EU AI Act: Wann betrifft er Unternehmen außerhalb der EU?

💡 Kurzfassung: Kernaussagen
Der EU AI Act erfasst ausdrücklich auch bestimmte Unternehmen außerhalb der EU. Entscheidend kann sein, ob ein System auf dem EU-Markt in Verkehr gebracht oder in der EU eingesetzt wird oder ob seine Ausgabe dort genutzt werden soll.
Rechtlicher Geltungsbereich und praktische Durchsetzung sind zwei verschiedene Fragen. Ein Bußgeld gegen ein Unternehmen ohne EU-Präsenz durchzusetzen, ist das eine. Druck über EU-Kunden, Händler, Werbekanäle oder den Marktzugang auszuüben, das andere.
Ohne klare Unternehmensstruktur gibt es keine klare Antwort. Ein KI-Anbieter, der in die EU verkauft, ein dort tätiges Unternehmen, ein Unternehmen außerhalb der EU mit EU-Kunden und ein Unternehmen ohne tatsächliche EU-Verbindung befinden sich nicht in derselben Lage.
Der EU AI Act ersetzt nationales Recht nicht. Datenschutz, Verbraucherrecht, Produktsicherheit und Branchenregeln können zusätzlich gelten; welche Regeln einschlägig sind, hängt vom jeweiligen Land und der konkreten Tätigkeit ab.

Nehmen wir ein Hotel außerhalb der EU. Das Unternehmen wurde dort gegründet, das Hotel befindet sich dort. Sein Chatbot läuft auf der Website oder über WhatsApp. Ein Tourist in der EU kann die Website besuchen und mit dem Chatbot sprechen.

Wie könnte die EU diesen Chatbot in der Praxis stoppen?

Die Frage klingt vielleicht grob, setzt aber am richtigen Punkt an. Diskussionen über die EU-KI-Verordnung, meist unter ihrem englischen Namen EU AI Act bekannt, vermischen häufig zwei getrennte Themen: Wen kann die Verordnung erfassen, und wie lassen sich ihre Anforderungen gegenüber einem Unternehmen außerhalb der EU tatsächlich durchsetzen?

Die Verordnung erfasst ausdrücklich auch bestimmte Unternehmen außerhalb der EU. Das zu ignorieren, wäre ein Fehler.

Innerhalb des Geltungsbereichs zu liegen bedeutet jedoch nicht, dass bei jedem Unternehmen außerhalb der EU plötzlich unmittelbar ein EU-Bußgeld eingetrieben wird. Die praktische Durchsetzung ist eine eigene und schwierigere Frage. Das gilt besonders, wenn ein Unternehmen weder physische Präsenz noch Bevollmächtigten, Händler oder Kunden in der EU hat und dort auch kein KI-Produkt in Verkehr bringt.

Dies ist der letzte Beitrag der Reihe. Zuvor habe ich untersucht, was die EU-KI-Verordnung tatsächlich regelt, was ein Unternehmen nach der Risikoeinstufung tun sollte, was geschieht, wenn Chatbot-Daten an ein externes Modell gesendet werden, und wo die Grenzen für KI im Gesundheitswesen verlaufen.

Dieser Artikel trennt zwei Fragen: Wann kann der EU AI Act ein Unternehmen außerhalb der EU betreffen, und welche Regeln zählen, wenn die Verbindung zur EU schwach ist oder fehlt?

Der Geltungsbereich endet nicht an der Firmenadresse

Nach dem aktuellen konsolidierten Text gilt die EU-KI-Verordnung nicht nur für Anbieter mit Sitz in der EU. Sie kann auch Anbieter erfassen, die ein KI-System oder ein KI-Modell mit allgemeinem Verwendungszweck in der EU in Verkehr bringen, Betreiber in der EU, Einführer, Händler und unter bestimmten Umständen Anbieter oder Betreiber mit Sitz außerhalb der EU. Auch die Frage, ob die Ausgabe des Systems bestimmungsgemäß in der EU verwendet werden soll, kann relevant sein.

Für ein Unternehmen außerhalb der EU beendet der Satz „Wir sind nicht in der EU gegründet“ die Prüfung nicht.

Ein Softwareunternehmen außerhalb der EU kann zum Beispiel ein KI-System an deutsche Arbeitgeber verkaufen, das Lebensläufe analysiert und bestimmt, welche Bewerber zu einem Gespräch eingeladen werden. Damit könnte es ein System auf dem EU-Markt in Verkehr bringen. Erzeugt ein Unternehmen außerhalb der EU KI-Ausgaben, die ein EU-Kunde für Entscheidungen über Kredite, Versicherungen, Beschäftigung oder Gesundheitsversorgung nutzt, kann die Vorschrift zur Verwendung der Ausgabe in der EU relevant werden. Ein Händler oder Bevollmächtigter in der EU bringt zusätzliche Pflichten in der Lieferkette ins Spiel.

