Der EU AI Act ist da: Ihr Compliance-Fahrplan für Unternehmen 2025-2027

Der EU AI Act ist keine Zukunftsfrage mehr, er ist geltendes Recht, und die Compliance-Uhr tickt bereits.

Die Verordnung 2024/1689, die im August 2024 in Kraft getreten ist, stellt den umfassendsten Versuch einer Jurisdiktion dar, künstliche Intelligenz zu regulieren. Für Unternehmen, die auf dem europäischen Markt tätig sind oder diesen bedienen, ist dies keine theoretische Übung. Die ersten Durchsetzungsfristen sind bereits abgelaufen, und die folgenschwersten Pflichten greifen 2026 und 2027. Die Frage ist nicht mehr, ob Ihre Organisation betroffen sein wird, sondern ob Sie vorbereitet sind.

Dieser Artikel zeigt auf, was der EU AI Act tatsächlich verlangt, für wen er gilt und wie Unternehmen von regulatorischer Unsicherheit zu operativer Bereitschaft gelangen können, ohne die bereits aufgebauten KI-Fähigkeiten abzubauen.

Ein gestaffelter Zeitplan: Was bereits in Kraft ist

Einer der am meisten missverstandenen Aspekte des EU AI Act ist seine stufenweise Durchsetzung. Anders als die DSGVO, die mit einer einzigen Compliance-Frist kam, wird der AI Act in Etappen ausgerollt, und die frühesten Pflichten sind bereits aktiv.

• Februar 2025: Verbote inakzeptabler Risiko-KI-Systeme (wie Social Scoring und manipulative Techniken) sind in Kraft getreten, zusammen mit der Art. 4-Anforderung zur KI-Kompetenz in Organisationen.
• August 2025: Regeln für Allzweck-KI-Modelle (GPAI) werden durchsetzbar, einschliesslich Transparenzpflichten und systemischer Risikobewertungen für die leistungsstärksten Foundation Models.
• August 2026: Der Grossteil der Hochrisiko-Pflichten nach Annex III tritt in Kraft, zusammen mit Transparenzanforderungen nach Art. 50. Bussen bis 35 Mio. EUR oder 7% des globalen Umsatzes.
• August 2027: Hochrisiko-Regeln werden auf KI in regulierten Produkten ausgeweitet, Medizinprodukte, Automotive, Luftfahrt und weitere EU-Produktsicherheitssektoren.

Wenn Ihre Organisation KI für Recruiting, Kreditbewertung, Versicherungs-Underwriting, Strafverfolgungsunterstützung, kritische Infrastruktur oder einen der in Annex III aufgeführten Bereiche einsetzt, ist August 2026 Ihre operative Frist. Das sind etwa siebzehn Monate. Für Unternehmen mit komplexen KI-Deployments ist dieses Zeitfenster enger, als es erscheint.

Provider oder Deployer: Die Klassifizierung, die Ihre Pflichten bestimmt

Bevor Sie bestimmen können, was der AI Act von Ihnen verlangt, müssen Sie eine trügerisch einfache Frage beantworten: Sind Sie ein Provider oder ein Deployer?

Ein Provider ist jede Einheit, die ein KI-System entwickelt oder in ihrem Namen entwickeln lässt und unter eigenem Namen auf den Markt bringt. Ein Deployer ist jede Einheit, die ein KI-System unter ihrer Autorität nutzt, ausgenommen rein persönliche, nicht-professionelle Nutzung.

Diese Unterscheidung ist entscheidend, denn Provider tragen die schwerste Compliance-Last. Sie sind verantwortlich für Konformitätsbewertungen, technische Dokumentation, Qualitätsmanagementsysteme und Post-Market-Monitoring. Deployer haben leichtere, aber dennoch bedeutende Pflichten.

