Neunte Sitzung des AI Board: Was die Kommission öffentlich belegt und was offen bleibt

Das AI Board der Europäischen Union hat am 17. September unter irischer Ratspräsidentschaft zum neunten Mal getagt. Das teilte die Europäische Kommission am 18. September auf ihrer Digital-Strategy-Seite mit. Durchsetzung, KI-Kompetenz und der Aktionsplan zu Cybersicherheit und KI standen auf der Tagesordnung. Ob daraus Dokumente entstehen, die sich öffentlich prüfen lassen, hängt von den nächsten Veröffentlichungen ab.

Die Kommission hat die neunte Sitzung knapp dokumentiert

Die öffentliche Faktenlage zur neunten Sitzung des AI Board ist überschaubar, aber klar umrissen. Das Gremium tagte am 17. September, die Kommission veröffentlichte ihre Meldung zur neunten AI-Board-Sitzung am 18. September. Den Vorsitz führte die irische Ratspräsidentschaft. Moldova nahm erstmals als Beobachterin teil.

Laut Kommission diskutierten die Teilnehmenden aktuelle Entwicklungen der EU-Politik und der internationalen KI-Politik. Dazu kamen die Durchsetzungsaktivitäten und -prioritäten der Kommission, ein Update zur Umsetzung der KI-Verordnung (AI Act) und die Veröffentlichung des Aktionsplans zu Cybersicherheit und KI. Weitere Punkte betrafen die Zusammenarbeit bei der Marktüberwachung und die Steuerungsstrukturen des Gremiums.

Außerdem gab die Kommission nach eigener Darstellung einen Überblick über die Fähigkeiten von Spitzenmodellen der KI, sogenannten Frontier-Modellen. Er schloss jüngere KI-Vorfälle, europäische Eigenkompetenzen, KI-Sicherheit, die Verbreitung in Schlüsselindustrien und die Abstimmung der Mitgliedstaaten ein. Solche Überblicke können Handlungsdruck erzeugen. Eine öffentlich nachvollziehbare Spur zu KI-Kompetenz oder Transparenz ersetzen sie nicht.

Wer in Deutschland, Österreich und der Schweiz für KI-Compliance zuständig ist, sollte die Meldung deshalb als Quelle mit begrenzter Tiefe lesen. Sie nennt Themen, aber keine Fristen, Verfahren oder Prioritätenlisten. Diese Unterscheidung trägt den ganzen Artikel. Ein Gremium wird glaubwürdig, wenn seine Themen Dokumente hinterlassen, die sich ohne Insiderzugang verfolgen lassen. Sonst antworten Anbieter von KI-Modellen mit allgemeinem Verwendungszweck (GPAI) später mit Pressetexten, und Compliance-Teams sortieren wieder Behauptungen statt Belege.

Einen Gegenpol bilden Berichte der Anbieter selbst. Der Microsoft-KI-Transparenzbericht zeigt Steuerungsdiagramme, Abläufe für KI-Agenten und Selbstverpflichtungen. Als Kontrastmaterial ist das nützlich. Gesteuert wird ein solcher Bericht jedoch vom Anbieter, und er ersetzt keine Spur aus der Gremienarbeit.

Durchsetzung und KI-Kompetenz stehen bislang nur als Tagesordnungspunkte fest

Zur Durchsetzung der KI-Verordnung teilt die Kommission lediglich mit, dass Aktivitäten und Prioritäten besprochen wurden. Die Formulierung beschreibt einen Tagesordnungspunkt. Eine veröffentlichte Prioritätenliste mit Falltypen, Fristen und Behördenzuständigkeiten liegt damit nicht vor. Compliance-Teams dürfen die Aussage der Kommission zitieren. Eine prüfbare Roadmap sollten sie daraus aber nicht ableiten.

Nachvollziehbar würde die Durchsetzung durch aktualisierte Leitlinien, sichtbare Verfahren und dokumentierte Koordination zwischen dem AI Office, den nationalen Behörden und der Marktüberwachung. Dazu gehören auch klare Empfehlungen mit benannten Adressaten. Aus Sicht der Redaktion bleibt Durchsetzung ohne solche Dokumente ein Sitzungspunkt.

Beim Thema KI-Kompetenz (AI Literacy) arbeitet die Kommission nach eigener Meldung an Empfehlungen. Das Wort verweist auf Arbeit an Orientierung. Ein fertiges, öffentlich verlinktes Paket mit Checklisten für jede Betriebsgröße kündigt die Meldung nicht an. Solange die Empfehlungen fehlen, lässt sich nur vorsichtig sagen, was Organisationen belegen müssen. Dieser Text ersetzt keine Rechtsberatung.

