Die Verschiebung der Hochrisiko-Pflichten hat vielen Organisationen Luft verschafft, das Inventar der eingesetzten KI-Systeme bleibt davon jedoch unberührt. Die Lighthouse Alliance, ein geschlossener Kreis von Lizenzmanagern aus über 50 Organisationen im DACH-Raum, ordnet die neue Fristenlage ein und diskutiert Wege zur Auffindung nicht erfasster Systeme.
Mit der Verordnung (EU) 2026/1744, dem sogenannten Digital Omnibus, hat die EU zentrale Fristen des AI Act verschoben. Die Verordnung trat am 27. Juli 2026 in Kraft, wenige Tage bevor die Pflichten für eigenständige Hochrisikosysteme nach Anhang III gegriffen hätten. Diese gelten nun ab dem 2. Dezember 2027, für KI in regulierten Produkten nach Anhang I ab dem 2. August 2028. Die Bedingung „sobald harmonisierte Normen vorliegen“ wurde dabei gestrichen, die Termine stehen fest.
Verschoben ist nicht dasselbe wie ausgesetzt
Unverändert gelten die Transparenzpflichten nach Artikel 50, anwendbar seit dem 2. August 2026. Wer ein System betreibt, mit dem Menschen unmittelbar interagieren, muss dies kenntlich machen. Für Systeme, die bereits vor diesem Stichtag im Einsatz waren, läuft die Frist zur Kennzeichnung synthetischer Inhalte bis zum 2. Dezember 2026. Ebenfalls unverändert sind die Verbote nach Artikel 5, die Pflichten für Modelle mit allgemeinem Verwendungszweck sowie der Bußgeldrahmen von bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes bei verbotenen Praktiken, 15 Millionen Euro oder 3 % bei sonstigen Pflichtverstößen und 7,5 Millionen Euro oder 1,5 % bei falschen Angaben.
Das geforderte KI-Register ist ein Asset-Register
Für Lizenzverantwortliche liegt die praktische Konsequenz in der Datenlage. Jede Klassifizierung setzt voraus, dass die Organisation weiß, welche KI-Systeme sie überhaupt einsetzt, in welcher Rolle sie das tut und wer sie verantwortet. Genau das ist die Kerndisziplin des Software Asset Managements, nur mit neuem Gegenstand. Drei Lücken tauchen im Mitgliederkreis regelmäßig auf: von Fachbereichen selbst beschaffte Werkzeuge, also Schatten-KI nach dem Muster der früheren Schatten-IT. KI-Funktionen, die in bestehenden Anwendungen mitgeliefert wurden und nie einzeln beschafft wurden, sowie Systeme, bei denen unklar ist, ob die Organisation als Betreiber oder als Anbieter auftritt. Diese Rolle kann kippen, etwa wenn ein Modell wesentlich verändert wird.
Datenschicht und Entscheidungsschicht gehören zusammen
In der Lighthouse Alliance hat sich dafür ein Schichtenmodell etabliert: Das Software Asset Management liefert die Datenschicht mit einem vollständigen und gepflegten Inventar, die Rechtsabteilung übernimmt die Bewertung von Risiko und Konformität. Verbunden werden beide über einen gemeinsamen Aufnahmeprozess, eine Richtlinie und ein geführtes Register. Diskutiert werden derzeit vor allem die Auffindungsmethoden, von der Auswertung bestehender Verträge über Netzwerk- und Ausgabendaten bis zur strukturierten Befragung der Fachbereiche. Ein Mitglied aus der Versicherungsbranche hat auf diesem Weg mehr als doppelt so viele KI-Funktionen im Bestand gefunden wie zuvor bekannt waren. Informationen zur Arbeitsweise stehen unter lighthouse-alliance.com.
„Die Fristverschiebung verschafft Zeit für Dokumente, nicht für das Inventar“, sagt Markus Oberg, Chairman der Lighthouse Alliance. „Der schwierige Teil war nie die Vorlage, sondern jedes KI-System im Haus zu finden, einzuordnen und aktuell zu halten. Wer damit erst 2027 anfängt, dokumentiert einen Bestand, den er nicht kennt.“
Die Lighthouse Alliance lädt Lizenzmanager, IT-Einkäufer und Vendor-Manager ein, ihre Erfahrungen zum Aufbau eines KI-Inventars im geschützten Kreis einzubringen und mitzudiskutieren.
Über die Lighthouse Alliance
Die Lighthouse Alliance ist eine geschlossene, herstellerunabhängige Community von Software-Lizenzmanagern, IT-Einkäufern und Vendor-Managern aus über 50 Organisationen im DACH-Raum. Mitglieder tauschen sich vertraulich und anonymisiert zu Lizenzkosten, Vendor-Strategien, Cloud und Audits aus, praxisnah, auf Augenhöhe, ohne Anbieter im Kreis. Kontakt: Markus Oberg, Chairman, lighthouse-alliance.com.
