EU AI Act: Wie Big Tech die Regeln aushöhlt

Am 2. August 2026 erhält die EU-Kommission erstmals das Recht, die Entwickler mächtiger KI-Modelle mit Bußgeldern bis zu drei Prozent ihres weltweiten Umsatzes zu belegen. Was wie ein historischer Moment der Regulierung klingt, ist in Wahrheit das Ende eines langen Rückzugs: Big Tech hat in den vergangenen zwei Jahren systematisch dafür gesorgt, dass das weltweit erste umfassende KI-Gesetz deutlich weniger scharf ist als sein Ausgangsentwurf. Wer den Prozess verfolgt hat, sieht weniger einen Regulierungserfolg als ein Protokoll organisierten Lobbying-Einflusses.

Ein Gesetz, das schrumpfte

Am 1. August 2024 trat der EU AI Act in Kraft, ein Meilenstein der globalen Technologiepolitik. Das Gesetz verbannte acht Kategorien von KI-Anwendungen vollständig: Social-Scoring-Systeme, Echtzeit-Gesichtserkennung im öffentlichen Raum für Strafverfolgung, Manipulation durch unterschwellige KI-Techniken, massenhaftes Scraping von Gesichtsbildern aus dem Internet. Für Hochrisiko-KI, also Systeme, die in Schulen, Krankenhäusern, Stellenvermittlungen und Gerichten eingesetzt werden, galt ein Stichtag: der 2. August 2026.

Dieser Stichtag existiert nicht mehr. Er wurde, auf Betreiben der Industrie, in das Jahr 2027 verschoben. Was zwischen Inkrafttreten und diesem Aufschub geschah, lässt sich in einer Zahl zusammenfassen: 151 Millionen Euro.

890 Lobbyisten, mehr als Parlamentssitze

Corporate Europe Observatory und LobbyControl haben im Oktober 2025 eine Bilanz gezogen: Die Digitalbranche gibt mittlerweile 151 Millionen Euro jährlich für EU-Lobbying aus, 33,6 Prozent mehr als 2023 und 55,6 Prozent mehr als 2021. In Brüssel arbeiten 890 Vollzeit-Lobbyisten für Tech-Konzerne, mehr als es Sitze im Europaparlament gibt.

Amazon allein stockte sein Lobbying-Budget um 4,3 Millionen Euro auf. Meta und Microsoft erhöhten es um je zwei Millionen. Im ersten Halbjahr 2025 fanden durchschnittlich drei Lobbytreffen pro Tag zwischen Tech-Konzernen und hochrangigen Kommissionsbeamten oder Abgeordneten statt. Die zentrale Botschaft dieser Treffen war konsistent: Das KI-Gesetz sei zu komplex, die Compliance-Last überfordere europäische Unternehmen und die Sieben-Prozent-Strafen schreckten Investoren ab.

Die Computer and Communications Industry Association (CCIA) und die EU AI Champions Initiative forderten einen zweijährigen Vollzugsstopp. Bitkom und DIGITALEUROPE warnten in Positionspapieren, dass Europa im Wettbewerb mit den USA und China ins Hintertreffen gerate. Was folgte, war kein formaler Vollzugsstopp, aber das Nächstbeste.

Der Digital Omnibus: freundlicher Name für einen Rückzug

Am 19. November 2025 präsentierte die Europäische Kommission das "Digital Omnibus"-Paket: ein Bündel von Vereinfachungen, das neben der DSGVO auch den AI Act traf. Der Kern war die Verschiebung der Hochrisiko-KI-Fristen um mehr als ein Jahr.

Wo vorher der 2. August 2026 gegolten hätte, gilt nun für eigenständige Hochrisiko-Systeme nach Anhang III (KI in Schulen, bei Kreditentscheidungen, in der Personalauswahl) der 2. Dezember 2027. Für KI, die in regulierten Produkten eingebettet ist, also in Medizingeräten oder Fahrzeugen, wurde die Frist auf den 2. August 2028 gesetzt. Am 7. Mai 2026 einigten sich Parlament und Rat politisch auf das Paket.

