Was der EU AI Act ab August 2026 von IT-Teams verlangt
Der EU AI Act ist nicht mehr nur ein Versprechen auf dem Papier. Mit dem August 2026 rückt einer der wichtigsten Meilensteine dieser Verordnung näher: Ab diesem Zeitpunkt gelten für Hochrisiko-KI-Systeme verbindliche Anforderungen an Transparenz, Dokumentation, Qualitätsmanagement und menschliche Aufsicht. Für viele IT-Abteilungen bedeutet das konkreten Handlungsbedarf – auch dann, wenn die eingesetzten Systeme keine eigenentwickelten KI-Modelle sind.
Dieser Artikel fasst zusammen, welche Pflichten ab August greifen, welche Systeme davon betroffen sind und was IT-Teams heute noch tun sollten, um compliant zu bleiben.
Kurzer Überblick: Was ist der EU AI Act?
Der AI Act der Europäischen Union ist die erste umfassende KI-Regulierung weltweit. Er wurde im März 2024 vom Europäischen Parlament verabschiedet und trat im August 2024 offiziell in Kraft. Die Umsetzung erfolgt gestaffelt: Zunächst galten die Regelungen für verbotene KI-Praktiken, im Februar 2025 folgten Vorgaben zu allgemeinen KI-Modellen (GPAI). Der August 2026 markiert die dritte und für viele IT-Teams relevanteste Stufe – die Anwendung auf Hochrisiko-KI-Systeme gemäß Anhang III der Verordnung.
Was gilt als Hochrisiko-KI?
Die Verordnung kategorisiert KI-Systeme nach ihrem Risikopotenzial. Als hochriskant gelten unter anderem Systeme, die in folgenden Bereichen eingesetzt werden:
- Kritische Infrastruktur (Energie, Wasser, Verkehr, IT-Sicherheit)
- Personalentscheidungen (Recruiting, Leistungsbewertung, Kündigung)
- Bildung und Berufsausbildung (Bewertungssysteme, Prüfungstools)
- Strafverfolgung und Justiz (Risikoanalysen, Entscheidungsunterstützung)
- Migration und Asylverfahren
- Verwaltung und demokratische Prozesse
Auch wenn ein Unternehmen keine dieser Systeme selbst entwickelt, sondern fertige KI-Lösungen einsetzt, kann es als Deployer in die Pflicht genommen werden. Das gilt für HR-Software mit KI-Scoring, KI-basierte Ticket-Priorisierung in ITSM-Systemen oder automatisierte Zugangskontrollen mit maschinellem Lernen.
Die wichtigsten Pflichten im Überblick
1. Technische Dokumentation
Anbieter von Hochrisiko-Systemen müssen eine vollständige technische Dokumentation vorhalten. Diese muss den Zweck des Systems, seine Grenzen, die verwendeten Daten sowie die Risikobewertung abdecken. IT-Teams, die eigene Systeme entwickeln oder anpassen, müssen sicherstellen, dass diese Dokumentation aktuell gehalten wird.
2. Qualitätsmanagementsystem
Unternehmen, die Hochrisiko-KI bereitstellen oder betreiben, benötigen ein dokumentiertes Qualitätsmanagementsystem. Es muss Prozesse für Datenverwaltung, Modell-Validierung, Tests und die Nachverfolgung von Änderungen abdecken. Bestehende ISO-9001- oder ISO-27001-Strukturen lassen sich oft als Grundlage nutzen und erweitern.
3. Menschliche Aufsicht (Human Oversight)
Eines der Kernprinzipien des AI Act ist, dass Menschen in der Lage sein müssen, KI-Entscheidungen zu verstehen, zu korrigieren und gegebenenfalls zu stoppen. Für IT-Teams bedeutet das: Automatisierungen dürfen keine kritischen Entscheidungen vollständig ohne menschliche Prüfmöglichkeit treffen. Dashboards, Audit-Logs und manuelle Override-Mechanismen werden zur Pflichtausstattung.
4. Robustheit und Cybersecurity
Hochrisiko-Systeme müssen nachweislich robust gegen fehlerhafte Eingaben und Angriffe sein. Das betrifft insbesondere Systeme, die für kritische Infrastruktur oder Sicherheitsentscheidungen genutzt werden. Adversarial Robustness, Input-Validierung und Monitoring auf Anomalien im Modellverhalten sind keine akademischen Konzepte mehr, sondern regulatorische Anforderungen.
