EU AI Act: Was Softwarehersteller jetzt wissen müssen

Der EU AI Act ist seit August 2024 in Kraft. Und während die meisten Softwareunternehmen noch abwarten, laufen die Fristen bereits.

Das Problem: Die Verordnung ist komplex, die Umsetzung gestaffelt, und die Frage “Betrifft uns das überhaupt?” ist schwieriger zu beantworten als gedacht. Besonders wenn man KI nicht selbst trainiert, sondern GPT oder Claude via API in ein bestehendes Produkt integriert.

Hier ist, was wir nach der Arbeit mit mehreren Unternehmen an konkreten Erkenntnissen zusammengetragen haben.

Die Fristen im Überblick

Der AI Act setzt nicht alles auf einmal um. Die wichtigsten Daten:

• Februar 2025: Verbote für bestimmte KI-Praktiken gelten bereits (Social Scoring, unterschwellige Manipulation). Ebenso die AI-Literacy-Pflicht - Ihre Mitarbeiter müssen ausreichend geschult sein.
• August 2025: Pflichten für Anbieter von General Purpose AI Modellen (betrifft OpenAI, Anthropic & Co., nicht Sie als Nutzer dieser Modelle).
• August 2026: Die Hauptdeadline. Pflichten für eigenständige Hochrisiko-KI-Systeme, Transparenzpflichten, volle Durchsetzungsbefugnisse.
• August 2027: Pflichten für KI in regulierten Produkten (Medizinprodukte, Maschinen).

Es gibt aktuell ein Gesetzgebungsverfahren (Digital Omnibus), das eine Verschiebung der Hochrisiko-Deadline auf Dezember 2027 vorsieht. Aber: Das ist bisher ein Vorschlag. Der August 2026 bleibt das rechtlich verbindliche Datum. Wer die mögliche Verschiebung als Ausrede nutzt, spielt auf Risiko.

Die vier Risikostufen

Der AI Act teilt KI-Systeme in vier Kategorien ein:

Verboten - Social Scoring, unterschwellige Manipulation, biometrische Echtzeit-Überwachung im öffentlichen Raum, Emotionserkennung am Arbeitsplatz. Gilt seit Februar 2025.

Hohes Risiko - KI-Systeme in acht definierten Bereichen: Biometrie, kritische Infrastruktur, Bildung, Personalwesen, wesentliche Dienstleistungen, Strafverfolgung, Migration, Justiz. Hier gelten die strengsten Auflagen.

Begrenztes Risiko - Chatbots, KI-generierte Inhalte, Deepfakes. Transparenzpflichten: Nutzer müssen wissen, dass sie mit KI interagieren. Generierte Inhalte müssen maschinenlesbar gekennzeichnet sein.

Minimales Risiko - Spamfilter, Schreibassistenten, interne Optimierung. Keine Pflichten, freiwillige Verhaltenskodizes empfohlen.

Die Frage, die sich die meisten Softwareunternehmen stellen: Wo landen wir? Wenn Ihr Produkt KI für Recruiting, Kreditvergabe, Versicherungs-Pricing oder Bildungsbewertung einsetzt, sind Sie mit hoher Wahrscheinlichkeit im Hochrisiko-Bereich.

Der Punkt, den die meisten übersehen: Wann bin ich “Anbieter”?

Hier wird es für Softwareunternehmen konkret. Der AI Act unterscheidet zwischen Anbieter (Provider) und Betreiber (Deployer). Die Pflichten sind sehr unterschiedlich.

Sie sind Anbieter, wenn Sie ein KI-System entwickeln und unter Ihrem Namen auf den Markt bringen. Und hier kommt der entscheidende Punkt:

Wenn Sie GPT oder Claude via API in Ihr SaaS-Produkt integrieren und dieses unter Ihrem Markennamen vertreiben, sind Sie Anbieter eines KI-Systems. Nicht Betreiber. Nicht Nutzer. Anbieter.

Das bedeutet: Sie tragen die volle Compliance-Verantwortung. Unabhängig davon, ob das zugrunde liegende Modell selbst compliant ist. OpenAI und Anthropic müssen Ihnen zwar Informationen liefern, damit Sie Ihre Pflichten erfüllen können. Aber die Verantwortung liegt bei Ihnen.

