Der EU AI Act: Was er für deinen Tech-Stack bedeutet

Das weltweit erste umfassende KI-Gesetz

Der EU AI Act, der im August 2024 in Kraft trat, ist das ambitionierteste Gesetz zur künstlichen Intelligenz, das je verabschiedet wurde. Er reguliert KI nicht nur abstrakt — er schafft einen konkreten, durchsetzbaren Rahmen, der KI-Systeme nach Risikolevel klassifiziert und Pflichten für Anbieter, Betreiber und Importeure auferlegt, die auf dem europäischen Markt tätig sind.

Wenn dein Unternehmen KI-Tools einsetzt — und 2026 betrifft das nahezu jedes Unternehmen — wirkt sich der AI Act auf dich aus. Die Frage ist, in welchem Umfang und was du dagegen tun musst.

Die Risikostufen verstehen

Die zentrale Innovation des AI Act ist sein risikobasiertes Klassifizierungssystem. Nicht alle KI wird gleich behandelt. Stattdessen erkennt das Gesetz an, dass ein Chatbot, der Kundenfragen beantwortet, andere Risiken birgt als ein KI-System, das Entscheidungen über Kreditanträge oder Strafurteile trifft.

Unannehmbares Risiko (Verboten)

Einige KI-Anwendungen sind in der EU grundsätzlich verboten:

• Social-Scoring-Systeme, die Bürger anhand von Verhalten oder persönlichen Merkmalen bewerten
• Biometrische Echtzeit-Überwachung im öffentlichen Raum (mit engen Ausnahmen für die Strafverfolgung)
• Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen
• Predictive Policing auf Basis von Profiling
• KI-Systeme, die Schwächen bestimmter Gruppen ausnutzen (Kinder, ältere Menschen, Menschen mit Behinderungen)

Diese Verbote traten im Februar 2025 in Kraft. Wenn ein Tool in deinem Stack diese Dinge tut, ist es bereits illegal.

Hohes Risiko

KI-Systeme, die das Leben von Menschen erheblich beeinflussen, unterliegen den strengsten Anforderungen:

• Beschäftigung und Personalmanagement: KI-Tools für Bewerber-Screening, Leistungsbewertung oder Aufgabenverteilung
• Kreditscoring und Versicherung: Automatisierte Entscheidungen, die den finanziellen Zugang betreffen
• Bildung: KI-Systeme, die den Zugang zu Bildungseinrichtungen bestimmen oder Schüler bewerten
• Kritische Infrastruktur: KI, die Energienetze, Wasserversorgung oder Verkehr steuert
• Strafverfolgung und Migration: Grenzkontrollsysteme, Beweismittelbewertung

Hochrisiko-Systeme müssen Anforderungen erfüllen, darunter Risikomanagementsysteme, Datengovernance, technische Dokumentation, Transparenzpflichten, menschliche Aufsicht und Genauigkeitsstandards. Die Compliance-Fristen für die meisten Hochrisiko-Systeme enden im August 2026.

Begrenztes Risiko

KI-Systeme mit spezifischen Transparenzpflichten:

• Chatbots: Müssen offenlegen, dass Nutzer mit KI interagieren
• Deepfakes: KI-generierte Inhalte müssen gekennzeichnet werden
• Emotionserkennung: Systeme müssen Nutzer informieren (wo nicht verboten)

Minimales Risiko

Die meisten KI-Anwendungen fallen in diese Kategorie und unterliegen keinen spezifischen Pflichten über bestehendes Recht hinaus. Spamfilter, KI-gestützte Rechtschreibprüfungen und Empfehlungssysteme für Unterhaltung qualifizieren sich generell als minimales Risiko.

Was das für US-KI-Tools bedeutet

Hier wird es praktisch. Viele KI-Tools, auf die europäische Unternehmen angewiesen sind, werden von US-Unternehmen entwickelt, und der AI Act gilt für jedes KI-System, das auf dem EU-Markt bereitgestellt wird oder dessen Output in der EU genutzt wird — unabhängig davon, wo der Anbieter seinen Sitz hat.

