Warum der EU AI Act existiert
AI ist schneller in reale Produkte eingezogen, als es irgendein bestehendes Regelwerk vorhergesehen hat. Ein Modell, das Verträge entwirft, Bewerber vorsortiert oder Kreditwürdigkeit bewertet, kann die Rechte und die Sicherheit von Menschen berühren — doch die zugehörigen Pflichten waren über Datenschutzrecht, sektorale Vorschriften und freiwillige Leitlinien verstreut. Der EU AI Act ist der erste Versuch einer großen Jurisdiktion, einen einheitlichen, horizontalen Rahmen dafür zu schaffen, wie AI gebaut und genutzt werden darf.
Sein Ziel ist nicht, AI auszubremsen, sondern ihre Nutzung nachvollziehbar zu machen: klar darin, was verboten ist, strukturiert darin, was hochriskant ist, und transparent in allem Übrigen. Für Organisationen wird damit aus „Dürfen wir dieses AI-Tool nutzen?" eine Frage mit einer definierten Antwort statt einer Vermutung.
Was der EU AI Act regelt: die Risikoklassen
Der Act ordnet AI-Systeme in vier Risikostufen ein, plus eine eigene Kategorie für General-Purpose-AI (GPAI) — die Foundation Models, die hinter den meisten AI-Assistenten stehen.
Inakzeptables Risiko (verboten)
Eine kleine Gruppe von Praktiken ist vollständig verboten — etwa Social Scoring durch Behörden, das ungezielte Auslesen von Gesichtsbildern zum Aufbau von Erkennungsdatenbanken sowie bestimmte manipulative oder ausnutzende Systeme. Diese Verbote sind der früheste Teil des Acts, der gilt.
Hohes Risiko
AI in sensiblen Kontexten — etwa Beschäftigung, Bildung, wesentliche Dienste, Strafverfolgung oder als Sicherheitskomponente eines regulierten Produkts — ist erlaubt, aber stark an Bedingungen geknüpft. Anbieter müssen vor dem Inverkehrbringen Anforderungen an Risikomanagement, Datenqualität, Dokumentation, menschliche Aufsicht, Transparenz, Genauigkeit und Cybersicherheit erfüllen.
Begrenztes Risiko (Transparenz)
Manche Systeme tragen spezifische Transparenzpflichten statt voller Hochrisiko-Pflichten. Nutzer müssen darüber informiert werden, wenn sie mit einem AI-System interagieren, und bestimmte AI-generierte oder manipulierte Inhalte (einschließlich Deepfakes) müssen offengelegt werden.
Minimales Risiko
Die große Mehrheit der AI-Anwendungen — Spam-Filter, Empfehlungsfunktionen, im Arbeitsalltag genutzte Produktivitäts-Assistenten — fällt hierunter und unterliegt unter dem Act keinen neuen Pflichten über das bestehende Recht hinaus.
General-Purpose-AI-Modelle (GPAI)
Foundation Models werden gesondert geregelt. Ihre Anbieter unterliegen Transparenz- und Dokumentationspflichten, und die leistungsfähigsten Modelle — jene, denen ein systemisches Risiko zugeschrieben wird — unterliegen zusätzlichen Pflichten zu Evaluierung, Risikominderung und Vorfallmeldung.
Die Risikoklassen des EU AI Act auf einen Blick
| Risikostufe | Was sie umfasst | Kernpflicht |
|---|---|---|
| Inakzeptabel | Verbotene Praktiken (z. B. Social Scoring, manipulative Systeme) | Verboten — darf nicht in Verkehr gebracht oder genutzt werden |
| Hohes Risiko | Beschäftigung, Kredit, wesentliche Dienste, Sicherheitskomponenten | Konformitätsbewertung, Risikomanagement, menschliche Aufsicht, Logging |
| Begrenzt (Transparenz) | Chatbots, Emotionserkennung, AI-generierte oder manipulierte Medien | Offenlegen, dass AI im Einsatz ist / dass Inhalte AI-generiert sind |
| Minimal | Die meisten alltäglichen AI-Tools | Keine neuen Pflichten über bestehendes Recht hinaus |
| GPAI-Modelle | Foundation / Large Language Models | Transparenz + Dokumentation; strengere Regeln bei systemischem Risiko |
Ab wann der EU AI Act gilt
Der Act ist am 1. August 2024 in Kraft getreten und gilt gestaffelt, damit Organisationen und Behörden sich anpassen können:
| Datum | Was zu gelten beginnt |
|---|---|
| 2. Feb 2025 | Verbotene Praktiken sowie die AI-Literacy-Pflicht für Anbieter und Betreiber |
| 2. Aug 2025 | Regeln für General-Purpose-AI-Modelle, Governance-Stellen und Sanktionsvorschriften |
| 2. Aug 2026 | Allgemeine Anwendung, einschließlich der meisten Hochrisiko-Pflichten |
| 2. Aug 2027 | Hochrisiko-Pflichten für AI, die in regulierte Produkte des bestehenden EU-Rechts eingebettet ist |
Für wen der EU AI Act gilt
Der Act erfasst die gesamte Lieferkette, nicht nur die Modellbauer. Seine Pflichten treffen Anbieter (die ein AI-System entwickeln oder in Verkehr bringen), Betreiber (Organisationen, die ein AI-System beruflich nutzen) sowie Importeure, Händler und Produkthersteller. Seine Reichweite ist extraterritorial: Ein Anbieter oder Betreiber außerhalb der EU fällt weiterhin in den Geltungsbereich, wenn die Ausgabe des Systems in der Union genutzt wird.
Die meisten Organisationen begegnen dem Act als Betreiber — sie führen AI-Tools ein, die jemand anderes gebaut hat. Eine gesonderte, früh geltende Pflicht ist die AI Literacy (Artikel 4): Anbieter und Betreiber müssen sicherstellen, dass ihre Mitarbeiter, die AI-Systeme bedienen oder nutzen, über ein ausreichendes Maß an Verständnis verfügen, um verantwortungsvoll damit umzugehen. Dies ist die Pflicht hinter den häufigen Fragen, wer im Unternehmen zu AI geschult werden muss (Schulungspflicht).
Wo der EU AI Act auf AI Governance trifft
Für einen Betreiber geht es bei der Compliance weniger um das Modell als um Nachweise: welche AI-Systeme im Einsatz sind, welche Daten sie erhalten, wer sie bedient und was sie tun, sobald sie an interne Systeme angebunden sind. Das sind Governance-Fragen, und die meisten Organisationen können sie nicht beantworten, weil AI-Tools über Browser, Desktop-Apps und Agenten-Integrationen schneller hereinkommen, als die Policy Schritt halten kann.
Eine Kontrollebene schließt diese Lücke. Shield Control von Qadar AI inventarisiert die AI-Nutzung über Browser, Desktop, Mobile und Agent-Runtimes hinweg, setzt Policies für Prompts und Tool-Calls durch, gated risikoreiche Agenten-Aktionen und erfasst jede Interaktion als manipulationssicheren Audit-Trail — die praktische Grundlage, um nachzuweisen, dass AI-Nutzung im Sinne der Erwartungen des Acts gesteuert wird. Der EU AI Act ist ein Rechtsrahmen, keine Produktanforderung; Qadar AI hilft Ihnen, innerhalb davon zu operieren, und ist kein Ersatz für Rechtsberatung.
