Volljurist und Compliance-Experte
December 16, 2025
5 Minuten
.svg)
Der EU AI Act befreit Open-Source-KI nicht pauschal, sondern nur solange keine kommerzielle Nutzung oder Hochrisiko-Anwendung vorliegt.
Entwickler müssen verstehen, dass Hochrisiko-KI auch in Open-Source-Form vollständig reguliert bleibt.
Transparenz, Dokumentation und Risikomanagement sind die zentralen Pflichten, sobald der AI Act greift.
Eine klare Risiko- und Nutzungseinschätzung entscheidet darüber, ob ein Open-Source-KI-Projekt unter die Regulierung fällt.
Stellen Sie sich vor, Sie haben die letzten Monate an einem innovativen KI-Modell gearbeitet. Der Code ist sauber, die Ergebnisse sind beeindruckend. Mit ein paar Klicks laden Sie Ihr Projekt auf GitHub hoch, bereit, es mit der Welt zu teilen. Ein triumphaler Moment. Doch dann schleicht sich ein Gedanke ein: „Moment mal, was ist mit diesem neuen EU AI Act? Gilt der jetzt für mich?“
Wenn Ihnen dieser Gedanke bekannt vorkommt, sind Sie nicht allein. In der Open-Source-Community herrscht große Unsicherheit. Viele Entwickler glauben, sie seien durch eine generelle „Open-Source-Ausnahme“ geschützt. Die Realität ist jedoch komplizierter – und das Missverständnis kann teuer werden.
Die gute Nachricht: Der AI Act ist kein unüberwindbares Hindernis für Open-Source-Innovation. Er ist ein Regelwerk, das man verstehen und navigieren kann. Dieser Leitfaden ist Ihr Kompass. Wir übersetzen das Juristendeutsch in Entwicklersprache und zeigen Ihnen, worauf es wirklich ankommt.
Einer der größten Mythen rund um den AI Act ist, dass Open-Source-Projekte pauschal ausgenommen sind. Das stimmt so nicht. Zwar erkennt der Gesetzgeber die immense Bedeutung von Open Source an und gewährt erhebliche Erleichterungen, aber es ist keine Freikarte.
Grundsätzlich gilt: KI-Systeme, die unter freien und quelloffenen Lizenzen entwickelt und bereitgestellt werden, sind von den meisten Pflichten des AI Acts befreit. Das entscheidende Wort ist hier „meistens“. Die Ausnahme greift nämlich nicht mehr, sobald bestimmte Bedingungen erfüllt sind.
Der Weg zur Klärung, ob Ihr Projekt betroffen ist, lässt sich am besten als ein Entscheidungsbaum visualisieren. Jeder Schritt hilft Ihnen, Ihre Situation besser einzuschätzen.
Diese Flussdiagramm visualisiert die wichtigsten Entscheidungspunkte, um zu verstehen, ob der EU AI Act auf Ihr Open-Source-KI-Projekt zutrifft – ein unverzichtbarer erster Schritt für Entwickler.
Die Open-Source-Ausnahme ist fragil. Es gibt drei Hauptszenarien, in denen sie erlischt und Ihr Projekt plötzlich den vollen regulatorischen Anforderungen unterliegt.
Dies ist der häufigste und zugleich unklarste Punkt. Die Ausnahme gilt nicht für Open-Source-KI-Systeme, die im Rahmen einer „kommerziellen Aktivität“ auf dem Markt bereitgestellt werden. Aber was bedeutet das genau?
Die Abgrenzung ist schwierig. Eine Faustregel lautet: Sobald Ihr Projekt eine planmäßige Einnahmequelle darstellt, die über die reine Kostendeckung hinausgeht, bewegen Sie sich in Richtung einer kommerziellen Aktivität.
Unabhängig von der Lizenz oder kommerziellen Aktivität fallen bestimmte KI-Systeme immer unter den AI Act. Dies sind die sogenannten Hochrisiko-Systeme. Wenn Ihr Open-Source-Modell für einen der folgenden Zwecke bestimmt ist, sind Sie voll in der Pflicht:
Die genaue Einordnung kann komplex sein. Es ist entscheidend zu verstehen, welche Risikoklassen der EU AI Act definiert, um Ihr eigenes Projekt korrekt zu bewerten. Ein Open-Source-Gesichtserkennungsmodell, das von Strafverfolgungsbehörden eingesetzt werden könnte, ist ein klares Beispiel für ein Hochrisiko-System.
Einige KI-Anwendungen sind gänzlich verboten. Dazu gehören Social Scoring durch staatliche Stellen oder manipulative Systeme, die das Verhalten von Menschen gezielt beeinflussen. Wenn Ihr Modell in diese Kategorie fällt, ist es irrelevant, ob es Open Source ist.
Eine weitere Sonderkategorie sind Allzweck-KI-Modelle (General Purpose AI, GPAI) mit systemischem Risiko. Denken Sie an große Sprachmodelle wie GPT-4. Wenn Ihr Open-Source-Modell eine vergleichbare Leistungsfähigkeit und Reichweite erreicht, unterliegt es ebenfalls strengen Regeln, unabhängig von der Lizenz.
Sie haben das Flussdiagramm durchgespielt und festgestellt: Ihr Projekt fällt unter den AI Act. Kein Grund zur Panik. Es bedeutet, dass Sie bestimmte Sorgfaltspflichten erfüllen müssen, um Ihr System rechtskonform zu machen.
