Der EU AI Act ist seit Februar 2025 schrittweise in Kraft und verpflichtet Unternehmen mit KI-Systemen im europäischen Markt zur risikobasierten Compliance, unabhängig vom Unternehmenssitz. Für Unternehmen mit Multi-Region-Deployments bedeutet das konkret: Jedes KI-System muss nach seinem Risikoniveau klassifiziert werden. Hochrisiko-Anwendungen, etwa in Bildung oder Gesichtserkennung, unterliegen strengen Auflagen. Zusätzlich greifen sektorspezifische Regeln, zum Beispiel die Medical Device Regulation für KI-gestützte Medizinprodukte. Wer mehrere Märkte bedient, muss diese Anforderungsschichten je Region prüfen und dokumentieren.

EU AI Act 2025: Was Multi-Region-Deployments jetzt kosten und welche Regeln gelten

Unternehmen, die KI-Systeme gleichzeitig in mehreren Ländern betreiben, müssen seit dem schrittweisen Inkrafttreten des EU AI Act mit einem erheblich komplexeren Compliance-Rahmen rechnen. Erste Abschnitte der Verordnung greifen bereits seit Februar 2025, weitere Pflichten folgen gestaffelt.

Der risikobasierte Ansatz bestimmt die Kostenhöhe

Der EU AI Act folgt einem risikobasierten Ansatz: KI-Systeme werden nach ihrem Gefährdungspotenzial in Kategorien eingeteilt, von verbotenen Anwendungen bis hin zu Systemen mit minimalem Risiko. Für Betreiber mit grenzüberschreitenden Deployments bedeutet das, dass dasselbe System in unterschiedlichen Einsatzfeldern verschiedene Risikokategorien auslösen kann. Ein bildgebendes KI-System in der Radiologie etwa gilt als Hochrisiko-Anwendung und unterliegt strengen Auflagen, während dasselbe Modell in einem anderen Kontext niedriger eingestuft werden könnte.

Hochrisiko-Systeme, zum Beispiel in den Bereichen Gesichtserkennung, Bildung oder Personalmanagement, erfordern laut der Verordnung unter anderem Risikomanagement-Systeme, umfangreiche Dokumentation, Datenqualitätssicherung sowie Konformitätsbewertungen. All das erzeugt direkte Kosten, die sich bei Multi-Region-Deployments multiplizieren können, wenn sektorspezifische Anforderungen hinzukommen.

Mehr zu den Konformitätskosten für KMU und Mittelstand finden Sie in unserer gesonderten Analyse.

Territoriale Anforderungen: Wo die Verordnung gilt

Die KI-Verordnung gilt grundsätzlich für alle KI-Systeme, die auf dem EU-Binnenmarkt in Verkehr gebracht oder in Betrieb genommen werden, unabhängig davon, wo der Anbieter seinen Sitz hat. Für Multi-Region-Deployments folgt daraus: Ein in den USA oder Asien entwickeltes und betriebenes KI-System, das Nutzern in der EU bereitgestellt wird, fällt in den Anwendungsbereich. Unternehmen müssen prüfen, in welchen Regionen ihrer Infrastruktur die Verordnung greift und welche lokalen Behörden für die Aufsicht zuständig sind.

Zusätzlich zur KI-Verordnung müssen Hochrisiko-Anwendungen häufig sektorspezifische Anforderungen erfüllen, etwa aus der EU-Maschinenverordnung oder der Medical Device Regulation (MDR). Medizinprodukte, die auf KI aufbauen, müssen sowohl die MDR-Anforderungen als auch die Vorgaben des AI Act erfüllen, was den Prüfaufwand bei internationalen Deployments erhöht. Matthieu-P. Schapranow vom Hasso-Plattner-Institut weist in einem Beitrag für die Plattform Lernende Systeme darauf hin, dass KI-basierte Medizinprodukte schon vor dem AI Act hohen regulatorischen Anforderungen unterlagen und nun ein zusätzliches Regelwerk zu berücksichtigen ist.

Einen Überblick zu Importverboten für nicht konforme KI aus Drittländern bietet dieser Artikel.

Vier praktische Implikationen für Entscheider

1. Compliance-Kosten steigen mit der Anzahl der Regionen. Wer KI-Systeme in mehreren EU-Mitgliedstaaten betreibt, muss lokale Marktüberwachungsbehörden kennen, nationale Meldepflichten beachten und gegebenenfalls länderspezifische Konformitätsnachweise erbringen. Fraunhofer IPA bietet entsprechende Workshops zur Compliance-Umsetzung an, zuletzt für den Zeitraum November 2026 bis Mai 2027.

2. Verbotene Anwendungen gelten uneingeschränkt im gesamten EU-Raum. KI-Systeme zur Verhaltensmanipulation oder zum Social Scoring sind ohne Ausnahme untersagt. Wer solche Funktionen in Drittländern betreibt und den Dienst auch EU-Nutzern anbietet, riskiert Sanktionen. Eine Trennung der Deployments nach Rechtsraum ist technisch und organisatorisch aufwendig.

3. Dokumentations- und Transparenzpflichten müssen pro System und Einsatzbereich erfüllt werden. Für jedes Hochrisiko-System sind technische Dokumentation, Betriebsanleitungen und Konformitätserklärungen bereitzuhalten. Bei einem Multi-Region-Deployment mit mehreren Produktvarianten multipliziert sich der Dokumentationsaufwand entsprechend. Lesen Sie dazu auch unseren Artikel zu den Dokumentations- und Transparenzpflichten für KI-Anbieter.

