EU AI Act 2026: Was IT-Teams jetzt über KI-Compliance und Governance wissen müssen

KI-Technologie und digitale Regulierung, symbolisch für den EU AI Act

EU AI Act vollständig in Kraft: Was das für IT-Teams in Europa bedeutet

Seit August 2026 gilt der EU AI Act vollumfänglich – einschließlich der strengen Anforderungen an sogenannte Hochrisiko-KI-Systeme. Für IT-Teams in Europa ist das kein abstraktes Rechtsproblem mehr, sondern eine operative Realität mit konkreten Handlungspflichten. Wer KI-Systeme entwickelt, betreibt oder auch nur beschafft und in interne Prozesse integriert, muss jetzt belastbare Compliance-Strukturen vorweisen können. Dieser Artikel zeigt, was die wichtigsten Pflichten bedeuten und wie IT-Abteilungen sich praktisch aufstellen können.

Stufenweise Einführung: Was seit wann gilt

Der EU AI Act wurde im August 2024 vom Europäischen Parlament verabschiedet und tritt seitdem in mehreren Phasen in Kraft. Die wichtigsten Meilensteine im Überblick:

Februar 2025: Verbote für bestimmte KI-Praktiken wurden wirksam – darunter Social Scoring durch staatliche Stellen, manipulative KI-Systeme und biometrische Echtzeit-Überwachung im öffentlichen Raum.
August 2025: Die Regeln für KI-Modelle mit allgemeinem Verwendungszweck (General Purpose AI, kurz GPAI) traten in Kraft – darunter große Sprachmodelle wie GPT-Varianten, Claude oder Gemini.
August 2026: Vollständige Anwendung der Hochrisiko-Anforderungen: KI-Systeme in kritischen Bereichen wie Personalwesen, Kreditvergabe, kritischer Infrastruktur und Strafverfolgung unterliegen nun einem vollständigen Pflichtenkatalog.

Das bedeutet in der Praxis: IT-Teams, die KI-gestützte Systeme in regulierten Bereichen einsetzen oder weiterentwickeln, befinden sich ab sofort im direkten Geltungsbereich des Gesetzes.

Was gilt als Hochrisiko-KI?

Der EU AI Act unterscheidet vier Risikokategorien. Verbotene KI ist am schärfsten reguliert und darf nicht mehr betrieben werden. Hochrisiko-KI unterliegt einem umfassenden Pflichtenkatalog. Begrenzt riskante KI hat lediglich Transparenzpflichten. KI mit minimalem Risiko unterliegt keinen spezifischen gesetzlichen Anforderungen.

Für die meisten IT-Teams ist vor allem die Hochrisiko-Kategorie relevant. Als Hochrisiko gelten unter anderem KI-Systeme, die:

zur Personalauswahl, Kandidatenbewertung oder -einstufung eingesetzt werden,
Kredit- oder Bonitätsrisiken automatisch bewerten,
sicherheitskritische Infrastrukturen – etwa Energienetze, Wasserversorgung oder Verkehrssysteme – steuern oder überwachen,
biometrische Identifikation oder Authentifizierung durchführen,
oder in Behörden für Entscheidungen über Sozialleistungen, Asylverfahren oder ähnliche Verwaltungsakte genutzt werden.

Viele KI-Assistenzsysteme im Enterprise-IT-Umfeld fallen nicht in diese Kategorie – etwa einfache Chatbots für FAQ-Anfragen, automatisierte Triage-Systeme im First-Level-Support oder Monitoring-Systeme, die Anomalien erkennen. Dennoch empfiehlt sich eine sorgfältige Einzelfallprüfung, denn die Einstufung liegt grundsätzlich in der Verantwortung des Anbieters oder Betreibers.

Die wichtigsten Pflichten für Hochrisiko-Systeme

Wer ein Hochrisiko-KI-System entwickelt oder betreibt, muss konkrete Anforderungen erfüllen. Diese betreffen Dokumentation, Prozesse und Technik gleichermaßen.

Risikomanagementsystem

Es muss ein dokumentiertes Risikomanagementsystem existieren, das den gesamten Lebenszyklus des KI-Systems abdeckt – von der Entwicklung über den Betrieb bis zur Außerbetriebnahme. Das ist keine einmalige Bestandsaufnahme, sondern ein fortlaufender Prozess, der regelmäßig aktualisiert werden muss.

Datenqualität und Datengovernance

Trainingsdaten müssen nachvollziehbar, repräsentativ und frei von systematischen Verzerrungen sein. Das stellt besondere Anforderungen an interne Datenpipelines, Datenherkunft (Data Lineage) und Governance-Strukturen. Unternehmen, die KI-Modelle mit eigenen Daten feinabstimmen, sind hier besonders gefordert.

