Mehr Regulierung als KI-Unternehmen? Der EU AI Act zwischen Schutz, Innovation und technologischer Souveränität

Hinweis

Update vom 11. August 2026: Diesen Beitrag habe ich ursprünglich Ende 2023 geschrieben, kurz nachdem sich EU-Parlament und Mitgliedstaaten politisch auf den AI Act geeinigt hatten. Damals war vieles noch Verhandlungsergebnis, Interpretation und Prognose. Inzwischen ist aus dem Entwurf geltendes Recht geworden. Deshalb habe ich den ursprünglichen Beitrag für meine Webseite überarbeitet, Quellen aktualisiert und meine damalige Einschätzung aus heutiger Perspektive ergänzt.

Mehr Regulierung als vorhandene KI-Unternehmen?

Diese Frage war 2023 bewusst provokant formuliert.

Die Europäische Union hatte sich gerade auf den AI Act verständigt. Während generative KI durch ChatGPT und andere Modelle plötzlich für Millionen Menschen praktisch nutzbar wurde, arbeitete Europa bereits intensiv am passenden Regelwerk.

Mein erster Gedanke war damals sinngemäß:

Schaffen wir gerade schneller Regeln für KI, als wir selbst wettbewerbsfähige KI-Unternehmen und die dafür notwendige Infrastruktur aufbauen?

Drei Jahre später halte ich diese Frage noch immer für relevant.

Allerdings aus einem etwas anderen Grund.

Regulierung von künstlicher Intelligenz ist gut und notwendig .

KI-Systeme können Menschen diskriminieren, Entscheidungen beeinflussen, persönliche Daten verarbeiten oder in Bereichen eingesetzt werden, in denen Fehler erhebliche Folgen haben. Regeln zum Schutz von Grundrechten, Sicherheit und Transparenz sind deshalb kein Selbstzweck.

Der EU AI Act versucht genau dafür einen gemeinsamen europäischen Rahmen zu schaffen.

Das eigentliche Problem liegt für mich inzwischen eine Ebene tiefer.

Europa reguliert eine der wichtigsten Schlüsseltechnologien der kommenden Jahrzehnte – während wir bei wesentlichen Bestandteilen dieser Technologie gleichzeitig von anderen Weltregionen abhängig sind.

Und damit wird aus einer Regulierungsfrage eine industriepolitische und geopolitische Frage.

Also: ab ins regulatorische Rabbit Hole.

Was ist der EU AI Act überhaupt?

Der AI Act , offiziell die Verordnung (EU) 2024/1689, schafft einen gemeinsamen Rechtsrahmen für künstliche Intelligenz innerhalb der Europäischen Union.

Der Grundgedanke ist zunächst ziemlich nachvollziehbar:

Nicht jede KI ist gleich gefährlich – also sollte auch nicht jede KI gleich stark reguliert werden.

Ein Spamfilter ist etwas anderes als ein System, das darüber entscheidet, ob jemand einen Kredit erhält.

Ein KI-Assistent für die Formulierung einer E-Mail ist etwas anderes als eine Software, die Bewerber automatisiert bewertet.

Der AI Act verfolgt deshalb einen risikobasierten Ansatz. Die Europäische Kommission erläutert diesen Ansatz auf ihrer offiziellen Seite zum europäischen Rechtsrahmen für künstliche Intelligenz.

Vereinfacht lassen sich mehrere Bereiche unterscheiden.

Verbotene KI-Anwendungen

Bestimmte Anwendungen betrachtet die EU als so problematisch, dass sie grundsätzlich verboten sind.

Dazu gehören beispielsweise bestimmte Formen des Social Scoring, manipulative KI-Anwendungen, bestimmte biometrische Kategorisierungen oder das ungezielte Sammeln von Gesichtsbildern aus dem Internet zum Aufbau von Gesichtserkennungsdatenbanken.

Die vollständigen Regelungen finden sich insbesondere in Artikel 5 des AI Acts.

