EU AI Act Umsetzung: 4 Architektur-Prinzipien für Compliance ohne Kontrollverlust

Der EU AI Act ist seit August 2026 in Kraft und verlangt von Unternehmen, die KI-Systeme einsetzen, konkrete Maßnahmen zur Risikominimierung und Transparenz. Wer jetzt nicht handelt, riskiert Bußgelder von bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes – und verliert das Vertrauen von Kunden und Aufsichtsbehörden. Die gute Nachricht: Mit einer durchdachten KI-Architektur wird Compliance zum Nebenprodukt des Systems, statt zur bürokratischen Last.

Was der EU AI Act konkret von Unternehmen fordert

Der EU AI Act verlangt von Unternehmen, die KI-Systeme einsetzen, eine Risikobewertung, Dokumentation und Transparenz – unabhängig davon, ob die KI selbst entwickelt oder nur genutzt wird. Konkret müssen Sie nachweisen, welche Daten in welches KI-System fließen, wie das System trainiert wurde und welche Maßnahmen Sie ergriffen haben, um Risiken zu minimieren. Diese Anforderungen gelten nicht nur für Hochrisiko-KI, sondern auch für allgemeine Systeme wie ChatGPT, wenn sie in Arbeitsabläufe integriert werden. Die DSGVO bleibt parallel voll wirksam – der EU AI Act ergänzt sie, ersetzt sie aber nicht.

Architektur-Prinzip 1: Zentrales KI-Gateway als Kontrollpunkt

Ein zentrales KI-Gateway ist der erste Baustein, um EU AI Act und DSGVO gleichzeitig zu erfüllen. Alle KI-Anfragen aus dem Unternehmen laufen über einen einzigen, kontrollierten Punkt – kein Mitarbeiter kommuniziert direkt mit externen KI-Endpunkten. Das Gateway protokolliert jede Anfrage, prüft sie auf personenbezogene Daten und leitet sie je nach Sensibilität an das passende Modell weiter. Ohne ein solches Gateway haben Sie keine Möglichkeit, die geforderte Transparenz herzustellen – Sie wüssten nicht einmal, welche Daten überhaupt an KI-Systeme gehen.

Architektur-Prinzip 2: Filterung vor dem Modell – Datenmaskierung als Standard

Bevor ein Prompt das Unternehmen verlässt, muss er automatisiert auf personenbezogene Daten geprüft werden – das ist keine Option, sondern eine Pflicht aus DSGVO und EU AI Act. Named-Entity-Recognition (NER) erkennt Namen, Adressen, Kundennummern und Gesundheitsdaten zuverlässig und maskiert oder blockiert sie. Diese Technologie ist ausgereift und in Open-Source-Bibliotheken verfügbar – sie in die Gateway-Architektur zu integrieren, ist ein überschaubarer Entwicklungsaufwand. Ein Beispiel: Ein Versicherungsunternehmen in Frankfurt hat so verhindert, dass Krankheitsdaten von Kunden in US-Clouds gelangen – automatisch, ohne dass Mitarbeiter geschult werden mussten.

Architektur-Prinzip 3: Sensible Daten bleiben in europäischen Clouds

Für Workloads mit besonders sensiblen Daten – Personalakten, Gesundheitsdaten, Geschäftsgeheimnisse – sollten Sie auf offene Modelle setzen, die auf europäischer Infrastruktur laufen. Anbieter wie STACKIT betreiben Rechenzentren in Deutschland und unterliegen der DSGVO – damit entfällt das Problem des Drittlandtransfers. Die Qualität offener Modelle wie Llama 3 oder Mistral ist inzwischen so hoch, dass sie auf zentralen Benchmarks mit den großen US-Modellen mithalten können – der frühere Kompromiss bei der Qualität ist praktisch verschwunden. Für viele Anwendungen im Mittelstand ist das die wirtschaftlichste und rechtlich sicherste Lösung.

Architektur-Prinzip 4: Vollständige Protokollierung für Audits

Jede KI-Anfrage, jede Antwort, jeder Nutzer – mit Zeitstempel und Ergebnis – muss protokolliert werden, um die Nachweispflichten aus EU AI Act und DSGVO zu erfüllen. Diese Protokolle sind die Grundlage für jede Antwort an Aufsichtsbehörden: „Welche Daten sind wohin geflossen?“ – diese Frage muss sich aus dem System heraus beantworten lassen, nicht durch mühsame E-Mail-Recherche. Ein gut konfiguriertes Gateway exportiert diese Reports automatisch und macht Compliance-Dokumentation zum Nebenprodukt des Betriebs. Unternehmen, die das nicht haben, stehen bei einer Prüfung vor einem massiven Problem – und das ist kein hypothetisches Szenario.

