Mit dem EU AI Act hat Europa das erste umfassende Gesetz zur Regulierung künstlicher Intelligenz weltweit verabschiedet. Seit dem offiziellen Inkrafttreten im August 2024 laufen die Übergangsfristen – und ab August 2026 tritt der nächste wichtige Meilenstein in Kraft: die Compliance-Pflichten für Hochrisiko-KI-Systeme nach Anhang I. Für IT-Teams, Entwickler und Unternehmen bedeutet das: Handlungsbedarf ist keine Option mehr, sondern gesetzliche Realität.
Was ist der EU AI Act – und warum betrifft er IT-Teams direkt?
Der EU AI Act klassifiziert KI-Systeme nach ihrem Risikograd: unakzeptabel, hoch, begrenzt und minimal. Während KI-Systeme mit unakzeptablem Risiko – wie Social Scoring durch Behörden oder biometrische Echtzeit-Überwachung im öffentlichen Raum – bereits seit Februar 2025 verboten sind, greifen die strengen Anforderungen für Hochrisiko-KI-Systeme gestaffelt bis Mitte 2026 und 2027.
Für IT-Teams ist besonders relevant, dass das Gesetz nicht nur KI-Anbieter trifft, sondern ausdrücklich auch Betreiber (Deployer) von KI-Systemen. Wer eine KI-Anwendung im Unternehmen einsetzt – sei es für Personalentscheidungen, kritische Infrastruktur oder automatisierte Überwachung – trägt Mitverantwortung für deren regelkonformen Betrieb.
Die wichtigsten Fristen im Überblick
- August 2024: EU AI Act tritt offiziell in Kraft
- Februar 2025: Verbote für unakzeptable Risiken greifen (Prohibited AI)
- August 2025: Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck (GPAI)
- August 2026: Compliance-Pflichten für Hochrisiko-KI-Systeme (Anhang I) vollständig anwendbar
- August 2027: Volle Geltung für weitere Hochrisiko-KI-Systeme (Anhang III)
Der August 2026 ist damit ein kritischer Zeitpunkt. Systeme, die etwa im Bereich kritischer Infrastruktur, Bildung, Beschäftigung oder Strafverfolgung eingesetzt werden, müssen bis dahin dokumentiert, geprüft und mit menschlicher Aufsicht versehen sein.
Was gilt als Hochrisiko-KI?
Die Einstufung als Hochrisiko-KI ist kein Marketingbegriff, sondern gesetzlich definiert. Betroffen sind KI-Systeme in folgenden Bereichen:
- Kritische Infrastruktur (Energie, Wasser, Verkehr, Finanzsystem)
- Bildungseinrichtungen (automatisierte Beurteilung, Zulassung)
- Beschäftigung (KI-gestütztes Recruiting, Mitarbeiterbewertung)
- Zugang zu wesentlichen Dienstleistungen (Kreditbewertung, Krankenversicherung)
- Strafverfolgung und Grenzkontrolle
- Rechtspflege und demokratische Prozesse
Auch wenn viele Unternehmen denken, sie seien nicht betroffen: KI-gestützte Bewerbermanagementsysteme, automatisierte Kreditprüfungen oder Systeme zur Leistungsüberwachung von Mitarbeitern fallen häufig unter diese Kategorien. Eine ehrliche Inventur ist der erste Schritt.
Konkrete Pflichten für Betreiber und IT-Teams
Wer als Deployer – also als Anwender eines fremden Hochrisiko-KI-Systems – eingestuft wird, muss unter anderem folgende Anforderungen erfüllen:
- Technische Dokumentation des eingesetzten KI-Systems bereitstellen und pflegen
- Geeignete menschliche Aufsichtsmaßnahmen implementieren
- Protokolle über den Betrieb des Systems führen (Logging)
- Eine grundlegende Risikoanalyse für den konkreten Einsatzkontext durchführen
- Beschäftigte über den Einsatz von KI-Systemen informieren
- Bei erheblichen Vorfällen die zuständige Marktüberwachungsbehörde benachrichtigen
Für IT-Teams bedeutet das vor allem eins: Sichtbarkeit. Wer nicht weiß, welche KI-Systeme im Unternehmen laufen, kann sie weder dokumentieren noch überwachen. Ein zentrales KI-Inventar ist keine Kür, sondern Pflicht.
