Warum „Ist KI schon reguliert?“ die falsche Frage für EU-Einkäufer ist

IT-Einkäufer, die KI-Anbieter bewerten, verdichten ständig eine Reihe verschiedener Rechtsinstrumente auf eine einzige Frage: Ist KI schon reguliert? Diese Frage hat keine einzige Antwort, denn eine Transparenzpflicht, ein Anhang für Hochrisikosysteme, eine Vergaberegel und eine Executive-Order treten nicht am selben Tag, für dieselben Personen oder mit derselben Wirkung in Kraft. Die Transparenzpflicht nach Artikel 50 des EU-KI-Gesetzes beispielsweise trat am 2. August 2026 in Anwendung, mit einer Übergangsfrist bis zum 2. Dezember für Systeme, die vor diesem Datum bereits auf dem Markt waren — eine konkrete, datierte Verpflichtung, die für Anbieter und Betreiber gilt, und keine pauschale Aussage, dass „KI jetzt reguliert ist". Wer jedes dieser Instrumente wie eine einzige Uhr behandelt, begeht zwei gegensätzliche Fehler: Man friert ein Projekt ein, das rechtmäßig bleibt, oder man stellt eine Compliance-Behauptung auf, die einer Prüfung nicht standhält.

Drei Uhren, nicht eine

Eine Uhr markiert, wann eine Pflicht rechtlich durchsetzbar wird. Eine zweite markiert, wann ein Einkäufer in einer öffentlichen Ausschreibung von Anbietern Nachweise über die Einhaltung verlangt, was deutlich vor oder nach dem rechtlichen Stichtag geschehen kann. Eine dritte ist die politische Stimmung — Reden, Entwürfe von Leitlinien, Blogbeiträge von Behörden —, die Schlagzeilen und manchmal Märkte bewegt, aber für sich genommen kein Gesetz ändert.

Wie man eine Policy-Schlagzeile liest

• Das Instrument benennen: Handelt es sich um ein Gesetz, einen Anhang, eine Executive-Order, eine technische Norm oder eine Rede?
• Das Subjekt benennen: Trifft die Verpflichtung den Anbieter, den Betreiber, den Importeur oder den Käufer?
• Das Verb benennen: Verlangt sie Offenlegung, Registrierung, Bewertung, Verbot oder eine Vergabebedingung?
• Das Datum aus dem primären Rechtstext nennen, nicht aus einer Zusammenfassung oder einem Newsletter.

Wo Datenresidenz und Latenz hineinpassen

Datenresidenz ist eine Frage von Richtlinien und Verträgen; Latenz ist eine Frage der Netztopologie und Modellgröße. Die beiden werden ständig vermischt, beantworten aber unterschiedliche Einkäuferfragen und sollten mit messbaren Anforderungen statt mit Marketingsprache behandelt werden. Für MSPs, die vergleichen, wo sie Inferenz für EU-Kunden betreiben sollen, ist diese Trennung — plus eine klare Antwort darauf, wer auf Protokolle zugreifen kann und wie ein Ausstieg aussieht — wichtiger als die Frage, welcher Anbieter das lauteste Souveränitätslabel für sich beansprucht. Altovars Lodestar ist eine Option für Teams, die eine EU-basierte Steuerungsebene für diese Art von Routing-Entscheidungen wünschen, ohne sie als Ersatz für die Lektüre des zugrunde liegenden Instruments zu betrachten.

Eine seriöse Compliance-Antwort zitiert das Primärdokument, stellt klar dar, was es nicht entscheidet, und macht aus einem freiwilligen Kodex niemals eine Geldstrafe oder aus einer Marketingbehauptung eine Zertifizierung.

Quellen: EU Artificial Intelligence Act — Artikel 50 Transparenzpflichten.