Durchsetzung des EU-KI-Gesetzes beginnt und greift über europäische Grenzen hinaus

Am 2. August 2026 überschritt die Europäische Union eine Schwelle, die Technologieunternehmen und Regierungen weltweit monatelang beobachtet hatten. Die ersten wesentlichen Durchsetzungsbestimmungen des AI Act traten in Kraft und gaben Brüssel echte Macht darüber, wie künstliche Intelligenz entwickelt, eingesetzt und offengelegt wird, nicht nur in Europa, sondern überall dort, wo die Ergebnisse eines Unternehmens einen EU-Nutzer erreichen.

Was die Durchsetzung nun abdeckt

Die in diesem Monat aktivierten Bestimmungen lassen sich in drei breite Kategorien einteilen. Die erste ist eine Reihe von absoluten Verboten: Bestimmte KI-Praktiken sind nun in der EU illegal, darunter das Social Scoring durch Regierungen, die Manipulation menschlichen Verhaltens durch subliminale Techniken und die Ausnutzung von Schwächen im Zusammenhang mit Alter, Behinderung oder sozioökonomischer Situation. Diese Verbote waren schon immer Teil des Gesetzes, aber sie fehlte die Durchsetzungskraft, bis das KI-Büro der Kommission und die nationalen Behörden ihre formellen Mandate erhielten.

Die zweite Kategorie richtet sich an Allzweck-KI-Modelle, die großen Sprachmodelle und Foundation-Systeme, die Diensten von Chatbots bis hin zu Bildgeneratoren zugrunde liegen. Anbieter dieser Modelle müssen nun Anforderungen an Transparenz, Urheberrechtseinhaltung und technische Dokumentation erfüllen. Die Europäische Kommission kann erhebliche Geldstrafen gegen Anbieter verhängen, die diesen Anforderungen nicht nachkommen, wobei die genauen Höchststrafen für Verstöße bei Allzweckmodellen vom weltweiten Umsatz des Unternehmens abhängen, eine Struktur, die aus dem DSGVO-Regime bekannt ist.

Die dritte Kategorie ist die Transparenz. Jedes KI-System, das mit Menschen interagiert, muss nun offenlegen, dass es eine Maschine und keine Person ist. Deepfakes und KI-generierte oder manipulierte Inhalte müssen als solche gekennzeichnet werden. Dabei handelt es sich um Offenlegungsvorschriften statt um Einschränkungen dessen, was gebaut werden darf, aber sie bringen Compliance-Kosten mit sich und für Unternehmen, die sie ignorieren, das Risiko von Durchsetzungsmaßnahmen.

Die Reichweite über Europa hinaus

Was den AI Act von den meisten europäischen Technologiegesetzen unterscheidet, ist nicht sein Inhalt, sondern sein juristischer Geltungsbereich. Das Gesetz beansprucht die Autorität über Anbieter und Betreiber außerhalb der Europäischen Union, wenn ihre KI-Systeme auf dem europäischen Markt platziert werden oder wenn die Ergebnisse dieser Systeme innerhalb der EU genutzt werden. Ein amerikanisches Unternehmen, das in Kalifornien einen Chatbot entwickelt und ihn Nutzern in Frankreich zur Verfügung stellt, unterliegt diesen Regeln.

Das ist im europäischen Recht nicht neu. Die DSGVO funktioniert nach einem ähnlichen Prinzip: Wer personenbezogene Daten von EU-Bürgern verarbeitet, unterliegt den europäischen Regeln, unabhängig davon, wo sich die Server befinden. Auch der Digital Services Act und der Digital Markets Act greifen über die EU-Grenzen hinaus. Der AI Act dehnt dieses Prinzip jedoch auf einen umstritteneren Bereich aus. Datenschutz zu regulieren ist das eine. Zu regulieren, was ein KI-Modell generieren kann, wie es trainiert wird und welche Informationen es bereitstellen kann, berührt direkt Fragen der Meinungsäußerung, des Ausdrucks und der Grenzen zulässiger Inhalte.

Die praktische Auswirkung hängt davon ab, ob Unternehmen beschließen, separate Versionen ihrer Produkte für verschiedene Märkte zu entwickeln. Eine europakonforme Version und eine weniger restriktive Version für den Rest der Welt zu pflegen, ist technisch möglich, aber teuer. Die meisten Anbieter haben einen starken finanziellen Anreiz, ihre globalen Produkte an die europäischen Anforderungen anzupassen, anstatt ihre Nutzerbasis und ihren Entwicklungsaufwand zu zersplittern. Kritiker nennen dies den Brüssel-Effekt: die Tendenz der EU-Regulierung, zu einem de facto globalen Standard zu werden, weil die Kosten der Nichteinhaltung in einem Markt mit 450 Millionen Menschen die Kosten der weltweiten Einhaltung übersteigen.

