Was sich 2026 im europäischen und deutschen IT-Recht ändert
2026 greifen zentrale Neuerungen im europäischen und deutschen IT-Recht. Zugleich prägen wichtige Berufungs- und Grundsatzverfahren die IT-Rechtsentwicklung.
- Tobias Haar
Das Jahr 2026 wird im europäischen und deutschen IT-Recht kein Jahr der großen neuen Überschriften, sondern ein Jahr der Verdichtung und Korrektur. Die in den vergangenen Jahren beschlossenen Bausteine des EU-Digitalrechts beginnen flächendeckend zu wirken. Gleichzeitig versucht die Politik, mit dem Digital-Omnibus-Paket Fehler in der Taktung und Überlappungen zu korrigieren. Dadurch und darüber hinaus sind weitere praktische Änderungen im IT-Recht für Unternehmen und öffentliche Stellen im Jahr 2026 zu erwarten.
Im Zentrum steht zunächst die KI-Regulierung. Nach derzeitigem Stand soll der überwiegende Teil der Vorschriften des AI Acts ab dem 2. August 2026 gelten, insbesondere die Anforderungen an Hochrisikosysteme nach Anhang III, die Transparenzpflichten sowie das Governance-Gerüst mit nationalen Aufsichtsbehörden und einem europäischen AI-Board. Parallel dazu liegt nun der Vorschlag der EU-Kommission für das Digital-Omnibus-Paket vor. Dieser sieht vor, bestimmte Hochrisikopflichten zeitlich zu strecken und ihre volle Anwendbarkeit vom Vorliegen praxistauglicher Compliance-Support-Tools abhängig zu machen.
- Statt mit großen Neuerungen wird das kommende Jahr 2026 im IT-Recht vor allem mit Nachjustierungen, gerichtlichen Auslegungen und praktischen Umsetzungen von sich reden machen.
- Kernthemen sind insbesondere der Umgang mit großen Datenmengen, wie ihn der Data Act vorschreibt, aber auch rechtliche Fragen rund um die nahezu alles durchdringende künstliche Intelligenz sowie Sicherheitsregularien.
- Auf Unternehmen, Organisationen und Verwaltungen kommen zahlreiche rechtliche Umsetzungen zu, die unter Governance- und Complianceaspekten lieber früher als später einzuplanen sind.
In der Praxis verschiebt sich damit ein Teil der Last aus dem Jahr 2026 wahrscheinlich in Richtung 2027 und 2028, ohne dass die Grundkonzeption des risikobasierten Ansatzes infrage gestellt würde. Für die IT-Praxis bedeutet das, dass 2026 weniger die unmittelbare Sanktionsdrohung im Vordergrund stehen wird, sondern die Frage, wie sich bestehende KI-Architekturen den kommenden Kategorien zuordnen lassen und wie Governance-Strukturen aussehen müssen, um später auditierbar zu sein.
Das war die Leseprobe unseres heise-Plus-Artikels "Was sich 2026 im europäischen und deutschen IT-Recht ändert". Mit einem heise-Plus-Abo können Sie den ganzen Artikel lesen.
