EU AI Act 2026: KI-Anforderungen für Unternehmen in der EU

Die meisten Geschäftsinhaber in der EU haben vom EU AI Act gehört – aber nur wenige verstehen genau, was wann verbindlich wird. Ein medizinisches Zentrum in Wien, das KI-Chats zur Beantwortung von Patientenfragen nutzt, eine Anwaltskanzlei in Frankfurt mit einem KI-Assistenten zur Vertragsbearbeitung, ein Händler in München mit einem KI-Tool für Manager – sie alle fallen unter den AI Act. Es geht nur darum, welcher Risikokategorie ihr System zugeordnet wird und welche konkreten Verpflichtungen sich daraus ergeben.

In diesem Artikel finden Sie eine klare Zeitachse, vier Risikostufen mit konkreten Beispielen, Anforderungen für Medizin und Anwälte in DE/AT und eine Erklärung, warum die Architektur Ihres KI-Systems – Self-Hosted oder Cloud – die Einhaltung des Gesetzes direkt beeinflusst.

Was ist der EU AI Act und warum betrifft er Ihr Unternehmen jetzt schon

Der EU AI Act ist die Verordnung (EU) 2024/1689, die am 21. Mai 2024 angenommen und am 12. Juli 2024 veröffentlicht wurde. Sie trat am 1. August 2024 in Kraft. Ihre Logik ähnelt der DSGVO – sie reguliert nicht spezifische Technologien, sondern die Risiken ihrer Nutzung, hat eine extraterritoriale Wirkung und sieht schwere Strafen für Verstöße vor.

Der Hauptunterschied zur DSGVO: Während die DSGVO regelt, *wie* Sie personenbezogene Daten verarbeiten, regelt der AI Act, *welche KI-Systeme* Sie für welchen Zweck verwenden. Diese beiden Verordnungen ersetzen sich nicht, sondern ergänzen sich. Wenn Ihr KI-System personenbezogene Daten von Kunden oder Patienten verarbeitet, unterliegt es gleichzeitig der DSGVO und dem AI Act.

Warum das Ihr Unternehmen jetzt betrifft. Der AI Act gilt für jede Organisation, die KI-Systeme im EU-Markt in Verkehr bringt oder sie in ihrer Geschäftstätigkeit in der EU einsetzt – unabhängig davon, wo sich der Entwickler des Systems befindet. Das bedeutet, wenn Sie ein medizinisches Zentrum in Wien sind, das einen amerikanischen KI-Chatbot zur Beantwortung von Patientenfragen nutzt, unterliegen Sie als Deployer (Anwender) den Verpflichtungen des AI Acts. Wenn Sie eine Anwaltskanzlei in Berlin sind, die einen SaaS-KI-Dienst zur Vertragsanalyse nutzt – analog.

Das Gesetz unterscheidet zwei Arten von Betreibern: Anbieter (ein Entwickler, der ein KI-System erstellt oder beauftragt und es auf den Markt bringt) und Anwender (eine Organisation, die ein fertiges KI-System in ihrer Geschäftstätigkeit nutzt). Die meisten Unternehmen – medizinische Zentren, Anwaltskanzleien, Händler – sind Anwender. Anwender haben weniger Verpflichtungen als Anbieter, aber diese sind real und bindend.

Zeitplan der Umsetzung: Was bereits gilt, was im August 2026 startet

Der AI Act wird schrittweise umgesetzt – nicht alles gleichzeitig. Hier ist der genaue Zeitplan:

Was bereits passiert ist und was es für Unternehmen bedeutet. Seit dem 2. Februar 2025 sind 8 Kategorien von KI-Praktiken verboten – darunter Social Scoring und Systeme zur Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen sowie die massenhafte Erhebung biometrischer Daten. Der Bußgeldrahmen für die Verletzung dieser Verbote beträgt bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes – je nachdem, welcher Betrag höher ist (Art. 99 AI Act).

Seit dem 2. August 2025 sind Anbieter von GPAI-Modellen (OpenAI, Google, Anthropic, Mistral) verpflichtet, technische Dokumentationen bereitzustellen, das Urheberrecht einzuhalten und eine Zusammenfassung der Trainingsdaten zu veröffentlichen. OpenAI, Google, Mistral und Microsoft haben bereits einen entsprechenden Verhaltenskodex unterzeichnet. Meta hat sich geweigert – und befindet sich derzeit in regulatorischer Unsicherheit.

Das Schlüsseldatum für die meisten Unternehmen ist der 2. August 2026. Ab diesem Tag gelten die Anforderungen für High-Risk-KI-Systeme gemäß Anhang III vollständig. Dies betrifft KI in den Bereichen Medizin, Recht, Finanzen, Bildung, Beschäftigung und kritische Infrastruktur. Zum jetzigen Zeitpunkt (April 2026) bleiben weniger als 100 Tage.

Hinweis: Im November 2025 schlug die Europäische Kommission das Digital Omnibus vor – ein Paket von Vereinfachungen, das das Datum der Anwendung der High-Risk-Regeln korrigieren könnte. Zum Zeitpunkt der Erstellung dieses Artikels wurde dieser Vorschlag noch nicht angenommen und wird im Europäischen Parlament diskutiert. Bis zur Annahme bleibt das offizielle Datum der 2. August 2026.

Vier Risikostufen: Zu welcher Kategorie gehört Ihr KI-System

Der AI Act reguliert nicht alle KI-Systeme gleich. Die Logik des Gesetzes besagt: Je höher das potenzielle Risiko für Gesundheit, Sicherheit oder Grundrechte des Menschen, desto strenger die Verpflichtungen. Die Klassifizierung ist vierstufig: von vollständigem Verbot bis hin zu gar keinen Anforderungen. Davon, welcher Kategorie Ihr KI-System zugeordnet wird, hängt der Umfang des Compliance-Aufwands ab – von null zusätzlichen Verpflichtungen bis hin zu vollständiger technischer Dokumentation, unabhängiger Prüfung und Registrierung in der EU-Datenbank.

Bevor Sie weiterlesen: Wenn Sie sich nicht sicher sind, zu welcher Kategorie Ihr System gehört, nutzen Sie den kostenlosen Compliance Checker des Future of Life Institute. Das Tool stellt 10–15 Fragen und gibt eine vorläufige Klassifizierung.