Was das für Ihr Unternehmen bedeutet

Mit dieser Architektur dreht sich die Ausgangslage um: Ihre Mitarbeiter dürfen KI nutzen, sogar bequemer als vorher, weil keine Grauzone mehr existiert. Die Compliance-Dokumentation entsteht automatisch, statt als Fleißarbeit im Nachgang. Und wenn die Aufsichtsbehörde anfragt, exportieren Sie einen Report – statt eine Woche lang Erinnerungen zu sammeln. Der EU AI Act wird damit nicht zur Bedrohung, sondern zum Anlass, die KI-Nutzung im Unternehmen endlich sauber zu strukturieren. Wer jetzt handelt, verschafft sich einen Wettbewerbsvorteil – wer wartet, riskiert Bußgelder und Vertrauensverlust.

FAQ

Welche Unternehmen sind vom EU AI Act betroffen?

Der EU AI Act betrifft alle Unternehmen, die KI-Systeme in der EU entwickeln, einsetzen oder importieren – unabhängig von der Unternehmensgröße. Auch kleine und mittlere Unternehmen sind betroffen, wenn sie KI-Tools wie ChatGPT in Arbeitsabläufe integrieren. Die Pflichten sind abgestuft: Je höher das Risiko des KI-Systems, desto strenger die Anforderungen. Für die meisten Anwendungen im Mittelstand gelten Transparenz- und Dokumentationspflichten, aber keine Zertifizierungspflicht.

Was ist der Unterschied zwischen EU AI Act und DSGVO?

Die DSGVO regelt den Schutz personenbezogener Daten, der EU AI Act regelt die Sicherheit und Transparenz von KI-Systemen. Beide Gesetze gelten parallel und ergänzen sich. Der EU AI Act verlangt zum Beispiel eine Risikobewertung für KI-Systeme, die DSGVO verlangt eine Datenschutz-Folgenabschätzung für bestimmte Verarbeitungen. In der Praxis müssen Sie beide Anforderungen gleichzeitig erfüllen – eine saubere KI-Architektur hilft dabei, beide Regelwerke effizient umzusetzen.

Reicht ein Auftragsverarbeitungsvertrag (AVV) mit dem KI-Anbieter aus?

Nein, ein AVV allein reicht nicht aus. Der AVV regelt die rechtliche Verantwortung, aber er verhindert nicht, dass Daten unkontrolliert an externe Anbieter fließen. Der EU AI Act verlangt zusätzlich technische Maßnahmen wie Filterung und Protokollierung. Ein AVV ist ein notwendiger Baustein, aber er ersetzt keine durchdachte Architektur. Ohne ein zentrales Gateway und Datenmaskierung können Sie die geforderten Nachweise nicht erbringen.

Wie lange dauert die Umsetzung einer complianten KI-Architektur?

Die Umsetzung einer KI-Architektur mit Gateway, Filterung und Protokollierung dauert in der Regel 4 bis 8 Wochen, abhängig von der Komplexität der bestehenden IT-Landschaft. In einem ersten Workshop wird der Ist-Zustand analysiert, dann wird die Architektur skizziert und schrittweise implementiert. Unternehmen, die bereits eine moderne Cloud-Infrastruktur nutzen, können oft schneller umsetzen als solche mit Legacy-Systemen. Wichtig ist, frühzeitig zu starten, um die Fristen des EU AI Act sicher einzuhalten.

Fazit

Der EU AI Act ist kein Grund zur Panik, sondern ein Anlass, die KI-Nutzung im Unternehmen endlich sauber zu strukturieren. Unternehmen in der Rhein-Main-Region, von Darmstadt bis Frankfurt, sollten jetzt handeln und eine Architektur aufbauen, die Compliance automatisch erzeugt. Wir von dataso unterstützen Sie dabei – von der ersten Analyse bis zur laufenden Umsetzung. Vereinbaren Sie ein Gespräch, um die KI-Potenziale für Ihr Unternehmen zu besprechen.