Diese Frage wird durch den EU-AI-Act zunehmend relevant. Seit dem 2. August 2026 gelten zentrale Transparenzpflichten des EU-AI-Acts für bestimmte Chatbots und KI-generierte Inhalte. Die Regeln für Hochrisiko-Systeme folgen dagegen erst 2027 und 2028.

Für Start-ups entsteht damit ein gestaffelter Zeitplan, der Produktentwicklung, Investitionen und Ressourcenplanung schon heute beeinflusst. Wie lässt sich unter diesen Bedingungen verlässlich planen?

Warum ist der EU-AI-Act für Start-ups schwer kalkulierbar?

Der EU-AI-Act greift schrittweise. Seit Februar 2025 gelten Verbote für KI-Praktiken mit unannehmbarem Risiko sowie Pflichten zur KI-Kompetenz der Beschäftigten. Im August 2025 folgten Vorgaben für General-Purpose-AI-Modelle (GPAI). Seit dem 2. August 2026 gelten wesentliche Transparenzpflichten aus Artikel 50: Anbieter bestimmter interaktiver KI-Systeme müssen kenntlich machen, dass Nutzer mit einer KI kommunizieren. Bei Deepfakes kann dagegen der Betreiber zur Offenlegung verpflichtet sein. Welche Vorgaben gelten, hängt damit auch davon ab, welche Rolle ein Unternehmen beim jeweiligen KI-System übernimmt.

Bei Hochrisiko-Systemen bleibt der Zeitplan gestreckt: Anhang-III-Systeme sind ab 2. Dezember 2027 betroffen, KI in regulierten Produkten aus Anhang I ab 2. August 2028. Diese Fristen gehen auf die Änderungen durch den inzwischen in Kraft getretenen AI Omnibus zurück. Die zusätzliche Zeit löst das Planungsproblem jedoch nicht, da viele Entscheidungen, etwa zur Risikoklasse und zu erforderlichen Nachweisen, deutlich vor dem jeweiligen Stichtag fallen müssen.

Ein einfacher Kundenservice-Chatbot kann vor allem Transparenzpflichten auslösen, während eine KI-basierte Recruiting-Lösung je nach Einsatz als Hochrisiko-System eingestuft werden kann. Auch bei GPAI hängt viel davon ab, welche Rolle ein Unternehmen im konkreten Fall übernimmt. Diese Einstufung entscheidet darüber, welche Pflichten greifen und wann technische Anpassungen nötig werden.

Genau daraus entsteht ein wirtschaftliches Dilemma. Wer zu spät reagiert, riskiert teure Änderungen an bereits entwickelten Produkten. Wer sehr früh investiert, bindet dagegen Kapital, das einem jungen Unternehmen beim Wachstum fehlt. Hinzu kommt, dass Compliance-Aufwand unmittelbar mit Entwicklungsbudgets und personellen Ressourcen konkurriert. Der eigentliche Unsicherheitsfaktor liegt deshalb weniger in einzelnen Fristen als in der Frage, wann welche Vorbereitung wirtschaftlich sinnvoll wird.

Zum Thema

Mehr zur Umsetzung des EU-AI Acts
Whitepaper zum EU-AI-Act
Checkliste

Wie Unternehmen doppelte Compliance-Arbeit vermeiden

Viele Start-ups müssen für den EU-AI-Act nicht bei null anfangen. Wer bereits nach der DSGVO arbeitet, hat Datenflüsse und Verarbeitungszwecke dokumentiert. ISO-27001-Prozesse liefern wiederum Informationen über Risiken und Schutzmaßnahmen. Ein Teil der Grundlagen ist also bereits vorhanden.

Sinnvoll ist es, vorhandene Angaben dort weiterzuverwenden, wo sich Anforderungen überschneiden. Das gilt etwa für bereits dokumentierte Verantwortlichkeiten oder Risikobewertungen. Neue AI-Act-Pflichten ergänzen dann bestehende Prozesse, statt ein weiteres Compliance-System daneben aufzubauen. So bleibt sichtbar, welche Informationen schon vorliegen und welche Nachweise für ein KI-System noch fehlen.

Für Start-ups ist das vor allem eine Ressourcenfrage. Zeit, die in doppelte Dokumentation fließt, fehlt bei der Produktentwicklung oder im Vertrieb. Zudem prüfen Investoren regulatorische Risiken inzwischen häufiger im Rahmen einer Due Diligence. Auch Enterprise-Kunden wollen vor einem Vertragsabschluss wissen, wie ein Anbieter mit KI-Risiken umgeht.

Eine belastbare KI-Governance kann deshalb über Compliance hinaus wirtschaftlich relevant werden. Sie erleichtert es, regulatorische Risiken gegenüber Investoren einzuordnen und Fragen potenzieller Großkunden früh zu beantworten. Statt möglichst viele Dokumente anzulegen, zählt vor allem, vorhandene Informationen gezielt weiterzuverwenden.