Die Logik dahinter lässt sich stark vereinfachen:

Das Risiko lässt sich hier nicht einfach mit zusätzlicher Dokumentation beheben. Die Anwendung selbst wird als nicht akzeptabel angesehen.

Hochrisiko-KI

Spannender wird es bei sogenannten High-Risk AI Systems .

Das sind bestimmte KI-Systeme, deren Einsatz erhebliche Auswirkungen auf Sicherheit oder Grundrechte haben kann.

Ein Beispiel:

Ein Unternehmen verwendet KI, um Bewerbungen vorzusortieren.

Die KI entscheidet vielleicht nicht final darüber, wer eingestellt wird. Wenn sie bestimmte Bewerber jedoch automatisiert aussortiert oder bewertet, beeinflusst sie unmittelbar deren berufliche Chancen.

Der AI Act nennt entsprechende Anwendungsfelder unter anderem im Bereich Beschäftigung, Bildung, kritischer Infrastruktur, Strafverfolgung sowie bei bestimmten Zugängen zu wesentlichen privaten oder öffentlichen Dienstleistungen.

Die entsprechenden Kategorien finden sich in Artikel 6 und Anhang III des AI Acts.

Für solche Systeme entstehen deutlich umfangreichere Anforderungen, etwa hinsichtlich Risikomanagement, Dokumentation, Datenqualität, menschlicher Aufsicht, Genauigkeit, Robustheit und Cybersicherheit.

KI mit Transparenzpflichten

Dann gibt es Anwendungen, deren Einsatz grundsätzlich zulässig ist, bei denen Menschen aber erkennen können sollen, dass KI beteiligt ist.

Ein einfaches Beispiel ist ein Chatbot.

Wenn ich mit einer Maschine interagiere, soll ich unter bestimmten Voraussetzungen darüber informiert werden.

Auch für bestimmte synthetisch erzeugte oder manipulierte Inhalte gelten Transparenzanforderungen.

Die entsprechende Regelung findet sich in Artikel 50 des AI Acts. Seit dem 2. August 2026 gelten diese Transparenzregeln. Eine Übersicht über die aktuelle Umsetzung bietet der offizielle AI Act Service Desk der Europäischen Kommission.

Nicht jede KI ist automatisch Hochrisiko-KI

Das ist wichtig, weil in Diskussionen schnell der Eindruck entsteht, nahezu jede KI-Anwendung sei nun hochreguliert.

Das stimmt nicht.

Die konkrete Bewertung hängt stark vom Anwendungsfall, der Rolle des jeweiligen Unternehmens und dem eingesetzten System ab.

Das bedeutet zugleich:

„Wir verwenden KI“ sagt regulatorisch fast nichts aus. Entscheidend ist, wie und wofür sie eingesetzt wird.

Und genau hier beginnt bereits das erste praktische Problem für Unternehmen.

Sie müssen überhaupt wissen, welche KI-Systeme sie einsetzen, wofür sie eingesetzt werden, welche Daten hineinfließen und wer dafür verantwortlich ist.

Ein kleines Beispiel statt 100 Seiten Gesetzestext

Nehmen wir ein mittelständisches Unternehmen mit drei KI-Anwendungen.

• Anwendung A: Mitarbeitende verwenden einen KI-Assistenten, um interne Texte sprachlich zu verbessern.

• Anwendung B: Ein Chatbot beantwortet Kundenfragen auf der Webseite.

• Anwendung C: Eine KI bewertet Bewerbungen und sortiert Kandidatinnen und Kandidaten automatisch vor.

Technologisch könnten hinter allen drei Anwendungen sogar ähnliche Modelle stehen.

Organisatorisch und regulatorisch sind sie trotzdem nicht dasselbe.

Bei Anwendung A stehen möglicherweise zunächst interne Regeln, Datenschutz, Informationssicherheit und Kompetenzen der Mitarbeitenden im Vordergrund.