Sinnvoll ist trotzdem eine Vorbereitung unter Unsicherheit. Unternehmen können Rollen auflisten, etwa Fachseite, IT, Einkauf, Management und Kundenservice. Sie können festhalten, welche KI-Werkzeuge schon im Einsatz sind und ob Schulungsformate existieren oder nur geplant sind. Außerdem lohnt es sich zu klären, welche Nachweise bei einer späteren Behördenanfrage vorzeigbar wären, zum Beispiel Schulungsprotokolle, Leitfäden und Rollenbeschreibungen.

Die KI-Verordnung zwingt dabei zur Klarheit über Rollen, Fristen und Dokumente. Wie sie Anbietende, Betreibende und Behörden ordnet, haben wir im Beitrag zur KI-Regulierung und zum EU AI Act eingeordnet. KI-Kompetenz ist der menschliche Teil dieser Klarheit. Werden die Empfehlungen öffentlich und versioniert veröffentlicht, entsteht eine Spur. Bleiben sie eine Floskel auf der Tagesordnung, bleibt es beim Protokoll.

Für die Transparenzregeln seit dem 2. August nennt die Kommission zwei Instrumente

Die Kommission nennt für die seit dem 2. August geltenden Transparenzregeln zwei konkrete Instrumente: den Code of Practice (Verhaltenskodex) und die Leitlinien. Das ist die greifbarste Aussage der gesamten Meldung. Ein Verhaltenskodex und Leitlinien lassen sich, sofern sie öffentlich gepflegt werden, versionieren, zitieren und mit den Antworten von GPAI-Anbietern abgleichen.

Nachvollziehbar wären Datum und Version des Code of Practice, Änderungen nach den Sitzungen, Aktualisierungen der Leitlinien und Hinweise der Kommission, wie Anbietende ihre Transparenzpflichten umsetzen sollen. Auch öffentliche Antworten auf häufige Fragen zählen dazu. Protokollsprache bleibt die Feststellung, Maßnahmen seien vorgestellt worden, solange Link, Versionshinweis und Änderungsverzeichnis fehlen.

Die Pflichten selbst haben wir bereits in unserem Beitrag zu den AI-Act-Transparenzpflichten ab dem 2. August eingeordnet. Der Bezug im Gremium vom 17. September bestätigt, dass das Thema auf der Agenda der Umsetzung bleibt. Die eigene Bestandsaufnahme ersetzt er nicht. Teams sollten klären, welche Systeme und welche Inhalte sie kennzeichnen und welche Prozesse sie dokumentieren.

Ein einfacher Test für das eigene Team: Liegt der aktuelle Stand von Code of Practice und Leitlinien mit Abrufdatum vor? Der Ablageort „irgendwo im SharePoint“ zeigt, dass die Spur fehlt. Wer Version, Abrufdatum und Link festhält, kann seine Angaben später belegen.

Marktüberwachung und Cybersicherheit: Hier bleiben Lücken offen

Bei Marktüberwachung und Konformitätsbewertung beschreibt die Kommission den Stand einer Diskussion. Auf der Tagesordnung standen die Zusammenarbeit bei der Marktüberwachung und die Steuerung der Konformitätsbewertung vor der Markteinführung, wie sie die KI-Verordnung vorsieht. Hinzu kam die Möglichkeit, ein Abordnungsprogramm für Marktüberwachungsbehörden beim Europäischen Datenschutzbeauftragten (EDPS) einzuführen.

Dieses Bild wurde mit KI generiertProviderhiggsfieldModellgpt_image_2PromptDesk with checklist clipboard and calendar marked mid-November, warm lamp, calm compliance workspace, photorealistic, no logos, no readable brand text, 16:9

Eine Möglichkeit ist noch kein Programm. Die Meldung nennt weder einen Beschluss noch eine fertige Umsetzungsverordnung. Dennoch bilden Marktüberwachung und Konformitätsbewertung die Brücke zwischen dem Gesetzestext und der Behördenpraxis. Auch die Steuerungsstrukturen des Gremiums klingen trocken, beeinflussen aber, wie strukturiert und öffentlich spätere Updates ausfallen.

Teams in Deutschland, Österreich und der Schweiz können ihre Behördenlandkarte aktualisieren. Sie können festhalten, welche nationalen Marktüberwachungsstellen für ihre Systeme relevant sind und welche EU-Stellen, etwa das AI Office, indirekt eine Rolle spielen könnten. Das Datum der neunten Sitzung und der Hinweis auf den Abordnungsvorschlag gehören in diese Landkarte.

Beim Aktionsplan zu Cybersicherheit und KI hebt die Meldung zwei Punkte hervor. Der erste ist die Entwicklung, Evaluierung und Erprobung von Infrastruktur rund um die Cybersicherheitsfähigkeiten von Frontier-Modellen. Der zweite ist die Vorbereitung des EU-Cyber-Ökosystems auf Herausforderungen und Chancen.

