Das Gesetz ändert sich leise

Am 24. Juli wurde die Verordnung (EU) 2026/1744 im Amtsblatt veröffentlicht und drei Tage später wirksam. Sie ändert die KI-Verordnung. Wer ein Verzeichnis der bindenden Verpflichtungen führt, hat seitdem eine Zeile darin, die nicht mehr stimmt.

Das ist der unauffälligste Fall von allen. Keine Frist läuft ab, keine Behörde schreibt, nichts passiert sichtbar. Die Rechtslage verschiebt sich, und das Verzeichnis bleibt, wie es war.

Uns ist es selbst passiert

Wir haben am 2. August über diese Änderung geschrieben und dabei eine Frist dem falschen Artikel zugeordnet. Die Vier-Monats-Regelung für Anbieter generativer KI-Systeme steht nicht in Artikel 38 der Änderungsverordnung, wie wir behauptet hatten. Erwägungsgrund 38 begründet sie nur. Die Norm selbst ist der neu angefügte Artikel 111 Absatz 4 der KI-Verordnung. Am Folgetag korrigiert.

Ärgerlich, aber lehrreich. Die Zahl stimmte, das Datum stimmte, die Ebene nicht. Und weil wir im Erwägungsgrund gelesen hatten statt im Artikeltext, war uns auch die Einschränkung entgangen: Die Frist gilt nur für Systeme, die vor dem 2. August 2026 in Verkehr gebracht wurden. Wer erst danach anbietet, hat sie gar nicht. Ein Verzeichnis, in dem nur „KI-Verordnung" steht, kann diesen Unterschied nicht einmal darstellen.

Ein Gesetzesname ist keine Pflicht

ISO 27001 und die meisten Managementsysteme verlangen ein Verzeichnis der bindenden Verpflichtungen. In der Praxis ist das oft eine Tabelle mit Gesetzesnamen, einer Spalte „relevant ja/nein" und einem Datum, an dem zuletzt jemand hingeschaut hat. Damit lässt sich ein Audit bestehen und sonst wenig.

Das Rechtskataster führt deshalb nicht die Norm, sondern die einzelne Pflicht auf Paragraphen-Ebene, mit Relevanzbewertung, Verantwortlichem und Prüfzyklus, und verbindet sie über die OSCAL-Kataloge mit den Maßnahmen im ISMS. Der Unterschied wird genau dann sichtbar, wenn sich etwas ändert: Eine verschobene Frist trifft eine Pflicht, nicht ein Gesetz.

Woher man weiß, dass sich etwas geändert hat

Für die Rechtsquellen gibt es einen Quellen-Watcher. Bei EU-Recht fragt er den SPARQL-Endpunkt der EU-Publikationsstelle nach der jüngsten konsolidierten Fassung. Der Trick daran ist die Nummerierung selbst: Der konsolidierte CELEX trägt das Stand-Datum als Suffix, aus 32016R0679 wird 02016R0679-20160504. Damit ist er lexikografisch sortierbar, und ein Wechsel des höchsten Werts bedeutet eine neue Fassung. Für deutsches Bundesrecht läuft die Beobachtung über gesetze-im-internet.de.

Die zulässigen Adressen sind fest im Code hinterlegt und bewusst nicht konfigurierbar. Das Werkzeug spricht mit amtlichen Publikationsstellen und mit sonst niemandem. Ein Kataster, das seine Fundstellen von beliebigen Servern nachlädt, wäre ein hübscher Weg, sich Inhalte unterschieben zu lassen.

Die Maschine meldet, sie ändert nicht

Naheliegend wäre, die neue Fassung gleich einzupflegen. Wir tun es nicht. Der Watcher erkennt, dass sich etwas geändert hat, und löst eine Meldung aus. Was die Änderung inhaltlich bedeutet, entscheidet ein Mensch und pflegt es redaktionell nach. Der Grund ist derselbe wie beim Fehler oben: Zwischen „es gibt eine neue Fassung" und „diese Pflicht hat sich so und so verschoben" liegt eine Auslegung, und die kann keine Sortierung von Dokumentnummern leisten.

Beim Melden gibt es eine Regel, die auf den ersten Blick zu viel Lärm macht und es nicht tut: Auch Einträge, die als „nicht zutreffend" bewertet wurden, werden gemeldet. Denn eine neue Fassung kann genau diese Einschätzung kippen. Die KI-Verordnung ist dafür das aktuelle Beispiel. Wer nach der Verschiebung der Hochrisiko-Pflichten aufgeatmet hat, ist über die Transparenzpflichten trotzdem betroffen.

Was nicht zutrifft und was unbekannt ist

Ob eine Norm überhaupt für eine Organisation gilt, prüft ein regelbasierter Abgleich gegen ihr Compliance-Profil: Branche, Beschäftigtenzahl, Umsatzklasse, Bundesland, gesetzte Merkmale wie KRITIS-Betreiber. Ausdrücklich ohne KI, weil das Ergebnis nachvollziehbar sein muss und die Regeln ohnehin aus Schwellenwerten bestehen.

Wichtiger als die Regeln ist der Umgang mit Lücken. Fehlt im Profil eine Angabe, die eine Regel braucht, lautet das Ergebnis „unbekannt" und nicht „trifft nicht zu". Eine fehlende Angabe darf nie als Entwarnung gelesen werden. Und jede Regel muss eine Begründung mitbringen, die Fakten und Schwellenwerte zitiert statt zu bewerten. Das ist keine Formsache: Eine Software, die Rechtsfolgen beurteilt statt Kriterien anzuzeigen, betriebe Rechtsberatung.

Mehr auf der Modulseite Rechtskataster. Die Änderung, an der wir uns die Zähne ausgebissen haben, stand hier am 2. August, inzwischen mit der richtigen Fundstelle.