Muss ich den EU AI Act einhalten? (Leitfaden 2026)

Sie müssen den EU AI Act einhalten, wenn Sie ein KI-System mit Bezug zum EU-Markt bereitstellen, betreiben, einführen oder vertreiben, selbst wenn Ihr Unternehmen vollständig außerhalb der EU sitzt. Nach Artikel 2 erfasst die Verordnung jeden Nicht-EU-Anbieter oder -Betreiber, dessen Ergebnis des KI-Systems in der Union genutzt wird. Die einzigen Ausnahmen sind eng: rein private Nutzung, militärische Zwecke/nationale Sicherheit und reine wissenschaftliche Forschung. Prüfen Sie Ihren Status in 2 Minuten →

Für wen der EU AI Act gilt (Artikel 2)

Der EU AI Act (Verordnung (EU) 2024/1689) ist um Akteursrollen herum gebaut, nicht um Unternehmensgröße oder Branche. Wenn Sie in eine dieser Rollen fallen und einen Bezug zur EU haben, sind Sie im Anwendungsbereich. Artikel 2(1) nennt sie ausdrücklich:

• Anbieter (Provider), die KI-Systeme oder KI-Modelle mit allgemeinem Verwendungszweck (GPAI) auf dem EU-Markt in Verkehr bringen oder in Betrieb nehmen, unabhängig davon, wo der Anbieter niedergelassen ist.
• Betreiber (Deployer) von KI-Systemen, die innerhalb der EU niedergelassen oder ansässig sind.
• Anbieter und Betreiber, die in einem Drittland niedergelassen sind, sofern das vom KI-System erzeugte Ergebnis in der EU genutzt wird.
• Einführer und Händler von KI-Systemen, die auf dem EU-Markt in Verkehr gebracht werden.
• Produkthersteller, die ein KI-System unter ihrem eigenen Namen zusammen mit einem Produkt in Verkehr bringen.
• Bevollmächtigte von Nicht-EU-Anbietern und betroffene Personen in der EU.

Beachten Sie, was nicht auf dieser Liste steht: keine Umsatzschwelle, keine Mindest-Mitarbeiterzahl, keine "Startups sind ausgenommen"-Ausnahme. Ein Zwei-Personen-Unternehmen, das eine KI-Funktion an EU-Nutzer ausliefert, ist genauso im Anwendungsbereich wie ein Konzern. Was sich zwischen ihnen unterscheidet, ist das Pflichtenniveau, und das hängt von Ihrer Rolle plus der Risikostufe Ihres Systems ab, die Sie mit der kostenlosen AI-Act-Bewertung abbilden können.

Der größte Fehler, den Teams hier machen, ist die Annahme "wir nutzen nur ein KI-Tool, wir haben es nicht gebaut, also gilt der Act nicht für uns". Falsch. Betreiber sind eindeutig im Anwendungsbereich und tragen ihre eigenen Pflichten nach Artikel 26. Ein Modell eines Dritten in einem beruflichen Kontext zu nutzen, bringt Sie ins Spiel.

Gilt er für Nicht-EU-Unternehmen?

Ja, und das unterschätzen die meisten Teams. Der EU AI Act ist extraterritorial angelegt.

Artikel 2(1)(c) erstreckt die Verordnung auf Anbieter und Betreiber, die in einem Drittland (außerhalb der EU) ansässig sind, "sofern das vom KI-System erzeugte Ergebnis in der Union genutzt wird". Es ist nicht erforderlich, dass Sie ein EU-Büro, eine EU-Tochtergesellschaft oder ein EU-Bankkonto haben. Wenn das Ergebnis, das Ihr KI-System erzeugt, bei jemandem in der EU landet, können Sie erfasst sein.

Konkrete Beispiele:

• Ein US-SaaS-Unternehmen betreibt ein KI-Scoring-Modell auf eigenen Servern in Kalifornien, aber die Scores werden genutzt, um Entscheidungen über in der EU ansässige Bewerber zu treffen → im Anwendungsbereich.
• Eine britische Analytics-Firma erzeugt KI-geschriebene Zusammenfassungen, die von den Mitarbeitern eines EU-Kunden konsumiert werden → im Anwendungsbereich.
• Ein indischer Outsourcing-Anbieter betreibt ein KI-System, dessen Klassifizierungen in eine in der EU ansässige Plattform einfließen → im Anwendungsbereich.

Dieser Auslöser "Ergebnis wird in der Union genutzt" ist das, was Unternehmen daran hindert, dem Act einfach durch Hosting ihrer Infrastruktur im Ausland zu entgehen. Es ist das EU-AI-Act-Pendant zur extraterritorialen Reichweite der DSGVO, und wenn die DSGVO dem Markt eines gelehrt hat, dann dass "wir sind kein EU-Unternehmen" keine Verteidigung ist.

Nicht-EU-Anbieter im Anwendungsbereich müssen zudem einen Bevollmächtigten in der Union für Hochrisiko-Systeme und GPAI-Modelle benennen. Die praktische Antwort auf "gilt der EU AI Act für mich, wenn ich außerhalb der EU bin?" lautet also: prüfen Sie das Ergebnis, nicht das Büro. Der Anwendbarkeits-Check führt Sie genau durch diesen Bezugstest.