ChatGPT und GPT-basierte Tools

OpenAIs Modelle werden unter dem Gesetz als General-Purpose AI (GPAI) eingestuft. GPAI-Anbieter müssen technische Dokumentation bereitstellen, EU-Urheberrecht einhalten und Zusammenfassungen der Trainingsdaten veröffentlichen. Modelle mit systemischem Risiko — definiert als solche, die mit mehr als 10^25 FLOPs an Rechenleistung trainiert wurden — unterliegen zusätzlichen Pflichten, darunter Adversarial Testing, Incident Reporting und Cybersicherheitsmaßnahmen. OpenAIs Frontier-Modelle erreichen diese Schwelle wahrscheinlich.

Microsoft Copilot

Wenn Copilot für allgemeine Produktivitätsaufgaben verwendet wird (E-Mails schreiben, Dokumente zusammenfassen), fällt es wahrscheinlich unter minimales Risiko. Aber wenn es in HR-Workflows für Bewerber-Screening oder Mitarbeiterbewertung integriert wird, könnte es als hohes Risiko eingestuft werden und den gesamten Compliance-Apparat auslösen. Die Klassifizierung hängt vom Anwendungsfall ab, nicht nur vom Tool.

GitHub Copilot

Code-Generierung ist generell minimales Risiko, aber Organisationen müssen urheberrechtliche Compliance-Pflichten berücksichtigen. Die Ausrichtung des AI Act am EU-Urheberrecht bedeutet, dass Code-Vorschläge die Rechte der Urheber der Trainingsdaten respektieren müssen.

Google Gemini, Meta AI

Dieselben GPAI-Pflichten gelten. Jedes Modell, das auf dem EU-Markt angeboten wird, muss Transparenz- und Dokumentationsanforderungen erfüllen, wobei Modelle mit systemischem Risiko einer strengeren Prüfung unterliegen.

Europäische KI-Alternativen im Blick

Der AI Act schafft ein regulatorisches Umfeld, in dem europäische KI-Unternehmen einzigartig gut aufgestellt sind, da sie ihre Produkte von Anfang an innerhalb des EU-Rechtsrahmens entwickelt haben.

Mistral AI (Frankreich)

Mistral hat sich als Europas prominentester Entwickler großer Sprachmodelle etabliert. Ihre Open-Weight-Modelle (Mistral 7B, Mixtral, Mistral Large) bieten echte Leistungsalternativen zu Modellen der GPT-4-Klasse. Der Sitz in Paris bedeutet, dass Compliance Teil ihrer DNA ist, statt nachträglich aufgesetzt zu werden. Mistrals Modelle sind über ihre eigene API-Plattform La Plateforme und über europäische Cloud-Partner verfügbar.

Aleph Alpha (Deutschland)

Das in Heidelberg ansässige Aleph Alpha konzentriert sich auf souveräne KI für Unternehmen und Behörden. Ihre Luminous-Modellfamilie ist für Einsätze konzipiert, bei denen Daten die europäische Gerichtsbarkeit nicht verlassen dürfen — eine kritische Anforderung für Regierungsbehörden und regulierte Branchen. Ihr Schwerpunkt auf Erklärbarkeit steht in direktem Einklang mit den Transparenzanforderungen des AI Act.

DeepL (Deutschland)

Bereits die weltweit genaueste Übersetzungs-KI, zeigt DeepL, dass europäische KI-Unternehmen US-Wettbewerber in spezifischen Bereichen übertreffen können. Ihre EU-basierte Infrastruktur und ihr DSGVO-First-Ansatz machen sie zur Standardwahl für Unternehmen, die sensible Dokumente verarbeiten.

