Der EU AI Act ist vollständig in Kraft
Seit dem 2. August 2026 gelten die zentralen Bestimmungen des EU AI Acts für nahezu alle Unternehmen, die in der Europäischen Union KI-Systeme einsetzen, entwickeln oder betreiben. Was lange als regulatorische Zukunftsmusik galt, ist heute gelebte Realität: IT-Teams stehen vor konkreten Pflichten, die nicht nur Rechts- und Compliance-Abteilungen, sondern direkt den technischen Betrieb betreffen.
Dieser Artikel gibt IT-Teams einen strukturierten Überblick darüber, welche Anforderungen jetzt gelten, wie KI-Systeme klassifiziert werden und welche technischen sowie organisatorischen Maßnahmen unmittelbar umzusetzen sind.
Risikobasierter Ansatz: Welche KI-Systeme sind betroffen?
Der EU AI Act unterscheidet KI-Systeme nach ihrem Risikopotenzial. Das bestimmt, welche Pflichten für den Einsatz oder die Entwicklung gelten.
Verbotene KI-Praktiken
Bestimmte Anwendungen sind vollständig untersagt – darunter Social-Scoring-Systeme, KI zur subliminalen Manipulation von Personen und biometrische Fernidentifizierung in Echtzeit im öffentlichen Raum (mit engen Ausnahmen für Strafverfolgungsbehörden). IT-Teams müssen sicherstellen, dass keine eingesetzten Systeme unter diese Verbote fallen.
Hochrisiko-KI-Systeme
Der Kern der Regulierung betrifft Hochrisiko-Systeme. Dazu zählen KI-Anwendungen in Bereichen wie:
- Personalentscheidungen und Zugang zu Bildung
- Kritische Infrastruktur (Energie, Wasser, Transport)
- Biometrische Identifizierung
- Strafverfolgung und Migrationskontrolle
- Kreditvergabe und Versicherungsbewertung
Wer solche Systeme betreibt oder entwickelt, muss umfangreiche Dokumentations-, Registrierungs- und Konformitätsbewertungspflichten erfüllen.
GPAI-Modelle (General Purpose AI)
Spezifische Pflichten gelten für Anbieter von GPAI-Modellen wie große Sprachmodelle. Anbieter müssen technische Dokumentation bereitstellen, Urheberrecht-Compliance sicherstellen und bei systemischen Risiken (Trainingsrechenleistung über 10²⁵ FLOPs) zusätzliche Sicherheitsbewertungen durchführen.
Was IT-Teams konkret tun müssen
Die regulatorischen Anforderungen übersetzen sich in konkrete operative Aufgaben. Hier die wichtigsten Handlungsfelder:
1. KI-Inventarisierung und Klassifizierung
Der erste Schritt ist eine vollständige Bestandsaufnahme aller eingesetzten KI-Systeme im Unternehmen. Dazu gehören nicht nur selbst entwickelte Lösungen, sondern auch zugekaufte SaaS-Dienste mit KI-Komponenten, KI-Features in bestehenden Tools und APIs zu GPAI-Modellen.
Für jedes identifizierte System muss eine Risikoklassifizierung erfolgen. Wichtig: Ein KI-Feature in einer HR-Software kann bereits als Hochrisiko-System eingestuft sein, auch wenn das eigentliche Produkt primär für andere Zwecke genutzt wird.
2. Technische Dokumentation
Hochrisiko-Systeme erfordern umfangreiche technische Dokumentation, die während des gesamten Lebenszyklus aktuell gehalten werden muss. Dazu gehören:
- Beschreibung des KI-Modells, seiner Trainingsdaten und Trainingsprozesse
- Informationen zu den verwendeten Datensätzen und deren Herkunft
- Leistungskennzahlen und Evaluierungsergebnisse
- Maßnahmen zur Risikominimierung
- Protokolle zur Systemprotokollierung (Logging)
3. Menschliche Aufsicht sicherstellen
Hochrisiko-Systeme dürfen nicht ohne angemessene menschliche Aufsicht betrieben werden. IT-Teams müssen technische Mechanismen implementieren, die es menschlichen Aufsichtspersonen ermöglichen, die Ausgaben des Systems zu überwachen, in den Betrieb einzugreifen und das System bei Bedarf zu deaktivieren.