Anbieter vs. Betreiber vs. Einführer vs. Händler (Artikel 3)

Sobald Sie wissen, dass Sie im Anwendungsbereich sind, ist die nächste Frage, welche Rolle Sie haben, denn Ihre Pflichten ergeben sich daraus. Artikel 3 definiert jeden Akteur. Die meisten Teams sind Betreiber; manche sind Anbieter, ohne es zu merken.

Die Falle ist die Rollen-Eskalation. Nach Artikel 25 wird ein Betreiber, Händler oder Einführer zum Anbieter und erbt den vollen Pflichtenkatalog eines Anbieters, wenn er:

1. seinen eigenen Namen oder seine Marke auf ein bereits auf dem Markt befindliches Hochrisiko-KI-System setzt, oder
2. eine wesentliche Veränderung an einem Hochrisiko-System vornimmt, die es weiterhin Hochrisiko bleiben lässt, oder
3. den Zweck eines Systems so ändert, dass es zum Hochrisiko-System wird.

Wenn Sie also das Modell eines anderen mit einem White Label versehen und als Ihr eigenes verkaufen, oder ein System durch Fine-Tuning umwidmen, gehen Sie nicht davon aus, dass Sie "nur Betreiber" sind. Sie könnten in Anbieterpflichten getreten sein. Bestätigen Sie zuerst Ihre Risikostufe mit der Hochrisiko-Klassifizierung nach Artikel 6.

Ausschlüsse: wann der EU AI Act nicht gilt

Die Ausschlüsse sind real, aber eng. Legen Sie sie nicht weit aus.

• Rein private, nicht-berufliche Nutzung (Artikel 2(10)). Eine natürliche Person, die ein KI-System zu Hause, außerhalb der Arbeit, für eigene private Zwecke nutzt, ist nicht an Betreiberpflichten gebunden. In dem Moment, in dem die Nutzung beruflich oder gewerblich wird, schließt sich diese Ausnahme.
• Militär, Verteidigung und nationale Sicherheit. KI-Systeme, die ausschließlich für militärische, Verteidigungs- oder Zwecke der nationalen Sicherheit in Verkehr gebracht, in Betrieb genommen oder genutzt werden, fallen unabhängig vom Akteur aus der Verordnung heraus.
• Reine wissenschaftliche Forschung und Entwicklung. KI-Systeme und -Modelle, die ausschließlich für wissenschaftliche Forschung und Entwicklung entwickelt und in Betrieb genommen werden, sind ausgeschlossen. Beachten Sie "ausschließlich": In dem Moment, in dem ein Forschungsergebnis in Verkehr gebracht oder gewerblich genutzt wird, greift der Anwendungsbereich.
• F&E-Tätigkeit vor dem Inverkehrbringen. Forschung, Erprobung und Entwicklung bevor ein System in Verkehr gebracht wird, sind ausgeschlossen, mit Ausnahme von Tests unter Realbedingungen.
• Freie und quelloffene KI erhält eine teilweise Erleichterung, aber nicht, wenn das System Hochrisiko ist, unter die Verbote nach Artikel 5 fällt oder Transparenzpflichten unterliegt.

Wenn Ihre Situation nicht sauber in eine davon passt, gehen Sie davon aus, dass Sie im Anwendungsbereich sind, und prüfen Sie das. Falsch zu raten ist teuer, sehen Sie sich mit dem Bußgeldrechner an, wie Sanktionen aussehen.

Ein einfacher Entscheidungsweg

Gehen Sie diese der Reihe nach durch:

1. Ist ein KI-System oder GPAI-Modell beteiligt? Nein → außerhalb des Anwendungsbereichs. Ja → weiter.
2. Wird es rein privat, für militärische Zwecke/nationale Sicherheit oder reine Forschung genutzt? Ja → wahrscheinlich ausgeschlossen. Nein → weiter.
3. Haben Sie einen EU-Bezug? Sie sind in der EU niedergelassen, ODER Sie bringen das System auf dem EU-Markt in Verkehr, ODER, selbst aus einem Drittland, das Ergebnis des Systems wird in der EU genutzt. Ein "Ja" → im Anwendungsbereich.
4. Welche Rolle haben Sie? Anbieter, Betreiber, Einführer oder Händler (siehe die Tabelle). Haben Sie ein Hochrisiko-System umbenannt oder wesentlich verändert? → Sie könnten nach Artikel 25 zum Anbieter geworden sein.
5. Welche Risikostufe haben Sie? Verboten (Art. 5), Hochrisiko (Anhang III), begrenztes Risiko/Transparenz oder minimal. Das legt fest, was Sie tatsächlich tun müssen, machen Sie die Bewertung, um es herauszufinden.

Ab wann greifen die Pflichten?

