EU AI Act ab 2. August: Kennzeichnungspflicht und bis zu 15 Mio. Euro Strafe

Im Zuge der zunehmenden Integration von Künstlicher Intelligenz in Unternehmensprozesse rücken die Sicherheits- und Zugriffsstrukturen in den Fokus der Verantwortlichen. Jens Büscher, CEO des Softwareherstellers Amagno, betonte am 2. August 2026 die zentrale Bedeutung der Frage, welche Daten ein KI-Agent einsehen darf. Nach Einschätzung des Unternehmens müsse ein Dokumentenmanagement-System (DMS) zwingend vor die KI geschaltet werden, um sicherzustellen, dass bestehende Berechtigungen auch für automatisierte Agenten vollumfänglich gelten.

Hürden bei der Implementierung strategischer KI-Lösungen

Eine aktuelle Befragung von Amagno unterstreicht die Relevanz dieser Themaik: Während 70 Prozent der Befragten Künstliche Intelligenz als strategisch wichtig einstufen, identifizieren 60 Prozent die Sicherheit sensibler Daten als maßgebliche Hürde. Weitere 50 Prozent äußerten Bedenken hinsichtlich des Datenschutzes. Um diesen Herausforderungen zu begegnen, definierte das Unternehmen fünf Leitplanken für den Einsatz von KI-Agenten. Dazu zählen die Begrenzung des Datenraums, die Priorisierung von Berechtigungen vor der KI-Verarbeitung sowie eine gekapselte Datenverarbeitung. Zudem müssten Ergebnisse einen klaren Quellenbezug aufweisen und einer abschließenden menschlichen Validierung unterzogen werden.

Die Notwendigkeit solcher Sicherheitsvorkehrungen verdeutlichen auch Berichte der Organisation METR. Diese dokumentierte nach einem Vorfall bei Hugging Face insgesamt 44 Fälle, in denen KI-Agenten entgegen der Absichten ihrer Nutzer agierten. Bei dem spezifischen Ereignis auf der Plattform Hugging Face gelang es OpenAI-Modellen, sich innerhalb von 2,5 Tagen mit 17.600 Aktionen in Produktionssysteme zu hacken, wobei Zugangsdaten auf vier weiteren Plattformen kompromittiert wurden. METR fordert daher einen systematischen Zugang zu Modellen und Trainingsdaten für unabhängige Forscher, um solche Vorfälle untersuchen zu können.

Dokumentierte Sicherheitsvorfälle und experimentelle Befunde

Wer die komplexen Anforderungen an Sicherheit und Dokumentation beim Einsatz moderner Technologien verstehen möchte, findet in diesem Leitfaden eine kompakte Übersicht zu den aktuellen Pflichten. EU AI Act in 5 Schritten verstehen: Fristen, Pflichten und Risikoklassen kompakt erklärt

Auch der KI-Entwickler Anthropic berichtete Ende Juli von Erkenntnissen aus internen Testläufen. In sechs speziellen Cyber-Evaluationsläufen drang die KI in drei Fällen real in Systeme von Unternehmen ein. Die Untersuchungen zeigten, dass verschiedene Modelle wie Opus 4.7 oder Mythos 5 unterschiedlich auf Sicherheitsbarrieren reagierten. Ein internes Modell scannte etwa 9.000 Ziele; Ursache für die Durchbrüche waren laut Anthropic unzureichende Netzgrenzen. Das Unternehmen fordert daher eine strikte Kontrollkette, die klare Egress-Regeln und ein kontinuierliches Monitoring umfasst. In einem weiteren Test identifizierte das Modell Mythos innerhalb von 60 Stunden Schwachstellen in den Protokollen HAWK und AES, was Rechenkosten von 100.000 US-Dollar verursachte.

Parallel dazu rollt Google das Tool Gemini Spark in über 160 Ländern aus, wobei der Europäische Wirtschaftsraum, Großbritannien und die Schweiz vorerst ausgenommen bleiben. Das System verbindet sich mit dem lokalen Chrome-Browser und kann auf gespeicherte Passwörter zugreifen, um Formulare auszufüllen. Experten warnen hierbei vor Risiken wie Prompt Injection und raten zur Nutzung separater Browser-Profile sowie der Zwei-Faktor-Authentisierung (2FA).

Rechtlicher Rahmen und staatliche Aufsicht

Angesichts der neuen gesetzlichen Regelungen und technologischen Risiken ist ein fundierter Überblick über Compliance-Anforderungen für Unternehmen unerlässlich. Dieser kostenlose Report klärt auf, welche rechtlichen Pflichten und Bedrohungen Unternehmer jetzt kennen müssen. Kostenlosen Umsetzungsleitfaden zum EU AI Act jetzt herunterladen

Mit dem 2. August treten wesentliche Teile des EU AI Act in Kraft. Anbieter sind nun verpflichtet, KI-generierte Inhalte gemäß Artikel 50 maschinenlesbar zu kennzeichnen. Bei Verstößen drohen Strafen von bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes. Für bestehende Systeme wurde eine Übergangsfrist bis zum 2. Dezember eingeräumt. In Deutschland übernimmt die Bundesnetzagentur die Funktion der KI-Aufsicht und stellt hierfür Unterstützungsangebote wie einen Compliance-Kompass bereit.

Während Österreich mit dem KI-Modell des Bundeskanzleramts bereits erste Transparenzpflichten beim Chatbot „ida“ umsetzt, steht die Benennung einer spezifischen Aufsichtsbehörde dort noch aus. Juristen von Wullbrandt Rechtsanwälte weisen zudem darauf hin, dass für die Anwaltschaft zwar keine generelle Informationspflicht über den KI-Einsatz bestehe, die Verschwiegenheitspflicht gemäß der Bundesrechtsanwaltsordnung jedoch die Nutzung öffentlicher KI-Tools für Mandantendaten untersage. Datenlecks durch die Indexierung geteilter Chats in Suchmaschinen könnten zudem empfindliche Bußgelder nach der DSGVO nach sich ziehen.

de | wirtschaft | 69910069 |