Diese Infografik vermittelt klar die notwendigen Schritte, die Entwickler beachten müssen, um den EU AI Act konform mit Open-Source-KI Projekten einzuhalten.
Das Herzstück der Compliance ist eine saubere Dokumentation. Sie müssen nachweisen können, wie Ihr System funktioniert, wie es entwickelt wurde und welche Risiken es birgt.
Für Hochrisiko-Systeme müssen Sie ein kontinuierliches Risikomanagementsystem einrichten. Das klingt komplizierter, als es ist. Im Kern geht es darum, potenzielle Risiken für Grundrechte, Gesundheit und Sicherheit zu identifizieren, zu bewerten und zu mindern. Dies knüpft oft an etablierte Standards für Informationssicherheit an, wie sie in einem ISMS definiert sind.
Zusätzlich müssen solche Systeme so gestaltet sein, dass eine menschliche Aufsicht jederzeit möglich ist, um fehlerhafte Entscheidungen der KI zu korrigieren oder zu stoppen.
Um die Theorie in die Praxis umzusetzen, hier zwei kurze Checklisten für typische Szenarien.
.svg)
.svg)
README.md klar und deutlich, für welche Zwecke Ihr Modell nicht gedacht ist, insbesondere wenn es für Hochrisiko-Anwendungen missbraucht werden könnte.
Gerade für junge Unternehmen ist eine sorgfältige Prüfung essenziell. Die richtige Compliance für Startups von Anfang an schützt vor späteren Problemen.
Der EU AI Act verändert die Spielregeln, auch für die Open-Source-Community. Statt auf einen pauschalen Schutz zu hoffen, ist ein proaktiver Ansatz gefragt.
Diese visuelle Eselsbrücke hilft Entwicklungs- und Anwenderteams, die Kernpflichten des EU AI Acts im Kopf zu behalten – ein unverzichtbarer Merker für die tägliche Praxis.
Verantwortungsvolle KI-Entwicklung und Open-Source-Kultur sind kein Widerspruch. Indem Sie die Regeln des AI Acts verstehen und proaktiv handeln, schützen Sie nicht nur sich selbst, sondern stärken auch das Vertrauen in die gesamte Open-Source-Bewegung.
Der EU AI Act ist das weltweit erste umfassende Gesetz zur Regulierung von Künstlicher Intelligenz. Es verfolgt einen risikobasierten Ansatz: Je höher das potenzielle Risiko einer KI-Anwendung, desto strenger die Vorschriften.
In den allermeisten Fällen: Nein. Solange Sie keine kommerziellen Absichten verfolgen und Ihr Projekt nicht in einen Hochrisiko-Bereich fällt (z. B. medizinische Diagnostik), greift die Open-Source-Ausnahme.
Nein, der AI Act verlangt keine Offenlegung der Daten selbst, sondern eine „ausführliche Zusammenfassung“ der verwendeten Inhalte, insbesondere wenn diese urheberrechtlich geschützt sind. Die genauen Anforderungen hierfür werden sich in der Praxis noch herauskristallisieren.
Die Strafen können empfindlich sein und reichen bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.
Die Anforderungen, insbesondere an Dokumentation und Risikomanagement, sind umfangreich. Eine spezialisierte EU AI Act Compliance Software kann diese Prozesse automatisieren, den Überblick erleichtern und sicherstellen, dass alle gesetzlichen Vorgaben erfüllt werden, was besonders für wachsende Unternehmen wie Scaleups entscheidend ist.
Als Jurist mit langjähriger Erfahrung als Anwalt für Datenschutz und IT-Recht kennt Niklas die Antwort auf so gut wie jede Frage im Bereich der digitalen Compliance. Er war in der Vergangenheit unter anderem für Taylor Wessing und Amazon tätig. Als Gründer und Geschäftsführer von SECJUR, lässt Niklas sein Wissen vor allem in die Produktentwicklung unserer Compliance-Automatisierungsplattform einfließen.
SECJUR steht für eine Welt, in der Unternehmen immer compliant sind, aber nie an Compliance denken müssen. Mit dem Digital Compliance Office automatisieren Unternehmen aufwändige Arbeitsschritte und erlangen Compliance-Standards wie DSGVO, ISO 27001 oder TISAX® bis zu 50% schneller.
Automatisieren Sie Ihre Compliance Prozesse mit dem Digital Compliance Office
Everything you need to know about the product and billing.
Gerade die Überwachung von Mitarbeitern ist immer wieder Gegenstand gerichtlicher Streitigkeiten. Dabei stehen Unternehmen mittlerweile die verschiedensten Möglichkeiten zur Verfügung - von der Überwachung des E-Mail-Verkehrs bis hin zum Anbringen von Videokameras am Arbeitsplatz. Ob die umfassende GPS-Überwachung von Mitarbeitern datenschutzrechtlich zulässig ist, hatte das Verwaltungsgericht Lüneburg zu entscheiden. Wie ging es aus?
.avif)
Laut einer aktuellen Bitkom-Studie erlitt die deutsche Wirtschaft einen Schaden von 206 Milliarden Euro durch Cyberkriminalität, wobei vor allem Angriffe aus dem Umfeld der Organisierten Kriminalität zugenommen haben. Sowohl Großunternehmen als auch kleine und mittelständische Unternehmen waren betroffen. Wie können Sie Ihr Unternehmen schützen?
.svg){kind=small}