Der Anwendungsbereich ist jetzt in Kraft; die Pflichten greifen gestaffelt. Verbotene Praktiken (Artikel 5) gelten seit dem 2. Februar 2025. GPAI-Modellpflichten gelten seit dem 2. August 2025. Eigenständige Hochrisiko-Pflichten nach Anhang III treten am 2. August 2026 rechtlich in Kraft, dem Datum, das derzeit nach der Verordnung (EU) 2024/1689 gilt. Der Digital Omnibus würde dies auf den 2. Dezember 2027 verschieben, aber Stand Juni 2026 ist das nur ein vereinbarter Vorschlag, noch kein Gesetz: Das Europäische Parlament billigte ihn am 16. Juni 2026 (423 dafür, 57 dagegen, 174 Enthaltungen), wobei die formelle Annahme durch den Rat und die Veröffentlichung im Amtsblatt noch erforderlich sind, bevor das neue Datum gilt. Bis dahin bleibt das rechtlich geltende Datum der 2. August 2026. Die vollständigen Daten finden Sie in der EU-AI-Act-Zeitleiste, aber "im Anwendungsbereich" zu sein, ist kein zukünftiges Ereignis. Es trifft heute schon zu, und Ihre Pflichten laufen bereits auf diese Fristen zu.

Häufig gestellte Fragen

Muss ich den EU AI Act einhalten, wenn mein Unternehmen außerhalb der EU sitzt?

Ja, sehr wahrscheinlich. Nach Artikel 2(1)(c) gilt der EU AI Act für Nicht-EU-Anbieter und -Betreiber, wenn das von ihrem KI-System erzeugte Ergebnis in der Union genutzt wird, ohne dass ein EU-Büro oder eine Tochtergesellschaft erforderlich ist. Wenn die Ergebnisse Ihrer KI Menschen oder Entscheidungen innerhalb der EU erreichen, sind Sie im Anwendungsbereich. Nicht-EU-Anbieter von Hochrisiko-Systemen und GPAI-Modellen müssen zudem einen EU-Bevollmächtigten benennen.

Ich nutze nur KI-Tools, ich habe sie nicht gebaut. Bin ich trotzdem erfasst?

Ja. Nutzer von KI-Systemen in beruflicher Eigenschaft sind Betreiber nach Artikel 3, und Betreiber sind ausdrücklich im Anwendungsbereich mit eigenen Pflichten nach Artikel 26 (menschliche Aufsicht, Beobachtung, bestimmungsgemäße Nutzung, Information Betroffener). Nur rein private, nicht-berufliche Nutzung ist ausgeschlossen.

Gilt der EU AI Act für kleine Startups und KMU?

Ja. Es gibt in Artikel 2 keine Ausnahme nach Größe, Umsatz oder Mitarbeiterzahl. Der Anwendungsbereich hängt von Ihrer Rolle und Ihrem EU-Bezug ab, nicht von Ihrer Phase. KMU erhalten zwar verhältnismäßige Unterstützung (Reallabore, vereinfachte Dokumentation, reduzierte Konformitätsgebühren), aber die erleichtern, wie Sie einhalten, nicht ob Sie müssen.

Kann ein Betreiber versehentlich zum Anbieter werden?

Ja, das ist eine häufige und kostspielige Überraschung. Nach Artikel 25 übernehmen Sie volle Anbieterpflichten, wenn Sie Ihren eigenen Namen oder Ihre Marke auf ein Hochrisiko-System setzen, es wesentlich verändern oder ein Nicht-Hochrisiko-System so umwidmen, dass es Hochrisiko wird. White-Labeling und erhebliches Fine-Tuning sind die üblichen Auslöser.

Welche KI ist vollständig vom EU AI Act ausgenommen?

Eng: KI, die rein privat, nicht-beruflich genutzt wird (Art. 2(10)), Systeme, die ausschließlich für militärische, Verteidigungs- oder Zwecke der nationalen Sicherheit genutzt werden, und KI, die ausschließlich für wissenschaftliche Forschung und Entwicklung entwickelt und genutzt wird. F&E vor dem Inverkehrbringen (außer Tests unter Realbedingungen) ist ebenfalls ausgeschlossen. Quelloffene KI erhält eine teilweise Erleichterung, aber nicht, wenn sie Hochrisiko oder verboten ist oder Transparenzpflichten trägt.

Immer noch nicht sicher, ob der EU AI Act für Sie gilt?

Raten Sie nicht, und gehen Sie nicht davon aus, dass Sie ausgenommen sind, weil Sie klein sind oder außerhalb der EU sitzen. Die Regeln zum Anwendungsbereich hängen von Ihrer Rolle und Ihrem EU-Bezug ab, und der Test "Ergebnis wird in der Union genutzt" erfasst weit mehr Unternehmen als erwartet.

Nutzen Sie den kostenlosen EU-AI-Act-Anwendbarkeits-Check, beantworten Sie ein paar Fragen dazu, was Sie bauen oder nutzen und wohin Ihr Ergebnis geht, und erhalten Sie ein klares Urteil, ob Sie im Anwendungsbereich sind und welche Rolle Sie haben. Wenn Sie drin sind, gehen Sie direkt weiter zur AI-Act-Bewertung, um Ihre Risikostufe zu klassifizieren und Ihre genauen Pflichten zu sehen.

Prüfen Sie, ob der EU AI Act für Sie gilt →