protokollierung und die Verarbeitung sensibler Daten über europäische Endpunkte. Wenn ein System beispielsweise aus verstreuten Daten von Marktplätzen, Shops und ERP-Systemen konkrete Handlungsempfehlungen für Preise oder Nachbestellungen generiert, darf die KI nicht blind agieren. In der Praxis bewährt sich ein Approval-First-Ansatz: Das System macht Vorschläge mit Begründung, der Mensch gibt frei. Nichts feuert ohne Freigabe.

Diese menschliche Aufsicht lässt sich über gestufte Autonomie-Level (L0 bis L4) abbilden. Je nach Risikoklasse der Entscheidung greifen unterschiedliche Freigabeprozesse. Führt eine Kundendatenbank Spuren aus ERP, Newsletter und Support zusammen und reichert diese selbstständig an, muss jede Anreicherung mit einer Quelle belegt sein. Wenn das System ein Abwanderungsrisiko berechnet und eine Maßnahme vorschlägt, gibt der Mensch diese frei – und das System lernt aus dem Feedback. Eskaliert ein Content-System komplexe Patientenanfragen an einen Menschen, ist die Anforderung an menschliche Aufsicht nach EU AI Act direkt im Prozess verankert.

Zusätzlich erfordert ein sicherer Betrieb eine übergeordnete Wissensschicht, die das Gedächtnis aller eingesetzten Werkzeuge zusammenführt. Wenn ein System Korrelationen über Werkzeuggrenzen hinweg erkennt – etwa wenn ein Kampagnen-Spike zu einer knappen Lagerreichweite führt und ein Top-Kundensegment gefährdet –, muss dieses Wissen als versionierter Baustein vorliegen. Das System meldet Strategiekonflikte, wenn Wissen und Handeln sich widersprechen. Diese Form der Whitespot-Erkennung und gezielten Nachfrage per Interview stellt sicher, dass die KI nicht auf Basis veralteter oder widersprüchlicher Prämissen agiert.

GoBD-Konformität und Nachvollziehbarkeit bis zur Quelle

Jede KI-generierte Kennzahl und jede automatisierte Buchung muss bis zur Rohdatenquelle auditierbar bleiben. Wenn ein Doku- und Buchhaltungssystem Belege per OCR und KI-Vision liest und Buchungsvorschläge erstellt, entscheidet ein Orchestrator dreistufig: automatisch, zur Prüfung oder manuell. Jede bestätigte oder korrigierte Buchung trainiert das System. Die Datenbasis bleibt dabei GoBD-konform bis zur Zahlung.

Gleiches gilt für das Business-Monitoring: Wenn eine KI-gestützte GuV-Rechnung Kosten bis zur einzelnen Rechnungszeile allokiert, muss jede Kennzahl rückverfolgbar sein – vom Quellfeld über das Mapping bis zur Formel. Eine Blackbox ist regulatorisch unzulässig. Durch die Nutzung von Modellen über EU-Endpunkte, wie Vertex AI oder Azure, bleiben sensible Daten im definierten Rahmen. Governance, Transparenz und Risikomanagement sind damit keine Aufgaben für ein zukünftiges staatliches Reallabor, sondern tägliche, automatisierte Realität im eigenen Betrieb.

Die technische Umsetzung dieser Vorgaben erfordert ein Baukasten-Prinzip, bei dem die Führungsebene Prozesse und Regeln top-down konfiguriert. Diese Vorgaben rollen direkt und ohne Übersetzungsverluste in die Abteilungen aus. Ein zentraler Zugang zu allen Werkzeugen meldet von sich aus, was wichtig ist, nimmt Anweisungen an und führt sie im definierten regulatorischen Rahmen aus. So wird sichergestellt, dass die Vorgaben des EU AI Act nicht nur auf dem Papier existieren, sondern in jeder einzelnen Transaktion technisch erzwungen werden.