Stufe 1: Inakzeptables Risiko – Verboten ab dem 2. Februar 2025

Dies sind KI-Systeme, die eine direkte Bedrohung für die Grundrechte, die Sicherheit oder die Würde des Menschen darstellen. Sie sind auf dem Gebiet der EU vollständig verboten – nicht reguliert, sondern schlichtweg verboten. Artikel 5 des AI Acts enthält eine umfassende Aufzählung von 8 Kategorien. Die Verbote traten am 2. Februar 2025 in Kraft.

Was konkret verboten ist:

• Social Scoring: KI-Systeme, die Menschen aufgrund ihres Verhaltens, ihrer sozialen Merkmale oder ihrer Persönlichkeitseigenschaften bewerten und auf dieser Grundlage über ihren Zugang zu Dienstleistungen und Gelegenheiten entscheiden oder ihre Rechte einschränken. Ein Äquivalent des chinesischen Sozialkreditsystems – vollständig verboten.
• Manipulation durch unterschwellige Techniken: KI, die unterschwellige Methoden nutzt oder gezielt psychologische Schwächen ausnutzt, um das Verhalten einer Person in einer Weise zu ändern, die ihr schadet. Hierzu zählen KI-Systeme, die schutzbedürftige Gruppen manipulieren – Kinder, ältere Menschen, Menschen mit psychischen Störungen.
• Emotionserkennung am Arbeitsplatz und in Schulen: KI, die den emotionalen Zustand von Mitarbeitern oder Schülern analysiert – anhand von Mimik, Stimme, Verhalten. Dies ist ein direktes Verbot für HR-Tech-Lösungen, die versuchen, die Emotionen des Personals während der Arbeit zu "lesen".
• Massenhafte Erhebung biometrischer Daten: zielgerichtetes Scraping von Internet- oder CCTV-Aufzeichnungen zur Erstellung oder Erweiterung von Gesichtserkennungsdatenbanken.
• Biometrische Kategorisierung: KI, die Rasse, politische Ansichten, Religion, sexuelle Orientierung oder andere geschützte Merkmale anhand biometrischer Daten bestimmt.
• Vorhersage von Straftaten auf Basis von Profiling: KI, die das Risiko einer Person einschätzt, eine Straftat zu begehen, basierend auf persönlichen Merkmalen und nicht auf objektiven Beweisen.
• Fern-biometrische Echtzeitidentifizierung im öffentlichen Raum: Gesichtserkennungssysteme in Echtzeit für Strafverfolgungszwecke im öffentlichen Raum – mit engen Ausnahmen für kritische Situationen.

Bußgeld bei Verstößen: bis zu 35.000.000 € oder 7 % des weltweiten Jahresumsatzes – je nachdem, welcher Betrag höher ist (Art. 99 AI Act). Für ein Unternehmen mit 10 Mio. € Umsatz – maximal 700.000 €. Für ein Unternehmen mit 1 Mrd. € Umsatz – 70.000.000 €.

Was das praktisch für KMU bedeutet: Wenn Ihre Personalabteilung ein KI-Tool prüft, das "Mikroausdrücke im Gesicht während des Vorstellungsgesprächs analysiert" oder "den emotionalen Zustand von Mitarbeitern bewertet" – ist dies ein direkter Verstoß gegen Art. 5 des AI Acts, der bereits jetzt gilt. Solche Tools sollten vermieden werden, unabhängig davon, wie sie vom Verkäufer dargestellt werden.

Stufe 2: Hohes Risiko (High-risk) – Strenge Anforderungen ab dem 2. August 2026

Dies ist die größte und wichtigste Kategorie im Hinblick auf die Compliance für Unternehmen. High-Risk-KI-Systeme sind nicht verboten – unterliegen aber einer detaillierten Regulierung. Die vollständige Liste ist in Anhang III des AI Acts enthalten und umfasst acht Bereiche, in denen KI erhebliche Auswirkungen auf die Rechte, die Gesundheit oder das Wohlergehen von Menschen haben kann.

Acht Bereiche mit hohem Risiko (High-risk) bei KI:

• Biometrie: Systeme zur Fernidentifizierung von Personen (nicht in Echtzeit), KI für biometrische Kategorisierung, Emotionserkennungssysteme (außer den verbotenen Fällen am Arbeitsplatz und in Schulen). Beispiel: System zur Personenverifizierung beim Betreten eines Büros oder für Online-Banking.
• Kritische Infrastruktur: KI als Sicherheitskomponente in der Steuerung von Wasserversorgung, Gas, Elektrizität, Straßenverkehr, digitaler Infrastruktur. Beispiel: KI, die Anomalien im Stromnetz erkennt oder den Verkehrsfluss steuert.
• Bildung und Weiterbildung: KI, die den Zugang zu oder die Zulassung zu Bildungs- und Ausbildungseinrichtungen bestimmt, Schüler oder Studenten bewertet, den Wissensstand ermittelt. Beispiel: KI-System, das Bewerber für eine Universität einstuft oder Prüfungen automatisch benotet.
• Beschäftigung und Personalwesen: KI für Recruiting und Personalauswahl, Screening und Filterung von Lebensläufen, Ranking von Kandidaten, Entscheidungen über Arbeitsbedingungen. Beispiel: KI, die Lebensläufe automatisch filtert oder Kandidaten für den HR-Manager einstuft – dies ist High-Risk. Wichtig für Unternehmen in der EU: Wenn Sie LinkedIn Recruiter mit KI-Ranking-Funktionen oder ein ATS mit KI-Screening nutzen – prüfen Sie die Konformität mit dem AI Act.
• Wichtige private und öffentliche Dienstleistungen: KI zur Bewertung der Kreditwürdigkeit von natürlichen Personen oder zur Ermittlung des Kreditratings (außer Betrugserkennung), KI zur Risikobewertung und Preisgestaltung bei Lebens- und Krankenversicherungen, KI zur Ermittlung des Anspruchs auf Sozialleistungen einschließlich medizinischer Versorgung. Beispiel: Bankalgorithmus, der über die Genehmigung einer Hypothek entscheidet, oder ein Versicherungsmodell, das die Prämienhöhe für eine bestimmte Person festlegt.
• Strafverfolgung: KI zur Bewertung des Kriminalitätsrisikos einer bestimmten Person, Lügendetektoren und ähnliche Systeme, KI zur Analyse von Beweismitteln und Vorhersage von Straftaten. Gilt für Polizei und Geheimdienste – nicht für typische Unternehmen.
• Migration, Asyl und Grenzkontrolle: KI zur Bewertung des Einreise-Risikos, Bearbeitung von Visa- und Asylanträgen, Identifizierung von Personen an der Grenze. Gilt für staatliche Stellen.
• Justiz und demokratische Prozesse: KI zur Unterstützung von Justizbehörden bei der Analyse von Fakten, der Auslegung von Gesetzen, der Anwendung von Gesetzen auf konkrete Fälle. Beispiel: KI-Tool, das einem Richter bei der Analyse eines Falles hilft – High-Risk. KI, die einem Anwalt hilft, die relevante Klausel in 300 Verträgen zu finden – nicht High-Risk.