Bei Anwendung B können zusätzliche Transparenzanforderungen relevant werden.

Bei Anwendung C bewegen wir uns möglicherweise im Bereich einer Hochrisiko-Anwendung, weil das System Einfluss auf den Zugang zu Beschäftigung nimmt.

Das ist für mich einer der wichtigsten Punkte des gesamten AI Acts:

Nicht das Wort „KI“ entscheidet über das Risiko. Der Kontext entscheidet.

Was bedeutet GPAI?

Im ursprünglichen Beitrag von 2023 war noch häufig von Foundation Models die Rede.

Heute verwendet der AI Act vor allem den Begriff General-Purpose AI Models – GPAI .

Gemeint sind Modelle, die nicht nur für einen eng festgelegten Zweck entwickelt wurden, sondern sehr unterschiedliche Aufgaben erfüllen können.

Große Sprachmodelle sind dafür ein gutes Beispiel.

Ein solches Modell kann Texte zusammenfassen, programmieren, Fragen beantworten, Inhalte strukturieren oder Teil unterschiedlichster Softwareprodukte werden.

Damit entsteht ein interessantes regulatorisches Problem:

Der Entwickler des Basismodells kennt möglicherweise noch gar nicht alle Anwendungen, in denen das Modell später eingesetzt wird.

Deshalb unterscheidet der AI Act verschiedene Rollen entlang der Wertschöpfungskette.

Vereinfacht:

• Provider stellen Systeme oder Modelle bereit.

• Deployer setzen KI-Systeme innerhalb ihrer Organisation ein.

Ein Unternehmen, das ein fertiges KI-System verwendet, befindet sich damit in einer anderen Rolle als das Unternehmen, das das zugrunde liegende Modell entwickelt.

Auch deshalb funktioniert die Frage

„Ist dieses KI-Tool AI-Act-konform?“

häufig nicht besonders gut.

Die bessere Frage lautet:

Wie setzen wir dieses System ein – und welche Rolle haben wir dabei?

Was aus der Einigung von 2023 geworden ist

Als ich den ursprünglichen Artikel schrieb, hatten sich Europäisches Parlament und Rat gerade politisch auf den AI Act verständigt.

Der finale AI Act wurde 2024 verabschiedet und trat am 1. August 2024 in Kraft.

Seitdem werden die verschiedenen Teile schrittweise angewendet.

Der aktuelle Zeitplan ist beim AI Act Service Desk der Europäischen Kommission dokumentiert.

• Seit dem 2. Februar 2025 gelten unter anderem allgemeine Vorschriften und Verbote bestimmter KI-Praktiken.

• Seit dem 2. August 2025 gelten unter anderem Vorschriften für General-Purpose-AI-Modelle.

• Seit dem 2. August 2026 gelten große Teile des AI Acts, darunter die Transparenzanforderungen aus Artikel 50.

Bei den Regeln für Hochrisiko-Systeme wurde der ursprüngliche Zeitplan allerdings noch einmal verändert.

Ausgerechnet die Hochrisiko-Regeln wurden verschoben

Das ist rückblickend besonders interessant.

Eine meiner Sorgen von 2023 war, dass Europa umfangreiche Anforderungen definiert, während Unternehmen bei der konkreten technischen Umsetzung lange mit offenen Fragen konfrontiert bleiben.

2026 wurde der Rechtsrahmen deshalb nochmals angepasst.

Mit dem sogenannten AI Omnibus wurden unter anderem Fristen verlängert und bestimmte Anforderungen vereinfacht. Laut Europäischer Kommission gelten die Regeln für Hochrisiko-Systeme nach Anhang III nun ab dem 2. Dezember 2027 . Für bestimmte KI-Systeme als Bestandteil regulierter Produkte nach Anhang I gilt eine Frist bis zum 2. August 2028 .