Amerikanische Einwände verschärfen sich

Amerikanische Kritiker des Gesetzes waren seit dessen erstem Vorschlag lautstark, und der Beginn der Durchsetzung hat ihren Argumenten neue Dringlichkeit verliehen. Das Heartland Institute, eine in Illinois ansässige marktwirtschaftliche Denkfabrik, veröffentlichte 2025 eine Politikstudie mit der Warnung, das Gesetz stelle einen extraterritorialen Eingriff in amerikanische Rechte und die Souveränität dar. Der Titel der Studie machte die Position deutlich: "The European Union's Artificial Intelligence Act: An Extraterritorial Incursion on Americans' Inalienable Rights."

Jack McPherrin, leitender Politikanalyst und Forschungsstipendiat am Heartland Institute, sagte, der Übergang vom Vorschlag zur Durchsetzung verändere die Natur der Debatte. "Der EU AI Act ist nicht mehr einfach ein regulatorischer Vorschlag, dessen internationale Auswirkungen abstrakt diskutiert werden können", sagte er. "Die europäischen Behörden haben nun erhebliche Durchsetzungsbefugnisse über Regeln, die amerikanische Unternehmen und Technologien erreichen. Die US-Politik sollte diese extraterritoriale Reichweite ernst nehmen und sicherstellen, dass Entscheidungen, die die amerikanische KI regieren, Amerikanern gegenüber verantwortlich bleiben."

Donald Kendal, Direktor des Socialism Research Center des Heartland Institute, ging noch weiter. "Der Europäischen Union sollte es nicht gestattet werden, die Regeln zu diktieren, die die amerikanische künstliche Intelligenz regieren", sagte er. "Der EU AI Act gibt europäischen Regulierern außerordentliche Macht, zu beeinflussen, wie amerikanische Unternehmen ihre Technologien entwickeln, welche Informationen ihre Modelle bereitstellen können und letztendlich, was Amerikaner online sehen und sagen können."

Die Sprache ist zugespitzt, aber die zugrunde liegende Sorge wird im amerikanischen Technologiesektor breiter geteilt. Unternehmen wie OpenAI, Google und Meta haben gegen Bestimmungen lobbyiert, die nach ihrer Argumentation die Compliance-Kosten erhöhen, die Produktentwicklung verlangsamen und europäischen Regulierern ein faktisches Veto über Funktionen geben würden, die Nutzern weltweit zur Verfügung stehen. Die Frage, ob eine europäische Behörde beeinflussen sollte, was ein amerikanischer Nutzer durch ein KI-System sehen oder sagen kann, ist in Washington zu einem aktuellen politischen Thema geworden.

Was Europa gewinnt und riskiert

Für europäische Entscheidungsträger stellt das Gesetz eine bewusste Entscheidung dar, zu führen, anstatt zu folgen. Die EU hat bereits einen ähnlichen Weg eingeschlagen: Die DSGVO setzte einen globalen Maßstab für den Datenschutz, und der Digital Services Act hat bereits Veränderungen darin bewirkt, wie Plattformen weltweit Inhalte moderieren. Der AI Act folgt der gleichen Logik. Indem Europa den ersten Schritt macht, bestimmt es die Bedingungen der Debatte und zwingt andere Gerichtsbarkeiten zu reagieren.

Es gibt Risiken. Europäische Unternehmen arbeiten unter Einschränkungen, denen Konkurrenten in weniger regulierten Märkten nicht ausgesetzt sind. Wenn die Compliance-Kosten hoch genug sind, könnte sich die KI-Entwicklung in Richtung von Gerichtsbarkeiten mit leichteren regulatorischen Regimen verlagern, was europäische Unternehmen in einen Wettbewerbsnachteil bringt. Die Folgenabschätzung der Kommission räumte diese Möglichkeit ein und argumentierte, dass die langfristigen Vorteile von Verbrauchervertrauen und Rechtssicherheit die kurzfristigen Kosten überwiegen würden. Diese Behauptung ist noch unbelegt.

Es gibt auch die Frage der Durchsetzungskapazität. Das KI-Büro innerhalb der Europäischen Kommission ist eine neue Einrichtung mit begrenztem Personal. Die nationalen Behörden in den 27 Mitgliedsstaaten unterscheiden sich in ihrer technischen Expertise und ihrem politischen Willen, Fälle zu verfolgen. Die DSGVO hat gezeigt, dass die Durchsetzung uneinheitlich ist: Einige Regulierungsbehörden sind aggressiv, andere nicht. Der AI Act wird mit dem gleichen Problem bei noch größerer Komplexität konfrontiert, da sich die Technologie, die er regelt, schneller weiterentwickelt als die Verwaltungsverfahren, die zur Regulierung erforderlich sind.

