EU AI Act und Softwareprojekte: Was Auftraggeber:innen wissen müssen

Der EU AI Act betrifft Softwareprojekte immer dann, wenn Ihre Software eine KI-Funktion enthält oder Ihr Dienstleister KI beim Entwickeln einsetzt. Die gute Nachricht: Für viele Vorhaben bleibt der Aufwand überschaubar, und die Fristen für Hochrisiko-Systeme wurden verschoben. Die schlechte: Wer jetzt nichts klärt, plant später unter Zeitdruck. Dieser Beitrag zeigt, was sich geändert hat, was Sie in Ihrem nächsten Softwareprojekt festhalten sollten und wo Sie rechtliche Beratung brauchen.

Hinweis: Dieser Beitrag ist eine fachliche Orientierung für Auftraggeber:innen und keine Rechtsberatung. Ob und welche Pflichten Ihr Vorhaben treffen, klären Sie bitte mit einer fachkundigen Rechtsberatung.

Was der EU AI Act für Softwareprojekte bedeutet

Der EU AI Act ist die europäische Verordnung für Systeme mit künstlicher Intelligenz. Sie sortiert KI-Anwendungen nach Risiko: Manche Anwendungen sind verboten, manche gelten als „hochriskant“ und unterliegen strengen Pflichten, für wieder andere gelten vor allem Transparenzregeln. Der überwiegende Teil alltäglicher Business-Software fällt nicht in die strengste Kategorie.

Für Sie als Auftraggeber:in ist vor allem die Rollenfrage wichtig:

• Anbieter:in: Sie lassen eine Software mit KI-Funktion entwickeln und bringen sie unter Ihrem Namen auf den Markt oder in Ihren Betrieb.
• Betreiber:in: Sie setzen ein fertiges KI-System im eigenen Unternehmen ein, etwa einen Chatbot oder eine Auswertung.
• Nur Werkzeug im Hintergrund: Ihr Dienstleister nutzt KI-Assistenten, um Code zu schreiben. Die ausgelieferte Software enthält selbst keine KI-Funktion.

Der dritte Fall ist der häufigste. Er löst den AI Act nicht automatisch aus, wirft aber Fragen zu Datenschutz und Qualitätssicherung auf – mehr dazu im Leitfaden zur KI-Softwareentwicklung.

Welche Fristen sich verschoben haben

Mit dem Digital Omnibus, Verordnung (EU) 2026/1744, wurden mehrere Termine verändert. Nach der Zusammenfassung der Kanzlei Orrick gilt:

Thema	Neuer Termin	Bisher
Hochrisiko-Systeme nach Anhang III (eigenständige Anwendungen, etwa in Personalwesen oder Kreditvergabe)	2. Dezember 2027	2. August 2026
Hochrisiko-Systeme nach Anhang I (KI in Produkten, die bereits EU-Produktsicherheitsrecht unterliegen)	2. August 2028	–
Kennzeichnung KI-generierter Inhalte für Systeme, die vor dem 2. August 2026 auf den Markt kamen	2. Dezember 2026	–

Die Anwendungsfrist für eigenständige Hochrisiko-Systeme wurde laut der Zusammenfassung von Addleshaw Goddard also um rund 16 Monate verschoben. „Verschoben“ heißt aber nicht „abgeschafft“: Die Pflichten kommen, nur später. Wer heute ein Softwareprojekt startet, das 2027 in Betrieb geht, sollte sie von Anfang an mitdenken. Je nach Quelle werden einzelne Details unterschiedlich dargestellt, etwa zur KI-Kompetenzpflicht für Unternehmen. Prüfen Sie daher den Wortlaut der Verordnung im Amtsblatt der EU oder lassen Sie ihn prüfen.

Fünf Fragen vor dem Projektstart

Diese Fragen kosten wenig Zeit und ersparen später teure Umbauten:

1. Enthält die Software KI-Funktionen? Dazu zählen Textgenerierung, Klassifizierung, Prognosen oder automatische Entscheidungsvorschläge.
2. Wen betrifft das Ergebnis? Beeinflusst die KI Entscheidungen über Menschen, etwa Bewerber:innen, Mitarbeiter:innen oder Kund:innen? Dann ist die Hochrisiko-Frage besonders sorgfältig zu prüfen.
3. Welche Daten fließen in die KI? Personenbezogene Daten brauchen eine Rechtsgrundlage nach DSGVO, unabhängig vom AI Act.
4. Wer kontrolliert die Ergebnisse? Ein Mensch sollte KI-Ausgaben prüfen und korrigieren können. Das ist auch fachlich sinnvoll.
5. Wie wird die KI später gewartet? Modelle ändern sich. Wer verantwortet Updates, Tests und Dokumentation?