Die Kommission begründet die Änderungen unter anderem mit einer einfacheren Umsetzung, geringeren administrativen Belastungen und größerer rechtlicher Klarheit.

Das ist bemerkenswert.

Nicht, weil der AI Act damit gescheitert wäre.

Sondern weil es ein grundsätzliches Problem technologischer Regulierung sichtbar macht:

Ein Gesetz kann schneller fertig sein als die praktische Antwort darauf, wie Unternehmen seine Anforderungen technisch und organisatorisch umsetzen sollen.

Und genau diese Unsicherheit kann Investitions- und Einführungsentscheidungen beeinflussen.

Die wichtigere Frage: Wer besitzt eigentlich die KI?

An diesem Punkt reicht es für mich aber nicht mehr, nur über Compliance zu sprechen.

Denn KI ist nicht einfach irgendeine Software.

Moderne KI benötigt eine gesamte technologische Wertschöpfungskette:

• Halbleiter,
• Rechenzentren,
• Energie,
• Cloud-Infrastruktur,
• leistungsfähige KI-Modelle,
• Daten,
• Fachkräfte,
• Kapital
• und Unternehmen, die daraus skalierbare Produkte entwickeln.

Wer große Teile dieser Infrastruktur kontrolliert, besitzt nicht nur einen wirtschaftlichen Vorteil.

Er gewinnt strategischen Handlungsspielraum.

Und genau hier beginnt die geopolitische Dimension.

Europa reguliert eine Technologie, bei der es selbst hinterherläuft

Das ist keine reine persönliche Einschätzung.

Die Europäische Kommission formuliert die Problematik inzwischen selbst ziemlich deutlich.

Im Annual Single Market and Competitiveness Report 2025 schreibt die Kommission, dass Europa im Bereich künstlicher Intelligenz hinterherhinkt.

Noch deutlicher wird sie wenig später:

Bei der Entwicklung von KI müsse Europa gegenüber den USA und China aufholen, die bereits weit voraus seien.

Das verändert für mich die Diskussion über den AI Act.

Wir reden nicht nur darüber, wie Europa KI reguliert .

Wir müssen gleichzeitig darüber sprechen, wer die zugrunde liegende Technologie entwickelt und kontrolliert .

Denn wenn europäische Unternehmen KI einsetzen möchten, greifen sie heute sehr häufig auf Modelle, Cloud-Infrastrukturen oder Plattformen internationaler Anbieter zurück.

Damit entsteht eine Abhängigkeit, die weit über die Frage hinausgeht, ob ein einzelnes Tool DSGVO- oder AI-Act-konform eingesetzt werden kann.

Der Blick auf das Kapital ist ernüchternd

Ein besonders deutlicher Indikator ist das Risikokapital.

Die OECD hat die weltweiten Venture-Capital-Investitionen in KI-Unternehmen für 2025 ausgewertet.

Das Ergebnis:

KI-Unternehmen in den USA erhielten rund 194 Milliarden US-Dollar und damit etwa 75 Prozent des weltweiten AI-VC-Dealvolumens.

Unternehmen in der EU27 kamen auf rund 15,8 Milliarden US-Dollar beziehungsweise sechs Prozent .

China lag mit etwa 13,9 Milliarden US-Dollar beziehungsweise fünf Prozent in diesen Daten sogar knapp hinter der EU.

Das ist eine wichtige Differenzierung.

Es wäre deshalb falsch zu behaupten, dass Europa bei jeder Form von KI-Investitionen automatisch weit hinter China liegt.

Was die Zahlen aber sehr deutlich zeigen:

Der Abstand zu den USA ist enorm.

Und noch etwas ist wichtig.

Venture-Capital-Daten bilden die chinesische KI-Strategie nur teilweise ab.

China verfolgt seit Jahren einen stark staatlich koordinierten Ansatz, der neben Unternehmen auch industrielle Infrastruktur, Forschung, Compute, Daten und die Anwendung von KI in bestehenden Wirtschaftszweigen umfasst.