Nyonic (Deutschland)

Ein neuerer Marktteilnehmer, der sich auf den Aufbau grundlegender KI-Modelle konzentriert, die ausschließlich mit ordnungsgemäß lizenzierten europäischen Daten trainiert werden — damit werden die urheberrechtlichen Compliance-Herausforderungen adressiert, die US-Anbietern Probleme bereiten.

Compliance-Fristen, die du kennen musst

Die Pflichten des AI Act treten schrittweise in Kraft:

• Februar 2025: Verbote für KI-Systeme mit unannehmbarem Risiko (bereits in Kraft)
• August 2025: Regeln für GPAI-Modelle und Governance-Strukturen
• August 2026: Die meisten Pflichten für Hochrisiko-KI-Systeme
• August 2027: Verlängerte Frist für Hochrisiko-KI in regulierten Produkten (Medizinprodukte, Luftfahrt, Automobil)

Lass dich nicht von dem gestaffelten Zeitplan in falscher Sicherheit wiegen. Organisationen, die Hochrisiko-KI-Systeme einsetzen, müssen jetzt mit der Compliance-Arbeit beginnen, denn die Erfüllung der Anforderungen für Risikomanagement, Dokumentation und menschliche Aufsicht erfordert Monate der Vorbereitung.

Was Unternehmen jetzt tun sollten

1. KI-Nutzung auditieren

Erfasse jedes KI-Tool in deiner Organisation. Dazu gehören nicht nur offensichtliche wie ChatGPT, sondern auch KI, die in bestehende Software eingebettet ist — HR-Plattformen mit automatisiertem Screening, CRM-Tools mit Predictive Analytics, Kundenservice-Chatbots.

2. Nach Risiko klassifizieren

Bestimme für jedes KI-System seine Risikoklassifizierung basierend darauf, wie du es einsetzt, nicht nur was der Anbieter sagt. Ein Tool, das vom Anbieter als minimales Risiko eingestuft wird, kann in deinem spezifischen Einsatz ein hohes Risiko darstellen.

3. Anbieter evaluieren

Stelle KI-Anbietern direkte Fragen: Wo werden die Modelle gehostet? Welche Trainingsdaten wurden verwendet? Können sie die vom AI Act geforderte technische Dokumentation bereitstellen? Anbieter, die diese Fragen nicht klar beantworten können, sind nicht compliance-bereit.

4. Europäische Alternativen in Betracht ziehen

Besonders für Hochrisiko-Anwendungen bieten europäische KI-Anbieter einen strukturellen Vorteil. Sie entwickeln unter EU-Gerichtsbarkeit, designen für EU-Compliance-Anforderungen und speichern Daten auf EU-Infrastruktur. Das ist kein Marketing — es ist eine echte Reduzierung regulatorischer Risiken.

5. Governance etablieren

Der AI Act verlangt von Organisationen, die Hochrisiko-KI einsetzen, menschliche Aufsicht aufrechtzuerhalten, Folgenabschätzungen durchzuführen und Risikomanagementsysteme zu implementieren. Beginne jetzt damit, diese Governance-Strukturen aufzubauen, noch vor der Compliance-Frist.

Das große Bild

Der EU AI Act ist nicht Regulierung um der Regulierung willen. Es ist der Versuch sicherzustellen, dass die Transformation durch KI in allen Bereichen von Wirtschaft und Gesellschaft innerhalb eines Rahmens stattfindet, der Grundrechte schützt, Transparenz gewährleistet und menschliche Handlungsfähigkeit bewahrt.

Für europäische Unternehmen ist der AI Act sowohl Pflicht als auch Chance. Die Compliance-Anforderungen verursachen Kosten, schaffen aber auch einen Wettbewerbsvorteil für Organisationen, die ethische, transparente KI-Praktiken aufbauen. Und sie schaffen einen Markt für europäische KI-Unternehmen, die diese Prinzipien von Anfang an in ihre Produkte einbauen.

Die KI-Tools, die du heute wählst, bestimmen deine Compliance-Position für die kommenden Jahre. Wähle klug.