EU-KI-Verordnung (AI Act)
Kurz gesagtRegelt Risiko und Transparenz von KI, nicht den Standort. Der Standort wird trotzdem zum Thema.
Die KI-Verordnung ordnet Systeme nach Risiko: verbotene Praktiken, Hochrisikosysteme mit umfangreichen Pflichten, Systeme mit Transparenzpflicht und der große Rest ohne besondere Auflagen.
Die Vorschriften greifen gestaffelt: Verbotene Praktiken und KI-Kompetenzpflichten seit Februar 2025, Pflichten für Modelle mit allgemeinem Verwendungszweck seit August 2025, die Hochrisiko-Regeln folgen später.
Warum das mit Souveränität zu tun hat
Direkt: gar nicht. Die Verordnung schreibt keinem vor, europäische Modelle zu nutzen.
Indirekt: sehr viel. Sie verlangt Dokumentation darüber, welche Systeme eingesetzt werden, wofür, auf welcher Datengrundlage und mit welcher menschlichen Aufsicht. Und sie macht Betreiber verantwortlich, nicht nur Anbieter.
Ein Unternehmen, das nicht weiß, welche KI-Dienste seine Abteilungen benutzen, kann diese Pflicht nicht erfüllen. Damit erzwingt die Verordnung genau die Bestandsaufnahme, an der Schatten-IT sichtbar wird.
Der praktische Effekt
Zwei Wege führen aus diesem Problem. Der eine ist ein Verbot, das nicht funktioniert, weil die Werkzeuge über den Browser erreichbar sind. Der andere ist ein bereitgestellter, dokumentierter Zugang, der gut genug ist, dass niemand ausweicht.
Der zweite Weg ist auch der souveränitätsfreundlichere: Wer ohnehin einen zentralen Zugang stellt, kann ihn auf einen europäischen Anbieter legen, ohne dass es jemanden im Alltag stört.
Die häufigste Fehlannahme
Dass die Verordnung KI-Nutzung erschwert. Sie erschwert undokumentierte KI-Nutzung. Das ist etwas anderes und im Zweifel auch im Interesse des Unternehmens, unabhängig von der Rechtslage.