Verpflichtungen für High-Risk-Systeme (Artikel 9–15 AI Act):

• ✔️ Art. 9: Risikomanagementsystem – dokumentiert, kontinuierlich, umfasst den gesamten Lebenszyklus des Systems
• ✔️ Art. 10: Datenmanagement – Trainings- und Testdaten müssen Qualitäts- und Repräsentativitätsanforderungen erfüllen
• ✔️ Art. 11: Technische Dokumentation – vollständige Beschreibung des Systems, seiner Fähigkeiten, Grenzen und Sicherheitsmaßnahmen – bereit zur Bereitstellung
• ✔️ Art. 12: Protokollierung (Logging) – automatische Protokollierung von Ereignissen zur Gewährleistung der Prüffähigkeit und zur Risikobetrachtung
• ✔️ Art. 13: Transparenz für Anwender – klare Anweisungen für Unternehmen, die das System nutzen, über dessen Zweck, Grenzen und Risiken
• ✔️ Art. 14: Menschliche Aufsicht – eine Person muss das System effektiv überwachen können, seine Entscheidungen verstehen und die Möglichkeit haben, sie zu unterbrechen oder rückgängig zu machen
• ✔️ Art. 15: Genauigkeit, Zuverlässigkeit, Cybersicherheit – dokumentierte Genauigkeitsmetriken, Widerstandsfähigkeit gegen Angriffe und Fehler
• ✔️ Registrierung in der EU-KI-Datenbank – vor der Inbetriebnahme
• ✔️ Konformitätsbewertung – für einige Kategorien (Biometrie, Medizinprodukte) ist eine unabhängige Konformitätsbewertung durch eine benannte Stelle erforderlich

Bußgeld bei Nichteinhaltung: bis zu 15.000.000 € oder 3 % des weltweiten Jahresumsatzes.

Was das praktisch für KMU bedeutet: Wenn Ihr Unternehmen in DE/AT ein KI-Tool zum Screening von Lebensläufen, zur automatischen Bewertung von Kandidaten oder zur Ermittlung des Kreditratings von Kunden einsetzt – sind diese Systeme High-Risk. Bis zum 2. August 2026 sind technische Dokumentation, ein dokumentiertes Aufsichtssystem und – wenn der Anbieter die Konformität nicht sicherstellt – entweder die Migration zu einem konformen System oder die Aufgabe der Funktionalität erforderlich.

Stufe 3: Begrenztes Risiko – Transparenzanforderungen ab dem 2. August 2026

Dies sind KI-Systeme, die direkt mit Menschen interagieren oder Inhalte generieren – aber keine Entscheidungen treffen, die wesentliche Auswirkungen auf Rechte oder Wohlergehen haben. Die Verpflichtungen sind hier deutlich geringer als bei High-Risk-Systemen: Das Wichtigste ist die Transparenz. Eine Person muss wissen, dass sie mit einer KI interagiert.

Was unter das begrenzte Risiko fällt (Art. 50 AI Act):

• Chatbots und KI-Assistenten, die mit Menschen kommunizieren: Jeder öffentliche oder halböffentliche KI-Chat – auf der Website einer Klinik, eines Online-Shops, einer Anwaltskanzlei, einer Bank. Ab dem 2. August 2026 muss das System den Nutzer zu Beginn der Interaktion klar darauf hinweisen, dass er mit einer KI kommuniziert. Die Formulierung "Powered by AI" in kleinem Druck am Seitenende erfüllt die Anforderung nicht. Eine klare Mitteilung zu Beginn der Sitzung ist erforderlich.
• Systeme zur Generierung von Bildern, Videos, Audio oder Text: KI, die Deepfakes oder synthetische Inhalte erzeugt, die zur öffentlichen Verbreitung bestimmt sind – muss den generierten Inhalt als KI-generiert in maschinenlesbarem Format kennzeichnen.
• KI, die die Stimme einer realen Person synthetisiert: Muss offenlegen, dass die Stimme synthetisch ist.

Bußgeld bei Verstoß gegen Art. 50: bis zu 15.000.000 € oder 3 % des weltweiten Jahresumsatzes.

Was das praktisch für KMU bedeutet: Wenn Sie einen KI-Chat auf der Website eines medizinischen Zentrums, einer Anwaltskanzlei oder eines Händlers haben – müssen Sie bis zum 2. August 2026 eine klare Mitteilung zu Beginn des Chats hinzufügen. Dies ist technisch nicht kompliziert, aber rechtlich zwingend. Nichteinhaltung führt zu einem Bußgeld in gleicher Höhe wie bei High-Risk-Systemen bei Verstößen gegen Art. 13.

Stufe 4: Minimales oder null Risiko – keine zusätzliche Regulierung

Die überwiegende Mehrheit der KI-Tools, die Unternehmen täglich nutzen, fällt genau hierunter. Der AI Act stellt ausdrücklich fest, dass er keine Anforderungen für Systeme mit minimalem Risiko einführt. Beispiele: Spamfilter in E-Mails, KI-Empfehlungen für Inhalte auf Streaming-Plattformen, KI für Videospiele, Textkorrektur-Systeme, grundlegende Automatisierungs- und Planungs-Tools.

Für diese Kategorie fallen keine zusätzlichen Verpflichtungen nach dem AI Act an. Die allgemeinen Anforderungen der DSGVO zur Verarbeitung personenbezogener Daten bleiben jedoch unabhängig von der Risikokategorie des AI Acts in Kraft.

Wo in dieser Klassifizierung befindet sich ein KI-Assistent für Dokumente

Dies ist die Frage, die unsere Kunden – medizinische Zentren, Anwaltskanzleien und Händler – am häufigsten stellen. Die Antwort hängt davon ab, was genau das System tut und welche Entscheidungen es unterstützt.