Corporate Europe Observatory dokumentierte in einer Analyse die direkte Verbindung zwischen den Lobbyingforderungen und den Formulierungen im Kommissionsvorschlag: Unternehmensargumente für Vereinfachungen tauchten nahezu wörtlich in den Begründungserwägungen wieder auf. Die grüne Fraktion im Europaparlament bezeichnete das Ergebnis als Industriekapitulation. Amnesty International warnte, die "Vereinfachungen" höhlten Grundrechteschutzregeln aus.

Der Digital Omnibus umfasste auch eine neue Prohibition: KI-generierte nicht-einvernehmliche intime Bildmontagen wurden ausdrücklich verboten, Artikel 5 ergänzt. Das war ein echter Fortschritt. Er ändert nichts daran, dass 16 Monate Aufschub für die Hochrisiko-Regulierung der größte Rückschritt in der Geschichte des Gesetzes darstellen.

Das Vollzugsdefizit: 140 gegen 890

Das EU-KI-Büro, die zentrale Behörde für die Überwachung mächtiger KI-Modelle, beschäftigt 140 Mitarbeiterinnen und Mitarbeiter. Davon sind laut Agence Europe 40 in der KI-Sicherheitsabteilung tätig. Dem KI-Büro stehen 890 Unternehmenslobbyisten gegenüber, hinter denen Konzerne mit Billionenumsätzen stehen.

Die verbotenen Praktiken nach Artikel 5 des AI Act gelten seit dem 2. Februar 2025. Strafen können seit dem 2. August 2025 verhängt werden: bis zu 35 Millionen Euro oder sieben Prozent des weltweiten Jahresumsatzes für verbotene Anwendungen. Öffentliche Verfahren gegen verbotenes Social Scoring, gegen Echtzeit-Gesichtserkennung ohne Rechtsgrundlage oder gegen unterschwellige Manipulations-KI gibt es bis heute keine einzige.

Nationale Marktüberwachungsbehörden bauen noch Kapazitäten auf. Einige Unternehmen haben bestimmte Systeme aus Vorsicht abgeschaltet oder überarbeitet, doch eine externe Überprüfung findet nicht statt. Das Lawfare Magazine fasste die strukturelle Schieflage treffend zusammen: Das KI-Büro habe auf dem Papier erhebliche Befugnisse, aber die Ressourcen für eine ernsthafte globale Durchsetzung fehlten.

Meta und das Selbstregulierungstheater

Am 10. Juli 2025 veröffentlichte das EU-KI-Büro die finale Version des GPAI Code of Practice, des Verhaltenskodex für Anbieter allgemeiner KI-Modelle wie GPT-4, Gemini oder Llama. Der Kodex regelt Transparenzpflichten, Urheberrechts-Compliance und Sicherheitstests für systemisch riskante Modelle. Er ist freiwillig. Das ist sein strukturelles Problem.

Meta lehnte eine Unterzeichnung ab. Joel Kaplan, Metas Chief Global Affairs Officer, erklärte: "Europe is heading down the wrong path on AI." Das Unternehmen bezeichnete den Kodex als Überregulierung, die rechtliche Unsicherheiten für Modellentwickler schaffe. Microsoft erklärte, den Kodex "wahrscheinlich" unterzeichnen zu wollen. OpenAI gab ein Bekenntnis ab.

Dass die größten Modellanbieter überhaupt erst über einen freiwilligen Verhaltenskodex verhandeln müssen, statt verbindliche Regeln zu erfüllen, ist selbst Ergebnis eines früheren Lobbying-Erfolgs. Corporate Europe Observatory hatte bereits 2023 im Verfassungsblog dokumentiert, wie Big Tech die ursprünglichen bindenden Regeln für Foundation-Modelle in der Entwicklungsphase des Gesetzes durch Selbstregulierungsoptionen ersetzen ließ. Metas Verweigerung bestätigt die damalige Warnung.

Die eigentlichen GPAI-Verpflichtungen gelten seit dem 2. August 2025 als bindendes Recht: Trainingsdaten-Summaries, Urheberrechts-Compliance-Nachweise, Sicherheitstests für Modelle oberhalb einer Rechenleistungsschwelle von 10 hoch 25 FLOP. Ohne Vollzug bleiben sie jedoch vor allem deklaratorisch.

