EU AI Act: Was Unternehmen bei der Wahl eines AI-Gateways beachten müssen

Der EU AI Act (Verordnung (EU) 2024/1689) ist das erste umfassende KI-Gesetz der EU. Er stuft KI-Systeme nach Risiko ein und nimmt auch Unternehmen in die Pflicht, die KI nur einsetzen. Diese Checkliste zeigt, worauf ihr bei der Wahl eines AI-Gateways achten solltet, damit die Entscheidung AI-Act-fest ist.

Das Wichtigste in Kürze

• Der EU AI Act (VO 2024/1689) gilt gestaffelt; Verbote, GPAI- und Transparenzpflichten sind bereits anwendbar.

• Der Digital Omnibus (VO 2026/1744, in Kraft seit 27.07.2026) verschiebt Hochrisiko-Pflichten auf den 02.12.2027 (Anhang III) bzw. 02.08.2028 (Anhang I).

• Die Transparenzpflichten nach Art. 50 wurden nicht verschoben – sie treffen die meisten Gateway-Anwendungsfälle seit dem 02.08.2026.

• Ein Gateway ist der günstigste Ort, um Kennzeichnung, Logging und Modellherkunft zentral zu erfüllen.

Es gibt diesen Moment in fast jedem Unternehmen, das KI einführen will: Jemand aus der Rechtsabteilung fragt „Ist das eigentlich AI-Act-konform?" – und im Raum wird es still. Der EU AI Act ist mittlerweile keine ferne Zukunftsmusik mehr, sondern gültiges Recht mit gestaffelten Anwendungsfristen. Wer jetzt ein KI-Gateway auswählt, sollte nicht nur an Modellqualität und Preis denken, sondern an die Frage: Hält das auch in zwei Jahren noch einer Prüfung stand?

Was der AI Act für den Gateway-Einsatz konkret bedeutet

Der AI Act klassifiziert KI-Systeme nach Risikostufen – von minimal bis inakzeptabel. Für die meisten Business-Anwendungsfälle (Kundenservice-Chatbots, interne Assistenten, Dokumentenanalyse) landet man meist im Bereich „begrenztes Risiko" oder „hohes Risiko", je nach Einsatzgebiet. Entscheidend ist: Die Verantwortung liegt nicht nur beim Modellanbieter, sondern auch bei euch als Unternehmen, das die Technologie einsetzt.

Ein AI-Gateway sitzt dabei an einer strategisch wichtigen Stelle – es ist der zentrale Durchlaufpunkt für alle KI-Anfragen. Das macht es zum idealen Ort, um Compliance-Anforderungen technisch umzusetzen, statt sie in zehn verschiedenen Anwendungen einzeln nachzurüsten.

Der AI Act ist am 1. August 2024 in Kraft getreten und gilt gestaffelt: Verbotene Praktiken sind seit dem 2. Februar 2025 untersagt, die Pflichten für allgemeine KI-Modelle (GPAI) gelten seit dem 2. August 2025, die Transparenzpflichten nach Art. 50 seit dem 2. August 2026. Verstöße gegen die verbotenen Praktiken können mit Bußgeldern von bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes geahndet werden (Art. 99, Verordnung (EU) 2024/1689).

Wichtig seit Juli 2026: Der Digital Omnibus verschiebt die Hochrisiko-Fristen

Wer noch mit dem 2. August 2026 als Stichtag für Hochrisiko-Systeme plant, rechnet mit einem überholten Datum. Die Verordnung (EU) 2026/1744 („Digital Omnibus on AI", verabschiedet am 8. Juli 2026, im Amtsblatt veröffentlicht am 24. Juli 2026, in Kraft seit dem 27. Juli 2026) hat die Pflichten für Hochrisiko-KI-Systeme nach hinten verschoben. Begründet wird das damit, dass die harmonisierten technischen Normen noch nicht fertig sind und die Benennung der notifizierten Stellen hinterherhinkt.

Für die Gateway-Auswahl heißt das zweierlei. Erstens: Der Zeitdruck bei Hochrisiko-Anwendungen ist geringer als vielerorts noch kommuniziert. Zweitens – und das wird oft übersehen: Die Transparenzpflichten nach Art. 50 wurden nicht verschoben. Wer einen Chatbot betreibt oder KI-generierte Inhalte ausspielt, ist seit dem 2. August 2026 in der Pflicht, unabhängig von der Risikoklasse. Genau diese Pflicht trifft die überwiegende Mehrheit der Gateway-Anwendungsfälle.

Die Checkliste: Worauf bei der Gateway-Wahl achten

Transparenzpflichten erfüllbar?

Der AI Act verlangt bei bestimmten Anwendungen, dass Nutzer wissen, dass sie mit einer KI interagieren. Ein gutes Gateway sollte euch ermöglichen, das technisch sauber umzusetzen und zu dokumentieren, welches Modell wann welche Antwort generiert hat.

Nachvollziehbarkeit und Logging

Könnt ihr im Zweifel nachweisen, welche Anfrage zu welcher Antwort geführt hat, mit welchem Modell, zu welchem Zeitpunkt? Ohne durchgängiges Logging wird jede spätere Prüfung zum Blindflug.