China behandelt KI als strategische Infrastruktur

China veröffentlichte bereits 2017 seinen nationalen Entwicklungsplan für die nächste Generation künstlicher Intelligenz.

Das erklärte Ziel: China sollte bis 2030 zu einem der weltweit führenden Innovationszentren für KI werden.

Die chinesische Regierung bezifferte das angestrebte Volumen der Kern-KI-Industrie auf mehr als eine Billion Yuan und das Volumen verbundener Industrien auf mehr als zehn Billionen Yuan. Eine Zusammenfassung des staatlichen Entwicklungsziels findet sich auf dem offiziellen Portal der chinesischen Regierung.

Seitdem wurde dieser Ansatz weiter ausgebaut.

Mit der sogenannten „AI Plus“-Initiative soll KI tief in Wirtschaft und Gesellschaft integriert werden.

2026 berichtete die chinesische Regierung, dass die chinesische Kern-KI-Industrie im Jahr 2025 bereits ein Volumen von mehr als 1,2 Billionen Yuan erreicht habe. Gleichzeitig wurden mehr als 6.200 KI-Unternehmen angegeben. Für die nächsten Schritte nennt die Regierung unter anderem große intelligente Rechencluster und den Ausbau neuer Infrastruktur. Die Zahlen und Ziele sind auf dem offiziellen Regierungsportal Chinas dokumentiert.

Natürlich sollten staatliche Angaben Chinas nicht mit unabhängigen Marktstatistiken gleichgesetzt werden.

Interessant ist für mich vor allem die strategische Perspektive:

KI wird nicht isoliert als Softwarethema betrachtet.

Es geht gleichzeitig um Compute, Infrastruktur, Industrie, Daten, Forschung und wirtschaftliche Anwendung.

Die USA formulieren KI ebenfalls als geopolitische Infrastrukturfrage

Auch die Vereinigten Staaten betrachten künstliche Intelligenz inzwischen explizit unter industrie- und geopolitischen Gesichtspunkten.

Der 2025 veröffentlichte America’s AI Action Plan des Weißen Hauses enthält dafür einen eigenen Schwerpunkt unter dem Titel „Build American AI Infrastructure“ .

Der Plan benennt unter anderem:

• Halbleiterfabriken,
• Rechenzentren,
• Energieversorgung
• und den beschleunigten Aufbau entsprechender Infrastruktur.

Die dahinterstehende Logik ist ziemlich eindeutig:

Wer bei KI führend sein will, muss nicht nur Modelle entwickeln. Er muss die physische und digitale Infrastruktur dafür besitzen.

Und genau deshalb halte ich es für zu kurz gedacht, den europäischen AI Act ausschließlich als Verbraucherschutz- oder Compliance-Thema zu betrachten.

Europas Problem ist nicht, dass wir gar nicht fördern

Hier möchte ich meine Kritik von 2023 heute etwas korrigieren.

Die einfache Erzählung

„Europa reguliert, während die USA und China investieren“

ist zu einfach.

Auch Deutschland und Europa haben lange vor dem AI Act in KI investiert.

Die Bundesregierung hatte beispielsweise im Rahmen ihrer KI-Strategie angekündigt, bis 2025 insgesamt fünf Milliarden Euro für KI-Förderung bereitzustellen. Das lässt sich in einer offiziellen Veröffentlichung der Bundesregierung nachvollziehen.

Das Problem ist deshalb weniger:

„Europa fördert KI überhaupt nicht.“

Sondern:

Reichen Geschwindigkeit, Größenordnung und Strukturen aus, um in einem globalen Technologiewettbewerb eigene Handlungsfähigkeit zu behalten?

Und die Antwort darauf fällt deutlich kritischer aus.

Europa hat das Infrastrukturproblem inzwischen selbst erkannt

Auch das zeigt die aktuelle europäische Strategie.

