EU AI Act für Entwicklungsteams

FAQ

Welche Pflichten haben Entwicklungsteams unter dem EU AI Act?

Für den Normalfall - ein Team nutzt kommerzielle KI-Coding-Assistenten, um gewöhnliche Software zu bauen - ist das Pflichtenpaket klein: Die Organisation ist Betreiber (Deployer) und schuldet KI-Kompetenz-Maßnahmen für die Beschäftigten, die mit den Tools arbeiten (Art. 4, durch den Digital Omnibus 2026 zu einer „Unterstützungs“-Pflicht abgeschwächt); Transparenzpflichten nach Art. 50 greifen nur, wo Menschen mit von euch betriebenen KI-Systemen interagieren. Die schweren Anbieter-Pflichten treffen euch erst, wenn ihr selbst KI-Systeme in Verkehr bringt - und das Hochrisiko-Regime nur, wenn diese in die regulierten Kategorien fallen.

Ist die Nutzung von GitHub Copilot, Claude Code oder Cursor durch den AI Act reguliert?

Die Nutzung macht eure Organisation zum Betreiber eines KI-Systems - das löst Stand Juli 2026 wenig mehr aus als die abgeschwächte KI-Kompetenz-Pflicht; Coding-Assistenten stehen in keiner Hochrisiko-Kategorie. Die GPAI-Pflichten für die zugrunde liegenden Modelle tragen die Tool-Anbieter. Was der AI Act ausdrücklich nicht tut: die Qualität des Codes regulieren, den diese Tools erzeugen. Die bleibt eure Engineering-Verantwortung.

Was hat der Digital Omnibus im Juni 2026 geändert?

Drei Punkte sind für Entwicklungsteams relevant. Die Hochrisiko-Fristen wurden verschoben: eigenständige Annex-III-Systeme auf den 2. Dezember 2027, in regulierte Produkte eingebettete KI (Annex I) auf den 2. August 2028. Die KI-Kompetenz-Pflicht aus Art. 4 wurde von „sicherstellen“ auf „die Entwicklung von KI-Kompetenz unterstützen“ abgeschwächt. Die Transparenzpflichten nach Art. 50 blieben beim 2. August 2026, mit einer Watermarking-Schonfrist bis 2. Dezember 2026 für Bestandssysteme.

Wann wird ein Entwicklungsteam vom Betreiber zum Anbieter?

Grob: wenn es ein KI-System entwickelt oder entwickeln lässt und unter eigenem Namen in Verkehr bringt oder in Betrieb nimmt. Ein Team, das ein KI-Feature im eigenen Produkt ausliefert, bewegt sich für dieses System Richtung Anbieter-Rolle; ein Team, das KI-Tools nur zum Schreiben konventionellen Codes nutzt, nicht. Weil die Einstufung über das Pflichtenpaket entscheidet, gehört sie zu eurem Justiziariat, nicht in eine Daumenregel.

Verlangt der AI Act, dass wir KI-generierten Code verifizieren?

Als solcher nicht - der AI Act reguliert KI-Systeme, nicht den Code, den sie für euch schreiben. Kein Artikel schreibt Review oder Verifikation von Assistenten-Output für gewöhnliche Software vor. Die Gründe zu verifizieren sind Engineering- und Haftungsgründe: Die neue Produkthaftungsrichtlinie behandelt Software als Produkt, Branchenregeln verlangen nachvollziehbare Prozesse, und ungeprüfter KI-Code hat gemessene Fehlerraten. Der AI Act ist der falsche Ort, diese Pflicht zu suchen - es gibt sie trotzdem.

Was sollte ein Team jetzt realistisch tun?

Vier Dinge, keins davon dramatisch: dokumentieren, welche KI-Tools in welchen Rollen im Einsatz sind (das beantwortet die meisten Audit-Fragen); eine verhältnismäßige KI-Kompetenz-Maßnahme für die Tool-Nutzer durchführen und festhalten; prüfen, ob etwas, das ihr ausliefert, selbst ein KI-System ist - und wenn ja, mit dem Justiziariat gegen die Post-Omnibus-Fristen einstufen; und eure Verifikations- und Nachweis-Praxis schriftlich machen. Nicht weil der AI Act es verlangt, sondern weil die Nachbarregeln und euer eigenes Risiko es tun.