Modellauswahl und Herkunftstransparenz

Wisst ihr, welches Modell hinter eurem Gateway tatsächlich antwortet? Modelltausch ohne Ankündigung ist bei manchen Anbietern üblich – für Compliance-Zwecke ist das ein Problem, weil sich Risikobewertung und Modellverhalten je nach Anbieter unterscheiden.

Datenverarbeitungsstandort

Auch wenn der AI Act primär auf das KI-System selbst zielt, bleibt die DSGVO parallel in Kraft. Ein Gateway ohne EU-Serverstandort schafft zwei Baustellen gleichzeitig statt einer. Welche Wege es gibt, US-Modelle trotzdem rechtssicher in Europa zu betreiben, haben wir in OpenAI, Claude und Gemini in Europa nutzen im Detail aufgeschlüsselt.

Möglichkeit zur menschlichen Aufsicht

Für höherrisikoklassifizierte Anwendungsfälle verlangt der AI Act Mechanismen zur menschlichen Kontrolle. Euer Gateway sollte technisch erlauben, Eingriffe, Freigaben oder Eskalationen einzubauen – nicht erst nachträglich als Sonderentwicklung.

Warum das für die Gateway-Entscheidung heute schon zählt

Der häufigste Fehler: Unternehmen wählen ein Gateway nach Preis und Modellauswahl, und die Compliance-Fragen kommen erst, wenn die gestaffelten AI-Act-Fristen näher rücken. Dann steht man vor der Wahl, entweder das ganze System nochmal umzubauen oder mit einem Compliance-Risiko weiterzuarbeiten, das eigentlich vermeidbar gewesen wäre.

Ein Gateway, das von Anfang an in Europa gebaut und für europäische Regularien gedacht ist, spart genau diesen zweiten Umbau. kontinent.ai wurde mit dieser Prämisse entwickelt: EU-Hosting, durchgängiges Nachvollziehbarkeits-Logging (Metadaten), transparente Modellherkunft und ein AVV, der zur DSGVO passt – nicht als nachträgliches Add-on, sondern als Grundgerüst. Wie sich das gegen andere EU-Router schlägt, zeigt unser Vergleich DSGVO-konformer LLM-Router.

Häufige Fragen

Gilt der EU AI Act auch für kleine Unternehmen?

Ja, grundsätzlich gilt er unabhängig von der Unternehmensgröße. Die konkreten Pflichten hängen von der Risikoklasse der eingesetzten KI-Anwendung ab, nicht von der Unternehmensgröße.

Ab wann muss ich den AI Act beachten?

Gestaffelt, je nach Risikokategorie. Verbote gelten seit dem 2. Februar 2025, GPAI-Pflichten seit dem 2. August 2025, die Transparenzpflichten nach Art. 50 seit dem 2. August 2026. Für Hochrisiko-Systeme nach Anhang III gilt seit dem Digital Omnibus der 2. Dezember 2027, nach Anhang I der 2. August 2028. Wer jetzt KI-Systeme einführt, sollte die Anforderungen trotzdem von Beginn an mitdenken, statt später nachzurüsten.

Reicht DSGVO-Konformität nicht schon aus?

Nein. Die DSGVO regelt den Umgang mit personenbezogenen Daten – dazu gehört ein sauberer Auftragsverarbeitungsvertrag für KI-Tools. Der AI Act reguliert zusätzlich das KI-System selbst – etwa Transparenzpflichten, Risikoklassifizierung und Aufsichtsmechanismen. Beide Regelwerke gelten parallel.

Muss ich für jedes Modell einzeln AI-Act-Konformität prüfen?

Ein zentrales Gateway kann diese Prüfung bündeln, statt sie für jede einzelne Anwendung separat durchzuführen – das ist einer der praktischen Vorteile eines gut konfigurierten Gateways.

Was droht bei Verstößen gegen den EU AI Act?

Je nach Verstoß gelten gestaffelte Bußgelder. Bei verbotenen Praktiken sind es bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes (Art. 99). Für andere Verstöße gelten niedrigere, aber weiterhin erhebliche Rahmen – ein Grund, Compliance früh mitzudenken.

Ist ein Gateway mit US-Serverstandort automatisch nicht AI-Act-konform?

Nicht automatisch, aber es erschwert die Sache: Neben den AI-Act-Pflichten gilt die DSGVO parallel, und ein Datenverarbeitungsort außerhalb der EU schafft zusätzlichen Prüf- und Dokumentationsaufwand. Ein EU-Standort reduziert beide Baustellen auf eine.

Quellen

• Verordnung (EU) 2024/1689 (KI-Verordnung) – EUR-Lex

• Verordnung (EU) 2026/1744 (Digital Omnibus on AI) – EUR-Lex, in Kraft seit 27.07.2026

• EDSA, Stellungnahme 28/2024 zu KI-Modellen (18.12.2024)

• Verordnung (EU) 2016/679 (DSGVO) – EUR-Lex

Stand: 27. August 2026 · kontinent.ai. Rechtsstand geprüft gegen EUR-Lex; keine Rechtsberatung.