Volljurist und Compliance-Experte
16 Dec 2025
5 Minuten
.svg)
Der EU AI Act gilt für jedes KI-System, das in Europa genutzt wird, unabhängig davon, wo der Anbieter sitzt
Nicht-EU-Unternehmen müssen einen EU-Bevollmächtigten benennen, um ihre gesetzlichen Pflichten erfüllen zu können.
Hochrisiko-KI erfordert strenge Anforderungen wie Risikomanagement, Datenqualität, Dokumentation und menschliche Aufsicht.
Eine systematische Risikoklassifizierung ist der entscheidende erste Schritt zur rechtskonformen Bereitstellung von KI-Diensten in der EU.
Sitzt Ihr Unternehmen in den USA, Großbritannien oder Asien, aber Ihre KI-gestützten Dienste werden von Kunden in Europa genutzt? Dann haben Sie wahrscheinlich schon vom EU AI Act gehört – und sich vielleicht gefragt: „Betrifft uns das überhaupt?“
Die kurze Antwort ist ein klares Ja.
Ein weit verbreitetes Missverständnis ist, dass Gesetze wie der AI Act nur für Unternehmen gelten, die physisch in der Europäischen Union ansässig sind. Doch das ist ein kostspieliger Irrtum. Der AI Act folgt einem Prinzip, das weitreichende Konsequenzen für globale Technologieanbieter hat: dem Marktortprinzip.
Einfach ausgedrückt: Es spielt keine Rolle, wo Ihr Unternehmen registriert ist oder wo Ihre Server stehen. Wenn Ihr KI-System auf dem EU-Markt bereitgestellt wird oder das Ergebnis Ihrer KI-Anwendung in der EU genutzt wird, unterliegen Sie den Regeln des AI Acts. Bei Nichteinhaltung drohen Strafen von bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes.
Dieser Artikel ist Ihr Leitfaden, um die extraterritorialen Auswirkungen des EU AI Acts zu verstehen und die notwendigen Schritte für die Compliance Ihres Nicht-EU-Unternehmens einzuleiten.
Der AI Act wurde entwickelt, um Vertrauen in künstliche Intelligenz zu schaffen und die Grundrechte der EU-Bürger zu schützen. Um dieses Ziel zu erreichen, schaut das Gesetz nicht auf den Standort des Anbieters, sondern auf den Ort der Nutzung. Dieses extraterritoriale Prinzip ist der Kern, den Nicht-EU-Unternehmen verstehen müssen.
Stellen Sie sich vor, ein US-amerikanisches SaaS-Unternehmen bietet eine HR-Software an, die KI zur Analyse von Bewerbungen nutzt. Sobald ein Unternehmen in Deutschland diese Software einsetzt, um Kandidaten zu bewerten, wird das Ergebnis der KI in der EU wirksam. Damit fällt das US-Unternehmen direkt in den Anwendungsbereich des AI Acts.
Der AI Act stuft KI-Systeme in vier Risikoklassen ein, um die Regulierung verhältnismäßig zu gestalten:
Für Ihr Unternehmen ist die entscheidende erste Aufgabe, zu ermitteln, in welche dieser Kategorien Ihre KI-Dienste fallen.
Der AI Act definiert klare Verantwortlichkeiten. Für ein Nicht-EU-Unternehmen sind drei Rollen besonders wichtig:
Die Anforderungen des AI Acts mögen komplex erscheinen, aber mit einem systematischen Ansatz können Sie den Weg zur Compliance meistern.
Beginnen Sie damit, alle KI-Komponenten in Ihren Produkten und Dienstleistungen zu identifizieren, die auf dem EU-Markt angeboten werden. Erstellen Sie eine Liste und beschreiben Sie den Zweck jeder einzelnen Anwendung.
Bewerten Sie jedes identifizierte KI-System anhand der Kriterien des AI Acts. Fragen Sie sich: In welchem Kontext wird die KI eingesetzt? Könnte sie wesentliche Auswirkungen auf die Sicherheit, die Gesundheit oder die Grundrechte von Personen haben? Die Frage, welche Risikoklassen der EU AI Act definiert, ist hierbei zentral. Wenn Ihre KI beispielsweise im Recruiting eingesetzt wird, ist sie mit hoher Wahrscheinlichkeit als Hochrisiko-System einzustufen.
Falls Sie Hochrisiko-KI-Systeme anbieten, müssen Sie umfangreiche Pflichten erfüllen. Dazu gehören:
Dies ist ein nicht verhandelbarer Schritt für Nicht-EU-Anbieter. Ihr Bevollmächtigter ist Ihre rechtliche Vertretung vor Ort. Er hält eine Kopie Ihrer technischen Dokumentation bereit, kooperiert mit den Aufsichtsbehörden und fungiert als Kontaktstelle. Die Wahl eines kompetenten Partners ist entscheidend, oft wird hier auf Software Security Consulting spezialisierte Dienstleister zurückgegriffen.
