Ein Kundenservice-Chatbot, der den Benutzer nicht darüber informiert, dass er mit einer Maschine spricht, ein Arbeitsplatz, dessen NPU aufgrund fehlender aktueller Treiber deaktiviert bleibt, ein Tool zur Bilderzeugung, das die künstliche Herkunft des Inhalts nicht kennzeichnet: Seit dem 2. August 2026 fallen diese Situationen nicht mehr unter Nachlässigkeit, sondern unter regulatorische Nichteinhaltung. Die aktuellen IT-Trends spiegeln sich sowohl in den gesetzlichen Verpflichtungen als auch in den Hardware-Katalogen wider.
AI Act und Omnibus-Verordnung: Was sich konkret für IT-Teams ändert
Die europäische Verordnung über KI trat am 2. August 2026 in Kraft. Es geht nicht mehr um regulatorische Überwachung: Unternehmen, die KI-Systeme in sensiblen Bereichen (Personalwesen, Kreditvergabe, Bildung, öffentliche Dienste) einsetzen, müssen ihre Anwendungen dokumentieren, eine wirksame menschliche Kontrolle gewährleisten und Transparenz gegenüber den Nutzern sicherstellen.
Die digitale Omnibus-Verordnung über KI (EU 2026/1744), die am 27. Juli 2026 in Kraft trat, hat den Zeitplan neu gestaltet. Die schwerwiegenden Verpflichtungen für Hochrisikosysteme werden auf 2027 und 2028 verschoben, aber die Anforderungen an die Transparenz gelten bereits jetzt.
Um das gesamte IT-Universum von D’clic Lab zu erkunden, stellt man fest, dass diese Entwicklungen sowohl den Entwickler, der ein Sprachmodell integriert, als auch den Systemadministrator, der ein automatisches Ticket-Management-Tool konfiguriert, betreffen.
In der Praxis müssen die IT-Teams drei Dinge anpassen: die interne Dokumentation der automatisierten Workflows, die rechtlichen Hinweise der Benutzeroberflächen und die Prüfverfahren für die eingesetzten Modelle. Der Aufwand ist real, aber der Omnibus-Zeitplan lässt etwas Spielraum für als hochriskant eingestufte Systeme.
Chatbots und KI-generierte Inhalte: Kennzeichnungspflichten ab 2026
Seit dem 2. August 2026 muss jedes interaktive KI-System (Chatbot, virtueller Assistent, Support-Chatbot) den Benutzer ausdrücklich darüber informieren, dass er mit einer KI interagiert und nicht mit einer Person, es sei denn, dies ist bereits aus dem Kontext offensichtlich. Diese Regel gilt für Websites, mobile Anwendungen und Messaging-Plattformen.
Deepfakes und durch KI generierte oder modifizierte Inhalte müssen klar gekennzeichnet werden. Hier ist von einer sichtbaren Kennzeichnung in der Benutzeroberfläche die Rede, nicht von einem Hinweis, der in allgemeinen Geschäftsbedingungen versteckt ist, die niemand liest.
Für ein Tech-Team bedeutet dies, die Benutzererfahrungen an jedem automatisierten Kontaktpunkt zu überprüfen. Die Meinungen darüber, wie diese Kennzeichnung am besten umgesetzt werden kann (Banner, Symbol, Textvermerk), variieren, aber das Prinzip bleibt nicht verhandelbar: Der Benutzer muss wissen, dass er nicht mit einem Menschen spricht.
Prüfpunkte für ein schnelles Audit
- Jede Konversationsschnittstelle zeigt vor dem ersten Austausch einen sichtbaren KI-Hinweis an, ohne dass der Benutzer klicken oder scrollen muss.
- Durch KI generierte Inhalte (Texte, Bilder, Videos) tragen eine lesbare Kennzeichnung an der Stelle ihrer Verbreitung, nicht nur in den Metadaten.
- Ein internes Register listet die eingesetzten KI-Systeme, deren Zweck und das damit verbundene Risiko auf, um die kommenden Verpflichtungen für 2027 vorherzusehen.
NPU und lokale Verarbeitung: Wenn die Hardware die Softwarepraktiken diktiert
Seit 2024 liefern Hersteller wie ASUS und Lenovo Maschinen mit NPU, die für die lokale KI-Verarbeitung ausgelegt sind. Die Copilot+-Reihe von Microsoft hat diesen Ansatz verbreitet. Vor Ort zeigt sich eine Diskrepanz zwischen der verfügbaren Hardware und der tatsächlichen Nutzung.
Ein NPU ermöglicht die Ausführung von Aufgaben wie Echtzeitübersetzung, Suche in einem Dateihistorie oder Unterstützung beim Schreiben, ohne jede Anfrage an einen entfernten Server zu senden. Die lokale Verarbeitung reduziert die Latenz und begrenzt die Datenexposition.
Das konkrete Problem: Viele Arbeitsplätze, die mit einem NPU geliefert werden, nutzen ihn nicht, da es an aktuellen Treibern oder kompatiblen Anwendungen fehlt. Bevor man einen Bestand erneuert, sollte man überprüfen, ob die Fachsoftware tatsächlich von diesem Chip profitiert. Ein ungenutzter NPU ist ein zusätzlicher Hardwareaufwand ohne operativen Nutzen.
Auswahlkriterien für einen KI-Arbeitsplatz
- Die Kompatibilität der Fachanwendungen mit dem integrierten NPU überprüfen (die Liste der zertifizierten Copilot+-Software wird regelmäßig aktualisiert).
- Den tatsächlichen Gewinn an Latenz bei täglichen Aufgaben bewerten: Wenn der Großteil der Arbeit über einen Webbrowser läuft, bringt der NPU wenig.
- Den Energieverbrauch bei lokaler KI-Verarbeitung im Vergleich zu einem Cloud-Anruf vergleichen, insbesondere für Flotten von mehr als ein paar Dutzend Arbeitsplätzen.
- Ein Modell bevorzugen, dessen Hersteller regelmäßig NPU-Treiber-Updates veröffentlicht.
KI-Konformität und Cybersicherheit: Zwei Baustellen, die zusammenlaufen
Die Sicherheits- und Compliance-Teams arbeiteten oft parallel. Der AI Act zwingt zu einer Konvergenz. Die Dokumentation eines KI-Modells für die Compliance liefert auch ein nützliches Inventar für die Cybersicherheit, da man die Datenströme, den Zugriff auf die Modelle und potenzielle Schwachstellen identifiziert.
Der Zero Trust-Ansatz, der bereits von vielen Organisationen für das Netzwerkzugangsmanagement übernommen wurde, erstreckt sich natürlich auch auf KI-Systeme. Jeder Aufruf eines Modells, jeder Transfer von Trainingsdaten, jedes Update von Gewichten muss durch eine Identitäts- und Berechtigungsprüfung gehen.
Dies ist kein theoretisches Projekt. Wenn ein generatives KI-Tool mit einer Kundendatenbank verbunden ist, um die Antworten zu personalisieren, offenbart eine Schwachstelle im Modell die gleichen Daten wie eine klassische Netzwerk-Schwachstelle. Die Angriffsfläche erweitert sich mit jedem nicht geprüften KI-Einsatz.
Die nächsten Fristen des AI Act, 2027 und 2028, werden Anforderungen an Hochrisikosysteme hinzufügen. Teams, die ihre Einsätze jetzt dokumentieren und prüfen, werden diese Verpflichtungen ohne größere Umstrukturierungen erfüllen. Diejenigen, die warten, müssen in wenigen Monaten mehrere Jahre an Compliance-Rückstand aufholen, mit den Kosten und dem Stress, die dies mit sich bringt.