Seit dem 2. August 2026 ist der EU AI Act vollständig in Kraft – und damit für alle Unternehmen verbindlich, die KI-Systeme in der Europäischen Union entwickeln, einsetzen oder vertreiben. Was bisher vor allem als abstraktes Regulierungsvorhaben diskutiert wurde, ist nun konkretes Recht mit Bußgeldern von bis zu 35 Millionen Euro oder sieben Prozent des weltweiten Jahresumsatzes. Für IT-Teams bedeutet das: Compliance ist keine optionale Aufgabe mehr, sondern operativer Alltag.
Bildquelle: Unsplash.com
Was der EU AI Act regelt – ein Überblick für Praktiker
Der EU AI Act verfolgt einen risikobasierten Ansatz: KI-Systeme werden in vier Risikoklassen eingeteilt, von unakzeptablem Risiko bis hin zu minimalem Risiko. Die wichtigste Kategorie für die meisten IT-Teams ist die der sogenannten Hochrisiko-KI-Systeme. Dazu gehören KI-Anwendungen in Bereichen wie kritische Infrastruktur, Personalentscheidungen, Kreditvergabe, biometrische Identifikation, Rechtspflege und Bildung. Wer in diesen Bereichen KI einsetzt, muss eine umfangreiche Dokumentations- und Auditpflicht erfüllen.
Daneben gibt es die Kategorie der General Purpose AI-Modelle (GPAI), also Sprachmodelle wie GPT, Claude oder Gemini. Für diese gelten besondere Transparenzpflichten – insbesondere dann, wenn sie als sogenannte systemische Risikosysteme eingestuft werden, was ab einer Trainingsrechenlast von 1025 FLOP zutrifft.
Die vier Risikoklassen im Detail
- Unakzeptables Risiko: Vollständig verboten – dazu gehören Social-Scoring-Systeme, manipulative KI, biometrische Echtzeit-Massenüberwachung im öffentlichen Raum.
- Hohes Risiko: Erlaubt, aber mit strengen Anforderungen: Risikobewertung, technische Dokumentation, Registrierung in der EU-Datenbank, menschliche Aufsicht, Robustheitsprüfungen.
- Begrenztes Risiko: Transparenzpflichten gelten – zum Beispiel muss ein Chatbot dem Nutzer mitteilen, dass er mit einer KI kommuniziert.
- Minimales Risiko: Keine besonderen Pflichten, aber freiwillige Verhaltenskodizes werden empfohlen.
Was IT-Teams konkret umsetzen müssen
Die meisten IT-Teams sind vor allem dann betroffen, wenn sie KI-Systeme in internen oder externen Prozessen einsetzen, die zu den Hochrisikokategorien gehören. Häufige Beispiele aus der Praxis:
- Automatisierte Personalentscheidungen: KI-Systeme, die Bewerbungen filtern oder Mitarbeiterbewertungen beeinflussen, gelten als Hochrisiko. Sie müssen vollständig dokumentiert, auditiert und menschlicher Aufsicht unterworfen sein.
- KI im Kundensupport mit Folgeentscheidungen: Wenn ein KI-System entscheidet, ob ein Kundenanliegen eskaliert wird oder ein Vertrag beendet wird, können Hochrisikoanforderungen greifen.
- Infrastruktursteuerung durch KI: Automatisierte Systeme, die kritische IT-Infrastruktur eigenständig steuern, unterliegen ebenfalls strengen Anforderungen.
Für Systeme mit begrenztem Risiko – also die meisten internen Chatbots, Code-Assistenten oder Analyse-Tools – sind die Anforderungen überschaubarer, aber nicht null. Transparenz gegenüber Nutzern und klare interne Prozesse zur Qualitätssicherung sind Mindeststandard.
GPAI-Modelle: Was gilt für den Einsatz fertiger Sprachmodelle?
Viele IT-Teams setzen keine eigenen KI-Modelle, sondern fertige GPAI-Systeme wie Claude, GPT-4o oder Gemini über APIs ein. Hier gelten geteilte Verantwortlichkeiten: Die Modellanbieter müssen Transparenz über Training, Daten und Fähigkeiten herstellen. IT-Teams als Betreiber müssen sicherstellen, dass der konkrete Einsatz der Modelle in ihrem Kontext compliant ist – insbesondere hinsichtlich Datenschutz, Zweckbindung und Erklärbarkeit von Entscheidungen.
