Was ist der EU AI Act?

Der EU AI Act ist die europäische KI Verordnung (EU) 2024/1689 und das erste umfassende Gesetz für künstliche Intelligenz. Er regelt KI Systeme nach ihrem Risiko: Je größer das Risiko für Menschen, desto strenger die Pflichten.

Die KI Verordnung greift in Stufen. Zuerst kamen Verbote und die Pflicht zur KI Kompetenz, danach Regeln für Allzweck KI Modelle und Transparenzpflichten. Die Pflichten für Hochrisiko KI kommen zuletzt. Der Digital Omnibus, Verordnung (EU) 2026/1744, hat diese Fristen nach hinten verschoben. Alle Termine stehen in der Tabelle zum Zeitplan.

Für die meisten Unternehmen heißt das: Wer KI nutzt oder baut, ist betroffen. Für typische Anwendungen wie Coding Agents, Textassistenten oder interne Tools sind die Pflichten aber überschaubar. Diese Seite ist eine allgemeine Information und keine Rechtsberatung. Maßgeblich ist immer der aktuelle Gesetzestext.

Never Code Alone baut seit über 20 Jahren Software mit Fokus auf Qualität, Tests und Open Source. KI läuft bei uns jeden Tag produktiv: lokale Modelle über Ollama, Coding mit OpenCode und Open Weight Modellen, automatisierte Workflows mit n8n und Hosting auf eigenen Servern in Deutschland. Den EU AI Act übersetzen wir in Technik, die im Code, in den Tests und in der Pipeline steckt.

Für die Umsetzung passen das Vibe Coding Consulting für Teams mit KI im Alltag, die NCA Agentic AI Coding Guardrails für Regeln, Rechte und Nachweise im Projekt und Self Hosted KI für Unternehmen mit Daten im eigenen Netzwerk. Dazu kommen der NCA KI Workshop für Unternehmen für die KI Kompetenz der ganzen Belegschaft, die Datenschutz Beratung für Vibe Coding Apps und ein Codebase Audit für KI generierten Code.

Der EU AI Act gilt für alle, die KI Systeme in der EU anbieten oder beruflich einsetzen. Auch Firmen außerhalb der EU sind dabei, sobald ihre KI hier genutzt wird. Entscheidend ist die Rolle, die ein Unternehmen bei einem KI System einnimmt.

• Anbieter (Provider): entwickeln ein KI System oder lassen es entwickeln und bringen es unter eigenem Namen auf den Markt. Wer einen Chatbot für Kunden baut, ist Anbieter.
• Betreiber (Deployer): setzen ein KI System beruflich ein. Wer im Team mit einem Coding Agent oder einem Textassistenten arbeitet, ist Betreiber.
• Importeure und Händler: bringen KI Systeme aus Drittländern in die EU oder verkaufen sie weiter.

Ein Unternehmen kann mehrere Rollen gleichzeitig haben. Typisch ist die Kombination aus Betreiber für eingekaufte Tools und Anbieter für die eigene KI Funktion im Produkt. Wer ein KI System wesentlich verändert, kann selbst zum Anbieter werden. Rein private Nutzung und reine Forschung fallen nicht unter die Verordnung.

Der Kern der Verordnung ist ein Stufenmodell. Jedes KI System landet in einer von vier Risikostufen, und die Stufe bestimmt die Pflichten. Die Tabelle zeigt die Stufen von gering bis verboten. Daneben gibt es eigene Regeln für Allzweck KI Modelle wie Large Language Models. Diese Regeln treffen vor allem die Hersteller der Modelle.

Der EU AI Act gilt nicht auf einen Schlag, die Pflichten greifen in Stufen. Mit dem Digital Omnibus hat die EU einige Fristen verschoben, das Stufenmodell bleibt gleich. Die Tabelle zeigt die Fristen und ihre Rechtsgrundlage. Verbindlich ist der konsolidierte Text auf EUR-Lex.

Die Durchsetzung ist auf zwei Ebenen verteilt. Für große Allzweck KI Modelle ist das KI Büro der EU Kommission zuständig. Es kann Auskünfte zu Sicherheit, Prüfung und Überwachung der Modelle verlangen und wird dabei von einem wissenschaftlichen Gremium unabhängiger Fachleute beraten. Für KI Systeme im Markt sind nationale Behörden zuständig, in Deutschland vor allem die Bundesnetzagentur.

Für die Kennzeichnung generierter Inhalte gibt es einen freiwilligen Verhaltenskodex der EU. Er beschreibt, wie Anbieter Inhalte maschinenlesbar markieren, und bringt EU Icons für sichtbare Hinweise mit. Solche Kodizes sind ein praktischer Weg, die Einhaltung im Alltag zu zeigen.

Für Teams mit eigenen KI Agenten zählt vor allem Nachvollziehbarkeit. Agenten brauchen begrenzte Rechte, eine abgeschottete Umgebung und Protokolle, die zeigen, was sie getan haben. Das setzen die NCA Agentic AI Coding Guardrails im Projekt um.

Für Entwicklerteams wird der EU AI Act dort konkret, wo KI ins Produkt wandert. Die eigene Arbeit mit Coding Agents bleibt meist minimales Risiko. Spannend wird es bei Funktionen, die Kunden, Bewerber oder Lernende direkt erreichen.