Was Hochrisiko-Anbieter konkret tun müssen

Sieben Kern-Anforderungen:

1. Qualitätsmanagementsystem - Dokumentierte Prozesse für Entwicklung, Betrieb und Überwachung.
2. Risikomanagement - Systematische Risikoidentifikation über den gesamten Lebenszyklus. Nicht einmalig, sondern kontinuierlich.
3. Daten-Governance - Qualitätsprüfung der Trainings- und Testdaten, Bias-Analyse, Dokumentation der Datenherkunft.
4. Technische Dokumentation - Architektur, Leistungsmetriken, Trainingsmethodik, Sicherheitsmaßnahmen. Mindestens 10 Jahre Aufbewahrungspflicht.
5. Transparenz - Gebrauchsanweisung für Betreiber, Erklärung der Funktionsweise und Einschränkungen.
6. Menschliche Aufsicht - Nutzer müssen das System übersteuern und stoppen können. Kein autonomes KI-System ohne Human-in-the-Loop.
7. Konformitätsbewertung - Interne Bewertung reicht für die meisten Systeme. CE-Kennzeichnung anbringen. Registrierung in der EU-Datenbank.

Und nach dem Launch: Post-Market-Monitoring mit 15-Tage-Meldefrist für schwerwiegende Vorfälle.

Was bedeutet das für Unternehmen, die GPT/Claude via API nutzen?

Vier Punkte, die klar sein müssen:

1. Sie sind kein GPAI-Modellanbieter. Die Pflichten für Foundation Models tragen OpenAI, Anthropic und Co.
2. Sie sind Anbieter eines KI-Systems, wenn Sie das Modell in ein eigenes Produkt integrieren.
3. Sie müssen eine eigene Risikobewertung durchführen. Wie interagieren die Modell-Fähigkeiten mit Ihrem spezifischen Use Case?
4. Fine-Tuning kann die Rolle ändern: Wer ein GPAI-Modell wesentlich verändert (mehr als ein Drittel der Original-Trainingsrechenleistung), wird selbst zum GPAI-Anbieter.

Strafen

Dreistufig:

• Verbotene KI-Praktiken: bis zu 35 Mio. EUR oder 7% des Jahresumsatzes
• Hochrisiko-Verstöße: bis zu 15 Mio. EUR oder 3% des Jahresumsatzes
• Falsche Angaben: bis zu 7,5 Mio. EUR oder 1% des Jahresumsatzes

Für KMU gilt jeweils der niedrigere der beiden Werte. Trotzdem: Die Beträge sind ernst gemeint.

Dazu kommt: Nationale Behörden können die Rücknahme nicht-konformer KI-Systeme vom EU-Markt anordnen.

Was jetzt konkret zu tun ist

Sofort: Bestandsaufnahme

• Welche KI-Systeme setzen Sie ein oder entwickeln Sie?
• Welche Rolle haben Sie jeweils - Anbieter, Betreiber, beides?
• In welche Risikokategorie fällt jedes System?
• Welche Foundation Models nutzen Sie, über welche APIs?

Bis Sommer 2026: Gap-Analyse

• Bestehende Prozesse prüfen. DSGVO, ISO 27001 und QM-Systeme sind ein guter Ausgangspunkt.
• Lücken identifizieren. Was fehlt gegenüber den AI-Act-Anforderungen?
• Rechtliche Beratung einholen, besonders für Grenzfälle bei der Klassifizierung.

Der häufigste Fehler

Unternehmen warten auf endgültige Leitlinien und harmonisierte Standards. Verständlich. Aber: Die Transparenzpflichten und die AI-Literacy-Pflicht gelten bereits. Und die Compliance-Vorbereitung dauert typischerweise drei bis sechs Monate.

Wer im August 2026 compliant sein will, muss jetzt anfangen. Nicht im Sommer.

Fazit

Der EU AI Act ist kein Papiertiger. Die Fristen laufen, die Strafen sind empfindlich, und die Frage “Betrifft uns das?” lässt sich für die meisten Softwareunternehmen mit KI-Features klar mit Ja beantworten.

Die gute Nachricht: Wer bereits DSGVO-konform arbeitet und ein ordentliches Qualitätsmanagement hat, startet nicht bei null. Viele der Anforderungen bauen auf bestehenden Prozessen auf.

Die schlechte: Abwarten ist keine Strategie. Zumindest keine gute.

Der Risiko-Check

In welche Kategorie fällt Ihr KI-System? Vier Fragen, klares Ergebnis.