Wie unterstützt heyData bei der Umsetzung des EU-AI-Acts?

heyData verbindet neue AI-Act-Anforderungen mit bereits bestehenden Compliance-Prozessen. Das Berliner Unternehmen wurde 2020 von Milos Djurdjevic, Daniel Deutsch und Martin Bastius gegründet. Ursprünglich lag der Schwerpunkt auf Datenschutz, inzwischen deckt die Plattform auch Informationssicherheit und KI-Governance ab.

Am Anfang steht dabei das KI-Inventar: Unternehmen können erfassen, welche KI-Systeme sie entwickeln oder einsetzen und wer dafür verantwortlich ist. Anschließend unterstützt die Plattform bei der Risikoeinstufung und zeigt, welche Anforderungen für das jeweilige System relevant sind. Anforderungen aus DSGVO, ISO 27001 und EU-AI-Act werden miteinander verknüpft, sodass Unternehmen Nachweise nicht mehrfach aufbauen müssen. Wer etwa bereits ein Verzeichnis von Verarbeitungstätigkeiten pflegt, kann relevante Angaben auch für AI-Act-Nachweise nutzen.

Wichtig ist außerdem der gestaffelte Zeitplan der Verordnung. Die Plattform passt sich an Fristen an und berücksichtigt Änderungen bei Stichtagen. Dadurch müssen Unternehmen ihre Compliance-Planung nicht bei jeder neuen Frist vollständig neu strukturieren.

Bei der rechtlichen Einordnung reicht Software jedoch nicht immer aus. Ob ein System unter Hochrisiko- oder GPAI-Regeln fällt, hängt stark vom konkreten Einsatz ab. Ebenso kann die Rolle des Unternehmens – etwa als Anbieter oder Betreiber – den Pflichtenkatalog verändern. Dafür stellt heyData feste Domain Experts bereit, darunter Juristen und Fachleute für Informationssicherheit.

Auch die Entwicklung des Unternehmens zeigt, wie relevant KI-Governance inzwischen für den Markt ist. Anfang 2026 schloss heyData eine Series-A-Finanzierung über 16,5 Millionen US-Dollar unter Führung von Riverside Acceleration Capital ab. Das Kapital fließt unter anderem in den Ausbau der Plattform und der IT-Sicherheit.

Milos Djurdjevic, Mitgründer von heyData, sieht Regulierung nicht als Gegenpol zu Wachstum: „Regulierung soll Wachstum nicht bremsen, sondern die Basis schaffen, auf der Unternehmen schneller skalieren können.“

Kostenlosen EU-AI-Act-Leitfaden ansehen

Fazit

Der EU-AI-Act stellt Unternehmen bereits heute vor konkrete Anforderungen, während weitere Pflichten erst 2027 und 2028 gelten. Für Start-ups geht es deshalb nicht darum, möglichst früh viele Compliance-Strukturen aufzubauen. Entscheidend ist, die eigenen KI-Systeme rechtzeitig zu erfassen und nach ihrem Risiko sowie der jeweiligen Unternehmensrolle einzuordnen. Start-ups können dabei auf bestehende Datenschutz- und Sicherheitsprozesse zurückgreifen, anstatt separate Strukturen für den EU-AI-Act zu schaffen. heyData unterstützt diesen Prozess mit KI-Inventar, Risikoeinstufung und der Verknüpfung vorhandener Compliance-Informationen. Bei schwierigen Einordnungen ergänzt fachliche Unterstützung die Plattform.

Häufige Fragen

Was sind die wesentlichen Verpflichtungen des EU-AI-Acts für Start-ups ab 2026?
Seit dem 2. August 2026 gelten Transparenzpflichten für bestimmte Chatbots und KI-generierte Inhalte. Diese müssen erkennbar machen, dass sie KI verwenden.

Wie können Start-ups die doppelte Compliance-Arbeit vermeiden?
Start-ups sollten bereits dokumentierte Informationen aus DSGVO- und ISO 27001-Konformität für den EU-AI-Act weiterverwenden, um doppelte Nachweise zu vermeiden.

Warum ist der EU-AI-Act für junge Unternehmen schwer planbar?
Aufgrund des gestaffelten Zeitplans müssen Unternehmen früh klären, welche Risikoklasse ihre Produkte betreffen und welche Nachweise erforderlich sind, was langfristige Investitionsentscheidungen erschwert.

Wie unterstützt heyData Unternehmen bei der Einhaltung des EU-AI-Acts?
heyData integriert neue AI-Act-Anforderungen mit bestehenden Compliance-Prozessen und nutzt vorhandene Daten, um zusätzliche Arbeit zu vermeiden, während es rechtliche und technische Expertise bereitstellt.

Impressum

heyData GmbH

Herr Miloš Djurdjević

Schützenstr. 5

10117 Berlin

Deutschland

DE323899798

DE323899798

HRB 242016 B

@: info@heydata.eu

https://heydata.eu/impressum