Allzweck-KI-Modelle (GPAI): Bereits seit August 2025 aktiv
Für Unternehmen, die große Sprachmodelle oder andere GPAI-Systeme einsetzen oder entwickeln, gelten seit August 2025 bereits eigene Pflichten. Anbieter von GPAI-Modellen müssen technische Dokumentation bereitstellen, Urheberrechtsrichtlinien einhalten und – bei Modellen mit systemischen Risiken – zusätzliche Sicherheitsbewertungen durchführen.
Wer interne Chatbots auf Basis kommerzieller LLMs betreibt oder eigene Modelle fine-tuned und intern deployt, sollte prüfen, ob Anbieter- oder Betreiberpflichten greifen. Die Grenze zwischen internem Einsatz und regulierungspflichtigem Deployment ist feiner, als viele denken.
Was fehlt, macht das Risiko teuer
Die Bußgeldrahmen des EU AI Act sind erheblich. Verstöße gegen Verbote können mit bis zu 35 Millionen Euro oder sieben Prozent des weltweiten Jahresumsatzes geahndet werden. Für Verstöße gegen Betreiberpflichten bei Hochrisiko-KI drohen Bußgelder von bis zu 15 Millionen Euro oder drei Prozent des Jahresumsatzes.
Nationale Marktüberwachungsbehörden werden in allen EU-Mitgliedstaaten eingerichtet und haben das Recht auf Zugang zu Dokumentationen und Systemen. Die Stichprobenkontrolle von KI-Systemen ist ausdrücklich vorgesehen.
Praktische Schritte für IT-Teams jetzt
Die gute Nachricht: Wer strukturiert vorgeht, kann Compliance in bestehende Prozesse integrieren, ohne alles neu zu erfinden. Empfehlenswerte Schritte für die nächsten Monate:
- KI-Inventar erstellen: Welche KI-Systeme laufen wo im Unternehmen? Mit welchem Anbieter? Für welchen Zweck?
- Risikoeinstufung vornehmen: Fällt ein System in eine Hochrisiko-Kategorie? Anbieter-Dokumentation prüfen.
- Logging und Monitoring einrichten: Betriebsprotokolle für KI-Entscheidungen sind Pflicht – und schützen auch intern.
- Menschliche Aufsicht definieren: Wer überwacht KI-Ausgaben und kann eingreifen?
- Mitarbeiter informieren: Wo KI im Beschäftigungskontext eingesetzt wird, haben Mitarbeiter ein Recht auf Information.
- Incidentprozess ergänzen: KI-Vorfälle müssen dokumentiert und ggf. gemeldet werden – bestehende Incident-Response-Prozesse anpassen.
Monitoring als Schlüsselelement der KI-Compliance
Ein oft unterschätzter Aspekt: Der EU AI Act fordert kontinuierliche Beobachtung von KI-Systemen nach deren Inbetriebnahme. Systeme sollen auf unerwartetes Verhalten, Datenverschiebungen und Abweichungen überwacht werden. Das macht solides System-Monitoring zur gesetzlichen Anforderung – nicht nur zur technischen Best Practice.
Tools, die Uptime, Verfügbarkeit und Verhaltensänderungen von Systemen erfassen, liefern damit nicht nur operativen Mehrwert, sondern auch einen Teil der Dokumentationsbasis für regulatorische Nachweise. Wer IT-Monitoring bereits professionell betreibt, hat hier einen Vorsprung.
Fazit
Der EU AI Act ist keine abstrakte Regulierung für die ferne Zukunft. Mit dem August 2026 steht der nächste wichtige Stichtag unmittelbar bevor. IT-Teams, die jetzt ein KI-Inventar aufbauen, Logging-Anforderungen klären und Verantwortlichkeiten definieren, schaffen nicht nur Compliance – sie stärken auch ihre operative Kontrolle über KI-Systeme. Das ist kein Widerspruch, sondern eine Chance.
Quellen: Europäische Kommission, Verordnung (EU) 2024/1689 – Artificial Intelligence Act; EU AI Act Explorer (artificialintelligenceact.eu); Europäisches Parlament, Pressemitteilungen 2024. – Bildquelle: Pexels (Photo ID 8439094), Pexels-Lizenz.