Nicht jeder Websitebesuch führt zum gleichen Ergebnis.

Dass jemand in Frankreich die Website eines Hotels außerhalb der EU öffnen kann, zeigt für sich genommen möglicherweise nicht, dass das Hotel ein KI-System auf dem EU-Markt in Verkehr bringt. Das Hotel verkauft Übernachtungen, kein Chatbot-Produkt. Der Chatbot ist ein Kommunikationskanal für eine Dienstleistung, die außerhalb der EU erbracht wird.

Gibt der Chatbot einem Nutzer in Frankreich jedoch eine personalisierte Antwort, die dessen Buchungsentscheidung beeinflussen soll, muss gesondert geprüft werden, ob seine Ausgabe in der EU verwendet wird. Entscheidend ist nicht nur, ob sich der Nutzer zufällig in Frankreich aufhält. Es geht darum, ob die Nutzung der Ausgabe in der EU beabsichtigt war.

Für Hotel-Chatbots gibt es noch keine gefestigte Praxis, die genau zeigt, wo diese Grenze verläuft.

Werbung, Sprache, Währung, Buchungsablauf und die ausdrückliche Ansprache von Menschen in der EU können außerdem nach der DSGVO und dem Verbraucherrecht relevant sein. Der technische Zugriff auf eine Website ist nicht dasselbe wie die gezielte Ausrichtung einer Dienstleistung auf Menschen in der EU.

Eine Ein-Satz-Antwort wäre deshalb unsicher. Die tatsächliche Tätigkeit des Unternehmens, der Standort des Nutzers und der Ort, an dem die Ausgabe verwendet wird, müssen gemeinsam betrachtet werden.

Vier Unternehmensstrukturen, vier unterschiedliche Bewertungen

Die Diskussion wird unübersichtlich, sobald alle Unternehmen außerhalb der EU in dieselbe Kategorie fallen. Mindestens vier Strukturen müssen unterschieden werden.

Unternehmensstruktur	Kernfrage nach dem EU AI Act	Wahrscheinlicher praktischer Durchsetzungsweg
Anbieter außerhalb der EU, der ein KI-Produkt in die EU verkauft	Wird das System auf dem EU-Markt in Verkehr gebracht, und unterliegt es Hochrisiko- oder Transparenzpflichten?	Konkreter über EU-Kunden, Händler, Einführer, Bevollmächtigte, Verträge oder Marktzugang.
Unternehmensgruppe mit Gesellschaft, Niederlassung oder Betrieb in der EU	Nutzt die EU-Einheit das System oder bringt sie es in Verkehr?	Direkter, weil nationale Behörden auf die Einheit oder Vermögenswerte in der EU zugreifen können.
Unternehmen außerhalb der EU, das einen EU-Kunden bedient	Wird die KI-Ausgabe in der EU verwendet, oder richtet sich die Dienstleistung an den EU-Markt?	Hängt von der Verbindung ab; Kundenverträge und Datenschutzwege können früher wirken.
Unternehmen außerhalb der EU ohne tatsächliche EU-Verbindung	Besteht über System, Markt oder Ausgabe eine tatsächliche EU-Verbindung?	Nach dem EU AI Act schwach; nationales Recht und Branchenregeln sind meist unmittelbarer.

Diese Tabelle ersetzt keine Rechtsberatung. Für eine Führungskraft ist sie dennoch ein besserer Ausgangspunkt.

Die Wirkung des EU AI Act auf Unternehmen außerhalb der EU lässt sich besser mit der Frage „Welches Unternehmen, bei welcher Tätigkeit, über welche Verbindung?“ verstehen als mit der pauschalen Frage „Gilt er für alle Unternehmen außerhalb der EU?"

Was kann gegen ein Unternehmen ohne EU-Präsenz unternommen werden?

Das ist der Kern der Debatte.

Ein Bußgeld außerhalb der EU durchzusetzen oder einzutreiben, ist kein geradliniges Szenario, wenn ein Unternehmen dort ansässig ist, keine physische Präsenz in der EU hat, kein KI-Produkt in die EU verkauft und einen Chatbot nur für seinen Betrieb außerhalb der EU verwendet. Der räumliche Geltungsbereich des EU AI Act schafft für sich genommen keinen Vollstreckungsmechanismus im Sitzstaat des Unternehmens.