Praktischer Schlussfolgerung: Ein KI-Assistent, der Fragen ausschließlich aus Ihren hochgeladenen Dokumenten beantwortet und keine Entscheidungen trifft, die die Rechte oder das Wohlergehen wesentlich beeinflussen, fällt meist in die Kategorie des begrenzten oder minimalen Risikos. Das bedeutet einen relativ geringen Umfang an Verpflichtungen: klare Mitteilung über die KI und Einhaltung der DSGVO bezüglich der Datenspeicherung. Wenn dasselbe Tool jedoch zur Bewertung von Kandidaten, zur Kreditwürdigkeitsprüfung oder zur medizinischen Triage verwendet wird, ändert sich die Kategorie zu High-Risk und die Anforderungen steigen drastisch.

Spezifische Anforderungen für Unternehmen in DE/AT: Medizin, Anwälte, Finanzen

Der AI Act ist eine europaweite Verordnung, aber er funktioniert nicht im luftleeren Raum. In Deutschland und Österreich interagiert er mit eigenen DSGVO-Implementierungen, branchenspezifischen Gesetzen und Berufsethier. Für medizinische Versorgungszentren, Anwaltskanzleien und Finanzinstitute in DE/AT bedeutet dies eine doppelte oder dreifache Schicht von Anforderungen – und die Missachtung einer davon birgt ein rechtliches Risiko. Mehr über die Besonderheiten der DSGVO in DE/AT erfahren Sie im Artikel KI und DSGVO in Deutschland und Österreich: Anforderungen an Unternehmenssysteme.

Medizinische Zentren in Österreich und Deutschland

Die Medizin ist der am stärksten regulierte Bereich im Kontext von KI in der EU. KI-Systeme im medizinischen Bereich fallen gleichzeitig unter vier Gesetzesschichten: den EU AI Act, die DSGVO (Art. 9 – Besondere Kategorien personenbezogener Daten), die EU-Medizinprodukteverordnung (MDR 2017/745) und das nationale Medizinrecht. Alle vier Ebenen gelten parallel und ersetzen sich nicht gegenseitig.

Was ist nach dem AI Act in der Medizin als "risikoreich" eingestuft (Anhang III):

• KI, die bei der Diagnose von Krankheiten oder der Verschreibung von Behandlungen hilft – risikoreich und fällt gleichzeitig unter die MDR als Software für medizinische Geräte
• KI für die Triage von Patienten und die Disposition von Notärzten – risikoreich mit obligatorischer menschlicher Aufsicht durch einen Arzt oder Disponenten
• KI zur Bewertung des Anspruchs eines Patienten auf staatliche medizinische Versorgung oder Subventionen – risikoreich als System, das den Zugang zu grundlegenden Dienstleistungen beeinflusst

Was ist nicht als "risikoreich", aber unter Stufe 3 (begrenztes Risiko) fällt: Ein KI-Assistent, der Fragen von Patienten aus den Klinikprotokollen beantwortet – „Wie bereite ich mich auf eine Gastroskopie vor?“, „Was soll ich zum Termin mitbringen?“, „Wie lange dauert ein MRT?“ – ist nach dem AI Act nicht als risikoreich eingestuft. Er fällt jedoch unter Art. 50 (Transparenzanforderung) und unter die DSGVO, wenn er bei der Interaktion personenbezogene Daten des Patienten sammelt.

Praktische Anforderungen für ein medizinisches Zentrum in Österreich oder Deutschland:

• Explizite KI-Benachrichtigung (Art. 50 AI Act, gültig ab 02.08.2026): Der Patient muss zu Beginn des Chats eine klare Benachrichtigung erhalten, dass er mit einem KI-System kommuniziert. Es reicht nicht aus, "KI-Chat" in der Überschrift zu schreiben – die Anforderung bezieht sich auf eine aktive Benachrichtigung zu Beginn jeder Sitzung. Formulierung: "Sie kommunizieren mit dem KI-Assistenten der Klinik [Name]. Für medizinische Beratung wenden Sie sich bitte an einen Arzt."
• Verbot medizinischer Entscheidungen ohne Arzt: KI darf keine Diagnosen empfehlen, keine Behandlungen verschreiben oder absetzen und keine Dosierungen festlegen. Jede Formulierung in der KI-Antwort, die als medizinische Empfehlung interpretiert werden kann, birgt ein rechtliches Risiko. Das System muss eine integrierte Beschränkung und eine klare Weiterleitung an einen Spezialisten haben.
• Serverstandort und DSGVO (Art. 9 DSGVO): Medizinische Daten sind eine besondere Kategorie personenbezogener Daten, die eine eigene Rechtsgrundlage für die Verarbeitung erfordern. Die Verarbeitung über US-Cloud-Dienste (OpenAI API, Google Cloud, AWS) erfordert Standardvertragsklauseln (SCCs), eine Transfer Impact Assessment (TIA) und – in den meisten Fällen – zusätzliche technische Schutzmaßnahmen. In der Praxis bedeutet dies für die meisten medizinischen Zentren in DE/AT, dass die einzig sichere Option ein Server in der EU ist, der von einem nicht-amerikanischen Unternehmen betrieben wird.
• Österreich – § 54 Ärztegesetz (ärztliche Schweigepflicht): Die ärztliche Schweigepflicht ist in Österreich strafrechtlich geschützt und erstreckt sich auf jedes System, das medizinische Patientendaten verarbeitet – einschließlich KI-Assistenten. Die Übermittlung dieser Daten an einen Anbieter, der dem US-CLOUD Act unterliegt (selbst über eine verschlüsselte API), ist ein potenzieller Verstoß gegen § 54. Die Dokumente zur ärztlichen Schweigepflicht müssen aktualisiert werden, um KI-Komponenten abzudecken.
• Deutschland – Bundesdatenschutzgesetz (BDSG) und Patientendatenschutzgesetz (PDSG): Das PDSG (Gesetz zum Schutz der Patientendaten, 2020) legt zusätzliche Anforderungen an die Verarbeitung medizinischer Daten in digitalen Systemen fest. Ein KI-System, das Patientendaten verarbeitet, muss unabhängig vom Serverstandort dem PDSG entsprechen.
• Protokollierung von Anfragen: Auch für informative KI-Chats (Stufe 3) wird eine Protokollierung als Element der Rechenschaftspflicht gemäß DSGVO und AI Act empfohlen. Für risikoreiche Systeme ist die Protokollierung obligatorisch (Art. 12). Die Mindestspeicherfrist für Protokolle für medizinische Systeme ist mit Ihrem Datenschutzbeauftragten (DPO) abzustimmen, in der Regel 6–12 Monate.
• Datenschutz-Folgenabschätzung (DSFA): Wenn das KI-System in erheblichem Umfang Patientendaten verarbeitet, ist eine DSFA gemäß Art. 35 DSGVO obligatorisch. Für risikoreiche KI-Systeme kann zusätzlich eine Fundamental Rights Impact Assessment (FRIA) gemäß AI Act erforderlich sein. In der Praxis wird empfohlen, beide in einem einzigen Bewertungsprozess zu kombinieren.