Für Hochrisiko-Systeme müssen Sie nachweisen, dass alle Anforderungen erfüllt sind. Dies geschieht durch eine Konformitätsbewertung. Nach erfolgreichem Abschluss stellen Sie eine EU-Konformitätserklärung aus und bringen das CE-Kennzeichen an Ihrem Produkt (bzw. in der Software und Begleitdokumentation) an.
Viele Nicht-EU-Unternehmen sind bereits mit der Datenschutz-Grundverordnung (DSGVO) vertraut. Der AI Act und die DSGVO ergänzen sich. Während sich die DSGVO auf den Schutz personenbezogener Daten konzentriert, regelt der AI Act die Sicherheit und die Grundrechtskonformität von KI-Systemen. Daten, die zum Training von KI-Modellen verwendet werden, müssen sowohl den Anforderungen der DSGVO als auch den Datenqualitätsvorgaben des AI Acts entsprechen. Ein tiefes Verständnis der General Data Protection Regulation auf Deutsch bleibt also unerlässlich.
Die Einhaltung des EU AI Acts ist für globale Unternehmen keine Option, sondern eine Notwendigkeit, um auf dem europäischen Markt erfolgreich zu sein. Es geht nicht nur darum, Strafen zu vermeiden, sondern auch darum, Vertrauen bei Ihren europäischen Kunden aufzubauen.
Der EU AI Act schafft einen globalen Standard für vertrauenswürdige KI. Für Nicht-EU-Unternehmen ist es entscheidend, jetzt proaktiv zu handeln. Beginnen Sie mit der Bewertung Ihres Portfolios und der Identifizierung potenzieller Hochrisiko-Systeme.
Die Navigation durch diese neuen regulatorischen Anforderungen kann eine Herausforderung sein. Der Einsatz von EU AI Act Compliance Software kann den Prozess erheblich vereinfachen, indem er Sie durch die Inventarisierung, Risikobewertung und Dokumentation führt. Für komplexe Fälle kann auch spezialisiertes IT Consulting Software wertvolle Unterstützung bieten, um eine maßgeschneiderte Compliance-Strategie zu entwickeln.
Warten Sie nicht, bis die Übergangsfristen enden. Beginnen Sie noch heute damit, Ihr Unternehmen zukunftssicher zu machen und das Vertrauen Ihrer europäischen Kunden zu stärken.
Ja, absolut. Wenn Sie ein KI-System an ein anderes Unternehmen in der EU verkaufen (den „User“), sind Sie als „Provider“ vollumfänglich für die Compliance des Systems verantwortlich.
Ihr benannter EU-Bevollmächtigter ist der rechtlich verantwortliche Ansprechpartner für die nationalen Aufsichtsbehörden. Er handelt in Ihrem Auftrag. Ohne ihn dürfen Sie Ihr Hochrisiko-KI-System nicht auf dem EU-Markt anbieten.
Der Provider entwickelt die KI und bringt sie auf den Markt. Der User (Anwender) setzt die KI im Rahmen seiner beruflichen Tätigkeit ein. Ein Krankenhaus, das eine KI-Diagnosesoftware nutzt, ist der User; das Unternehmen, das die Software entwickelt hat, ist der Provider.
Der erste Schritt ist immer eine interne Bestandsaufnahme: Welche KI-Systeme haben wir? Wo werden sie eingesetzt? Erstellen Sie eine Projektgruppe und beginnen Sie mit der Risikobewertung.
Als Jurist mit langjähriger Erfahrung als Anwalt für Datenschutz und IT-Recht kennt Niklas die Antwort auf so gut wie jede Frage im Bereich der digitalen Compliance. Er war in der Vergangenheit unter anderem für Taylor Wessing und Amazon tätig. Als Gründer und Geschäftsführer von SECJUR, lässt Niklas sein Wissen vor allem in die Produktentwicklung unserer Compliance-Automatisierungsplattform einfließen.
SECJUR steht für eine Welt, in der Unternehmen immer compliant sind, aber nie an Compliance denken müssen. Mit dem Digital Compliance Office automatisieren Unternehmen aufwändige Arbeitsschritte und erlangen Compliance-Standards wie DSGVO, ISO 27001 oder TISAX® bis zu 50% schneller.
Automatisieren Sie Ihre Compliance Prozesse mit dem Digital Compliance Office
Die häufigsten Fragen zum Thema
Überwachungsaudits sind schlanke Routineprüfungen Ihres QMS im 3-Jahres-Zyklus. Erfahren Sie, wann sie stattfinden, wie Auditoren vorgehen und wie Sie sich optimal vorbereiten.
Konkrete, messbare Vorgaben zur Umsetzung der Qualitätspolitik. SMART-Kriterien, Branchenbeispiele und praktische Messung im QMS.
.svg)
.svg)
.svg){kind=small}