Zu sagen, man könne „gar nichts tun“, wäre dennoch zu weit gegriffen. Durchsetzung besteht nicht nur darin, Geld vom Bankkonto eines Unternehmens einzuziehen.

Gibt es einen EU-Kunden, Händler, Einführer oder Bevollmächtigten, können diese Beteiligten das System wegen ihrer eigenen Pflichten nicht mehr einsetzen oder vertreiben. Wird ein Produkt auf dem EU-Markt in Verkehr gebracht, schaffen Marktüberwachung, Rücknahme, Beschränkungen der Bereitstellung und Kundenverträge konkretere Wege.

Beim Beispiel des Hotel-Chatbots ist das deutlich begrenzter. Es wäre unrealistisch, den EU AI Act so darzustellen, als könne eine EU-Behörde wegen eines Informations-Chatbots auf der Website die Türen eines Hotels außerhalb der EU physisch schließen.

Richtet dasselbe Hotel seine Dienstleistungen jedoch eindeutig an Menschen in der EU, verarbeitet deren Daten, nutzt irreführende Geschäftspraktiken oder erhebt Gesundheitsdaten, gehört die Frage nicht mehr allein zum EU AI Act. DSGVO, Verbraucherrecht und Plattformregeln können über ihren eigenen Geltungsbereich und ihre eigenen Durchsetzungswege wirken.

Jeder Weg hat eine andere Rechtsgrundlage, ein anderes Ziel und andere Grenzen. Es wäre irreführend, ein Durchsetzungsinstrument aus einem Gesetz zu übernehmen und als automatische Folge eines anderen darzustellen.

Kann eine Zielseite gesperrt oder Werbung gestoppt werden?

Der EU AI Act sieht nicht vor, dass bei jedem festgestellten Verstoß automatisch die gesamte Website eines Unternehmens außerhalb der EU gesperrt wird. Gibt es jedoch keinen anderen wirksamen Weg, um ein ernstes Risiko zu beseitigen, kann der Marktüberwachungsrahmen der EU-Verordnung 2019/1020 eine Anordnung stützen, die betreffenden Inhalte zu entfernen, einen Warnhinweis anzuzeigen oder den Zugang zu beschränken.

Diese Befugnis ist eng und an Bedingungen gebunden. Dient eine Zielseite nur als Zugang zu einem nicht konformen System, kann eine bestimmte Seite oder URL ins Visier genommen werden. Daraus folgt nicht, dass der physische Betrieb außerhalb der EU oder seine gesamte Domain automatisch geschlossen wird.

Auch ein pauschales Werbeverbot gibt es nicht. Google kann nach eigenen Richtlinien handeln oder verpflichtet sein, einer rechtsgültigen und konkreten Anordnung zu folgen. Artikel 9 des Gesetzes über digitale Dienste verlangt, dass eine solche Anordnung unter anderem Rechtsgrundlage, Begründung, genauen Fundort des Inhalts und räumlichen Geltungsbereich nennt. Der Vorwurf „Dieser Chatbot könnte gegen den EU AI Act verstoßen“ genügt für sich allein nicht.

Für ein Unternehmen außerhalb der EU lautet die praktische Frage: Welcher mit der EU verbundene Inhalt, Vertriebskanal oder welche Geschäftsbeziehung könnte durch die Entscheidung einer Behörde oder eine Plattformrichtlinie tatsächlich unterbrochen werden?

Der EU AI Act ersetzt nationales Recht nicht

Für Unternehmen außerhalb der EU gibt es keine einheitliche Antwort darauf, welche nationalen Regeln zusätzlich gelten. Fehlt die Verbindung zur EU, ist der unmittelbarere Rahmen häufig das Recht des Landes, in dem das Unternehmen tätig ist, sowie das Recht der Märkte, die es tatsächlich bedient.

Datenschutz, Verbraucherrecht, Produktsicherheit, Arbeitsrecht und Branchenregeln können KI-Systeme auch ohne den EU AI Act erfassen. Welche Anforderungen daraus folgen, hängt von der Tätigkeit, den betroffenen Personen, den Datenflüssen und den zuständigen Rechtsordnungen ab. Eine KI-spezifische Regelung in einem Land kann hinzukommen, muss es aber nicht.

Der EU AI Act wird dadurch nicht bedeutungslos. Wenn Sie ein Produkt in die EU verkaufen, mit einem EU-Kunden arbeiten, Entscheidungen über dort betroffene Nutzer beeinflussen oder Prüfungen durch Investoren und Unternehmenseinkauf durchlaufen, kann die Verordnung in der Praxis zu einem Beschaffungs- und Vertrauenskriterium werden.