Mehr über die Verarbeitung medizinischer Daten mittels KI und DSGVO erfahren Sie im Artikel KI in der Medizin: So verarbeiten Sie medizinische Daten gesetzeskonform.

Anwaltskanzleien in Österreich und Deutschland

Anwaltskanzleien befinden sich in einer besonders schwierigen Lage: Der AI Act, die DSGVO und das Anwaltsgeheimnis als verfassungsrechtlich geschütztes Prinzip – alle drei verlangen, dass Mandantendaten die kontrollierte Umgebung nicht verlassen. Gleichzeitig sind die meisten gängigen KI-Tools für Anwälte Cloud-Dienste amerikanischen Ursprungs.

Was ist für Anwaltskanzleien nach dem AI Act risikoreich: KI, die eine Justizbehörde bei der Analyse von Fakten oder der Auslegung von Gesetzen unterstützt – risikoreich gemäß Anhang III, Ziffer 8. KI, die einem Anwalt hilft, relevante Klauseln in Verträgen zu finden oder Argumente zu formulieren – nicht risikoreich, fällt aber unter die Transparenzanforderungen, wenn sie direkt mit dem Mandanten interagiert.

Besonderheiten DE/AT für Anwaltskanzleien:

• Deutschland – BRAO § 43e und BORA: Die Bundesrechtsanwaltsordnung (§ 43e) verpflichtet Rechtsanwälte, technische Mittel so zu verwenden, dass die Vertraulichkeit von Mandantendaten gewährleistet ist. Die Berufsordnung für Rechtsanwälte (BORA) konkretisiert diese Anforderungen. Ein KI-System, das Akten an einen amerikanischen Cloud-Anbieter übermittelt, verstößt potenziell gegen § 43e, selbst wenn eine Auftragsverarbeitungsvereinbarung (AVV) vorliegt. Grund: Amerikanische Anbieter unterliegen dem US CLOUD Act, unabhängig vom Serverstandort, und können verpflichtet werden, Daten an US-Strafverfolgungsbehörden weiterzugeben.
• Österreich – RAO § 9 (Verschwiegenheitspflicht): Die anwaltliche Verschwiegenheitspflicht ist in Österreich in § 9 Rechtsanwaltsordnung verankert und stellt eine absolute Verpflichtung dar. Ein Verstoß kann zu disziplinarrechtlichen Konsequenzen bis hin zum Entzug der Anwaltszulassung führen. Der Österreichische Rechtsanwaltskammertag (ÖRAK) empfiehlt Anwälten, ausschließlich Systeme zu nutzen, bei denen die Daten innerhalb der EU verarbeitet werden und nicht der Gerichtsbarkeit von Drittländern unterliegen.
• Transparenzanforderung des AI Act (Art. 50) für Mandanten: Wenn eine Anwaltskanzlei KI zur Erstellung von Entwürfen von Dokumenten, Memoranden oder Schreiben verwendet, die von einem Partner unterzeichnet werden – hat der Mandant das Recht, über die Nutzung von KI informiert zu werden. Das bedeutet nicht, dass dies in jedem Schreiben angegeben werden muss – aber die allgemeine Richtlinie der Kanzlei zur Nutzung von KI muss dokumentiert und für den Mandanten auf Anfrage verfügbar sein. Zahlreiche Anwaltsverbände in DE/AT empfehlen, die Verwendung von KI in die Mandatsvereinbarung (retainer agreement) mit dem Mandanten aufzunehmen.
• Verzeichnis von Verarbeitungstätigkeiten (VVT) mit KI-Komponente: Gemäß DSGVO (Art. 30) muss eine Anwaltskanzlei ein Verzeichnis der Verarbeitungstätigkeiten führen. Jedes KI-Tool, das Mandantendaten verarbeitet, muss im VVT aufgeführt werden, mit Angabe von: Tool-Name, Anbieter, Verarbeitungsort, Datenkategorie, Rechtsgrundlage, technische Schutzmaßnahmen. Das Fehlen eines Eintrags im VVT ist ein DSGVO-Verstoß, unabhängig vom AI Act.
• Beschränkungen für hochzuladende Dokumente in KI: Unterlagen laufender Verfahren, Mandatsverträge mit vertraulichen Klauseln, Korrespondenz mit Anwaltsgeheimnis – dürfen nicht in irgendeinen Cloud-KI-Dienst hochgeladen werden, bei dem die Daten außerhalb Ihrer Kontrolle verarbeitet werden. Ausnahme: Self-hosted Systeme, bei denen Sie der einzige Datenverantwortliche sind und die Daten Ihren Server physisch nicht verlassen. Mehr dazu im Artikel KI für Anwaltskanzleien: Sicherheit von Mandantendaten.
• Was sicher hochgeladen werden kann: Öffentliche Rechtsvorschriften, Rechtsprechung aus offenen Registern, interne Leitfäden der Kanzlei, die keine Mandantendaten enthalten, Dokumentenvorlagen ohne personenbezogene Daten – all dies kann in ein KI-System zur Suche und Beantwortung hochgeladen werden, auch wenn sich der Server nicht in der EU befindet. Sobald jedoch der Name des Mandanten, Aktenzeichen oder vertrauliche Klauseln im Dokument erscheinen, werden die Anforderungen an Speicherung und Verarbeitung maximal.

Finanzinstitute und Versicherungen in Österreich und Deutschland

Der Finanzsektor ist ein Bereich höchster Aufmerksamkeit im AI Act. Anhang III stuft zwei zentrale Anwendungsfälle, die für Banken und Versicherungsgesellschaften Standard sind, direkt als "risikoreich" ein: die Bonitätsprüfung von Privatpersonen und das Risikoscoring in der Versicherung. Neben dem AI Act unterliegen Finanzinstitute in DE/AT der Aufsichtsregelung durch BaFin und FMA, die bereits eigene Anforderungen an algorithmische Entscheidungen haben.