Das hat direkte Konsequenzen für Systemarchitekturen: Automatisierte Entscheidungssysteme brauchen definierte Override-Mechanismen, Alerting-Pipelines müssen menschliche Eskalationspfade enthalten.
4. EU-Datenbank-Registrierung
Bestimmte Hochrisiko-Systeme müssen vor dem Inverkehrbringen oder der Inbetriebnahme in der zentralen EU-Datenbank für KI-Systeme registriert werden. Betreiber von Hochrisiko-Systemen, die unter Anhang III des AI Acts fallen, müssen ebenfalls registrieren.
5. Transparenz und Nutzerinformation
KI-Systeme, die direkt mit Personen interagieren (Chatbots, sprachbasierte Assistenten), müssen die Interaktion als KI-generiert erkennbar machen. Diese Anforderung betrifft direkt viele KI-Assistenten-Integrationen in Unternehmensanwendungen.
Typische Stolpersteine in der Umsetzung
Aus der bisherigen Praxis zeichnen sich mehrere häufige Fehler ab:
Drittanbieter-Software unterschätzt
Viele Unternehmen fokussieren zunächst auf eigenentwickelte KI-Systeme und übersehen, dass auch zugekaufte Software mit KI-Komponenten ihre Compliance-Pflichten auslöst. Betreiber von Hochrisiko-Systemen tragen Verantwortung – unabhängig davon, ob sie das System selbst entwickelt haben.
Logging-Anforderungen technisch unterschätzt
Die Anforderungen an automatische Protokollierung gehen über Standard-Application-Logs hinaus. Hochrisiko-Systeme müssen Protokolle generieren, die eine retrospektive Analyse von Entscheidungen ermöglichen. Das erfordert oft Anpassungen an bestehenden Logging-Infrastrukturen.
Keine klare Ownership
Compliance-Anforderungen fallen zwischen IT- und Rechtsabteilungen hindurch. Erfolgreiche Umsetzungen etablieren dedizierte AI-Governance-Rollen oder klare Verantwortlichkeiten für jedes KI-System im Inventar.
Sanktionen und Durchsetzung
Der EU AI Act sieht empfindliche Bußgelder vor. Verstöße gegen die Verbote können mit bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes geahndet werden. Bei Verstößen gegen andere Anforderungen drohen Bußgelder von bis zu 15 Millionen Euro oder 3 Prozent des Umsatzes. Die zuständigen nationalen Aufsichtsbehörden nehmen ihre Arbeit schrittweise auf.
Praktische Empfehlungen für IT-Teams
Aus der aktuellen Lage ergeben sich folgende Prioritäten:
- KI-Inventar aufbauen: Alle KI-Systeme und -Features erfassen, unabhängig von Herkunft und Reifegrad
- Risikoklassifizierung durchführen: Für jedes System prüfen, ob es unter Hochrisiko-Kategorien fällt
- Anbieter befragen: SaaS-Anbieter und Software-Lieferanten nach ihrer AI-Act-Compliance und verfügbarer Dokumentation fragen
- Logging überprüfen: Bestehende Protokollierungsinfrastruktur auf AI-Act-Konformität prüfen
- Governance-Struktur etablieren: Klare Ownership und Prozesse für laufende Compliance
Der EU AI Act ist kein einmaliges Compliance-Projekt, sondern ein dauerhafter operativer Rahmen. IT-Teams, die jetzt strukturiert vorgehen, schaffen die Grundlage für nachhaltig regelkonformen KI-Einsatz.
Bildquelle: picsum.photos (Illustratives Bild)
Quellen
- Europäische Kommission: EU AI Act – Verordnung (EU) 2024/1689
- EU AI Office: Leitlinien zur Anwendung des AI Acts
- Bundesministerium für Wirtschaft und Klimaschutz: Orientierungshilfe KI-Verordnung
