Bildquelle: Pexels / Tara Winstead – KI-Konzept mit digitalen Elementen
Der EU AI Act ist in Kraft – was das für IT-Teams jetzt bedeutet
Der EU Artificial Intelligence Act (AI Act) ist das weltweit erste umfassende gesetzliche Rahmenwerk zur Regulierung von Künstlicher Intelligenz. Seit seiner Verabschiedung im Jahr 2024 und dem schrittweisen Inkrafttreten der einzelnen Kapitel befinden sich europäische Unternehmen mitten in einer Compliance-Phase, die im Jahr 2026 spürbar an Schärfe gewonnen hat. Organisationen, die KI-Systeme entwickeln, betreiben oder einsetzen, müssen jetzt handeln – denn Unwissenheit schützt nicht vor Bußgeldern, die bis zu 35 Millionen Euro oder sieben Prozent des weltweiten Jahresumsatzes betragen können.
Dieser Beitrag fasst zusammen, welche Anforderungen konkret gelten, was unter die jeweiligen Risikoklassen fällt und worauf IT-Teams in der Praxis besonders achten müssen.
Die vier Risikoklassen des AI Act
Das Herzstück des AI Act ist ein risikobasierter Ansatz. Je höher das Risikopotenzial eines KI-Systems, desto strenger die Anforderungen.
1. Verbotene KI-Praktiken
Einige KI-Anwendungen sind vollständig verboten – darunter Social-Scoring-Systeme durch staatliche Stellen, Echtzeit-Biometrie zur Massenüberwachung im öffentlichen Raum (mit engen Ausnahmen) sowie Systeme zur emotionalen Manipulation vulnerabler Gruppen. Diese Verbote galten bereits ab August 2024.
2. Hochrisiko-KI-Systeme
Hochrisiko-Systeme umfassen KI im medizinischen Bereich, in der Strafverfolgung, in kritischer Infrastruktur, im Bildungswesen und in der Personalverwaltung. Für diese Systeme gelten ab August 2025 umfangreiche Anforderungen: Risikomanagementsysteme, Datenschutz-Folgenabschätzungen, technische Dokumentation, menschliche Aufsicht und die Registrierung in einer EU-weiten Datenbank.
3. Systeme mit begrenztem Risiko
Chatbots, KI-generierte Inhalte und ähnliche Anwendungen müssen für Nutzerinnen und Nutzer erkennbar als KI gekennzeichnet sein. Transparenzpflichten sind das zentrale Element dieser Klasse.
4. Minimales Risiko
KI-Systeme mit minimalem Risikopotenzial – etwa einfache Spam-Filter oder KI-gestützte Spiele – unterliegen keinen zusätzlichen gesetzlichen Anforderungen. Freiwillige Verhaltenskodizes werden jedoch empfohlen.
General Purpose AI: Anforderungen für Foundation Models
Besondere Aufmerksamkeit verdienen die Regelungen für sogenannte General Purpose AI Models (GPAI). Anbieter großer vortrainierter Sprachmodelle und ähnlicher Basismodelle müssen seit August 2025 technische Dokumentation bereitstellen, Urheberrechtsregelungen einhalten, Zusammenfassungen der Trainingsdaten veröffentlichen und – bei systemischen Risiken – umfangreiche Sicherheitsevaluierungen durchführen.
Für IT-Teams, die externe GPAI-Modelle einsetzen (etwa über APIs), ist die Abgrenzung wichtig: Die Pflichten treffen primär die Anbieter der Modelle. Als Betreiber müssen Unternehmen jedoch sicherstellen, dass sie nur konforme Modelle einsetzen und die eigene Nutzung transparent und verantwortlich gestalten.
Was IT-Teams konkret umsetzen müssen
Für IT-Teams, die KI-Systeme im Unternehmen betreiben oder integrieren, ergeben sich aus dem AI Act mehrere praktische Handlungsfelder:
- KI-Inventarisierung: Welche KI-Systeme werden im Unternehmen genutzt? Eigene Entwicklungen, SaaS-Produkte und API-Integrationen müssen vollständig erfasst werden.
- Risikoklassifizierung: Fällt ein System in die Hochrisiko-Kategorie? Die Antwort bestimmt den Umfang der Compliance-Anforderungen.