Was ist für Finanzinstitute nach dem AI Act risikoreich (Anhang III):

• Bonitätsprüfung von Privatpersonen: Jedes KI-System, das die Kreditwürdigkeit, das Scoring oder die Entscheidung über die Gewährung eines Kredits, einer Hypothek oder eines Leasingvertrags für eine bestimmte Privatperson bestimmt – ist risikoreich. Ausnahme: KI zur Betrugserkennung ist ausdrücklich von der Kategorie "risikoreich" in Anhang III ausgenommen.
• Risikobewertung und Preisgestaltung in der Versicherungsbranche: KI, die den Versicherungsbeitrag oder die Policenbedingungen für eine bestimmte Person auf der Grundlage einer Risikobewertung bestimmt – ist risikoreich. Dies gilt für Lebens-, Kranken- und potenziell auch für Kfz-Versicherungen, bei denen die Prämie individuell bestimmt wird.

Verpflichtungen für Finanzinstitute ab dem 2. August 2026:

• Technische Dokumentation (Art. 11): Eine vollständige Beschreibung des KI-Systems – Architektur, Trainingsdaten, Genauigkeitsmetriken, bekannte Einschränkungen und Risiken – muss vor der Einführung erstellt und bei Änderungen des Systems aktualisiert werden. Im Falle einer Prüfung durch BaFin oder FMA ist sie auf Anfrage vorzulegen.
• Risikomanagementsystem (Art. 9): Ein dokumentierter, fortlaufender Prozess zur Identifizierung, Bewertung und Minimierung der Risiken eines KI-Systems während seines gesamten Lebenszyklus. Kein einmaliger Bericht – sondern ein operativer Prozess mit zugewiesenen Verantwortlichen und regelmäßigen Überprüfungen.
• Audit-Protokoll (Art. 12): Automatische Protokollierung aller Entscheidungen des Systems mit einem ausreichenden Detaillierungsgrad, um nachvollziehen zu können, warum das System eine bestimmte Entscheidung für eine bestimmte Person getroffen hat. Für Kredit- und Versicherungsentscheidungen ist dies für die Beantwortung von Kundenbeschwerden und Anfragen von Aufsichtsbehörden entscheidend.
• Menschliche Aufsicht (Art. 14): Bei risikoreichen Finanzentscheidungen darf KI nicht der alleinige und endgültige Entscheidungsträger sein. Es muss ein dokumentiertes Verfahren zur menschlichen Überprüfung vorhanden sein – insbesondere bei Ablehnungen und Grenzfallentscheidungen. Der Kunde hat das Recht, eine Erklärung der Entscheidung und eine menschliche Überprüfung zu verlangen.
• Registrierung in der EU-KI-Datenbank: Vor dem Inverkehrbringen von risikoreichen Systemen nach dem 2. August 2026.
• BaFin (Deutschland): Die Bundesanstalt für Finanzdienstleistungsaufsicht hat bereits Leitlinien für KI im Finanzsektor veröffentlicht und darauf hingewiesen, dass sie von den beaufsichtigten Unternehmen einen proaktiven Ansatz zur Einhaltung des AI Acts erwartet. KI-Systeme für Kreditentscheidungen unterliegen zusätzlich den Anforderungen von Basel III an das Model Risk Management und die Erklärbarkeit algorithmischer Entscheidungen.
• FMA (Österreich): Die Finanzmarktaufsicht Österreich erwartet ebenfalls von Banken und Versicherungen die Dokumentation von KI-Systemen, die Entscheidungen über Kunden beeinflussen. Das österreichische DSG (Datenschutzgesetz) ergänzt die Anforderungen an die Verarbeitung personenbezogener Daten bei automatisierten Finanzentscheidungen.
• Recht des Kunden auf Erklärung (DSGVO Art. 22 + AI Act Art. 13): Eine natürliche Person, gegen die eine automatisierte Entscheidung (Kredit- oder Versicherungsablehnung) getroffen wurde, hat das Recht auf Erklärung und menschliche Überprüfung. Diese Anforderung gilt bereits nach der DSGVO und wird durch den AI Act verstärkt. Finanzinstitute müssen über ein dokumentiertes Verfahren zur Beantwortung solcher Anfragen verfügen.

Was für Finanzinstitute nicht als risikoreich gilt: Ein interner KI-Assistent, der Managern hilft, Informationen in internen Vorschriften und Produktbeschreibungen zu finden – nicht risikoreich, das ist Stufe 4 (minimales Risiko). KI, die Kunden über allgemeine Fragen zu Bankprodukten in einem Website-Chat beantwortet – Stufe 3 (begrenztes Risiko, Transparenzanforderung). Der Unterschied ist grundlegend: Dieselbe Bank kann gleichzeitig ein risikoreiches System (Kreditscoring) und ein System mit minimalem Risiko (internes Nachschlagewerk für Mitarbeiter) haben.

Warum Cloud-KI der AI Act vor Herausforderungen stellt – und wo Self-Hosting die Nase vorn hat

Der AI Act und die DSGVO schaffen zusammen eine Compliance-Landschaft, in der die architektonische Entscheidung – wo Ihre KI-Systeme physisch bereitgestellt werden und wer die Datenhoheit hat – eine direkte rechtliche Bedeutung hat. Das ist keine Frage von Präferenzen oder Bequemlichkeit. Es ist eine Frage, ob Sie die spezifischen Anforderungen der Artikel 9–15 des AI Acts und der Art. 5, 24, 28 der DSGVO bei der Nutzung eines Cloud-Dienstes mit amerikanischer Herkunft erfüllen können. Für die meisten Unternehmen in DE/AT, die sensible Daten verarbeiten, ist die Antwort aufgrund von drei systemischen Problemen kompliziert.

Mehr darüber, wo Ihre Daten bei verschiedenen KI-Diensten physisch gespeichert werden – in diesem Artikel Self-hosted AI vs. Cloud: Wo bleiben Ihre Daten.

Problem 1: US CLOUD Act vs. DSGVO und AI Act

Der CLOUD Act (Clarifying Lawful Overseas Use of Data Act, USA, 2018) erlaubt es amerikanischen Strafverfolgungsbehörden, US-Unternehmen aufzufordern, Daten bereitzustellen, die auf ihren Servern gespeichert sind – unabhängig davon, wo sich diese Server physisch befinden. OpenAI, Google, Microsoft, Amazon, Notion, Salesforce – all dies sind amerikanische Unternehmen und fallen unter den CLOUD Act. Das bedeutet, selbst wenn Ihr OpenAI-basierter KI-Assistent auf Servern in Frankfurt bereitgestellt wird – kann OpenAI auf Grundlage einer US-Gerichtsanordnung verpflichtet werden, diesen Datenzugriff der US-Seite zu gewähren.