4. Sektorspezifische Überschneidungen erhöhen den Prüfaufwand. Unternehmen in regulierten Branchen wie Medizintechnik, Finanzdienstleistungen oder kritischer Infrastruktur müssen den AI Act zusammen mit bestehenden Sektorregulierungen lesen. Die Anforderungen überlagern sich, sind aber nicht deckungsgleich. Welche BSI-Anforderungen für KI in kritischen Infrastrukturen gelten, erklärt unser Artikel zum BSI C5-Katalog für KI-Sicherheit.

Fristen nicht verpassen

Die Anforderungen des EU AI Act treten gestaffelt in Kraft. Erste Verbote galten ab Februar 2025. Für Hochrisiko-Systeme und GPAI-Modelle gelten weitere Fristen in den Folgejahren. Unternehmen sollten ihre KI-Systeme frühzeitig inventarisieren, nach Risikokategorien klassifizieren und prüfen, welche territorialen Deployments zusätzliche Pflichten auslösen. Eine Compliance-Roadmap, die Regionen, Risikostufen und Fristen zusammenführt, ist dabei ein zentrales Steuerungsinstrument.

Zur Compliance-Roadmap mit allen Fristen und Phasen bis 2026 haben wir eine gesonderte Übersicht veröffentlicht.

Quellen

• EU AI Act: Neue Regeln für den Einsatz von KI verstehen und umsetzen (heise.de)
• Schritt für Schritt zur Compliance: Der EU AI Act praxisnah erklärt (Fraunhofer IPA)
• Der EU AI Act und seine Auswirkungen auf Medizinprodukte (Plattform Lernende Systeme / Hasso-Plattner-Institut)

Häufige Fragen

Gilt der EU AI Act auch für Unternehmen außerhalb der EU, die KI-Systeme in Europa einsetzen oder anbieten?

Ja. Die KI-Verordnung der EU-Kommission gilt nicht nur für europäische Unternehmen, sondern für alle Anbieter und Betreiber, deren KI-Systeme auf dem europäischen Markt eingesetzt werden. Unternehmen mit Multi-Region-Deployments müssen daher sicherstellen, dass ihre in der EU genutzten Systeme den Anforderungen des AI Act entsprechen, unabhängig davon, wo der Unternehmenssitz liegt.

Welche Anforderungen gelten speziell für Hochrisiko-KI-Systeme im grenzüberschreitenden Einsatz?

Für KI-Systeme, die als Hochrisiko eingestuft sind, etwa in den Bereichen Gesichtserkennung oder Bildung, schreibt der AI Act strenge Auflagen vor. Dazu gehören Risikomanagementmaßnahmen, Transparenzpflichten sowie technische Sicherheitsstandards. Hinzu kommen sektorspezifische Anforderungen: Wer etwa KI-gestützte Medizinprodukte in mehreren EU-Ländern betreibt, muss neben dem AI Act auch die EU-Medizinprodukteverordnung (MDR, EU 2017/745) und gegebenenfalls die EU-Maschinenverordnung einhalten.

Ab wann müssen Unternehmen die Anforderungen des EU AI Act konkret erfüllen?

Der AI Act ist gestaffelt in Kraft getreten. Erste Regelungen, insbesondere die Verbote für KI-Systeme mit unannehmbarem Risiko wie Verhaltensmanipulation oder Social Scoring, gelten bereits seit Februar 2025. Weitere Anforderungen, etwa für Hochrisiko-Systeme, greifen zeitversetzt. Unternehmen sollten ihre Compliance-Prozesse deshalb nicht aufschieben, da einzelne Pflichten bereits heute rechtlich bindend sind.

Welche KI-Anwendungen sind unter dem EU AI Act generell verboten?

Die Verordnung folgt einem risikobasierten Ansatz und stuft bestimmte KI-Systeme als nicht zulässig ein. Verboten sind Anwendungen, die ein unannehmbares Risiko für Grundrechte darstellen. Als Beispiele nennt der Rechtsrahmen ausdrücklich Systeme zur Verhaltensmanipulation sowie solche, die auf Social Scoring ausgerichtet sind. Diese Verbote gelten EU-weit und betreffen damit auch internationale Anbieter, die solche Systeme in Europa einsetzen.

Was sollten Unternehmen bei Multi-Region-Deployments konkret vorbereiten, um EU-Compliance sicherzustellen?

Unternehmen müssen ihre eingesetzten KI-Systeme zunächst nach dem risikobasierten Ansatz des AI Act klassifizieren. Darauf aufbauend sind je nach Risikokategorie unterschiedliche Pflichten zu erfüllen: von Dokumentations- und Transparenzanforderungen über Datenschutzvorgaben bis hin zu technischen Sicherheitsstandards. Für regulierte Sektoren wie Medizin oder Maschinenbau kommen sektorspezifische Verordnungen hinzu. Fraunhofer IPA und andere Institutionen empfehlen einen strukturierten, schrittweisen Compliance-Prozess, der Use-Case-spezifische Risikobewertungen einschließt.

Dieser Artikel wurde von einem KI-System automatisiert erstellt. Kennzeichnung gemäß Art. 50 der EU-KI-Verordnung.