Was ist der EU AI Act in einem Satz?

Der EU AI Act ist die KI-Verordnung der Europäischen Union — das erste umfassende Regelwerk, das den Einsatz von KI nach seinem Risiko abstuft: Je höher das Risiko für Menschen und ihre Rechte, desto strenger die Pflichten. Er ist 2024 in Kraft getreten und wird gestaffelt über mehrere Jahre wirksam. Wie sich das auf einen konkreten Anwendungsfall auswirkt, ist eine rechtliche Frage und gehört in fachkundige Hände.

Fällt mein KI-Einsatz in eine hohe Risikoklasse?

Das hängt stark vom Anwendungsfall ab. Der AI Act knüpft die hohe Risikoklasse an bestimmte sensible Einsatzbereiche — etwa wenn KI über Menschen entscheidet oder in kritischen Bereichen wirkt. Viele alltägliche Anwendungen fallen in niedrigere Klassen mit deutlich geringeren Anforderungen. Die genaue Einstufung eines konkreten Systems ist eine rechtliche Bewertung und ersetzt keine fachkundige Prüfung.

Ist der EU AI Act dasselbe wie die DSGVO?

Nein. Es sind zwei verschiedene Regelwerke, die zusammenspielen. Die DSGVO regelt den Umgang mit personenbezogenen Daten — wer welche Daten zu welchem Zweck verarbeiten darf. Der EU AI Act regelt den Einsatz von KI-Systemen nach ihrem Risiko, unabhängig davon, ob personenbezogene Daten betroffen sind. Wer KI mit Personendaten einsetzt, berührt beide Regelwerke gleichzeitig.

Hilft EU- oder lokale Infrastruktur bei den Anforderungen des AI Act?

Sie löst nicht die rechtliche Einstufung, erleichtert aber die praktische Umsetzung. Anforderungen wie Transparenz, Nachvollziehbarkeit und Kontrolle über Datenflüsse lassen sich leichter erfüllen, wenn man weiß, wo und wie ein System verarbeitet — etwa bei EU-Hosting oder lokalen Modellen. Die technische Gestaltung schafft eine gute Grundlage, ersetzt aber keine rechtliche Prüfung.

Wissen · Aktualisiert: 4. Juni 2026

Der EU AI Act — was er für KI-Projekte praktisch bedeutet

Der EU AI Act ist das erste umfassende KI-Gesetz der Europäischen Union — und er reguliert KI nicht pauschal, sondern danach, wie riskant ihr Einsatz ist. Dieser Beitrag betrachtet ihn aus der Sicht eines Praktikers, der KI-Systeme baut: Was bedeutet dieses regulatorische Umfeld dafür, wie KI-Projekte tatsächlich entstehen? Er ist eine praktische Einordnung, keine Rechtsberatung — die rechtliche Bewertung gehört in fachkundige Hände.

Von Slava Spitsyn · AI Builder · Redaktionelle Grundsätze (englisch)

Der EU AI Act ist das erste umfassende KI-Gesetz der Europäischen Union. Sein Kerngedanke ist einfach: KI wird nicht pauschal reguliert, sondern danach, wie riskant ihr Einsatz für Menschen und ihre Rechte ist. Je höher das Risiko, desto strenger die Pflichten — von gar keinen Anforderungen bis hin zu einem vollständigen Verbot. Dieser Beitrag betrachtet den AI Act aus der Sicht eines Praktikers, der KI-Systeme baut: nicht als Rechtsleitfaden, sondern als Beobachtung, was dieses regulatorische Umfeld dafür bedeutet, wie KI-Projekte tatsächlich entstehen. Er ist ausdrücklich keine Rechtsberatung; die rechtliche Einordnung gehört in fachkundige Hände.

Der risikobasierte Ansatz: das Herzstück

Das Bemerkenswerteste am EU AI Act ist nicht eine einzelne Regel, sondern seine Grundlogik. Statt jede KI-Anwendung gleich zu behandeln, sortiert er sie nach dem Risiko, das von ihrem Einsatz ausgeht. Daraus ergeben sich vier Stufen, die man sich wie eine Treppe vorstellen kann — von ganz unten nach ganz oben.