Der Plan selbst liegt in der Bibliothek der Kommission. Den EU Action Plan on Cybersecurity and Artificial Intelligence hat sie am 7. Juli veröffentlicht. Ergänzend lässt sich die Mitteilung COM(2026) 577 auf EUR-Lex prüfen. Primärquelle für die Sitzung bleibt die Meldung vom 18. September.

Die Meldung nennt keine Zugangsbedingungen für Organisationen, keinen Zeitplan bis zur Betriebsreife, keine Testkataloge und kein Teilnahmeverfahren für kritische Sektoren. Solche Lücken sollten Teams als Lücken dokumentieren. Eine Ankündigung der Kommission ist noch keine fertige Infrastruktur.

Security- und Compliance-Teams können den Link zum Aktionsplan mit Abrufdatum ablegen und die Hervorhebungen vom 17. September notieren. Intern lohnt es sich zu klären, welche Frontier-Modelle indirekt genutzt werden, welche Evaluierungsnachweise man von Anbietenden heute schon verlangt und welche EU-Testinfrastruktur man bei möglichem Zugang nutzen würde.

Der Kalender bis zum 18. November gibt den Takt der Beobachtung vor

Die Kommission hat die nächsten Termine öffentlich gesetzt. Am 14. Oktober eröffnet der European AI Innovation Month in Dublin beim International AI Summit. Der Apply AI Summit am 17. November in Brüssel schließt ihn ab. Die zehnte Sitzung des AI Board findet am 18. November am Rande dieses Gipfels statt.

Ausgangspunkt der Beobachtung bleibt die Meldung zur neunten Sitzung. Danach lohnt der Blick auf die Seiten der Kommission zu Gipfel und Innovationsmonat und nach dem 18. November auf den Bericht zur zehnten Sitzung. Zwischen dem 14. Oktober und Mitte November kann die Kommunikation der Anbieter zunehmen. Wer dann eine Akte mit gesicherten Dokumenten führt, kann Schlagzeilen einordnen.

Ein möglicher Kalender für das Team:

• 14. Oktober: Eröffnung in Dublin beobachten, Aussagen notieren und Dokumente verlinken.
• Vor dem 17. November: Links zu Code of Practice, Leitlinien und Aktionsplan erneut abrufen und den Versionsstand sichern.
• 17. November: Beim Apply AI Summit in Brüssel die öffentliche Agenda und die Aussagen der Kommission sammeln.
• 18. November: Den Bericht zur zehnten Sitzung abwarten und mit der neunten vergleichen.
• Woche danach: Interne Akte aktualisieren und offene Punkte an Recht, Sicherheit und Fachseite weitergeben.

Die folgende Prüfliste ist eine Arbeitshilfe für Teams in Deutschland, Österreich und der Schweiz:

1. Neunte Sitzung: Abrufdatum und Link zur Meldung gespeichert, irischer Vorsitz und Moldova als Beobachterin notiert.
2. Durchsetzung: Prioritätenlisten, Verfahren oder Leitlinien-Updates über die Tagesordnungszeile hinaus gesucht. Fehlen sie, den Status „Protokoll“ vermerken.
3. KI-Kompetenz: Empfehlungen mit Version und Datum geprüft. Sind sie noch in Entwicklung, eine Wiedervorlage zum 18. November setzen.
4. Transparenz: Aktuellen Code of Practice und die Leitlinien mit Versionsstand abgelegt und Änderungen seit der Sitzung geprüft.
5. Marktüberwachung: Die Abordnung beim EDPS als Diskussionspunkt markiert, solange kein Programm beschlossen ist, und die Behördenlandkarte aktualisiert.
6. Cybersicherheit: Link zum Aktionsplan vom 7. Juli und COM(2026) 577 abgelegt. Fehlen Informationen zu Zugang, Sektoren und Zeitplan, die Lücke festhalten.
7. Anbieterantworten: Prüfkriterien vorbereitet, nämlich Bezug zu Code und Leitlinien, Nachweise zur KI-Kompetenz und Angaben zur Evaluierung.

Offene Grundsatzfragen zur Einordnung beantworten die vier zentralen Fragen zum EU AI Act, die wir bereits zusammengestellt haben.

Die neunte Sitzung liefert damit ein öffentliches Gerüst: Durchsetzung als Tagesordnungspunkt, Empfehlungen zur KI-Kompetenz in Entwicklung, Transparenzregeln mit Code of Practice und Leitlinien, Marktüberwachung mit der Abordnungsidee und ein Aktionsplan zur Cybersicherheit. Die zehnte Sitzung am 18. November lässt sich an denselben Kriterien messen. Wer die Akte führt, den Kalender setzt und Aussagen der Kommission als solche kennzeichnet, kann dann belegen statt nur behaupten.