Technische Dokumentation

Vollständige technische Dokumentation ist gesetzlich vorgeschrieben: Systemarchitektur, Trainingsdaten, Modellparameter, Genauigkeitsmetriken und bekannte Einschränkungen müssen festgehalten werden. Diese Unterlagen müssen Aufsichtsbehörden auf Anfrage kurzfristig bereitgestellt werden können.

Transparenz und Erklärbarkeit

Benutzer müssen eindeutig erkennen können, dass sie mit einem KI-System interagieren. Bei automatisierten Entscheidungen mit relevanter Auswirkung auf Einzelpersonen muss eine menschliche Überprüfung möglich sein. Vollständig autonome Entscheidungen ohne Möglichkeit zur Intervention sind für Hochrisiko-Systeme grundsätzlich nicht zulässig.

Menschliche Aufsicht

Hochrisiko-Systeme müssen technisch so gestaltet sein, dass menschliche Operatoren jederzeit eingreifen, das System pausieren oder vollständig abschalten können. Das hat direkte Konsequenzen für System- und Prozessdesign – insbesondere für KI-gestützte Entscheidungsautomatisierung in kritischen Workflows.

Cybersicherheit und Robustheit

KI-Systeme müssen gegenüber Manipulation und unautorisierten Eingriffen robust sein. Angriffsvektoren wie Prompt Injection, Model Inversion oder Adversarial Inputs müssen bei der Risikoanalyse berücksichtigt werden.

GPAI: Was für große Sprachmodelle gilt

Anbieter von KI-Modellen mit allgemeinem Verwendungszweck – also Unternehmen, die GPT-Varianten, Claude, Gemini oder ähnliche Modelle entwickeln und über APIs bereitstellen – unterliegen seit August 2025 spezifischen Pflichten. Sie müssen technische Dokumentation bereitstellen, Urheberrechtsrichtlinien veröffentlichen und eine Zusammenfassung ihrer Trainingsdaten vorlegen.

Für IT-Teams, die solche Modelle über APIs nutzen und in interne Systeme integrieren, ist die Lage differenziert: Die primären Compliance-Pflichten liegen beim Modellanbieter. Dennoch sind Betreiber nicht aus der Verantwortung entlassen, wenn sie ein GPAI-Modell in einem Hochrisiko-Kontext einsetzen – dann gelten zusätzlich die Hochrisiko-Anforderungen für das Gesamtsystem.

Strafen bei Verstößen

Der EU AI Act sieht empfindliche Bußgelder vor, die sich an den kartellrechtlichen Maßstäben der EU orientieren:

Verbotene KI-Praktiken: bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes
Verstöße gegen Hochrisiko-Anforderungen: bis zu 15 Millionen Euro oder 3 % des Umsatzes
Falsche Angaben gegenüber Behörden: bis zu 7,5 Millionen Euro

Für kleine und mittlere Unternehmen gelten ermäßigte Obergrenzen. Dennoch sind die Summen auch für mittelgroße IT-Organisationen keine zu vernachlässigenden Risiken.

Praktische Schritte für IT-Teams jetzt

Wer noch keinen strukturierten Ansatz hat, sollte mit folgenden Maßnahmen beginnen:

KI-Inventar aufbauen: Welche KI-Systeme werden intern entwickelt oder extern beschafft? Wo kommen Drittanbieter-APIs zum Einsatz?
Risikoklassifizierung vornehmen: Für jedes System prüfen, ob es in den Hochrisiko-Bereich fällt – ggf. mit rechtlicher Beratung.
Dokumentation aufsetzen: Auch bei Nicht-Hochrisiko-Systemen hilft Basisdokumentation bei internen Audits und künftigen Anforderungen.
Monitoring etablieren: KI-Systeme brauchen Überwachung auf mehreren Ebenen – technisch (Latenz, Fehlerrate, Verfügbarkeit) und inhaltlich (Ausgabequalität, Drift, Bias-Indikatoren).
Verantwortlichkeiten definieren: Wer ist für KI-Compliance verantwortlich? Wer pflegt die Dokumentation und hält sie aktuell?

Fazit

Der EU AI Act ist seit August 2026 vollständig in Kraft und stellt konkrete Anforderungen an IT-Teams in ganz Europa. Wer KI-Systeme verantwortungsvoll entwickelt, auf Transparenz setzt und technisches Monitoring betreibt, erfüllt viele Anforderungen bereits heute – dem Gesetz fehlt dann oft nur noch die formale Dokumentation. Wer noch gar keinen Überblick hat, sollte jetzt mit einem KI-Inventar beginnen und Risiken systematisch einschätzen. Je früher strukturiert wird, desto weniger wird es zum Zeitdruck.

Bildquelle: Unsplash, Foto von Solen Feyissa