Mit dem AI Continent Action Plan will die EU ihre eigenen KI-Kapazitäten deutlich ausbauen.

Unter anderem nennt die Kommission:

200 Milliarden Euro , die über die InvestAI-Initiative für KI-Investitionen in Europa mobilisiert werden sollen.

Davon sollen 20 Milliarden Euro für bis zu fünf große AI Gigafactories mobilisiert werden.

Darüber hinaus entstehen AI Factories auf Basis der europäischen Supercomputing-Infrastruktur.

Die EU möchte außerdem ihre Rechenzentrumskapazität in den kommenden Jahren erheblich erhöhen.

Dabei ist eine Unterscheidung wichtig:

Die genannten 200 Milliarden Euro sind kein einzelner EU-Fördertopf .

Es geht um die Mobilisierung öffentlichen und privaten Kapitals.

Trotzdem ist die Richtung bemerkenswert.

Europa baut heute genau jene Infrastruktur auf, deren Fehlen Teil der Kritik an seiner bisherigen KI-Strategie war.

Das werte ich positiv.

Aber es bestätigt gleichzeitig, dass die Frage der technologischen Souveränität real ist.

Regulierung ohne technologische Souveränität hat einen Haken

Damit kommen wir zu meiner eigentlichen Kritik.

Ich möchte keine unregulierte KI.

Im Gegenteil.

Wenn KI immer stärker in Entscheidungen, Arbeit, Verwaltung und Gesellschaft eingreift, brauchen wir Regeln.

Aber Regulierung allein schafft noch keine technologische Handlungsfähigkeit.

Wenn unsere Unternehmen für KI auf Modelle aus den USA angewiesen sind,

wenn wesentliche Cloud-Infrastrukturen von amerikanischen Hyperscalern bereitgestellt werden,

wenn wichtige Teile der Halbleiter-Wertschöpfung außerhalb Europas liegen,

und wenn gleichzeitig ein Großteil des privaten KI-Kapitals in andere Regionen fließt,

dann regulieren wir eine Technologie, deren grundlegende Entwicklung wir nur begrenzt kontrollieren.

Das macht Regulierung nicht falsch.

Aber es verändert ihre geopolitische Bedeutung.

Technologische Souveränität bedeutet für mich deshalb nicht, alles selbst entwickeln zu müssen. Sie bedeutet, echte Wahlmöglichkeiten zu besitzen.

• Zwischen verschiedenen Anbietern.
• Zwischen Cloud und On-Premises.
• Zwischen proprietären und offenen Modellen.
• Zwischen europäischen und internationalen Infrastrukturen.

Abhängigkeit entsteht dort, wo diese Wahlmöglichkeiten verschwinden.

Und was bedeutet das für Unternehmen?

Für ein mittelständisches Unternehmen klingt das zunächst sehr weit weg.

Man möchte doch eigentlich nur einen internen KI-Assistenten einführen.

Aber genau dort landen diese großen Fragen irgendwann im Arbeitsalltag.

• Welcher Anbieter wird verwendet?
• Wo werden Daten verarbeitet?
• Welches Modell steckt dahinter?
• Kann der Anbieter gewechselt werden?
• Welche Schnittstellen werden genutzt?
• Welche Informationen dürfen in das System?
• Welche regulatorischen Pflichten gelten?
• Welche Dokumentation benötigen wir?
• Wer trägt Verantwortung?
• Was passiert, wenn sich ein Modell oder ein Dienst ändert?

Und plötzlich wird aus der Auswahl eines KI-Tools eine Architekturentscheidung.

Unsicherheit kann zum eigentlichen Innovationshemmnis werden

Das halte ich insbesondere für kleine und mittlere Unternehmen für relevant.

Ein Großkonzern kann eigene Abteilungen für Datenschutz, Informationssicherheit, Legal, Compliance und AI Governance aufbauen.

Ein mittelständisches Unternehmen möglicherweise nicht.

