Gilt der EU AI Act auch für Vibe-Coded Apps?

Sie haben beschrieben, was Sie wollten, ein KI-Agent hat das meiste geschrieben, und am Wochenende war die App live. Jetzt gibt es echte Nutzer, einige davon in der EU, und eine Frage, die nicht loslässt: Gilt der EU AI Act auch für etwas, das ich vibe-coded habe?

Kurze Antwort: Dem Gesetz ist es egal, wie Sie den Code geschrieben haben. Ob von Hand, mit No-Code oder vibe-coded mit Cursor oder Claude Code, das macht keinen Unterschied. Es kommt darauf an, was die KI-Funktion Ihrer App tut, welche Rolle Sie in der Lieferkette haben und ob EU-Nutzer beteiligt sind. Also ja: Eine vibe-coded App kann voll unter das Gesetz fallen. So finden Sie heraus, wo genau Sie stehen.

Der Irrtum: "Eine KI hat meinen Code geschrieben, also gilt der AI Act"

Dieser Punkt führt in beide Richtungen in die Irre. Eine KI zum Schreiben Ihres Codes zu nutzen, löst den EU AI Act nicht aus. Das Gesetz regelt KI-Systeme, die Sie in Betrieb nehmen, den Chatbot, das Empfehlungssystem, den Content-Generator, das Prüf-Tool, das Ihre App enthält und ausliefert, nicht die Wahl Ihrer Entwicklungsumgebung. Die eigentliche Frage lautet also nicht "Habe ich KI zum Bauen benutzt", sondern "Stellt meine App ein KI-System vor Menschen, und sind einige davon in der EU?"

Drei Fragen entscheiden, ob Sie betroffen sind

1. Nutzt Ihre App KI als Funktion? Ein Chatbot, generierte Texte/Bilder/Audio, ein Klassifikator, ein Empfehlungs- oder Risiko-Scoring-Modell, Emotions- oder Biometrie-Funktionen, all das ist ein "KI-System" im Sinne des Gesetzes.
2. Kommen EU-Nutzer damit oder mit dem Ergebnis in Berührung? Das Gesetz erfasst Sie, wenn Sie das System auf dem EU-Markt bereitstellen oder wenn sein Ergebnis in der EU genutzt wird, selbst wenn Ihr Unternehmen außerhalb der EU sitzt (Artikel 2). Eine weltweit verfügbare Web-App bedeutet fast immer: ja.
3. Welche Rolle haben Sie, Anbieter oder Betreiber? Sie haben das KI-System gebaut oder wesentlich verändert (auch durch Fine-Tuning oder indem Sie ein Modell in ein Produkt verpacken)? Dann sind Sie wahrscheinlich Anbieter (Provider) und tragen die schwereren Pflichten. Sie nutzen nur das KI-System eines anderen in Ihrem eigenen Produkt oder Betrieb? Dann sind Sie Betreiber (Deployer) mit leichteren, aber echten Pflichten.

Wenn Sie 1 und 2 mit Ja beantwortet haben, gilt das Gesetz, offen ist nur noch, welche Stufe und was Sie das kostet.

Unsicher bei Ihrer Rolle oder beim Test "Ergebnis wird in der EU genutzt"? Nutzen Sie den kostenlosen EU-AI-Act-Anwendbarkeits-Check ohne Konto, er geht Artikel 2 in etwa einer Minute mit Ihnen durch.

In welcher Risikostufe steckt Ihre Vibe-Coded App?

Das Gesetz sortiert KI-Systeme in vier Stufen. Die meisten Indie- und Startup-Apps landen in einer der beiden mittleren:

• Inakzeptabel (verboten). Social Scoring, manipulative oder ausbeuterische Systeme, die meiste biometrische Echtzeit-Identifizierung im öffentlichen Raum. Wenn Ihr Spaßprojekt so etwas tut, hören Sie auf, das ist grundsätzlich verboten (in Kraft seit Februar 2025).
• Hochrisiko (Anhang III). KI in Beschäftigung/Einstellung, Kredit und Kreditvergabe, Bildung, wesentlichen Diensten, kritischer Infrastruktur, Strafverfolgung und Ähnlichem. Ein vibe-coded Lebenslauf-Filter oder ein Tool zur Kreditwürdigkeit ist Hochrisiko, hier gelten die schwersten Pflichten.
• Begrenztes Risiko / Transparenz (Artikel 50). Chatbots, KI-generierte Inhalte, Deepfakes, Emotionserkennung. Die meisten Consumer-KI-Apps liegen hier. Die Pflicht ist Offenlegung: Sagen Sie den Nutzern, dass sie mit KI interagieren, und kennzeichnen Sie KI-generierte oder manipulierte Inhalte.
• Minimal. Spamfilter, KI in Spielen, die meisten Alltagsfunktionen, keine besonderen Pflichten über allgemeine gute Praxis hinaus.

