Der EU AI Act ist in Kraft, und die Pflichten greifen gestaffelt. Viele Teams reagieren mit einem von zwei Reflexen: ignorieren oder einfrieren. Beides ist falsch. Für die meisten Entwicklungsteams ist der AI Act vor allem eines - eine Aufforderung, sauber zu dokumentieren, was sie ohnehin tun sollten.
1. Die meisten Systeme sind kein Hochrisiko
Der AI Act unterscheidet nach Risiko: verbotene Praktiken, Hochrisiko-Systeme, Systeme mit Transparenzpflichten und alles andere. Ein Coding-Assistent, ein interner Wissens-Chatbot oder eine Textzusammenfassung fallen in aller Regel nicht unter Hochrisiko. Hochrisiko betrifft vor allem Bereiche wie Personalentscheidungen, Kreditwürdigkeit, kritische Infrastruktur oder sicherheitsrelevante Produktkomponenten.
Erster Schritt: Inventar anlegen. Welche AI-Systeme entwickeln oder nutzen wir - und wofür?
2. Ihre Rolle entscheidet über Ihre Pflichten
Wer ein AI-System entwickelt und unter eigenem Namen in Verkehr bringt, ist Anbieter und trägt die meisten Pflichten. Wer es nur einsetzt, ist Betreiber. Ein Team, das ein Foundation Model per API in ein eigenes Produkt einbaut, kann dabei selbst zum Anbieter werden.
3. Transparenz ist fast immer Pflicht
Wenn Menschen mit einem AI-System interagieren, müssen sie das wissen. Generierte Inhalte wie Bilder, Audio oder Video müssen als solche erkennbar sein. Das ist technisch einfach - wenn man es von Anfang an einplant.
4. Dokumentation wird zum Produktbestandteil
Für Hochrisiko-Systeme verlangt der AI Act technische Dokumentation, Risikomanagement, Logging und menschliche Aufsicht. Die gute Nachricht: Das meiste davon sind Engineering-Best-Practices. Wer Architekturentscheidungen, Trainingsdaten, Tests und Monitoring ohnehin festhält, ist weit vorn.
5. AI Literacy betrifft alle
Seit Februar 2025 müssen Unternehmen sicherstellen, dass Mitarbeitende, die mit AI arbeiten, über ausreichende Kompetenz verfügen. Das ist keine Raketenwissenschaft, aber es braucht einen Plan - und Nachweise.
Was jetzt zu tun ist
- AI-Systeme inventarisieren und einer Risikoklasse zuordnen
- Rollen klären: Anbieter oder Betreiber?
- Transparenzhinweise in UI und Output einbauen
- Dokumentation in die Definition of Done aufnehmen
- Zeitplan im Blick behalten - Fristen und Leitlinien werden laufend konkretisiert
Der AI Act bremst nicht die Teams, die gut arbeiten. Er bremst die, die nicht wissen, was sie gebaut haben.
Dieser Artikel ersetzt keine Rechtsberatung.
