Der EU AI Act: Technische Anforderungen für Unternehmen mit produktiver KI.
Der EU AI Act ist seit August 2024 in Kraft. Die verbindlichen Anforderungen greifen stufenweise. Ab dem 2. August 2026 gelten die Transparenzpflichten aus Art. 50; die umfassenden Hochrisiko-Pflichten wurden per AI Omnibus auf Dezember 2027 (Annex III) bzw. August 2028 (Annex I) verschoben. Unternehmen, die KI-Systeme in regulierten Bereichen betreiben, stehen vor einer konkreten Dokumentationsaufgabe: die technische Infrastruktur-Integrität ihrer Systeme nachweisbar zu machen.
Diese Seite erklärt die technischen Anforderungen des EU AI Act, den Zeitplan und die Infrastruktur-Implikationen für IT-Leiter, Compliance-Teams und Entscheider.
Diese Seite dient der technischen Orientierung. Für die Einschätzung regulatorischer Pflichten im Einzelfall wenden Sie sich an qualifizierte Rechts- und Compliance-Berater.
Risikobasierter Ansatz in vier Stufen
Der EU AI Act bewertet KI-Systeme nach ihrer Risikoklasse. Die Klassifikation bestimmt den Umfang der Anforderungen.
Inakzeptables Risiko
KI-Systeme, die grundlegende Rechte gefährden. Vollständiges Verbot. Betrifft Social Scoring durch staatliche Akteure, manipulative Systeme und biometrische Echtzeit-Fernidentifikation in der Öffentlichkeit.
Hochrisiko (Annex III)
KI-Systeme in regulierten Bereichen mit potenziell erheblichen Auswirkungen auf Gesundheit, Sicherheit oder Grundrechte. Umfangreiche Dokumentations-, Transparenz- und Prüfpflichten. Der für die meisten Unternehmen relevante Anwendungsbereich.
Begrenztes Risiko
KI-Systeme mit spezifischen Transparenzpflichten. Chatbots und generative Systeme, die mit natürlichen Personen interagieren, müssen ihre KI-Natur offenlegen.
Minimales Risiko
KI-Systeme ohne besondere regulatorische Anforderungen. Freiwillige Verhaltenskodizes empfohlen.
Welche Systeme als Hochrisiko gelten
Annex III des EU AI Act listet die Anwendungsbereiche, in denen KI-Systeme als Hochrisiko eingestuft werden. Acht Bereiche. Klare Grenzen. Die Klassifikation gilt unabhängig von der Unternehmensgröße.
Systeme zur Fernidentifikation natürlicher Personen.
KI in der Verwaltung und dem Betrieb kritischer Infrastruktur in den Bereichen Energie, Wasser, Verkehr und Digitales.
Systeme, die über Zugang zu Bildungseinrichtungen oder die Bewertung von Prüfungsleistungen entscheiden.
Systeme zur Bewerberselektion, Beförderungsentscheidungen und Leistungsüberwachung.
Kreditscoring, Bonitätsbewertung, Risikoklassifikation in der Versicherungswirtschaft.
Systeme zur Kriminalitätsprognose, Zeugenauswertung und Beweisbewertung.
Systeme zur Risikobewertung von Personen und zur Dokumentenprüfung.
Systeme zur Unterstützung gerichtlicher Entscheidungen und zur Beeinflussung politischer Prozesse.
Unternehmen, die in einem dieser Bereiche KI-Systeme betreiben oder als Zulieferer in einer entsprechenden Lieferkette tätig sind, fallen in den Anwendungsbereich der Hochrisiko-Anforderungen.
Transparenzpflichten — technisch verankert, ab August 2026 durchgesetzt
Art. 50 EU AI Act verlangt, dass der KI-Einsatz offengelegt und KI-generierte Inhalte maschinenlesbar gekennzeichnet werden. Diese Pflichten betreffen direkt die Infrastruktur-Ebene, auf der KI-Systeme Inhalte ausliefern und ihre Herkunft belegen — und sie gelten ab dem 2. August 2026.
Maschinenlesbare Kennzeichnung
Art. 50 Abs. 2 verlangt, dass KI-erzeugte Inhalte in einem maschinenlesbaren Format als künstlich erzeugt gekennzeichnet werden. Die Infrastruktur-Ebene bildet die Basis für diese verifizierbare Kennzeichnung.
Nachvollziehbare Provenienz
Die Herkunft und Echtheit der Kennzeichnung muss überprüfbar sein. Maschinenlesbare Deklarationen und kryptografisch verankerte Provenienz sind Bestandteile der Transparenzdokumentation.