Ein schneller Praxistest mit Beispielen:

• Ein Support-Chatbot in Ihrem SaaS → Transparenz (Art. 50): offenlegen, dass es KI ist.
• Ein KI-Bild- oder Videogenerator → Transparenz: das Ergebnis als KI-generiert kennzeichnen.
• Eine KI, die Bewerber prüft oder die Kreditwürdigkeit bewertet → Hochrisiko: das volle Programm (Risikomanagement, Daten-Governance, menschliche Aufsicht, technische Dokumentation).

Um Ihre tatsächliche Stufe samt zitiertem Artikel zu bekommen, nutzen Sie die kostenlose AI-Act-Bewertung, Risikostufe, Pflichten und Quellen in ein paar Minuten, ohne Konto.

Die Fristen (nach dem Digital Omnibus)

Der Zeitplan hat sich 2026 verschoben, nutzen Sie die aktuellen Daten, nicht die vom Vorjahr:

• Verbotene Praktiken (Artikel 5): in Kraft seit 2. Februar 2025.
• Pflichten für KI-Modelle mit allgemeinem Verwendungszweck (GPAI): seit 2. August 2025.
• Transparenz / Artikel 50: gelten ab 2. August 2026, die Stufe, die für die meisten Consumer-Apps zählt.
• Hochrisiko (eigenständig, Anhang III): 2. Dezember 2027, nach der Verschiebung durch den Digital Omnibus (in Produkte eingebettete Systeme → 2. August 2028).

Wenn Ihre vibe-coded App also ein Chatbot ist oder Inhalte generiert, tickt die Transparenz-Uhr als Nächstes. Ist sie Hochrisiko, haben Sie bis Ende 2027 Zeit, aber die Arbeit (Dokumentation, Daten-Governance, menschliche Aufsicht) ist die Art, die Sie besser von Anfang an einbauen als später nachrüsten.

Was Sie je nach Stufe tatsächlich schulden

• Transparenzstufe: ein klarer KI-Hinweis an die Nutzer + Kennzeichnung KI-generierter Inhalte. Klein, aber echt, und leicht zu übersehen, wenn man schnell ausliefert. (Legalithm kann den Artikel-50-Hinweis für Sie erzeugen.)
• Hochrisikostufe: ein Risikomanagement-Prozess, Daten-Governance, Protokollierung, menschliche Aufsicht und eine technische Dokumentation nach Anhang IV. Das ist ein Programm, kein Häkchen, fangen Sie jetzt mit dem Nachweis an.
• Anbieter vs. Betreiber: Anbieter tragen das meiste davon; Betreiber stellen vor allem sicher, dass sie das System bestimmungsgemäß nutzen, den Menschen in der Schleife halten und Betroffene informieren. Der EU-AI-Act-Leitfaden schlüsselt die Pflichten Artikel für Artikel auf.

Prüfen Sie es dort, wo Sie bauen

Sie brauchen keinen Anwalt, um herauszufinden, wo Sie stehen. Legalithm führt den EU-AI-Act-Check in Ihrer Coding-Schleife aus, eine kostenlose CLI, ein Offline-MCP-Server für Cursor und Claude Code sowie eine GitHub Action, die Ihre Funktion mit dem zitierten Artikel einordnet und einen datierten Eintrag compliance/legalithm.json in Ihr Repo schreibt:

npx legalithm setup   # in Cursor, Claude Code und CI einbinden
npx legalithm init     # einordnen + zitierten, datierten Eintrag schreiben

Sehen Sie sich die Entwickler-Dokumentation an, um in Ihrem Editor loszulegen, und den begleitenden Beitrag Ist der Code, den Ihre KI geschrieben hat, sicher und auslieferbar? für die vollständige Checkliste vor dem Release.

Ehrliche Grenzen

Legalithm erkennt Muster und zitiert den Artikel, auf den es passt; wenn es sich nicht sicher ist, markiert es das Ergebnis für eine menschliche Prüfung, statt zu raten. Es ist ein belegter Ausgangspunkt, der Ihnen sagt, wann Sie eine qualifizierte Person hinzuziehen sollten, keine Rechtsberatung und keine Zertifizierung. Gerade bei Hochrisiko-Systemen gilt: holen Sie einen Menschen in die Schleife.

Fazit: Vibe Coding befreit Sie von nichts. Der EU AI Act folgt der Funktion, nicht der Tastatur, und der schnellste Weg herauszufinden, wo ein Wochenend-Build steht, ist, ihn in derselben Schleife zu prüfen, in der Sie ihn gebaut haben.