The EU AI Act’s enforcement date was August 2, 2026. Most of the coverage this week focused on what was delayed: the postponement of the high-risk obligations for employment decisions, credit scoring, and access to public services to December 2027.
From 11 September 2026, every software manufacturer selling into the EU has to report an actively exploited vulnerability within 24 hours of becoming aware of it. Not 24 business hours. Twenty-four hours.
Wenn ein QA-Team bei einer Bank KI-Testwerkzeuge evaluiert, beginnt die Konversation tendenziell mit denselben Fragen, die jedes Ingenieurteam stellen würde: Wie viele Testfälle generiert es, wie genau ist die Generierung, wie gut wird die Wartung von Tests gehandhabt, welche Frameworks werden unterstützt. Das sind berechtigte Fragen. Sie sind auch der falsche Ausgangspunkt, da sie das Problem der KI-gestützten Qualitätssicherung in einem regulierten Finanzinstitut so behandeln, als sei es dasselbe Problem wie die KI-gestützte Qualitätssicherung in einem SaaS-Startup. Das ist es nicht.
Die meisten Gespräche über digitale Identität gehen von einer selten laut ausgesprochenen Annahme aus: dass die Internetverbindung stabil ist, dass Schalter in Reichweite sind und dass die Bevölkerungsdichte die Verteilung der Infrastruktur zu einem standardmäßig gelösten Problem macht. Das ist in vielen europäischen Kontexten eine vernünftige Annahme. Für ein Land wie Cabo Verde – zehn Inseln, die über den Atlantik verstreut sind, wo die Entfernung zwischen einem Bürger und der nächsten öffentlichen Dienststelle eine Bootsfahrt und nicht einen Spaziergang in die Stadt bedeuten kann – trifft dies einfach nicht zu.
Die meisten Gespräche über digitale Identität gehen von einer selten laut ausgesprochenen Annahme aus: dass die Internetverbindung stabil ist, dass Schalter in Reichweite sind und dass die Bevölkerungsdichte die Verteilung der Infrastruktur zu einem standardmäßig gelösten Problem macht. Das ist in vielen europäischen Kontexten eine vernünftige Annahme. Für ein Land wie Cabo Verde – zehn Inseln, die über den Atlantik verstreut sind, wo die Entfernung zwischen einem Bürger und der nächsten öffentlichen Dienststelle eine Bootsfahrt und nicht einen Spaziergang in die Stadt bedeuten kann – trifft dies einfach nicht zu.
Zwei Tage. Dutzende von Gesprächen. Ein durchgängiges Thema: Die Kluft zwischen politischem Ehrgeiz und operativer Realität ist nach wie vor beträchtlich, und die Organisationen, die diese Lücke schließen, sind diejenigen, die es wert sind, beobachtet zu werden.
Im Jahr 2026 ist der Cyber Resilience Act (CRA) keine künftige Frist mehr, sondern die betriebliche Realität für jedes Unternehmen auf dem europäischen Markt. Mit verbindlichen Sicherheitsanforderungen für Produkte mit digitalen Elementen hat sich Compliance von einem „Nice-to-have“ zu einer grundlegenden Betriebserlaubnis gewandelt. In dieser Landschaft ist reaktive Sicherheit veraltet; eine „Secure by Design“-Philosophie und die Transparenz von Open Source haben sich als die stärksten Verteidigungsmittel gegen moderne Bedrohungen herauskristallisiert.