Offenlegung des KI-Einsatzes
KI-Systeme, die mit natürlichen Personen interagieren oder Inhalte generieren, müssen den KI-Einsatz klar erkennbar offenlegen. DNS-Konfiguration, kryptografische Signaturinfrastruktur und Zugangskonfiguration für automatisierte Systeme sind prüfrelevante Parameter.
Dokumentationspflicht
Die Erfüllung der Art.-50-Anforderungen ist dokumentationspflichtig. Audits und Konformitätsbewertungen setzen ein strukturiertes Nachweisdokument voraus.
Ab dem 2. August 2026 gelten die Transparenzpflichten aus Art. 50; die EU-Kommission erhält Durchsetzungsbefugnisse gegenüber GPAI-Anbietern, während die nationale Marktüberwachung in Deutschland über das KI-MIG (Referentenentwurf: BNetzA) noch aufgebaut wird. Der Bußgeldrahmen des EU AI Act (Art. 99) sieht bei Verstößen gegen die Hochrisiko-Anforderungen oder die Transparenzpflichten aus Art. 50 Sanktionen von bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes vor, wobei der jeweils höhere Wert gilt. Der höhere Rahmen von 35 Millionen Euro oder 7 Prozent gilt ausschließlich bei Verstößen gegen die verbotenen Praktiken aus Art. 5.
Die Enforcement-Phasen im Überblick
Die Verordnung ist verbindliches EU-Recht.
KI-Systeme der höchsten Risikoklasse sind ab diesem Datum untersagt.
Anforderungen an allgemeine KI-Modelle werden wirksam. Verpflichtungen für Anbieter von Foundation Models.
Die Transparenzpflichten nach Art. 50 gelten ab dem 2. August 2026. Die EU-Kommission erhält zugleich Durchsetzungsbefugnisse gegenüber Anbietern allgemeiner KI-Modelle (GPAI). Die nationale Marktüberwachung in Deutschland wird über das KI-MIG (Referentenentwurf: BNetzA) noch aufgebaut.
Per AI Omnibus (Rat, 29. Juni 2026) auf den 2. Dezember 2027 verschoben: Anforderungen an Hochrisiko-KI-Systeme nach Annex III werden wirksam.
Per AI Omnibus auf den 2. August 2028 verschoben: Anforderungen für KI-Systeme in bestimmten Produktkategorien (Sicherheitskomponenten, Annex I) werden wirksam.
Was Art. 50 technisch bedeutet
Die Anforderungen aus Art. 50 EU AI Act sind auf der Infrastruktur-Ebene verankert. Die Frage, die ein Auditor stellt, lautet: Ist die technische Grundlage des KI-Systems transparent, maschinenlesbar gekennzeichnet und verifizierbar dokumentiert? Diese Frage betrifft vier konkrete Infrastruktur-Bereiche.
DNS und kryptografische Grundintegrität
DNSSEC, CAA-Records, TLS-Zertifikatskette und HTTP-Sicherheitsheader bilden die Basisschicht. Lücken auf dieser Ebene sind in einem Audit direkt sichtbar.
Maschinenlesbare Datenquellen-Deklaration
KI-Systeme, die externe Datenquellen verwenden, benötigen eine verifizierbare Deklaration dieser Quellen. Maschinenlesbare AI-Discovery-Dateien und strukturierte Daten bilden die technische Grundlage.
Datenschutz & Consent
Die Konsistenz zwischen deklarierter Crawler-Konfiguration und tatsächlicher Infrastruktur-Antwort ist ein prüfrelevanter Parameter. Opt-In- und Opt-Out-Deklarationen für KI-Systeme müssen technisch korrekt umgesetzt sein.
AI Governance Hard Gate
AI Policy URL, Deepfake-Disclaimer, AI-Training-Opt-Out-Status und eine benannte Kontaktstelle für KI-Anfragen sind maschinenlesbar nachweisbar und Bestandteil der Konformitätsdokumentation.
CERTavia prüft alle vier Bereiche in einem deterministischen Verfahren und liefert das strukturierte Nachweisdokument für die Compliance-Dokumentation.
Drei Anforderungsrahmen, eine Infrastruktur-Ebene
Viele Unternehmen arbeiten gleichzeitig unter den Anforderungen des EU AI Act, der NIS2-Richtlinie und der DORA-Verordnung. Alle drei Rahmenwerke adressieren dieselbe Infrastruktur-Ebene. Ein Nachweis. Drei Anforderungen.
NIS2 stellt Anforderungen an die Cybersicherheit kritischer Infrastruktur und digitaler Dienste. Die technischen Sicherheitsanforderungen überschneiden sich auf der Infrastruktur-Ebene mit den Art.-50-Transparenzanforderungen an KI-Systeme.