Die DSGVO und der AI Act heben den CLOUD Act nicht auf oder blockieren ihn – sie regeln unterschiedliche Gerichtsbarkeiten. Ein DPA (Data Processing Agreement) mit einem amerikanischen Anbieter und ein TIA (Transfer Impact Assessment) sind obligatorische Dokumente, aber sie reduzieren das Risiko für die meisten Daten, beseitigen es aber nicht für die sensibelsten Kategorien. Für Patientendaten im Gesundheitswesen (Art. 9 DSGVO – besondere Kategorien), Unterlagen aus Gerichtsverfahren, die der Anwaltsgeheimhaltung unterliegen, oder Finanzdaten von Kunden mit Bankgeheimnis – selbst ein unterzeichnetes DPA bietet keinen ausreichenden Schutz. Die österreichische Rechtsanwaltskammer (ÖRAK) und eine Reihe deutscher Landes-Rechtsanwaltskammern empfehlen ausdrücklich die Nutzung amerikanischer Cloud-KI-Dienste zur Verarbeitung von Fallmaterialien gerade wegen des Risikos des CLOUD Acts nicht.

Was bedeutet das in der Praxis: Wenn Sie ein medizinisches Zentrum in Wien oder eine Anwaltskanzlei in München sind und die ChatGPT API oder Notion AI für die Bearbeitung sensibler Kundendaten nutzen – haben Sie eine offene rechtliche Schwachstelle, die kein Vertrag mit dem Anbieter schließt. Ein Self-hosted System auf einem Hetzner-Server in Nürnberg oder Helsinki – unter der Verwaltung eines deutschen oder finnischen Unternehmens – schließt dieses Risiko architektonisch aus: Amerikanische Strafverfolgungsbehörden haben keine Gerichtsbarkeit über Daten, die nie in die Hände eines amerikanischen Unternehmens gelangt sind.

Problem 2: Transparenz, Dokumentation und Systemkontrolle

Der AI Act verlangt von den „Deployern“ – also von Ihnen als datenverarbeitendem Unternehmen – spezifische Fähigkeiten: erklären zu können, wie das System Entscheidungen trifft (Art. 13), die Kontrolle darüber nachweisen zu können (Art. 14), über eine technische Dokumentation des Systems zu verfügen (Art. 11) und ein Logbuch über dessen Betrieb zu führen (Art. 12).

Ein Cloud-SaaS-Anbieter stellt Ihnen die Dokumentation seines Systems zur Verfügung – aber nicht Ihrer spezifischen Installation. OpenAI veröffentlicht die Systemarchitektur von GPT-4, Microsoft veröffentlicht die Dokumentation für Copilot – aber diese Dokumentation beschreibt das Basismodell, nicht wie genau Ihr Unternehmen es konfiguriert hat, welche Dokumente hochgeladen wurden und welcher System-Prompt verwendet wird. Für die Zwecke der Compliance mit dem AI Act ist die Dokumentation Ihres spezifischen Systems erforderlich – das Sie selbst konfiguriert und bereitgestellt haben.

Es gibt noch ein weiteres Problem: Cloud-Anbieter aktualisieren ihre Modelle – oft ohne Vorankündigung und ohne Möglichkeit, bei einer älteren Version zu bleiben. GPT-4o im Februar 2026 und GPT-4o im August 2026 – sind unterschiedliche Versionen mit unterschiedlichem Verhalten. Wenn Ihr Hochrisiko-System im Februar eine Konformitätsbewertung durchlaufen hat und der Anbieter im April das Modell ohne Ihr Wissen aktualisiert hat – ist Ihre Dokumentation technisch veraltet und das System erfordert eine Neubewertung. Ein Self-hosted System, bei dem Sie selbst kontrollieren, welche Modellversion Sie verwenden – ist von diesem Problem befreit.

Was bedeutet das in der Praxis: Für die Stufe 3 (begrenztes Risiko) – ist Cloud-KI völlig akzeptabel, wenn ein DPA und eine klare Nutzerinformation vorhanden sind. Für die Stufe 2 (Hochrisiko) – erfordert Cloud-KI erheblich mehr Aufwand für die Dokumentation und den Nachweis der Konformität: Sie müssen de facto ein fremdes System dokumentieren, das Sie nicht kontrollieren und das sich ohne Ihr Wissen ändern kann. Mehr dazu – in diesem Artikel Self-hosted AI vs. SaaS: Was wählen für Unternehmensdokumente.

Problem 3: Menschliche Aufsicht und reale Systemkontrolle

Artikel 14 des AI Acts fordert, dass für Hochrisiko-Systeme ein Mensch das System effektiv kontrollieren, dessen Entscheidungen verstehen und die Möglichkeit haben kann, diese zu unterbrechen oder zu annullieren. Das ist nicht nur eine Anforderung an die Benutzeroberfläche – es ist eine architektonische Anforderung: Das System muss so konzipiert sein, dass eine menschliche Aufsicht tatsächlich möglich ist und nicht nur formell.

Cloud-SaaS gibt Ihnen Kontrolle innerhalb dessen, was die API des Anbieters erlaubt. Sie können den System-Prompt konfigurieren, Beschränkungen über API-Parameter festlegen, bestimmte Funktionen deaktivieren – aber Sie können das Basismodell nicht kontrollieren, wissen nicht genau, wie es Ihren Prompt nach dem nächsten Update interpretiert, und können nicht garantieren, dass sich sein Verhalten nicht ändert. Wenn das System nach einem Anbieter-Update plötzlich unerwartete Antworten liefert – sind Ihre Eingriffsmöglichkeiten auf das beschränkt, was die API erlaubt.

Ein Self-hosted System bietet ein anderes Maß an Kontrolle: Sie entscheiden selbst, welches Modell Sie verwenden (Llama, Mistral, Qwen oder GPT über OpenRouter), Sie konfigurieren selbst den System-Prompt und die Beschränkungen, Sie kontrollieren selbst, wann und welche Version aktualisiert wird. Wenn das Modell sich unerwartet verhält – können Sie auf eine frühere Version zurückrollen, die Konfiguration ändern oder den LLM-Anbieter komplett austauschen, ohne den Rest des Systems zu ändern. Das ist die reale menschliche Aufsicht im Sinne von Art. 14 AI Act.

Problem 4: Haftung und Betreiberkette

Der AI Act unterscheidet klar zwischen dem „Provider“ (Entwickler des Systems) und dem „Deployer“ (Unternehmen, das es nutzt) und verteilt die Verpflichtungen zwischen ihnen. Aber wenn Sie Cloud-SaaS nutzen – wird die Haftungskette komplexer: Es gibt den Entwickler des Basismodells (z. B. OpenAI), es gibt den SaaS-Anbieter, der ein Produkt auf Basis dieses Modells erstellt, und es gibt Sie als End-Deployer. Wenn etwas schiefgeht – kommt der Regulator zu Ihnen als Deployer, und Ihre Antwort „der Anbieter ist schuld“ entbindet Sie nicht von der Haftung nach Art. 26 AI Act.