Wenn bei einer neuen KI-Anwendung zunächst unklar ist,

• was erlaubt ist,
• welche Anforderungen gelten,
• welche Daten genutzt werden dürfen,
• welche Dokumentation notwendig ist
• und welche Verantwortung das Unternehmen selbst trägt,

entsteht schnell eine verständliche Reaktion:

Dann machen wir lieber erst einmal nichts.

Das wäre aus meiner Sicht eines der schlechtesten möglichen Ergebnisse.

Nicht, weil jedes Unternehmen möglichst schnell möglichst viel KI einsetzen sollte.

Sondern weil regulatorische Unsicherheit dann dazu führt, dass sinnvolle Anwendungsfälle gar nicht erst untersucht werden.

Dass die Europäische Kommission inzwischen einen eigenen AI Act Service Desk, regulatorische Sandboxes und zusätzliche Leitlinien aufbaut und mit dem AI Omnibus ausdrücklich mehr Klarheit und weniger administrative Belastung schaffen möchte, zeigt, dass diese praktische Umsetzungsfrage auch auf europäischer Ebene erkannt wurde.

Genau hier treffen sich KI-Regulierung und Wissensmanagement

Und hier schließt sich für mich ein Kreis, den ich 2023 noch deutlich weniger gesehen habe.

Viele Herausforderungen bei der Einführung von KI beginnen nämlich vor der KI .

• Welche Systeme verwenden wir?
• Welche Prozesse unterstützen sie?
• Wo liegen unsere Daten?
• Wer besitzt welche Informationen?
• Welche Daten dürfen für welche Zwecke verwendet werden?
• Welche Schnittstellen bestehen zwischen Systemen?
• Welche Abhängigkeiten entstehen?
• Welche Person ist verantwortlich?
• Wo befindet sich die relevante Dokumentation?
• Welche Richtlinie gilt?

Wenn eine Organisation diese Fragen nicht beantworten kann, hat sie nicht nur ein Compliance-Problem.

Sie hat bereits vorher ein Informations- und Architekturproblem .

Gute Vorbereitung hilft doppelt

Genau deshalb halte ich es für einen Fehler, AI Governance als isoliertes Compliance-Projekt aufzubauen.

Ein sauberes Mapping von

• Wissen,
• Prozessen,
• Daten,
• Systemen,
• Verantwortlichkeiten
• und Abhängigkeiten

hilft auf zwei Ebenen gleichzeitig.

Bei der KI-Einführung

Ich kann besser erkennen, wo KI tatsächlich sinnvoll eingesetzt werden kann.

Ich weiß, welche Informationen benötigt werden.

Ich erkenne Medienbrüche.

Ich entdecke Datenprobleme.

Ich sehe technische Abhängigkeiten.

Und ich kann beurteilen, ob ein neuer KI-Anwendungsfall überhaupt einen wirtschaftlichen Mehrwert bietet.

Bei Governance und Regulierung

Gleichzeitig kann ich nachvollziehen, welches System wo eingesetzt wird.

Ich kenne den Verantwortlichen.

Ich kenne den Zweck.

Ich kann verwendete Datenquellen identifizieren.

Ich kann Risiken bewerten.

Ich kann Anforderungen dokumentieren.

Und ich kann Änderungen nachvollziehen.

Das ist derselbe organisatorische Unterbau.

Deshalb würde ich heute sogar noch deutlicher sagen:

Gutes Wissens-, Prozess- und Datenmanagement ist keine Nebenaufgabe einer KI-Einführung. Es ist ihre Infrastruktur.

Der AI Act ist damit auch ein Wissensmanagement-Thema

Stellen wir uns vor, regulatorisches Wissen liegt ausschließlich bei Legal.

Informationen zu den eingesetzten Tools liegen bei der IT.

Die Fachabteilungen kennen die tatsächlichen Anwendungsfälle.

Der Einkauf kennt Verträge und Anbieter.

Datenschutz kennt die Verarbeitungstätigkeiten.