DORA definiert Anforderungen an die digitale operationale Resilienz von Finanzunternehmen. Die Infrastruktur-Integrität und die Dokumentationspflichten für ICT-Systeme berühren dieselbe technische Schicht wie Art. 50 EU AI Act.
CERTavia adressiert die Infrastruktur-Ebene, auf der alle drei Anforderungsrahmen technisch verifizierbar werden. Im Enterprise-Paket bündelt CERTavia die Layer-0-Evidenz als konsolidierte Infrastruktur-Evidenz mit Art.-50-Bezug und Zuordnung zu NIS2- und DORA-relevanten Signalen — kein DORA-Reporting im Sinne von Incident Reports oder Register of Information.
Weiterführende Seiten
Die Hochrisiko-Kategorien und technischen Anforderungen ausführlich erklärt.
NIS2 und DORA Schnittmengen →Wo EU AI Act, NIS2 und DORA auf dieselbe Infrastruktur-Ebene treffen.
EU AI Act Schnelltest: Annex-III-Risiko in zwei Minuten evaluieren →Fragen und Antworten zur Einschätzung der eigenen Risikoklasse.
Wie CERTavia funktioniert →Der deterministische Prüfprozess und das Validierungsverfahren erklärt.
Art. 50 EU AI Act verlangt einen maschinenlesbaren Transparenznachweis. CERTavia liefert ihn.
In 90 Sekunden, kryptografisch signiert, als Anlage beifügbar im Conformity Assessment Dossier — ohne Gespräch, ohne Formular.
Jetzt Domain prüfen Art. 50 Nachweis im Detail →Fragen zum EU AI Act Infrastruktur-Nachweis
Ist das eine offizielle Zertifizierung?
Nein. CERTavia stellt keinen behördlich anerkannten Zertifikat aus. Das Ergebnis ist ein technischer Infrastruktur-Nachweis — kryptografisch signiert, deterministisch, maschinenlesbar. Offizielle Konformitätsbewertungen nach Art. 43 bauen auf solchen technischen Nachweisen auf. Mehr dazu im Glossar →
Wer erkennt diesen Nachweis an?
Der SOVP-Nachweis ist als technisches Beweismittel für interne Compliance-Teams, externe Auditoren und Auftraggeber konzipiert. Das Sovereign Validation Protocol ist als IETF Draft eingereicht. Der Nachweis ist DNS-verankert und kryptografisch signiert — jede Partei kann Echtheit und Zeitpunkt unabhängig verifizieren.
Wie lange ist ein Report rechtlich verwertbar?
Der SOVP-Nachweis dokumentiert den Infrastrukturzustand zum Scan-Zeitpunkt mit kryptografischem Zeitstempel. Für EU AI Act Audits nach Art. 50 ist Compliance eine fortlaufende Verpflichtung — kein einmaliger Nachweis. Wir empfehlen Re-Scans mindestens jährlich sowie nach substanziellen Infrastrukturänderungen. Full Scan Pro mit Sovereign Vault permanent abrufbar via Token ist für Audit-Dossiers empfohlen.
Was ist der Unterschied zu einem Pentest oder ISO 27001?
Pentest: Aktive, manuelle Schwachstellensuche. SOVP prüft passiv und deterministisch die Infrastrukturkonfiguration in 90 Sekunden — reproduzierbar und auditierbar. ISO 27001: Umfassendes Managementsystem. CERTavia liefert den maschinenlesbaren Infrastruktur-Nachweis für Art. 50 EU AI Act — beides schließt sich nicht aus und kann kombiniert werden.
Den eigenen Infrastruktur-Status kennen
Quick Scan – kostenfrei
Der kostenfreie Quick Scan liefert das Layer-0-Ergebnis Ihrer Domain in 90 bis 120 Sekunden. Kein Formular, keine Registrierung.
Domain jetzt scannen – kostenlosEnterprise & individuelle Anforderungen
Für komplexe Organisationsstrukturen oder individuelle Dokumentationsanforderungen steht das Kontaktformular zur Verfügung.
Kontakt aufnehmenDiese Seite dient der technischen Orientierung und stellt keine Rechtsberatung dar. Die Darstellung des EU AI Act gibt den Kenntnisstand zum Zeitpunkt der Veröffentlichung wieder. Regulatorische Anforderungen entwickeln sich weiter. Die Einschätzung konkreter Pflichten im Einzelfall obliegt qualifizierten Rechts- und Compliance-Beratern. CERTavia liefert technische Infrastruktur-Validierung auf Basis des Sovereign Validation Protocol (SOVP, Patent Pending Nr. 64/005,737).