5. Transparenz und Nutzerinformation
Deployer müssen sicherstellen, dass betroffene Personen wissen, dass sie mit einem KI-System interagieren. Das betrifft zum Beispiel KI-gestützte Chatbots im Kundensupport, automatisierte Risikoeinschätzungen oder personalisierte Entscheidungen in Portalen.
Was das für IT-Monitoring und Betrieb bedeutet
Der AI Act ist nicht nur eine Compliance-Aufgabe für Juristen oder Datenschutzbeauftragte. Er hat direkte Auswirkungen auf den IT-Betrieb:
- Logging und Auditierbarkeit: KI-Systeme müssen Entscheidungspfade nachvollziehbar protokollieren. Bestehende Log-Infrastrukturen müssen erweitert werden.
- Monitoring von Modelldrift: Wenn ein eingesetztes Modell im Laufe der Zeit ungenauer wird, muss das erkannt und gemeldet werden. Klassisches Uptime-Monitoring reicht hier nicht aus.
- Incident-Prozesse für KI-Fehler: Was passiert, wenn ein KI-System fehlerhafte Entscheidungen trifft? Eskalationswege, Abschaltmechanismen und Postmortem-Prozesse müssen definiert sein.
- Vendor-Management: Wer Drittanbieter-KI nutzt, muss prüfen, ob der Anbieter seinen Pflichten als Provider nachkommt. Das sollte vertraglich gesichert sein.
Typische Lücken in IT-Abteilungen
Eine häufige Fehleinschätzung ist, dass der AI Act nur für KI-Startups oder Technologiekonzerne relevant ist. In der Praxis setzt fast jede größere Organisation KI-gestützte Tools ein – oft ohne es explizit als „KI" zu deklarieren. Predictive Analytics im ERP, Spam-Filter mit ML-Grundlage, KI-Scoring in Ticket-Systemen: All das kann in den Anwendungsbereich fallen.
Zu den häufigsten Lücken zählen:
- Keine vollständige Übersicht, welche KI-Systeme im Unternehmen laufen
- Fehlende Dokumentation der Datengrundlage für eingesetzte Modelle
- Keine definierten Override-Prozesse bei automatisierten Entscheidungen
- Unklare Verantwortlichkeiten zwischen IT, Legal und Fachbereichen
Was IT-Teams jetzt tun sollten
Die verbleibende Zeit bis August 2026 reicht für gezielte Maßnahmen – vorausgesetzt, man startet jetzt:
- KI-Inventur durchführen: Alle eingesetzten Systeme mit KI-Anteil erfassen und nach Risikokategorien bewerten.
- Hochrisiko-Systeme identifizieren: Anhand der Kriterien des AI Act klären, ob eigene oder gekaufte Systeme unter Anhang III fallen.
- Technische Dokumentation aufbauen: Auch für eingekaufte Lösungen prüfen, ob Anbieter die nötigen Unterlagen bereitstellen.
- Human-Oversight-Mechanismen implementieren: Logs, Dashboards und manuelle Eingriffsmöglichkeiten sicherstellen.
- Vendor-Verträge prüfen: KI-Anbieter auf ihre Compliance-Pflichten ansprechen und vertraglich absichern.
Der AI Act ist kein theoretisches Rahmenwerk mehr – er ist operativ und hat konkrete technische Anforderungen, die Entwickler, DevOps-Teams und IT-Verantwortliche direkt betreffen.
Fazit
Der August 2026 kommt schneller als gedacht. IT-Abteilungen, die jetzt handeln, können die Anforderungen des EU AI Act systematisch abarbeiten, anstatt im letzten Moment unter Druck zu geraten. Die Verordnung stellt keine unüberwindbaren Hürden auf – sie fordert vor allem Transparenz, Dokumentation und die Fähigkeit, KI-Systeme nachvollziehbar zu betreiben. Wer bereits gute Monitoring-, Logging- und Incident-Prozesse hat, ist näher am Ziel als er vielleicht denkt.
Bildquelle: Foto von Tingey Injury Law Firm via Unsplash
Quellen:
Europäisches Parlament: EU Artificial Intelligence Act (2024/1689)
EUR-Lex: Volltext der Verordnung (EU) 2024/1689
European AI Office: Leitlinien zur Implementierung (Stand: 2025)