Minimales Risiko. Die große Mehrheit alltäglicher KI-Anwendungen — etwa ein Spamfilter oder eine KI im Computerspiel. Hier sieht der AI Act keine besonderen Pflichten vor. Wer solche Systeme einsetzt, ist von den eigentlichen Anforderungen weitgehend unberührt.
Begrenztes Risiko (Transparenzpflichten). Hierunter fallen Systeme, bei denen Menschen wissen sollten, dass sie es mit KI zu tun haben — etwa ein Chatbot oder KI-erzeugte Inhalte. Die zentrale Pflicht ist Transparenz: Es soll erkennbar sein, dass KI im Spiel ist.
Hohes Risiko. Systeme, die in sensiblen Bereichen wirken oder über Menschen mitentscheiden — etwa im Personalwesen, in der Medizin oder in kritischer Infrastruktur. Hier gelten die strengsten Anforderungen: an Qualität, Dokumentation, Nachvollziehbarkeit und menschliche Aufsicht.
Inakzeptables Risiko. Einige Praktiken gelten als so problematisch, dass sie schlicht verboten sind — etwa bestimmte Formen manipulativer oder bewertender KI gegenüber Menschen.

Diese Kategorien sind stabil und bilden das Gerüst des gesamten Gesetzes. Für die Praxis ist die wichtigste Erkenntnis: Die meiste alltägliche KI bewegt sich in den unteren Stufen. Die strengen Pflichten greifen gezielt dort, wo viel auf dem Spiel steht.

Was das praktisch für Unternehmen heißt

Aus Sicht eines Unternehmens, das KI einsetzen möchte, dreht sich vieles um eine einzige Frage: In welche Risikoklasse fällt mein konkreter Anwendungsfall? Denn davon hängt fast alles Weitere ab.

Ein KI-Tool, das interne Texte zusammenfasst oder bei der Recherche hilft, bewegt sich in aller Regel in den unteren Stufen. Ein System dagegen, das über Bewerbungen, Kreditwürdigkeit oder ähnlich folgenreiche Dinge mitentscheidet, kann in die hohe Risikoklasse rücken — mit deutlich mehr Anforderungen.

Wichtig ist die Einordnung: Ob ein bestimmtes System tatsächlich als „hochriskant“ gilt, ist eine rechtliche Bewertung und keine technische Selbsteinschätzung. Was hier beschrieben wird, ist die Logik dahinter — nicht das Urteil im Einzelfall. Dieses Urteil gehört zu Datenschutzbeauftragten und fachkundigen Juristinnen und Juristen. Genau deshalb lohnt es sich, die Risikoklasse früh fachkundig klären zu lassen, statt sie aus dem Bauch heraus anzunehmen.

Die gestaffelte Einführung

Der AI Act tritt nicht auf einen Schlag in Kraft, sondern wird gestaffelt über mehrere Jahre wirksam. Das Gesetz ist 2024 in Kraft getreten, doch seine Pflichten greifen nach und nach — manche früher, manche später.

Früh greifen die strengsten Punkte: Die verbotenen Praktiken wurden bereits zu Beginn dieser Staffelung wirksam, ebenso erste Regeln rund um den verantwortungsvollen Umgang mit KI. Auch die Pflichten für besonders leistungsfähige KI-Basismodelle (oft „General-Purpose AI“ genannt) setzten in einer frühen Phase ein. Die umfangreichen Anforderungen an Hochrisiko-Systeme folgen mit längerem Vorlauf.

Bewusst verzichte ich hier auf eine Liste exakter Stichtage: Sie verschieben sich in der Diskussion immer wieder, und ein falsches Datum hilft niemandem. Für die Praxis genügt die Richtung: Erste Pflichten greifen bereits, die vollständige Anwendung folgt gestaffelt. Wer wissen muss, welche Frist für seinen Fall konkret gilt, sollte das fachkundig prüfen lassen.