• Chatbots und Assistenten: Nutzer müssen erkennen, dass sie mit einer KI sprechen. Das ist eine Aufgabe für UI, Texte und Tests.
• Generierte Inhalte: Anbieter generativer Systeme markieren Bilder, Audio, Video und Text maschinenlesbar. Deepfakes und KI Texte zu Themen von öffentlichem Interesse brauchen zusätzlich einen sichtbaren Hinweis, außer ein Mensch prüft redaktionell. Mehr dazu in KI Bildgenerierung und KI Texterstellung.
• Bewerbung, Kredit, Bildung: Wer KI in diese Bereiche baut, landet schnell bei Hochrisiko. Dann zählen Dokumentation, Logging und menschliche Aufsicht ab dem ersten Architekturentwurf.
• Eigene Funktionen auf fremden Modellen: Wer ein Sprachmodell per API in sein Produkt einbaut, kann für diese Funktion selbst als Anbieter gelten. Die Pflichten des Modellherstellers ersetzen die eigenen nicht.

Vieles davon ist gutes Engineering, das ohnehin in jedes Projekt gehört: Versionskontrolle, automatisierte Tests, saubere Logs und nachvollziehbare Entscheidungen. Teams mit Quality Gates für KI Code und einem Governed Agent Loop mit klaren Freigaben haben einen großen Teil der Arbeit schon erledigt.

In Deutschland überwacht die Bundesnetzagentur die Einhaltung der KI Verordnung. Grundlage ist das KI-Marktüberwachungs- und Innovationsförderungsgesetz, kurz KI-MIG. In regulierten Bereichen wie Finanzdienstleistungen bleiben teilweise die bestehenden Fachaufsichten zuständig. Die Bundesnetzagentur ist zentrale Anlaufstelle und betreibt einen KI Service Desk zur Einordnung von KI Systemen.

Die KI Verordnung staffelt die Bußgelder nach Schwere. Die Höchstbeträge sind:

• Verbotene Praktiken: bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes
• Verstöße gegen andere Pflichten, etwa bei der Transparenz: bis zu 15 Millionen Euro oder 3 Prozent
• Falsche Angaben gegenüber Behörden: bis zu 7,5 Millionen Euro oder 1 Prozent

Für KMU und Startups gilt jeweils der niedrigere Betrag.

NCA ist keine Kanzlei. Wir übernehmen den Teil, der im Code, in den Tests und in der Infrastruktur landet. Die rechtliche Einordnung gehört zu Ihrer Rechtsberatung oder Ihrem Datenschutzbeauftragten. Gemeinsam ergibt das eine Umsetzung, die im Alltag hält.

• KI Inventar: Wir erfassen gemeinsam, welche KI Tools und Funktionen im Unternehmen laufen, wer sie nutzt und mit welchen Daten. Das ist die Grundlage für jede Einordnung.
• Transparenz im Produkt: Wir bauen Hinweise für Chatbots und die Kennzeichnung generierter Inhalte und sichern beides mit Cypress Tests für KI Features ab. So verliert kein Release den Hinweis.
• Nachvollziehbarkeit: Logging, Monitoring mit Sentry und Grafana, LLM Observability und Versionskontrolle für Prompts und Konfiguration.
• Guardrails für KI im Team: Mit den NCA Agentic AI Coding Guardrails bekommen Coding Agents klare Regeln, Rechte und Quality Gates in der Pipeline.
• Daten unter Kontrolle: Lokale Entwicklungsumgebungen mit anonymisierten Daten und kleine Modelle über Ollama im eigenen Netzwerk. Große Modelle laufen über EU Anbieter wie TensorX oder als Enterprise Option über Conversis in Duisburg.
• KI Kompetenz: Der NCA KI Workshop für Unternehmen ist eine Maßnahme im Sinne von Artikel 4 und bringt Führung, Fachabteilungen und Entwicklung an einen Tisch.

Der Ablauf ist einfach: kostenloses Kennenlernen, Aufwand gemeinsam schätzen, transparente Minuten-Abrechnung. Keine Pakete und keine Mindestlaufzeit.

• „Der Omnibus hat den AI Act gestoppt.“ Verschoben wurden nur die Hochrisiko Pflichten. Verbote, KI Kompetenz, Transparenz und die Regeln für Allzweck Modelle gelten.
• „Wir nutzen nur einen Chatbot, uns betrifft das nicht.“ Wer KI beruflich nutzt, ist Betreiber. Artikel 4 gilt damit auch für Teams, die nur Texte oder Übersetzungen mit KI erstellen.
• „Der Hersteller des Tools kümmert sich um alles.“ Hersteller und Nutzer haben getrennte Pflichten. Die eigene Rolle lässt sich nicht an den Lieferanten abgeben.
• „KI Kompetenz braucht ein Zertifikat.“ Die EU Kommission verlangt kein Zertifikat. Ein internes Verzeichnis der Maßnahmen ist ein guter Nachweis.
• „Der AI Act ersetzt die DSGVO.“ Beide gelten nebeneinander. Personenbezogene Daten in KI Systemen bleiben ein Thema für die DSGVO Beratung.

Bei Never Code Alone läuft KI jeden Tag in Production. Coding passiert mit OpenCode und Open Weight Modellen, lokale Aufgaben übernehmen Modelle wie Qwen3 Coder und Llama über Ollama. Echte Daten bleiben im eigenen Netzwerk, Coding Modelle arbeiten gegen lokale Setups mit anonymisierten Daten. Jede Änderung läuft durch PHPUnit, PHPStan und Cypress in GitHub Actions oder GitLab CI.

Diese Arbeitsweise bringen wir in Beratungsprojekte ein. Wir helfen Teams bei der KI Strategie, prüfen die AI Readiness und stärken die digitale Souveränität. Mit dem RFP Leitfaden für KI Anforderungen klären wir, was Umsetzungspartner liefern müssen. Und für die Auswahl der Modelle hilft der Guide KI Modell ohne US Anbieter auswählen. Mit dem European Accessibility Act landet übrigens schon die nächste EU Regel direkt im Frontend.

Die wichtigsten Antworten zu Pflichten, Fristen und Aufsicht rund um die KI Verordnung.