Was Sie mit Ihrem Dienstleister vereinbaren sollten

Gute Zusammenarbeit zeigt sich daran, dass diese Punkte vor dem ersten Code geklärt sind:

• Einsatzzweck schriftlich festhalten: Wofür darf die KI-Funktion verwendet werden und wofür ausdrücklich nicht? Der Einsatzzweck entscheidet maßgeblich über die Risikoeinstufung.
• Dokumentation: Welche Modelle und Dienste werden verwendet, wo laufen sie, welche Daten verarbeiten sie? Diese Übersicht brauchen Sie später auch für Datenschutz und Audits.
• Tests und Qualitätskriterien: Woran messen Sie, ob die KI-Funktion gut genug arbeitet? Legen Sie Testfälle gemeinsam fest.
• Verantwortlichkeiten: Wer ist bei Fehlern, Updates und Änderungen am Modell zuständig? Das gehört in den Vertrag.
• Einsatz von KI-Werkzeugen durch den Dienstleister: Welche Werkzeuge werden verwendet, welche Daten dürfen dort hinein, und wer prüft den Code? Bei KI-Coding-Agenten ist das besonders wichtig.

Bei gemeinsamer, agiler Entwicklung lassen sich diese Punkte laufend schärfen, weil Sie als Auftraggeber:in Teil des Teams sind. Wie das funktioniert, beschreibt der Beitrag zur agilen Zusammenarbeit.

Typische Fehler bei KI-Projekten

• Alles auf einmal wollen: Beginnen Sie mit einer klar umrissenen KI-Funktion statt mit einer „KI-Strategie“ für das ganze Unternehmen.
• Rechtliche Fragen ans Ende schieben: Wer erst vor dem Go-live prüft, ob die Anwendung zulässig ist, riskiert Umbauten.
• Ausgaben ungeprüft übernehmen: KI liefert plausibel klingende, aber manchmal falsche Ergebnisse. Ohne menschliche Kontrolle wird daraus ein Risiko.
• Datenschutz vergessen: Der AI Act ersetzt die DSGVO nicht, beide Regelwerke gelten nebeneinander.
• Abhängigkeit unterschätzen: Wer ein externes KI-Modell einbindet, sollte klären, was passiert, wenn der Anbieter Preise, Bedingungen oder das Modell ändert.

Wie gecko-flow Sie unterstützt

Als Softwareentwicklungs-Partner begleiten wir Ihr Projekt von der Konzeption über die Realisierung bis zur Betreuung. Im Rahmen unserer individuellen Softwareentwicklung halten wir den Einsatzzweck, die verwendeten Dienste und die Qualitätskriterien gemeinsam mit Ihnen fest. Die rechtliche Bewertung bleibt bei Ihrer Rechtsberatung, wir liefern dafür die fachlichen Grundlagen. Ob eine maßgeschneiderte Lösung für Sie sinnvoll ist, klärt der Beitrag zu Individual- oder Standardsoftware.

Häufige Fragen

Gilt der EU AI Act auch für kleine Unternehmen?

Ja, entscheidend sind Rolle und Risiko der KI-Anwendung, nicht allein die Unternehmensgröße. Für kleine und mittlere Unternehmen sind teilweise Erleichterungen vorgesehen. Welche das im Einzelfall sind, sollten Sie rechtlich prüfen lassen.

Muss ich etwas tun, wenn mein Dienstleister nur KI-Assistenten zum Programmieren nutzt?

Der AI Act wird dadurch nicht automatisch ausgelöst, wenn die gelieferte Software selbst keine KI-Funktion enthält. Vereinbaren Sie trotzdem Regeln zu Datenschutz, Geheimhaltung und Codeprüfung.

Wann sollte ich mit dem Thema starten?

Vor der Beauftragung. Der Einsatzzweck der Software bestimmt die Einstufung, und er lässt sich am Anfang eines Projekts am günstigsten festlegen.

Nächster Schritt

Sie planen ein Softwareprojekt mit KI-Funktionen oder möchten wissen, wie sich der Einsatzzweck sauber festhalten lässt? Wir besprechen das gerne unverbindlich mit Ihnen – nehmen Sie Kontakt auf.