Das bedeutet in der Praxis: Wer eine GPAI-API in einen kundenorientierten Prozess einbindet, muss dokumentieren, was das Modell tut, wie Fehler erkannt werden und wer bei Fehlentscheidungen haftet. Die bloße Nutzung eines Drittanbieter-Modells entbindet nicht von eigener Sorgfaltspflicht.
Dokumentation und technische Anforderungen
Ein zentrales Element des EU AI Act ist die Pflicht zur technischen Dokumentation. Für Hochrisiko-KI-Systeme müssen folgende Aspekte schriftlich festgehalten werden:
- Systembeschreibung: Zweck, Einsatzbereich, Zielgruppen
- Datengrundlage: Welche Trainingsdaten wurden verwendet, wie wurden sie aufbereitet?
- Leistungsmetriken: Genauigkeit, Fehlerquoten, Grenzen des Systems
- Risikobewertung: Identifizierte Risiken und Gegenmaßnahmen
- Testdokumentation: Ergebnisse von Validierungs- und Robustheitstests
- Menschliche Aufsicht: Wie wird sichergestellt, dass Menschen kritische Entscheidungen überprüfen können?
Diese Dokumentation muss über den gesamten Lebenszyklus des Systems gepflegt werden – also auch bei Updates, Modellwechseln oder veränderten Einsatzszenarien.
Bußgelder und Durchsetzung
Die Sanktionen des EU AI Act sind abgestuft nach Schwere des Verstoßes. Der Einsatz verbotener KI-Systeme wird mit bis zu 35 Millionen Euro oder sieben Prozent des weltweiten Jahresumsatzes geahndet. Verstöße gegen Hochrisikopflichten sind mit bis zu 15 Millionen Euro oder drei Prozent Jahresumsatz belegt. Falsche Informationen gegenüber Behörden kosten bis zu 7,5 Millionen Euro oder 1,5 Prozent Umsatz.
Für kleine und mittlere Unternehmen gelten reduzierte Obergrenzen. Dennoch: Die Bußgelder sind real und die nationalen Marktüberwachungsbehörden haben bereits begonnen, erste Prüfverfahren einzuleiten.
Praktische Schritte für IT-Teams jetzt
Wer noch keine systematische KI-Inventarisierung durchgeführt hat, sollte das sofort nachholen. Konkret empfiehlt sich folgendes Vorgehen:
- KI-Inventar anlegen: Alle KI-gestützten Systeme und Tools im Einsatz erfassen – inklusive eingekaufter SaaS-Lösungen mit KI-Komponenten.
- Risikoklassifizierung: Für jedes System prüfen, in welche Risikoklasse es fällt. Zweifelsfälle mit einem spezialisierten Anwalt oder Compliance-Beauftragten klären.
- Gap-Analyse: Für Hochrisiko-Systeme prüfen, welche Dokumentations- und Auditanforderungen noch nicht erfüllt sind.
- Verantwortlichkeiten definieren: Klären, wer im Unternehmen für KI-Compliance verantwortlich ist und wie Prozesse aussehen sollen.
- Lieferantenverträge prüfen: Sicherstellen, dass GPAI-Anbieter die eigenen Verpflichtungen aus dem AI Act erfüllen und entsprechende Zusicherungen vertraglich fixieren.
Fazit: Compliance als Wettbewerbsvorteil
Der EU AI Act ist komplex – aber für strukturierte IT-Teams gut beherrschbar. Wer bereits jetzt eine saubere Dokumentationskultur für KI-Systeme aufbaut, profitiert langfristig: Compliance wird zum Qualitätsmerkmal und zur Grundlage für das Vertrauen von Kunden und Partnern. Wer dagegen wartet, bis Prüfbehörden aktiv werden, riskiert nicht nur Bußgelder, sondern auch Reputationsschäden.
KI-Governance ist kein bürokratisches Hindernis – es ist die Grundlage dafür, dass KI-Systeme verantwortungsvoll und nachhaltig eingesetzt werden können.
Quellen: Europäische Kommission – EU Artificial Intelligence Act (2024/1689/EU); AI Office der EU-Kommission; Bundesministerium für Digitales und Verkehr – Leitfaden EU AI Act 2025; Euractiv, heise.de
