Der EU AI Act ist im August 2024 in Kraft getreten, und seine Anforderungen werden nun schrittweise eingeführt. Bis August 2026 müssen die meisten Hochrisiko-KI-Systeme die vollständigen Konformitätsbewertungsanforderungen erfüllen. Für Organisationen, die KI im Bereich HR, Kreditscoring, Gesundheitswesen, Strafverfolgung und kritische Infrastruktur einsetzen, lautet die Frage nicht mehr ob sie compliant sein müssen — sondern wie.
Was der AI Act konkret verlangt
Der Act klassifiziert KI-Systeme in vier Risikostufen:
- Inakzeptables Risiko — vollständig verboten (Social Scoring, Echtzeit-Biometrie-Überwachung im öffentlichen Raum)
- Hohes Risiko — umfangreiche Pflichten: Konformitätsbewertungen, Transparenz, menschliche Aufsicht, Daten-Governance
- Begrenztes Risiko — leichtere Transparenzpflichten (Chatbots müssen offenlegen, dass sie KI sind)
- Minimales Risiko — keine spezifischen Pflichten
Die meisten LLM-Deployments in Unternehmen fallen in die Kategorie hohes Risiko oder begrenztes Risiko. Wenn Ihr KI-System Entscheidungen zu Beschäftigung, Kredit, Gesundheit oder Bildung beeinflusst, gehören Sie aller Wahrscheinlichkeit nach in die Hochrisikokategorie.
Warum Drittanbieter-APIs Compliance-Probleme verursachen
Wenn Sie Anfragen an eine in den USA ansässige LLM-API senden, werden mehrere Anforderungen des AI Acts strukturell schwer erfüllbar:
Transparenz und Protokollierung. Hochrisiko-KI-Systeme müssen Logs führen, „soweit dies erforderlich ist, um sicherzustellen, dass das System überwacht werden kann." Bei einer intransparenten Drittanbieter-API haben Sie nur begrenzten Einblick in das, was tatsächlich passiert.
Daten-Governance. Der Act verlangt, dass Trainingsdaten „relevant, hinreichend repräsentativ und soweit möglich fehlerfrei" sind. Die Nutzung eines universellen Cloud-Modells bedeutet, die vom Anbieter gewählten Trainingsdaten zu akzeptieren — oft ohne jede AI-Act-Konformitätskarte.
Menschliche Aufsicht. Systeme müssen so gestaltet sein, dass Menschen sie „effektiv beaufsichtigen" können. Das ist schwieriger, wenn Sie den Inference-Stack nicht kontrollieren.
GPAI-Modellpflichten. Allzweck-KI-Modelle mit systemischem Risiko (grob gesagt, solche oberhalb von 10^25 FLOPs) unterliegen spezifischen Pflichten, darunter adversariale Tests und Vorfallsberichte. Wer Produkte auf diesen Modellen aufbaut, erbt einen Teil dieses Risikos.
Der Vorteil souveräner Infrastruktur
Den eigenen LLM-Betrieb innerhalb der EU zu führen löst viele dieser Probleme strukturell:
- Audit-Trails gehören Ihnen. EULLM Engine enthält eine integrierte Protokollierung, die für Compliance-Anwendungsfälle konzipiert ist — Sie kontrollieren, was aufgezeichnet, gespeichert und gemeldet wird.
- Daten verlassen niemals Ihren Perimeter. Kein grenzüberschreitender Datentransfer bedeutet keine Notwendigkeit, Mechanismen nach Art. 46 DSGVO anzuwenden.
- Sie wählen das Modell. EULLM Hub stellt AI-Act-Konformitätskarten für jedes Modell bereit — damit wissen Sie genau, was Sie deployen, und können es gegenüber einer Aufsichtsbehörde rechtfertigen.
Wichtige Fristen im Überblick
| Datum | Pflicht | |-------|---------| | Feb. 2025 | Verbot unzulässiger KI-Praktiken tritt in Kraft | | Aug. 2025 | Pflichten für GPAI-Modelle treten in Kraft | | Aug. 2026 | Anforderungen für Hochrisiko-KI-Systeme vollständig anwendbar | | Aug. 2027 | Bestimmte bestehende KI-Systeme müssen compliant sein |
Wenn Sie das hier 2026 lesen, ist die August-Frist nah. Jetzt ist der richtige Zeitpunkt, Ihren KI-Stack zu auditieren und auf Infrastruktur umzustellen, die Sie wirklich kontrollieren.
EULLM ist eine Open-Source-Plattform für souveräne, DSGVO-konforme KI-Deployments innerhalb der EU. Auf GitHub ansehen.