Der Zusammenhang mit der DSGVO

Ein häufiges Missverständnis ist, der EU AI Act sei eine Art „DSGVO für KI“. Das trifft es nicht. Es sind zwei verschiedene Regelwerke, die nebeneinander gelten und zusammenspielen.

Die DSGVO regelt den Umgang mit personenbezogenen Daten: wer welche Daten zu welchem Zweck und auf welcher Grundlage verarbeiten darf. Sie greift, sobald Personendaten im Spiel sind — ob mit oder ohne KI.

Der EU AI Act regelt den Einsatz von KI-Systemen nach ihrem Risiko — unabhängig davon, ob personenbezogene Daten betroffen sind. Ein KI-System kann unter den AI Act fallen, auch wenn es gar keine Personendaten verarbeitet; und es kann unter die DSGVO fallen, ganz ohne dass der AI Act besondere Pflichten vorsieht.

In der Praxis berühren sich beide häufig: Wer KI mit personenbezogenen Daten einsetzt, bewegt sich gleichzeitig in beiden Welten. Es lohnt sich, sie auseinanderzuhalten — und beide ernst zu nehmen. Wie sich der Datenschutz-Teil technisch gestalten lässt, vertieft der Leitfaden KI DSGVO-konform einsetzen.

Bauen im Sinne der Regulierung

Hier kommt die Sicht des Praktikers ins Spiel. Ich bin kein Jurist, und dieser Beitrag ersetzt keine rechtliche Prüfung. Aber ich baue Systeme — und ich beobachte, dass sich KI so gestalten lässt, dass sie gut zu diesem regulatorischen Umfeld passt. Das ist keine rechtliche Zusicherung, sondern eine Frage der Bauweise.

Drei Eigenschaften tauchen im AI Act immer wieder auf, und genau sie lassen sich technisch unterstützen:

Transparenz — erkennbar machen, wo und wie KI im Einsatz ist, statt sie als Black Box zu behandeln.
Nachvollziehbarkeit — festhalten, welche Daten ein System wofür genutzt hat, sodass sich Entscheidungen im Nachhinein erklären lassen.
Datenkontrolle — wissen und steuern, wo Daten verarbeitet werden und wer darauf zugreift.

Diese drei Punkte fallen deutlich leichter, wenn man die Kontrolle über die eigene Infrastruktur behält. Wer Verarbeitung in der EU hält oder ein lokales Modell im eigenen Haus betreibt, weiß genau, wo Daten liegen und wie sie fließen — eine gute Ausgangslage, um Transparenz und Nachvollziehbarkeit überhaupt herstellen zu können. Was lokale Modelle sind und wann sie sich lohnen, erklärt der Beitrag Lokale LLMs für Unternehmen.

Wichtig bleibt die ehrliche Grenze: Eine durchdachte technische Gestaltung schafft eine gute Grundlage, ersetzt aber keine rechtliche Prüfung. Sie sorgt dafür, dass eine spätere rechtliche Bewertung auf einem soliden Fundament aufsetzen kann — mehr nicht, und das ist schon viel.

Fazit

Der EU AI Act reguliert KI nach ihrem Risiko: Die meiste alltägliche Anwendung bleibt weitgehend unberührt, während strenge Pflichten gezielt dort greifen, wo viel auf dem Spiel steht. Für Unternehmen ist die zentrale Frage, in welche Risikoklasse ein Vorhaben fällt — eine Einordnung, die gestaffelt über mehrere Jahre an Verbindlichkeit gewinnt und neben der DSGVO steht. Aus Sicht des Bauens lässt sich KI so gestalten, dass Transparenz, Nachvollziehbarkeit und Datenkontrolle leichter fallen — gerade mit EU- oder lokaler Infrastruktur. Das ist Beobachtung und Praxis, keine Rechtsberatung: Die rechtliche Einordnung gehört in fachkundige Hände — zu Datenschutzbeauftragten und fachkundigen Juristinnen und Juristen.