Was noch nicht in Kraft ist

Die in diesem Monat aktivierten Bestimmungen sind die ersten von mehreren Durchsetzungsphasen. Die weitreichendsten Anforderungen, die KI-Systeme mit hohem Risiko in Bereichen wie Beschäftigung, Bildung, Strafverfolgung und kritischer Infrastruktur regeln, werden erst später in Kraft treten. Hochrisikosysteme müssen Standards für Datenqualität, menschliche Aufsicht, Transparenz und Robustheit erfüllen, die weit anspruchsvoller sind als die jetzt geltenden Offenlegungsvorschriften.

Dieser gestaffelte Ansatz sollte Unternehmen Zeit zur Anpassung geben, bedeutet aber auch, dass das volle Gewicht des Gesetzes einige Zeit nicht spürbar sein wird. Anbieter von Allzweckmodellen stehen vor sofortigen Verpflichtungen. Anbieter von Hochrisikosystemen haben eine längere Vorlaufzeit, aber strengere Anforderungen, wenn ihre Frist abläuft.

Die Souveränitätsdebatte

Die Einordnung des Heartland Institute, dass das Gesetz die amerikanische Souveränität und freie Meinungsäußerung bedroht, spiegelt eine echte Spannung in der globalen Technologieregulierung wider. Als die DSGVO in Kraft trat, hielten sich amerikanische Unternehmen daran, weil der europäische Markt zu groß war, um ihn aufzugeben. Die gleiche Überlegung gilt nun für KI. Aber die Einsätze sind anders. Datenschutzregeln regeln, wie Informationen gespeichert und verarbeitet werden. KI-Regulierung regelt, welche Informationen generiert werden können, wie sie präsentiert werden und ob sie unterdrückt werden können. Die Grenze zwischen Verbraucherschutz und Zensur ist dünner und umstrittener als die Grenze zwischen Datenschutz und Datenausbeutung.

Europäische Beamte weisen das Souveränitätsargument zurück. Aus ihrer Sicht akzeptiert jedes Unternehmen, das sich entscheidet, europäische Nutzer zu bedienen, die europäischen Regeln, genauso wie jedes Unternehmen, das physische Waren in der EU verkauft, die europäischen Produktsicherheitsstandards erfüllen muss. Die Entscheidung, den Markt zu betreten, liegt beim Unternehmen selbst. Wenn ein amerikanischer KI-Anbieter beschließt, keine EU-Nutzer zu bedienen, hat er überhaupt keine europäischen Verpflichtungen.

Dieses Argument ist rechtlich fundiert, aber praktisch unvollständig. Die größten KI-Anbieter sind amerikanisch, und ihre Dienste sind in die digitale Infrastruktur verwoben, die Europäer täglich nutzen. Ein Rückzug aus der EU ist für Unternehmen wie Google oder Microsoft keine realistische Option, was bedeutet, dass die Anforderungen des Gesetzes eher obligatorisch als freiwillig funktionieren. Ob dies Regulierung oder Zwang darstellt, hängt vom Standpunkt ab.

Durchsetzungskapazität und politischer Wille

Macht zur Durchsetzung zu haben, ist nicht dasselbe wie effektiv durchzusetzen. Die Europäische Kommission hat ihr KI-Büro eingerichtet, um die Einhaltung der Vorschriften für Allzweckmodelle zu überwachen, aber das Büro ist eine kleine Einrichtung im Verhältnis zum Umfang der Branche, die es beaufsichtigen muss. Die nationalen Behörden in jedem Mitgliedsstaat müssen ihre eigenen Durchsetzungsorgane benennen, Personal schulen und technische Expertise aufbauen. Einige werden schnell vorgehen. Andere werden Jahre brauchen.

Die Erfahrung mit der DSGVO ist lehrreich. Die irische Datenschutzkommission, die die meisten großen amerikanischen Technologieunternehmen beaufsichtigt, weil sich deren EU-Zentralen in Dublin befinden, hat anhaltende Kritik dafür erhalten, dass sie langsam vorgeht und relativ geringe Strafen verhängt. Wenn sich das gleiche Muster unter dem AI Act zeigt, bei dem sich die Durchsetzung auf einen einzelnen Mitgliedsstaat mit begrenzter Konfrontationsbereitschaft konzentriert, könnte die praktische Auswirkung des Gesetzes hinter seinen Ambitionen zurückbleiben.

Es gibt auch die Frage des politischen Willens. Die Regulierung von KI ist abstrakt gesehen populär. Hohe Strafen gegen beliebte Unternehmen zu verhängen oder Änderungen an Produkten zu fordern, die Verbraucher bereits nutzen und mögen, ist schwieriger. Die Kommission wird Druck von Mitgliedsstaaten erleben, die sich um die wirtschaftliche Wettbewerbsfähigkeit sorgen, von Unternehmen, die damit drohen, Dienste in Europa einzuschränken, und von Nutzern, die über entfernte oder aus Compliance-Gründen geänderte Funktionen frustriert sind.