Verbotene Praktiken ohne Verfolger

Die acht verbotenen Praktiken des Artikel 5 bilden den robustesten Teil des AI Act: Manipulationstechniken unterhalb der Bewusstseinsschwelle, Social Scoring durch staatliche oder privatwirtschaftliche Akteure, biometrische Kategorisierung nach Rasse oder politischer Überzeugung, massenhafte Gesichtsbilderdownloads für Erkennungsdatenbanken und Emotionserkennung in Arbeits- und Bildungseinrichtungen.

Seit dem 2. Februar 2025 gelten diese Verbote. Seit dem 2. August 2025 können Strafen verhängt werden. Tatsächliche Verfahren: keine. Das European Digital Rights-Bündnis (EDRi) kritisiert zudem, dass mehrere dieser Verbote Ausnahmen für Sicherheitsbehörden und Terrorismusbekämpfung enthalten, die breiter gefasst sind als im Ausgangsentwurf vorgesehen. Auch fehlt eine Dokumentationspflicht für Unternehmen, die entsprechende Systeme abschalten: Ob verbotene Anwendungen tatsächlich vom Markt verschwinden, ist strukturell nicht prüfbar.

Amnesty International hält die biometrischen Ausnahmen für grundrechtswidrig weit. Die Organisation veröffentlichte im April 2026 eine Analyse, nach der die "Vereinfachungs"-Pakete mehrere Grundrechtsschutzregeln weiter aushöhlten, ohne dass dies breit diskutiert wurde.

Was der Vergleich mit USA und China zeigt

Die Gegenthese lautet regelmäßig: Die USA regulieren nicht, China reguliert anwendungsfallspezifisch und damit leichter zu erfüllen, Europa reguliert zu streng und schadet sich selbst. Dieser Vergleich ist partiell richtig.

Richtig ist: Auf Bundesebene gibt es in den USA bis heute kein KI-Gesetz. Die Trump-Administration hat im Januar 2025 per Executive Order Innovationsförderung über Regulierung gestellt. China reguliert KI für inhaltsgenerative Anwendungen mit zentralem Monitoring, jedoch mit geringerem Vollzugsdruck bei nicht-politischen Anwendungen. Chinesische Unternehmen wie Baichuan und Deepseek haben KI-Modelle mit deutlich geringerem Compliance-Aufwand entwickelt.

Irreführend ist jedoch die implizierte Schlussfolgerung. Die EU hat durch Regulierung reale Wettbewerbsvorteile geschaffen, erkennbar am globalen Einfluss der DSGVO auf Unternehmens-Compliance weltweit. Der AI Act in abgeschwächter Form könnte diesen Effekt reproduzieren, aber nur wenn er durchgesetzt wird. Wenn verbotene KI-Praktiken in der EU nicht verfolgt werden, profitieren US-Konzerne von beiden Welten: niedrigen Compliance-Kosten und ungehindertem EU-Marktzugang.

Zehn Tage bis zur ersten Geldstrafe

Am 2. August 2026 werden die Durchsetzungsbefugnisse der EU-Kommission gegenüber GPAI-Modellanbietern wirksam. Die Kommission darf dann technische Dokumentation anfordern, Evaluierungen beauftragen, Modelle einschränken oder vom EU-Markt ausschließen und Bußgelder von bis zu drei Prozent des weltweiten Jahresumsatzes verhängen. Bei Verweigerung gilt derselbe Strafrahmen: bis zu drei Prozent des weltweiten Jahresumsatzes.

Das ist eine konkrete neue Kompetenz, die nicht durch den Digital Omnibus berührt wurde. Ob sie genutzt wird, hängt von politischen Entscheidungen ab, die noch ausstehen. Die NGO Pour Demain empfahl, die GPAI-Aufsichtskapazitäten des KI-Büros bis 2030 auf mindestens 160 Stellen zu skalieren, ausgehend vom aktuellen Stand von 40 in der Sicherheitsabteilung. Die grüne Fraktion im Europaparlament fordert eine eigene Haushaltslinie für das KI-Büro, unabhängig von Kommissionsinteressen.

Zivilgesellschaftliche Organisationen bereiten erste formale Beschwerden zu verbotenen KI-Praktiken vor, die bei nationalen Behörden eingereicht werden sollen. Ein erstes öffentliches Verfahren zu Artikel 5 würde die gesamte Debatte über die Ernsthaftigkeit des EU AI Act neu definieren.

Das Gesetz steht. Die Frage ist, ob 140 Beamte es gegen 890 Lobbyisten werden durchsetzen können.