EU AI Act 2026: was Self-Hosting (nicht) löst

Die KI-Verordnung ist risikobasiert und gestaffelt, kein einzelner Schalter

Die häufigste Fehldeutung des EU AI Act 2026 behandelt ihn als ein Gesetz, das an einem einzigen Datum „angeht". So funktioniert er nicht. Die KI-Verordnung ist risikobasiert und tritt in Phasen in Kraft, mit unterschiedlichen Pflichten zu unterschiedlichen Zeitpunkten und für unterschiedliche Rollen. Das ist für jede Bewertung von KI-Verordnung Self-Hosting entscheidend, denn Self-Hosting verändert, welche Pflichten auf dich zukommen. Es lässt das Gesetz nicht verschwinden.

Der ehrliche Ausgangspunkt lautet daher: Es gibt keinen „AI-Act-befreit"-Knopf. Es gibt eine Landkarte von Pflichten, und deine Aufgabe ist zu wissen, welche heute schon für dich gelten und welche noch kommen.

Was 2026 bereits in Kraft ist

Zwei Phasen sind aktiv und unstrittig:

• Seit 2. Februar 2025: die verbotenen Praktiken nach Artikel 5 (eine harte Liste untersagter KI-Anwendungen) und die KI-Kompetenz-Pflichten: Mitarbeitende, die mit KI-Systemen arbeiten, brauchen ein angemessenes Verständnis. Das gilt jetzt.
• Seit 2. August 2025: die Pflichten für GPAI (KI-Modelle mit allgemeinem Verwendungszweck) sowie die Governance- und Durchsetzungsstruktur. Diese sind in Kraft und nicht aufgeschoben.

Wer diese Regeln für „Zukunft" hielt, ist bereits im Rückstand. Sie sind der Boden, und sie gelten unabhängig davon, wo das Modell läuft.

Der Hochrisiko-Zeitplan und das Digital Omnibus

Die meiste Aufmerksamkeit zieht die Hochrisiko-Stufe auf sich: die Annex-III-Pflichten für KI in Bereichen wie Beschäftigung, Kreditvergabe, Bildung oder kritischen Diensten. Diese Pflichten sollten ursprünglich ab dem 2. August 2026 gelten.

Im Mai 2026 erzielte das Digital Omnibus-Paket der EU eine politische Einigung, die Annex-III-Hochrisiko-Pflichten auf etwa Dezember 2027 zu verschieben. Die wichtige Feinheit: Stand Mitte 2026 ist diese Verschiebung vereinbart, aber noch nicht verabschiedet. Sie wird voraussichtlich aufgeschoben, vorbehaltlich der endgültigen EU-Verabschiedung. Sie ist kein geltendes Recht, auf das du dich verlassen kannst. Die vernünftige Haltung: planen, als kämen die Hochrisiko-Pflichten, und das Datum als bewegliches Ziel behandeln, nicht als Entwarnung.

Betreiber vs. Anbieter: die Ausnahme wandert nicht mit

Hier liegt der Punkt, an dem Teams stolpern. Die KI-Verordnung unterscheidet zwischen dem Anbieter eines Modells oder Systems und seinem Betreiber. Wenn du ein Modell nimmst und es selbst hostest oder in ein Produkt integrierst, das du Nutzern in der EU vorsetzt, handelst du als Betreiber. Das ist genau die Achse hinter AI Act Betreiber Anbieter.

Diese Unterscheidung hat Zähne beim Thema Open Source. Ein Modell-Anbieter kann von bestimmten Open-Source-Ausnahmen profitieren, doch diese Ausnahmen hängen am Anbieter, in dieser Rolle. Sie wandern nicht automatisch zu dir, wenn du das Modell im eigenen Produkt einsetzt. Die Transparenzpflichten des Betreibers (etwa Menschen mitzuteilen, dass sie mit KI interagieren oder dass Inhalte KI-generiert sind, wo diese Regeln greifen) bleiben deine. Offene Gewichte auf dem eigenen Server zu betreiben ist ein Souveränitätsgewinn; es ist keine Compliance-Befreiung.

Was Self-Hosting tatsächlich löst

Die ehrliche These, klar gesagt: Self-Hosting ist nicht dasselbe wie AI-Act-befreit. Was es dir bringt, ist enger und real:

• Weniger anbieterseitige Pflichten zum Erben, weil nicht du das Modell in Verkehr bringst.
• Eine saubere Datenschutz-Geschichte: Datenresidenz, volle Kontrolle darüber, wo verarbeitet wird, und Nachvollziehbarkeit, was wann verarbeitet wurde, weil nichts deine Infrastruktur verlässt.

Was es dir nicht bringt, sind null Pflichten. Die Artikel-5-Verbote gelten weiter. KI-Kompetenz gilt weiter. Die Transparenzpflichten des Betreibers gelten weiter. Liegt dein Einsatz in der Hochrisiko-Stufe, kommen diese KI-Verordnung Pflichten weiterhin, egal welches Datum am Ende verabschiedet wird. Self-Hosting vereinfacht die Daten-Geschichte und kürzt die Anbieter-Geschichte; es löscht nicht die Betreiber-Geschichte.

Wo pdf2okf ins Bild kommt

pdf2okf verwandelt deine PDFs in OKF-kompatible Wissens-Bundles auf deiner eigenen Hardware oder gegen deinen eigenen Schlüssel. Nichts wird an Dritte hochgeladen. Das räumt genau den Teil auf, den Self-Hosting wirklich besitzt: Datenresidenz, Kontrolle und Nachvollziehbarkeit. Jede verarbeitete Seite bleibt unter der Rechtshoheit, die du gewählt hast, und du kannst exakt belegen, was wo verarbeitet wurde.

Was pdf2okf nicht leistet (und was kein Werkzeug ehrlich versprechen kann), ist, deine AI-Act-Pflichten verschwinden zu lassen. Nutze es, um die Datenschutz-Hälfte der Compliance einfach und beweisbar zu machen, und erfülle deine Betreiberpflichten auf diesem sauberen Fundament. Zur DSGVO-Mechanik siehe DSGVO-konforme KI; zum größeren Bild siehe Datenhoheit für KI.