Der EU AI Act im Ueberblick

Bevor wir in die Risikoklassen eintauchen, brauchst du den grossen Ueberblick: Was regelt der EU AI Act eigentlich? Wen betrifft er? Und wie verhaelt er sich zur DSGVO?

Der Aufbau des EU AI Act

Der EU AI Act (Verordnung (EU) 2024/1689) hat 113 Artikel in 13 Kapiteln:

Kapitel	Inhalt	Praxisrelevanz
I	Allgemeine Bestimmungen	Definitionen, Anwendungsbereich
II	Verbotene KI-Praktiken	Hoch — seit Feb. 2025
III	Hochrisiko-KI	Sehr hoch — ab Aug. 2026
IV	Transparenzpflichten	Hoch — ab Aug. 2025
V	GPAI-Modelle	Relevant fuer Foundation-Model-Nutzer
IX	Sanktionen	Bussgeld-Rahmen
XII	Uebergangsbestimmungen	Stufenweise Anwendung

✅ Quick Check: Nutzt dein Unternehmen KI in einem der folgenden Bereiche: HR/Recruiting, Kreditvergabe, Bildung, Justiz, Gesundheit? Dann bist du wahrscheinlich im Hochrisiko-Bereich.

Die Akteure: Wer hat welche Pflichten?

Der EU AI Act unterscheidet vier Rollen:

Rolle	Wer	Beispiel	Pflichten
Provider	Entwickelt oder stellt KI-System bereit	OpenAI (ChatGPT), Microsoft (Copilot)	Konformitaetsbewertung, Dokumentation, Risikomanagement
Deployer	Setzt KI-System unter eigener Verantwortung ein	Dein Unternehmen, das ChatGPT nutzt	Ueberwachung, Transparenz, DSFA, Nutzung gemaess Anweisung
Importeur	Bringt KI aus Drittland in EU-Markt	EU-Distributor eines US-KI-Tools	Konformitaetspruefung, CE-Kennzeichnung
Haendler	Vertreibt KI-System in der EU	Software-Reseller	Sorgfaltspflicht, keine Manipulation

Die wichtigste Erkenntnis: Als Deployer (KI-Nutzer) hast du eigene Pflichten — du bist nicht frei, nur weil der Provider (z.B. OpenAI) seine Pflichten erfuellt.

DSGVO + EU AI Act: Zwei Gesetze, ein Ziel

Beide Gesetze gelten gleichzeitig. Sie ueberschneiden sich teilweise, aber regeln verschiedene Aspekte:

Aspekt	DSGVO	EU AI Act
Schutzgut	Personenbezogene Daten	Gesundheit, Sicherheit, Grundrechte
Risikoansatz	DSFA bei hohem Risiko	Risikoklassen (verboten/hoch/begrenzt/minimal)
Transparenz	Informationspflichten (Art. 13/14)	KI-Kennzeichnungspflicht
Menschliche Kontrolle	Art. 22 (automatisierte Entscheidungen)	Menschliche Aufsicht (Hochrisiko)
Datenqualitaet	Richtigkeit (Art. 5)	Trainingsdatenqualitaet (Hochrisiko)
Aufsicht	Datenschutzbehoerden	Bundesnetzagentur/KoKIVO

Faustregel: Wenn dein KI-System personenbezogene Daten verarbeitet UND ein Risiko fuer Grundrechte darstellt, gelten beide Gesetze.

Was der EU AI Act NICHT regelt

Der EU AI Act hat Grenzen. Er gilt nicht fuer:

Rein militaerische KI — Verteidigung und nationale Sicherheit sind ausgenommen
Forschung und Entwicklung — Vor der Marktreife keine Pflichten (mit Ausnahmen)
Open-Source-KI — Teilweise privilegiert (wenn nicht Hochrisiko oder GPAI mit systemischem Risiko)
Privatpersonen — Private KI-Nutzung ohne gewerblichen Zweck ist nicht reguliert

Key Takeaways

Der EU AI Act hat 113 Artikel — die wichtigsten Kapitel fuer Unternehmen: Verbote (II), Hochrisiko (III), Transparenz (IV), GPAI (V)
Vier Akteure: Provider, Deployer, Importeur, Haendler — auch KI-Nutzer (Deployer) haben eigene Pflichten
DSGVO und EU AI Act gelten gleichzeitig — bei KI mit personenbezogenen Daten muessen beide eingehalten werden
Extraterritoriale Wirkung: Auch US-Anbieter sind betroffen, wenn ihre KI in der EU genutzt wird
Der EU AI Act regelt KI-spezifische Risiken, die die DSGVO nicht abdeckt: Risikoklassen, Trainingsdaten, verbotene Praktiken

Up Next

In der naechsten Lektion tauchen wir in die vier Risikoklassen ein — das Herzretueck des EU AI Act. Du lernst, wie KI-Systeme eingestuft werden und was das fuer deinen Alltag bedeutet.