Direkte Antwort: Die EU-KI-Verordnung (AI Act) trat am 1. August 2024 in Kraft und gilt gestaffelt. Verbotene Praktiken und Pflichten zur KI-Kompetenz gelten seit dem 2. Februar 2025; Regeln für Modelle mit allgemeinem Verwendungszweck (GPAI), Governance und Sanktionen seit dem 2. August 2025; die meisten übrigen Regeln ab dem 2. August 2026. Die meisten Teams, die KI-Coding-Tools nutzen, sind Betreiber und keine GPAI-Anbieter, doch KI-Kompetenz, Governance und Datenkontrolle betreffen sie dennoch. Dieser Artikel bietet allgemeine Informationen, keine Rechtsberatung.
Die EU-KI-Verordnung ist das erste breite, horizontale KI-Gesetz, und sie ist längst nicht mehr theoretisch – Teile davon sind bereits durchsetzbar. Engineering-Verantwortliche müssen keine Juristen werden, aber sie brauchen ein zutreffendes Modell davon, was wann und für wen gilt. Der häufigste Fehler ist die Annahme, die Verordnung sei ausschließlich ein Thema für 2026. Das ist sie nicht.
Der Zeitplan in verständlicher Sprache
Die folgenden Daten stammen aus dem offiziellen EU-Umsetzungszeitplan. Sie beschreiben, wann Pflichten zu gelten beginnen, nicht, wann Sie mit der Vorbereitung beginnen sollten.
| Datum | Was zu gelten beginnt |
|---|---|
| 1. August 2024 | Die Verordnung tritt in Kraft; die Anforderungen greifen danach schrittweise |
| 2. Februar 2025 | Verbote bestimmter KI-Praktiken und Pflichten zur KI-Kompetenz |
| 2. August 2025 | GPAI-Modellregeln, Governance-Strukturen, Vertraulichkeit und Sanktionen |
| 2. August 2026 | Der Rest der Verordnung (die meisten Pflichten für Hochrisikosysteme) |
| 2. August 2027 | Pflichten aus Artikel 6 Absatz 1; bestehende GPAI-Modelle müssen konform sein |
Zwei Punkte sind für Coding-Teams wichtig. Erstens gelten KI-Kompetenz und die Verbote bereits seit Anfang 2025 – nicht erst 2026. Zweitens kamen der Sanktionsrahmen und die GPAI-Pflichten im August 2025, sodass die Governance-Ebene bereits Zähne hat.
In welcher Rolle sind Sie?
Die Verordnung weist Pflichten nach Rolle zu. Für Teams, die KI-Coding-Tools einführen, lauten die praktischen Fragen:
- Sind Sie ein GPAI-Anbieter? Nur wenn Sie ein KI-Modell mit allgemeinem Verwendungszweck trainieren oder auf dem EU-Markt bereitstellen. Die meisten Engineering-Teams, die einen Coding-Assistenten nutzen, sind es nicht.
- Sind Sie ein Betreiber? Wenn Sie ein KI-System in Ihrem Betrieb einsetzen, sind Sie in der Regel ein Betreiber – mit leichteren, aber realen Pflichten, insbesondere KI-Kompetenz und angemessene Nutzung.
- Bauen Sie ein Hochrisikosystem? Ist Ihre Software selbst ein KI-System, das in einem regulierten, hochriskanten Kontext (Bereiche des Anhangs III) genutzt wird, können ab 2026 die schwereren Pflichten für Ihr Produkt gelten – unabhängig vom Coding-Tool, mit dem Sie es gebaut haben.
Das Coding-Tool und die Software, die Sie ausliefern, sind getrennte Fragen. Der Einsatz eines KI-Assistenten macht Ihr Produkt nicht automatisch hochriskant; das Ausliefern einer KI-Funktion in einen regulierten Anwendungsfall könnte hingegen genau das bewirken.
Was das in der Praxis bedeutet
Selbst für ein Team, das „nur“ Betreiber ist, verdienen jetzt vier Dinge Aufmerksamkeit:
- KI-Kompetenz. Die Verordnung erwartet, dass Mitarbeitende, die KI-Systeme nutzen, diese hinreichend verstehen. Für das Engineering heißt das: Entwicklerinnen und Entwickler wissen, was das Tool mit Prompts und Code macht und wo seine Ausgabe geprüft werden muss.
