EU AI Act 2026: Welche Pflichten jetzt gelten und wie Sie KI-Funktionen rechtssicher ausliefernEU AI Act 2026: Welche Pflichten jetzt gelten und wie Sie KI-Funktionen rechtssicher ausliefern

Der EU AI Act ist 2026 kein Papiertiger mehr

Lange klang der EU AI Act nach ferner Regulierung, um die man sich irgendwann kümmert. Dieses Jahr ist das vorbei. Die Verordnung ist im August 2024 in Kraft getreten und wird gestaffelt scharfgeschaltet. Seit Februar 2025 gelten die Verbote bestimmter KI-Praktiken sowie die Pflicht zur KI-Kompetenz der Mitarbeitenden. Seit August 2025 greifen die Vorgaben für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck, also die grossen Sprach- und Bildmodelle. Und im August 2026 wird der grosse Block der Pflichten für Hochrisiko-Systeme wirksam.

Für Unternehmen im DACH-Raum heisst das konkret: Wer 2026 eine KI-Funktion in ein Produkt einbaut, einen Chatbot ausrollt oder ein Bewerber-Scoring nutzt, muss heute wissen, in welche Risikoklasse das fällt und welche Nachweise verlangt werden. Bussgelder von bis zu 35 Millionen Euro oder sieben Prozent des weltweiten Jahresumsatzes sind kein theoretisches Restrisiko, sondern der explizit vorgesehene Rahmen. Anders als bei der DSGVO gibt es diesmal keine mehrjährige Aufwärmphase, in der niemand hinschaut.

Die vier Risikoklassen und was sie für Sie bedeuten

Der AI Act denkt nicht in Technologien, sondern in Anwendungsfällen. Dasselbe Sprachmodell kann harmlos oder hochreguliert sein, je nachdem, wofür Sie es einsetzen. Es gibt vier Stufen:

• ▸Verbotene Praktiken: Social Scoring durch Behörden, manipulatives Nudging, das Menschen schadet, ungezieltes Abgreifen von Gesichtsbildern aus dem Netz, Emotionserkennung am Arbeitsplatz und in Schulen. Diese Systeme sind seit Februar 2025 schlicht illegal.
• ▸Hochrisiko-Systeme: KI in kritischer Infrastruktur, in der Medizintechnik, im Personalwesen (Bewerberauswahl, Beförderung), bei Kreditwürdigkeit, in der Strafverfolgung und in der Bildung. Hier hängt der grösste Pflichtenkatalog: Risikomanagement, Daten-Governance, technische Dokumentation, Protokollierung, menschliche Aufsicht und eine Konformitätsbewertung.
• ▸Systeme mit Transparenzpflicht: Chatbots, KI-generierte Inhalte, Deepfakes. Nutzer müssen erkennen können, dass sie mit einer Maschine sprechen oder synthetische Inhalte sehen. KI-Ausgaben müssen maschinenlesbar als solche gekennzeichnet werden.
• ▸Minimales Risiko: Spamfilter, Empfehlungslogik, KI in Videospielen. Hier gibt es keine spezifischen Pflichten, freiwillige Verhaltenskodizes werden aber empfohlen.

Der teure Fehler in der Praxis ist die falsche Einordnung. Viele Teams halten ihr internes HR-Tool für harmlos, weil es nur vorsortiert. Sobald eine KI-Ausgabe aber eine Personalentscheidung massgeblich beeinflusst, ist die Hochrisiko-Schwelle oft überschritten. Die Klassifizierung gehört deshalb an den Anfang jedes Projekts, nicht in die Abnahme.

Was jetzt wirklich zu tun ist: Die Compliance-Checkliste

Bevor Sie eine KI-Funktion ausliefern, arbeiten Sie diese Schritte ab. Sie bilden gleichzeitig die Nachweiskette, die eine spätere Prüfung erwartet.

• ▸Anwendungsfälle inventarisieren: Listen Sie jede KI-Funktion im Unternehmen auf, auch eingekaufte SaaS-Features. Kein Register bedeutet keinen Überblick.
• ▸Rolle bestimmen: Sind Sie Anbieter (Sie bringen das System auf den Markt) oder Betreiber (Sie nutzen es beruflich)? Die Pflichten unterscheiden sich deutlich.
• ▸Risikoklasse festlegen: Ordnen Sie jeden Anwendungsfall einer der vier Stufen zu und dokumentieren Sie die Begründung schriftlich.
• ▸Datengrundlage prüfen: Woher stammen die Trainings- und Eingabedaten? Bestehen DSGVO-Rechtsgrundlage, Zweckbindung und Prüfung auf Verzerrungen?
• ▸Menschliche Aufsicht verankern: Legen Sie fest, wer eine KI-Entscheidung überstimmen kann und wie. Bei Hochrisiko ist das Pflicht.
• ▸Transparenz umsetzen: Kennzeichnen Sie Chatbots und KI-Inhalte sichtbar und maschinenlesbar.
• ▸Technische Dokumentation und Logging aufbauen: Modellversion, Datenquellen, Testergebnisse und Betriebsprotokolle müssen nachvollziehbar sein.
• ▸KI-Kompetenz nachweisen: Schulen Sie die Teams, die KI bauen oder einsetzen. Auch das ist seit 2025 verpflichtend.
• ▸Zulieferer vertraglich absichern: Wer ein Fremdmodell einbindet, braucht vertragliche Zusicherungen und Informationen vom Anbieter.