Hier wird es kompliziert. Dieselbe Organisation kann für einen KI-Anwendungsfall Provider und für einen anderen Deployer sein. Wenn Sie ein Drittanbieter-Modell substanziell genug fine-tunen oder Ihren Namen auf ein von anderen entwickeltes System setzen, kann der Act Sie als Provider umklassifizieren. Jeder KI-Anwendungsfall muss einzeln bewertet werden.

Die zehn Säulen der Hochrisiko-Compliance

Für Hochrisiko-KI-Systeme, die Kategorie, die die meisten bedeutsamen Enterprise-KI-Anwendungen erfasst, schreibt der Act eine Reihe ineinandergreifender Pflichten vor. Das sind keine Empfehlungen. Es sind rechtlich verbindliche Anforderungen, mit Bussen bis zu 35 Millionen Euro oder 7% des globalen Jahresumsatzes.

1. Risikomanagementsystem (Art. 9). Sie müssen ein kontinuierliches Risikomanagementsystem über den gesamten Lebenszyklus des KI-Systems einrichten, implementieren, dokumentieren und pflegen.

2. Daten-Governance (Art. 10). Trainings-, Validierungs- und Testdatensätze müssen Qualitätskriterien erfüllen. Sie benötigen Prozesse für Datenerfassung, Labeling, Bereinigung und Bias-Erkennung.

3. Technische Dokumentation (Art. 11). Vor der Markteinführung muss eine umfassende technische Dokumentation erstellt und aktuell gehalten werden.

4. Aufzeichnung und Logging (Art. 12). Hochrisiko-Systeme müssen automatische Logging-Fähigkeiten beinhalten, die die Rückverfolgbarkeit der Systemfunktion ermöglichen.

5. Transparenz (Art. 13). Systeme müssen transparent genug gestaltet sein, damit Deployer Outputs interpretieren und angemessen nutzen können.

6. Menschliche Aufsicht (Art. 14). Hochrisiko-Systeme müssen so gestaltet sein, dass effektive menschliche Aufsicht möglich ist, einschliesslich der Fähigkeit, das System zu verstehen, zu überwachen und bei Bedarf zu übersteuern.

7. Genauigkeit, Robustheit und Cybersicherheit (Art. 15). Systeme müssen angemessene Genauigkeit erreichen, gegen Fehler resilient sein und gegen Schwachstellenausnutzung gesichert werden.

8. Qualitätsmanagementsystem (Art. 17). Provider müssen ein QMS implementieren, das Compliance systematisch und dokumentiert sicherstellt.

9. Post-Market-Monitoring (Art. 72). Provider müssen ein Post-Market-Monitoring-System einrichten und dokumentieren.

10. Meldung schwerwiegender Vorfälle (Art. 73). Bei schwerwiegenden Vorfällen müssen Provider diese der zuständigen Marktüberwachungsbehörde melden.

Einzeln betrachtet ist jede dieser Anforderungen handhabbar. Zusammengenommen beschreiben sie eine operative Realität, für die die meisten Unternehmen noch nicht gerüstet sind.

Warum traditionelle IT-Governance nicht ausreicht

Viele Organisationen werden instinktiv versuchen, ihre bestehenden IT-Governance-Frameworks auf AI-Act-Compliance auszuweiten. Dieser Ansatz wird scheitern oder bestenfalls ein fragiles Flickwerk erzeugen.

Der Grund ist strukturell. Traditionelle IT-Governance wurde für deterministische Systeme mit vorhersagbaren Outputs entworfen. KI-Systeme, insbesondere solche auf Basis grosser Sprachmodelle, sind probabilistisch. Ihr Verhalten ändert sich mit den verarbeiteten Daten, den Prompts und dem Kontext. Ihre Governance erfordert eine Infrastruktur, die Policies in Echtzeit durchsetzen, Interaktionen granular protokollieren und die von Regulatoren geforderte Prüfbarkeit bieten kann.