Was Unternehmen außerhalb der EU jetzt tun sollten

Ich halte es nicht für sinnvoll, dass jedes Unternehmen außerhalb der EU morgen ein Programm zur Einhaltung des EU AI Act startet. Das würde unnötige Kosten schaffen.

Jedes Unternehmen, das KI im Zusammenhang mit Kunden, Beschäftigten, Patienten, Bewerbern oder Bürgern einsetzt, braucht jedoch ein grundlegendes Verzeichnis.

Dieses Verzeichnis sollte mehr als den Namen des Werkzeugs enthalten. Es sollte folgende Fragen beantworten:

Frage	Warum sie wichtig ist
Welche Aufgabe erfüllt das System?	Das Risiko entsteht aus der Funktion, nicht aus dem Namen der Branche.
Wessen Entscheidung beeinflusst die Ausgabe?	Gesundheitsversorgung, Beschäftigung, Kredit, Versicherung und wesentliche Dienste verändern den Maßstab.
Welche Rolle hat das Unternehmen?	Ob es Anbieter, Betreiber, Händler oder Kunde ist, verändert die Verantwortung.
Worin besteht die EU-Verbindung?	Markt, Nutzer, Ausgabe, Kunde, Bevollmächtigter, Händler und Datenfluss müssen getrennt betrachtet werden.
Welche Daten gehen wohin?	Hier beginnen die Fragen nach nationalem Datenschutzrecht, DSGVO und internationaler Übermittlung.
Funktioniert die menschliche Aufsicht in der Praxis?	Eine Freigabeschaltfläche ist nicht dasselbe wie Verantwortung durch Gestaltung.
Welches System sollte eingegrenzt oder gar nicht gebaut werden?	Die Kosten der Einhaltung können den geschäftlichen Wert übersteigen.

Diese Arbeit ist kein letzter Schritt, der allein der Rechtsabteilung überlassen werden kann. Produkt, Betrieb, Vertrieb, Daten, Sicherheit und Lieferantenmanagement müssen am selben Tisch sitzen.

Das Risiko eines KI-Systems entsteht häufig nicht innerhalb der Software, sondern aus seiner Rolle im Arbeitsablauf.

Die abschließende Unterscheidung

Der EU AI Act kann Unternehmen außerhalb der EU auf zwei verschiedene Arten betreffen.

Die erste ist der unmittelbare rechtliche Geltungsbereich. Die Verordnung kommt ins Spiel, wenn ein System auf dem EU-Markt in Verkehr gebracht, durch einen Betreiber in der EU eingesetzt oder seine Ausgabe bestimmungsgemäß dort verwendet wird. Hochrisikoanwendungen, Transparenzpflichten, Modelle mit allgemeinem Verwendungszweck und Rollen in der Lieferkette können erhebliche Folgen auslösen.

Die zweite ist die praktische geschäftliche Wirkung. Unabhängig davon, ob eine EU-Behörde ein Bußgeld unmittelbar eintreiben kann, können EU-Kunden, Händler, Plattformen, Werbekanäle, Investoren, Versicherer oder der Unternehmenseinkauf Nachweise zur Einhaltung verlangen.

Ein Hotel-Chatbot eines ausschließlich außerhalb der EU ansässigen und tätigen Unternehmens lässt sich nicht im selben Satz bewerten wie ein Anbieter außerhalb der EU, der KI für die Bewerberauswahl an deutsche Unternehmen verkauft.

Die zentrale Schlussfolgerung dieser Reihe ist einfach.

Der EU AI Act sollte weder aus Panik jedem Unternehmen außerhalb der EU zugerechnet noch mit dem Satz „Die EU kann uns nicht binden“ abgetan werden.

Erfassen Sie zuerst die Aufgabe des Systems, die Rolle des Unternehmens, den Weg der Daten und die Verbindung zur EU. Bestimmen Sie anschließend, welches Recht tatsächlich gilt und welche Geschäftsbeziehung es in der Praxis beeinflussen kann.

Die hilfreiche Frage lautet nicht: „Unterliegen Unternehmen außerhalb der EU dem EU AI Act?"

Sondern: Wo, für wen und zur Beeinflussung welcher Entscheidung wird dieses KI-System eingesetzt? Kann das Unternehmen belegen, dass dieser Einsatz den geltenden Regeln entspricht?

Dieser Artikel dient der allgemeinen Information und ist keine Rechtsberatung für ein bestimmtes System oder Unternehmen.

Wie stark betrifft der EU AI Act Unternehmen außerhalb der EU?