- Technische Dokumentation: Für Hochrisiko-Systeme müssen Funktionsweise, Trainingsdaten, Leistungsgrenzen und Ausfallszenarien dokumentiert sein.
- Menschliche Aufsicht: Hochrisiko-KI darf nicht vollständig autonom entscheiden. Mechanismen zur menschlichen Überprüfung und Intervention sind Pflicht.
- Transparenz: Nutzerinnen und Nutzer müssen wissen, wenn sie mit einem KI-System interagieren. Für generierte Bilder, Texte oder Videos gilt Kennzeichnungspflicht.
- Datenschutz-Integration: AI Act und DSGVO überschneiden sich erheblich. Eine Datenschutz-Folgenabschätzung für KI-Verarbeitung personenbezogener Daten ist in vielen Fällen zwingend.
Monitoring und KI-Compliance: Überwachung als Dauerprozess
Compliance mit dem AI Act ist kein einmaliges Projekt, sondern ein kontinuierlicher Prozess. KI-Systeme verändern sich – durch Modell-Updates, neue Trainingsdaten oder geänderte Nutzungsszenarien. IT-Teams, die Monitoring-Infrastruktur betreiben, sollten KI-Compliance in ihre bestehenden Überwachungsroutinen integrieren: Verhält sich ein KI-System noch wie dokumentiert? Gibt es Abweichungen, die auf Datendrift oder Modellveränderungen hindeuten? Werden Logging- und Auditpflichten erfüllt?
Insbesondere Heartbeat-Monitoring, API-Überwachung und Anomalie-Erkennung gewinnen im KI-Betrieb an Bedeutung – nicht nur für Uptime, sondern auch als Teil des technischen Risikomanagements, das der AI Act fordert.
Bußgelder und Durchsetzung: Wie ernst nehmen Behörden den AI Act?
Die Frage, ob der AI Act tatsächlich durchgesetzt wird, lässt sich für 2026 klarer beantworten als noch vor einem Jahr: Europäische Aufsichtsbehörden – insbesondere das AI Office der EU-Kommission – sind aktiv und führen erste Untersuchungen zu GPAI-Anbietern durch. Nationale Behörden koordinieren Prüfverfahren für Hochrisiko-Systeme. Bußgelder wurden in einigen Mitgliedstaaten bereits verhängt, auch wenn große Verfahren noch ausstehen.
Die Praxis zeigt: Unternehmen, die frühzeitig strukturierte Compliance-Prozesse aufgebaut haben, stehen deutlich besser da. Wer erst auf eine Untersuchung wartet, hat die kritische Vorbereitungsphase verpasst.
Praktische erste Schritte
Für IT-Teams, die noch am Anfang der AI-Act-Compliance stehen, empfiehlt sich folgendes Vorgehen:
- KI-Systeme im Unternehmen vollständig inventarisieren – inklusive SaaS und API-Dienste
- Risikoklassifizierung durchführen und dokumentieren
- Hochrisiko-Systeme priorisieren und technische Dokumentation aufbauen
- Legal und IT eng verzahnen – Compliance ist kein reines Rechtsproblem
- Monitoring für KI-Systeme aufbauen und in bestehende Prozesse integrieren
- Externe Berater oder Prüfstellen einbeziehen, wenn interne Expertise fehlt
Fazit
Der EU AI Act ist kein Bürokratiemonster, das Innovation verhindert – er ist ein Rahmen, der Vertrauen in KI-Systeme ermöglicht. Für IT-Teams bedeutet er zusätzliche Anforderungen, die sich jedoch in bestehende Prozesse integrieren lassen: Dokumentation, Monitoring, Auditing und menschliche Aufsicht sind in gut geführten IT-Organisationen ohnehin wichtig. Die Herausforderung liegt darin, diese Anforderungen systematisch und nachweisbar zu erfüllen – nicht irgendwann, sondern jetzt.
Quellen:
Europäisches Parlament, EU AI Act Volltext (2024)
EU AI Office, Leitlinien für GPAI-Anbieter (2025)
Bundesministerium für Digitales und Verkehr, AI Act Umsetzungshinweise
