Was der EU AI Act für Agenturen und Beratungen praktisch bedeutet
Der EU AI Act tritt stufenweise in Kraft — nicht alles gilt am ersten Tag für jeden Use Case. Für Agenturen und Beratungen ist die Deployer-Perspektive zentral: Ihr setzt oft KI-Systeme im Kundenprozess ein oder beratt dazu — dann braucht ihr Transparenz, Risikoeinstufung, Dokumentation und menschliche Aufsicht dort, wo es der Act verlangt.
Die EU-Kommission zum AI Act (öffnet in neuem Tab) und die Implementation Timeline (öffnet in neuem Tab) sind die Primäranker für Fristen (Stand 2026). Parallel gilt die DSGVO — siehe DSGVO-LLM-Checkliste.
Praktische Regel: Risikoinventar jetzt, Pflichten staffeln — nicht pauschal „alles Hochrisiko“ behandeln.
Timeline und Prioritäten für 2026
Zuerst klären: Nutzt ihr verbotene Praktiken (z. B. bestimmte Manipulation/Scoring-Szenarien)? Wenn nein, fokussiert auf GPAI-Pflichten (wenn ihr Modelle bereitstellt) und Deployer-Pflichten für KI im Kundenkontext. Hochrisiko-Systeme brauchen stärkere Dokumentation und Überwachung — oft nicht der erste Agentur-Pilot.
Für die meisten Agentur-Workflows (Triage, Zusammenfassung, Entwurf mit Freigabe) liegt der Schwerpunkt auf Governance, Logging und menschlicher Kontrolle — nicht auf Zertifizierungsmarathon vor dem ersten KPI.
Quartalsweise Timeline-Review: neue Guidance der Kommission und nationale Umsetzung können Detailpflichten schärfen.
Deployer-Pflichten in Kundenprojekten
Als Deployer (oder Mitverantwortlicher im Kundenauftrag): System verstehen, Zweck dokumentieren, Aufsicht sicherstellen, Vorfälle melden können, Nutzer informieren wo nötig. Vertraglich: Rolle, Haftung, Daten, Subunternehmer-Kette.
Verknüpfe mit KI-Governance-Rollenkonzept: Wer ist Accountable, wer führt Reviews durch, wer pflegt das Risikoinventar?
Kundenaudits werden billiger, wenn Evidenz-Templates (Checklisten, Logs, Freigaben) von Anfang an mitgeliefert werden.
GPAI und Anbieterwahl — was Agenturen prüfen müssen
Wenn ihr GPAI-Modelle einbindet: Dokumentation des Anbieters, Nutzungsbeschränkungen, Copyright-/Trainings-Transparenz soweit verfügbar. Enterprise-Verträge und API-Datenkontrollen (OpenAI Your Data (öffnet in neuem Tab)) sind Bausteine — nicht der gesamte Nachweis.
Für EU-Hosting und Datenfluss: KI-Stack mit EU-Fokus und AVV/TIA.
Limit: Dieser Artikel ersetzt keine Rechtsberatung für konkrete Hochrisiko-Produkte.
Umsetzungsreihenfolge in 60 Tagen
Tage 1–15: Risikoinventar aller KI-Use-Cases (intern + Kunde). Tage 16–30: Rollen, Policies, Evidenz-Templates. Tage 31–45: Pilot mit HITL und Logging. Tage 46–60: Review, Lückenliste, Kundenkommunikation.
Koppelt das an Use-Case-Priorisierung — Compliance folgt dem Pilot, blockiert ihn nicht monatelang.
Ziel: Ihr könnt in Kunden-Calls erklären, welche Pflicht für welchen Use Case gilt — mit Datum und Quelle.