Aufbau einer Governance-Schicht: Die praktische Architektur

Der effektivste Ansatz zur EU-AI-Act-Compliance ist nicht, Governance einzeln an jedes KI-System anzuschrauben, sondern eine zentralisierte Governance-Schicht zwischen Ihren Mitarbeitenden, Ihren Daten und Ihren KI-Modellen einzurichten.

Eine gut konzipierte Governance-Schicht bietet mehrere kritische Fähigkeiten:

• Richtliniendurchsetzung am Interaktionspunkt. Policies werden automatisch durchgesetzt, Datenschutzregeln, Inhaltsbeschränkungen und Compliance-Leitplanken in Echtzeit bei jeder KI-Interaktion angewandt.
• Umfassende Audit-Trails. Jede Abfrage, Antwort und Modellanrufung mit vollem Kontext protokolliert. Das erfüllt direkt die Logging-Anforderungen nach Art. 12.
• Rollenbasierte Zugriffskontrolle. Verschiedene Nutzer und Abteilungen erhalten verschiedene autorisierte Anwendungsfälle, systematisch durchgesetzt.
• Modell-Routing und Aufsicht. Anfragen werden basierend auf Policy, Sensitivitätsklassifikation und Anwendungsfall an das passende Modell geroutet.
• Datenschutz by Design. PII-Schwärzung, Verschlüsselung und Datenminimierung auf Infrastrukturebene durchgesetzt.

Fünf Schritte, die Unternehmen jetzt gehen sollten

1. KI-Systeme inventarisieren. Katalogisieren Sie jedes KI-System im Einsatz, einschliesslich Schatten-KI. Bestimmen Sie, ob es in eine Hochrisiko-Kategorie nach Annex III fällt.
2. Rolle klassifizieren. Bestimmen Sie für jedes System, ob Ihre Organisation als Provider, Deployer oder beides agiert.
3. Lücken bewerten. Vergleichen Sie Ihre aktuellen Governance-Fähigkeiten mit den zehn Säulen der Hochrisiko-Compliance.
4. Governance-Architektur zentralisieren. Investieren Sie in eine Governance-Schicht mit konsistenter Richtliniendurchsetzung, Logging und Aufsicht.
5. Dokumentationspraxis etablieren. Beginnen Sie jetzt mit dem Aufbau der Dokumentationsgewohnheit, Design-Entscheidungen, Risikobewertungen und Testergebnisse laufend erfassen.

Die Organisationen, die den EU AI Act am erfolgreichsten navigieren, sind nicht die mit den grössten Compliance-Teams, sondern die, die Governance in die Infrastruktur einbetten, durch die KI bereitgestellt wird.

Schweizer Hosting, europäische Werte

Für Organisationen, die sensible Daten verarbeiten, Finanzdienstleistungen, Gesundheitswesen, Recht, öffentlicher Sektor, ist die Frage, wo die KI-Governance-Infrastruktur gehostet wird, ebenso wichtig wie ihre Funktionsweise. Schweizer Hosting mit seiner starken Datenschutztradition und politischen Neutralität bietet eine zusätzliche Sicherheitsebene. On-Premise-Optionen gehen noch weiter und geben Organisationen die vollständige Kontrolle über ihre KI-Governance-Infrastruktur.

hegyon.ai bietet die Governance-Schicht zwischen den Mitarbeitenden, Daten und KI-Modellen Ihrer Organisation. Mit vollständigen Audit-Trails, Echtzeit-Richtliniendurchsetzung, rollenbasierter Zugriffskontrolle, intelligentem Modell-Routing, PII-Schwärzung und der Wahl zwischen Schweizer Hosting oder On-Premise-Deployment ist hegyon.ai für Unternehmen gebaut, die KI-Governance operationalisieren müssen, nicht nur dokumentieren. Ob Sie sich auf den EU AI Act vorbereiten, Schatten-KI verhindern oder audit-fähige Infrastruktur aufbauen, hegyon.ai liefert die Governance-Schicht, die Enterprise-KI-Deployment nachhaltig, compliant und schnell macht.