Für wen gilt der EU AI Act?

Der EU AI Act gilt für alle, die KI-Systeme in der EU auf den Markt bringen oder dort einsetzen — unabhängig vom Firmensitz. Entscheidend ist nicht, wo Ihr Unternehmen sitzt, sondern wo das System wirkt.

Die Begründung: Artikel 2 regelt den Anwendungsbereich

Artikel 2 der Verordnung (EU) 2024/1689 definiert den Geltungsbereich entlang der Rollen, nicht entlang von Branchen. Erfasst sind insbesondere:

Provider (Anbieter), die KI-Systeme oder GPAI-Modelle in der EU in Verkehr bringen oder in Betrieb nehmen — egal, ob sie in der EU oder in einem Drittland niedergelassen sind.
Deployer (Betreiber), die KI-Systeme beruflich in der EU einsetzen. Das ist der Fall, der die meisten Unternehmen betrifft: Wer ein eingekauftes KI-System nutzt, ist in der Regel Deployer.
Provider und Deployer in Drittländern, wenn der Output des Systems in der EU verwendet wird. Diese extraterritoriale Reichweite ist bewusst gewählt — ein Umzug des Servers nach außerhalb der EU ändert nichts.
Importer und Distributoren, die KI-Systeme in die EU einführen oder dort vertreiben.

Für Unternehmen in DE und im EU27-Rest gilt die Verordnung unmittelbar. Unternehmen in UK und CH sind nicht direkt adressiert, fallen aber in den Anwendungsbereich, sobald sie Systeme in den EU-Markt liefern oder deren Output dort verwendet wird — für exportorientierte Schweizer und britische Anbieter ist der AI Act damit faktisch relevant.

Wenn-dann: typische Sonderfälle

Rein private, nicht-berufliche Nutzung: ausgenommen (Art. 2 Abs. 10). Die FAQ-Frage "gilt das für mich privat?" ist also mit Nein zu beantworten.
Militär, Verteidigung, nationale Sicherheit: ausgenommen, soweit Systeme ausschließlich dafür genutzt werden (Art. 2 Abs. 3).
Forschung und Entwicklung: Wissenschaftliche F&E sowie Test- und Entwicklungsphasen vor dem Inverkehrbringen sind weitgehend ausgenommen (Art. 2 Abs. 6 und 8) — Reallabore und Tests unter Realbedingungen haben eigene Regeln.
Open-Source-KI: teilweise ausgenommen (Art. 2 Abs. 12) — die Ausnahme entfällt aber u.a. bei verbotenen Praktiken, Hochrisiko-Einstufung und bestimmten GPAI-Konstellationen. "Open Source" ist kein Freifahrtschein.
Nur interner Einsatz, kein Verkauf: schützt nicht — Deployer-Pflichten knüpfen an die Nutzung an, nicht an den Vertrieb.

Weiterführend

Eine vertiefte Einordnung der Rollen, Pflichten und der Staffelung bis zum Enforcement-Stichtag 02.12.2027 bietet der Leitfaden auf eu-ai-verordnung.de. Wann der AI Act zeitlich greift, beantwortet unsere FAQ Wann startet der EU AI Act?.

AEGIRA AI Navigator hilft bei der konkreten Pflicht-Ableitung für Ihr Unternehmen: aegira.ai.