KI-Features bauen, die Prüfung standhalten

Compliance lässt sich nicht nachträglich über ein Produkt stülpen. Wer erst nach dem Launch merkt, dass jede Modellentscheidung protokolliert und begründbar sein muss, baut die Hälfte neu. Rechtssichere KI entsteht aus einer bewussten Architektur.

Praktisch heisst das: Jede KI-Ausgabe erhält eine nachvollziehbare Spur aus Eingabe, Modellversion, Zeitstempel und, wo nötig, den herangezogenen Quellen. Menschliche Aufsicht wird als echter Kontrollpunkt in den Ablauf eingebaut, nicht als deaktivierter Haken in den Einstellungen. Eingabe- und Ausgabefilter fangen verbotene Nutzungsmuster ab, bevor sie entstehen. Und die Datenverarbeitung bleibt regional kontrollierbar, damit DSGVO und AI Act nicht an der Frage scheitern, in welchem Rechenzentrum die Verarbeitung passiert.

Genauso wichtig ist die Abgrenzung. Nicht jede Funktion muss ein Hochrisiko-System sein. Oft lässt sich ein Anwendungsfall bewusst so zuschneiden, dass die KI vorschlägt, aber der Mensch entscheidet, und die Klasse damit unter der schärfsten Stufe bleibt. Diese Entscheidung ist Ingenieursarbeit und gehört ins Design, nicht in die Rechtsabteilung allein.

Warum nearshore Engineering aus Tunesien hier passt

Genau an dieser Schnittstelle aus EU-Regulierung und solidem Software-Engineering arbeitet TuniCyberLabs. Wir sind ein EU-verankertes Unternehmen mit Muttergesellschaft in Estland (Tallinn) und Büro in Zypern (Limassol), das Entwicklungsteam sitzt in Sousse, Tunesien. Das bedeutet für DACH-Kunden EU- und DSGVO-konforme Verträge über die estnische Struktur, gepaart mit nearshore Engineering: gleiche Zeitzone wie Mitteleuropa, Kommunikation auf Deutsch beziehungsweise Englisch und Französisch, hohe Qualität zu nearshore-Konditionen statt Offshore-Distanz.

So bauen wir. Zuerst verstehen wir Ihren Anwendungsfall und ordnen ihn ehrlich in die AI-Act-Risikoklassen ein, statt jedes Feature vorsorglich als Hochrisiko zu behandeln. Dann entwerfen wir eine Architektur, in der Protokollierung, menschliche Aufsicht und Transparenzkennzeichnung von Anfang an verankert sind. Wir bauen und deployen produktionsreife, abgesicherte Systeme, deren Nachweiskette einer Prüfung nach AI Act, NIS2 und DORA standhält. Und wir begleiten und entwickeln die Lösung weiter, denn die Umsetzungsfristen und delegierten Rechtsakte werden 2026 und darüber hinaus laufend konkretisiert.

Der Vorteil von Custom Engineering gegenüber einem generischen KI-Produkt von der Stange liegt genau hier: Sie bekommen die Kontrolle über Datenflüsse, Protokolle und Kontrollpunkte, die die Verordnung verlangt, statt sie einem intransparenten Drittanbieter zu überlassen.

Fazit: Klassifizieren, dokumentieren, sauber ausliefern

Der EU AI Act belohnt Unternehmen, die früh und strukturiert handeln. Die drei Hebel sind einfach zu benennen und anspruchsvoll umzusetzen: jede KI-Funktion sauber klassifizieren, die Nachweiskette von Anfang an mitbauen und Transparenz sowie menschliche Aufsicht als echte Bausteine verankern. Wer 2026 KI ausliefert, sollte das nicht als Bremse verstehen, sondern als Qualitätsmerkmal, denn nachvollziehbare, kontrollierbare KI ist ohnehin die bessere KI. Wenn Sie eine konkrete Funktion vor sich haben und wissen wollen, in welche Klasse sie fällt und wie sie sich rechtssicher bauen lässt, ist genau das unser Ausgangspunkt.