Mit der Verordnung (EU) 2026/1744, dem sogenannten Digital Omnibus, hat die EU zentrale Fristen des AI Act verschoben. Die Verordnung trat am 27. Juli 2026 in Kraft, wenige Tage bevor die Pflichten für eigenständige Hochrisikosysteme nach Anhang III gegriffen hätten. Diese gelten nun ab dem 2. Dezember 2027, für KI in regulierten Produkten nach Anhang I ab dem 2. August 2028. Die Bedingung „sobald harmonisierte Normen vorliegen“ wurde dabei gestrichen, die Termine stehen fest.
Verschoben ist nicht dasselbe wie ausgesetzt
Unverändert gelten die Transparenzpflichten nach Artikel 50, anwendbar seit dem 2. August 2026. Wer ein System betreibt, mit dem Menschen unmittelbar interagieren, muss dies kenntlich machen. Für Systeme, die bereits vor diesem Stichtag im Einsatz waren, läuft die Frist zur Kennzeichnung synthetischer Inhalte bis zum 2. Dezember 2026. Ebenfalls unverändert sind die Verbote nach Artikel 5, die Pflichten für Modelle mit allgemeinem Verwendungszweck sowie der Bußgeldrahmen von bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes bei verbotenen Praktiken, 15 Millionen Euro oder 3 % bei sonstigen Pflichtverstößen und 7,5 Millionen Euro oder 1,5 % bei falschen Angaben.
Das geforderte KI-Register ist ein Asset-Register
Für Lizenzverantwortliche liegt die praktische Konsequenz in der Datenlage. Jede Klassifizierung setzt voraus, dass die Organisation weiß, welche KI-Systeme sie überhaupt einsetzt, in welcher Rolle sie das tut und wer sie verantwortet. Genau das ist die Kerndisziplin des Software Asset Managements, nur mit neuem Gegenstand. Drei Lücken tauchen im Mitgliederkreis regelmäßig auf: von Fachbereichen selbst beschaffte Werkzeuge, also Schatten-KI nach dem Muster der früheren Schatten-IT. KI-Funktionen, die in bestehenden Anwendungen mitgeliefert wurden und nie einzeln beschafft wurden, sowie Systeme, bei denen unklar ist, ob die Organisation als Betreiber oder als Anbieter auftritt. Diese Rolle kann kippen, etwa wenn ein Modell wesentlich verändert wird.
Datenschicht und Entscheidungsschicht gehören zusammen
In der Lighthouse Alliance hat sich dafür ein Schichtenmodell etabliert: Das Software Asset Management liefert die Datenschicht mit einem vollständigen und gepflegten Inventar, die Rechtsabteilung übernimmt die Bewertung von Risiko und Konformität. Verbunden werden beide über einen gemeinsamen Aufnahmeprozess, eine Richtlinie und ein geführtes Register. Diskutiert werden derzeit vor allem die Auffindungsmethoden, von der Auswertung bestehender Verträge über Netzwerk- und Ausgabendaten bis zur strukturierten Befragung der Fachbereiche. Ein Mitglied aus der Versicherungsbranche hat auf diesem Weg mehr als doppelt so viele KI-Funktionen im Bestand gefunden wie zuvor bekannt waren. Informationen zur Arbeitsweise stehen unter lighthouse-alliance.com.
„Die Fristverschiebung verschafft Zeit für Dokumente, nicht für das Inventar“, sagt Markus Oberg, Chairman der Lighthouse Alliance. „Der schwierige Teil war nie die Vorlage, sondern jedes KI-System im Haus zu finden, einzuordnen und aktuell zu halten. Wer damit erst 2027 anfängt, dokumentiert einen Bestand, den er nicht kennt.“
Die Lighthouse Alliance lädt Lizenzmanager, IT-Einkäufer und Vendor-Manager ein, ihre Erfahrungen zum Aufbau eines KI-Inventars im geschützten Kreis einzubringen und mitzudiskutieren.
Über die Lighthouse Alliance
Die Lighthouse Alliance ist eine geschlossene, herstellerunabhängige Community von Software-Lizenzmanagern, IT-Einkäufern und Vendor-Managern aus über 50 Organisationen im DACH-Raum. Mitglieder tauschen sich vertraulich und anonymisiert zu Lizenzkosten, Vendor-Strategien, Cloud und Audits aus, praxisnah, auf Augenhöhe, ohne Anbieter im Kreis. Kontakt: Markus Oberg, Chairman, lighthouse-alliance.com.