- Datenfluss und Vertraulichkeit. Wohin Prompts, Quellcode und Ergebnisse wandern, ist zugleich eine Sicherheits- und eine Compliance-Frage. Den Abfluss zu kennen und zu kontrollieren ist leichter, wenn die Plattform in Ihrer eigenen Umgebung laufen kann.
- Governance und Dokumentation. Halten Sie fest, welche Tools und Modelle für welche Projekte freigegeben sind und wie KI-gestützte Änderungen in die Prüfung gelangen. Das ist gewöhnliche Engineering-Hygiene, die zugleich Compliance-Nachweise stützt.
- Anbieter- und Modellbedingungen. Bestätigen Sie, was ein Anbieter speichert und wo die Verarbeitung stattfindet, und halten Sie diese Zuordnung aktuell, wenn sich Modelle ändern.
Diese Punkte entsprechen unmittelbar den Fragen, die diese Website zu Sicherheits- und Datenflussgrenzen und dazu aufwirft, ob Selbst-Hosting Daten privat hält.
Wo eine selbst-hostbare Plattform hilft
Regulierung belohnt Kontrolle und Belege. Eine Plattform, die sich privat betreiben lässt, macht mehrere Pflichten handhabbarer: Sie können den Abfluss begrenzen, Code in Ihrer Infrastruktur halten und Aufgaben sowie Reviews zentral erfassen statt verstreut auf einzelnen Laptops.
Die öffentlichen Unterlagen von MonkeyCode beschreiben eine private und Offline-Bereitstellung sowie einen verwalteten Aufgaben- und Review-Workflow. Das macht keine Bereitstellung automatisch konform – Compliance hängt von Ihrem Anwendungsfall, Ihrer Konfiguration und der rechtlichen Bewertung ab –, aber es liefert die Hebel, die ein Compliance-Programm braucht. Prüfen Sie die aktuellen Fähigkeiten anhand der Projektdokumentation, bevor Sie sich auf eine bestimmte Kontrolle verlassen.
Eine pragmatische Checkliste
- Klären Sie, ob Sie Anbieter, Betreiber oder Erbauer eines Hochrisikosystems sind.
- Inventarisieren Sie die eingesetzten KI-Coding-Tools und -Modelle sowie deren Freigebende.
- Dokumentieren Sie Datenflüsse für Prompts, Code und Ergebnisse; beschränken Sie, was Ihr Netzwerk verlässt.
- Geben Sie den Entwicklerinnen und Entwicklern, die die Tools nutzen, eine grundlegende Anleitung zur KI-Kompetenz.
- Führen Sie Prüfprotokolle über KI-gestützte Änderungen und deren Reviews.
- Prüfen Sie die Datenbedingungen der Anbieter erneut, sobald sich ein Modell oder Plan ändert.
- Holen Sie für Ihre konkreten Produkte und Rechtsräume qualifizierte Rechtsberatung ein.
Fazit
Die EU-KI-Verordnung greift jetzt schrittweise, nicht erst 2026. Für die meisten Engineering-Teams sind die unmittelbaren Prioritäten KI-Kompetenz, Datenflusskontrolle und Governance – nicht Panik über GPAI-Anbieterpflichten, die sie nicht haben. Behandeln Sie die Tool-Einführung als geregelte Entscheidung mit dokumentierten Datengrenzen, dann sind Sie sowohl für die Sicherheits- als auch für die Compliance-Fragen gerüstet, die folgen.
Quellengrenze: Daten und Pflichten sind aus der Seite zum Regulierungsrahmen der Europäischen Kommission und dem offiziellen Umsetzungszeitplan der EU-KI-Verordnung des Future of Life Institute zusammengefasst, geprüft am 20. Juli 2026. Dies sind allgemeine Informationen, die rechtliche Feinheiten vereinfachen können; es ist keine Rechtsberatung. Klären Sie mit qualifiziertem Rechtsbeistand, wie die Verordnung auf Ihre Organisation anwendbar ist.