Ein Self-hosted System, bei dem Sie sowohl Deployer als auch tatsächlicher Betreiber sind – vereinfacht diese Kette. Sie wissen, was Sie verwenden, dokumentieren Ihr System und tragen die Verantwortung für Ihre eigene Installation – nicht für eine fremde Plattform, die Sie nicht kontrollieren.

Wo Self-hosting im Hinblick auf AI Act und DSGVO punktet

Ehrliche Warnung: Self-hosted bedeutet nicht automatische Compliance mit dem AI Act. Sie müssen trotzdem: Nutzer klar über die Interaktion mit KI informieren (Art. 50), Anfragen protokollieren, Ihr System dokumentieren und – wenn Ihr Use Case Hochrisiko ist – die vollständige Liste der Anforderungen der Art. 9–15 erfüllen. Self-hosted gibt Ihnen die Werkzeuge zur Erfüllung dieser Anforderungen und beseitigt die strukturellen Barrieren, die bei der Arbeit mit Cloud-Anbietern entstehen. Aber die Architektur allein reicht nicht aus – es bedarf dokumentierter Prozesse, benannter Verantwortlicher und regelmäßiger Systemüberprüfung.

Mehr über die Risiken von Datenlecks durch KI-Dienste und wie Sie diese überprüfen können – in diesem Artikel 6 Risiken von Datenlecks durch KI im Unternehmen.

Checkliste: Was Sie in Ihrem System vor August 2026 überprüfen müssen

Bis zum 2. August 2026 sind es weniger als 100 Tage. Hier ist, was Sie jetzt überprüfen müssen – unabhängig davon, welches KI-System Sie verwenden.

Zur Vorbereitung von Dokumenten für ein KI-System – in diesem Artikel Wie man Dokumente für einen KI-Assistenten vorbereitet: Was hochzuladen ist und was nicht.

Häufig gestellte Fragen

Betrifft der AI Act kleine Unternehmen oder KMU?

Ja – aber mit einem proportionalen Ansatz bei den Bußgeldern. Für KMU und Start-ups wird das Bußgeld als der geringere der beiden Beträge berechnet (ein fester Betrag oder ein Prozentsatz des Umsatzes). Das bedeutet, für ein Unternehmen mit einem Jahresumsatz von 500.000 € beträgt das maximale Bußgeld der ersten Stufe 35.000 € (7 % des Umsatzes) und nicht 35 Millionen €. Die Verpflichtungen zur Transparenz (Art. 50) und die Verbote (Art. 5) sind jedoch für alle unabhängig von der Größe gleich.

Fällt ein KI-Chat auf der Website einer Klinik unter den AI Act?

Ja – zumindest unter die Transparenzanforderungen der Stufe 3 (Art. 50). Ab dem 2. August 2026 muss der Chat die Patienten ausdrücklich darüber informieren, dass sie mit KI kommunizieren. Wenn der Chat nur Informationsfragen aus den Klinikprotokollen beantwortet – handelt es sich um ein begrenztes Risiko. Wenn er bei der Diagnose oder Triage hilft – handelt es sich potenziell um ein Hochrisiko mit dem vollständigen Anforderungssatz.

Reicht die Unterzeichnung eines DPA mit dem KI-Anbieter zur Einhaltung des AI Acts aus?

Ein DPA (Data Processing Agreement) ist für die DSGVO obligatorisch, reicht aber für die vollständige Konformität mit dem AI Act nicht aus. Der AI Act verlangt zusätzlich Transparenz des Systems, Protokollierung, menschliche Aufsicht und – für Hochrisiko-Systeme – technische Dokumentation und Registrierung. Ein DPA löst die Frage „wo und wie die Daten gespeichert werden“, aber nicht die Frage nach der Kontrolle über das KI-System und die Auditierbarkeit.

Was ist ein Transfer Impact Assessment (TIA) und wann wird er benötigt?

TIA ist eine Bewertung der Auswirkungen der Datenübermittlung in ein Drittland (z. B. USA), die die DSGVO nach dem Schrems II-Urteil (2020) verlangt. Wenn Ihr KI-Anbieter ein US-Unternehmen ist und die Daten Ihrer Kunden oder Patienten auf Servern außerhalb der EU verarbeitet – ist ein TIA obligatorisch. Selbst wenn die Server physisch in der EU stehen, der Anbieter aber US-amerikanisch ist – wird ein TIA wegen des CLOUD Act-Risikos empfohlen.

Möchten Sie überprüfen, ob Ihr KI-System die Anforderungen des AI Acts erfüllt?

Wir bei AskYourDocs entwickeln Self-hosted KI-Assistenten auf Basis von Dokumenten für KMU, medizinische Zentren und Anwaltskanzleien – mit Bereitstellung auf einem Server in der EU (Hetzner DE/FI oder OVH FR) und einer Architektur, die die Anforderungen der DSGVO und des AI Acts erfüllt.

Senden Sie uns 2-3 Ihrer echten Dokumente. In 30 Minuten zeigen wir eine Live-Demo und analysieren, zu welcher Risikokategorie des AI Acts Ihr Use Case gehört und was konkret zur Compliance erforderlich ist.

Schreiben Sie uns auf Telegram →

Schlüsselfertige Implementierung in 5-7 Tagen. Ab 500 $. Server in der EU. Ohne IT-Team Ihrerseits.

Quellen:

• EU-Verordnung 2024/1689 (EU AI Act) – offizieller Text
• Europäische Kommission: AI Act – Zeitplan und Umsetzung
• artificialintelligenceact.eu – High-level summary of the AI Act (Future of Life Institute)
• Annex III AI Act – vollständige Liste der Hochrisiko-KI-Systeme
• Article 99 AI Act – Bußgelder und Sanktionen
• EU AI Act Compliance Checker (kostenloses Tool)
• LegalNodes: EU AI Act 2026 Updates – Compliance Requirements and Business Risks
• Legiscope: EU AI Act Practical Compliance Guide for 2026 (März 2026)
• Matproof: EU AI Act Fines and Penalties – drei Stufen von Bußgeldern (März 2026)
• Europäische Kommission: Navigating the AI Act – FAQ für Unternehmen