Informationssicherheit kennt technische Risiken.

Und einzelne Mitarbeitende verwenden längst weitere KI-Tools, von denen niemand etwas weiß.

Formal besitzt die Organisation unglaublich viel Wissen.

Praktisch kann sie trotzdem eine simple Frage nicht beantworten:

Welche KI verwenden wir eigentlich?

Das ist kein Mangel an Informationen.

Es ist ein Problem ihrer Verbindung.

Und genau deshalb ist für mich AI Governance letztlich auch Wissensmanagement.

Nicht als Dokumentenablage.

Sondern als Fähigkeit einer Organisation, die richtigen Informationen, Systeme, Verantwortlichkeiten und Entscheidungen miteinander in Beziehung zu setzen.

Erst mappen, dann automatisieren

Bevor ein Unternehmen eine große AI-Governance-Plattform einkauft, würde ich deshalb viel banaler anfangen.

Welche KI-Systeme sind bereits im Einsatz?

Danach:

• Wofür werden sie genutzt?
• Welche Prozesse unterstützen sie?
• Welche Daten fließen hinein und hinaus?
• Welcher Anbieter steckt dahinter?
• Wer ist verantwortlich?
• Welche Abhängigkeiten bestehen?
• Welche Risiken entstehen?

Erst wenn diese grundlegenden Zusammenhänge sichtbar sind, lässt sich sinnvoll entscheiden, welche Governance-Strukturen, Kontrollen, Automatisierungen oder zusätzlichen Tools tatsächlich benötigt werden.

Denn auch beim AI Act gilt etwas, das ich bei Digitalisierung immer wieder beobachte:

Ein neues Tool löst keine unklaren Strukturen. Es digitalisiert sie höchstens.

Mein Fazit drei Jahre später

Meine ursprüngliche Kritik am AI Act war 2023 bewusst provokant.

Damals lautete die Frage:

Haben wir bald mehr Regulierung als erfolgreiche europäische KI-Unternehmen?

Heute würde ich sie erweitern.

Regulierung ist notwendig.

Aber Regulierung allein macht Europa nicht souverän.

Eine nachhaltige europäische KI-Strategie braucht gleichzeitig

• Regeln,
• Forschung,
• Kapital,
• Rechenleistung,
• Energie,
• Daten,
• Infrastruktur,
• Talente
• und Unternehmen, die daraus international wettbewerbsfähige Produkte bauen können.

Die EU scheint diese Verbindung inzwischen stärker zu erkennen. AI Factories, Gigafactories, InvestAI und der AI Continent Action Plan zeigen zumindest eine deutlich industriepolitischere Perspektive als noch vor einigen Jahren.

Ob das reicht, wird sich zeigen.

Für Unternehmen ist die Konsequenz ohnehin eine andere:

Sie sollten nicht auf den perfekten regulatorischen Zustand warten.

Sie sollten ihre eigene Ausgangslage verstehen.

• Welche Daten haben wir?
• Welche Prozesse haben wir?
• Wo liegt unser Wissen?
• Welche Systeme verwenden wir?
• Welche Abhängigkeiten bestehen?
• Und wo kann KI tatsächlich einen sinnvollen Beitrag leisten?

Wer diese Fragen beantworten kann, ist nicht nur besser auf den AI Act vorbereitet.

Er kann auch bessere KI-Systeme bauen und einsetzen.

Vielleicht ist das am Ende sogar die wichtigere Erkenntnis:

Wissensmanagement, Prozesse und Daten kommen nicht nach der KI. Sie kommen davor. Denn Technologie folgt dem Problem - nicht anders herum.

Und sie helfen uns anschließend dabei, sowohl die Technologie als auch ihre Regulierung beherrschbar zu machen.

---

Dieser Beitrag stellt meine persönliche Einordnung des EU AI Acts und der europäischen KI-Politik dar und keine Rechtsberatung.*

FAQ