EU AI Act für Text-Tools: Was Verordnung 2024/1689 ab August 2024 für Summarizer bedeutet

Was die Verordnung regelt

Am 13. Juni 2024 verabschiedet, am 12. Juli im Amtsblatt veröffentlicht, am 1. August 2024 in Kraft getreten: Die Verordnung (EU) 2024/1689 ist die erste umfassende Regulierung von Künstlicher Intelligenz weltweit. Sie ist als Marktverordnung konzipiert (Rechtsgrundlage Artikel 114 AEUV) und gilt direkt in allen EU-Mitgliedstaaten ohne nationale Umsetzungsgesetze.

Die Verordnung klassifiziert KI-Systeme in vier Risikoklassen:

1. Unzulässige KI-Praktiken (Artikel 5): Komplett verboten. Dazu gehören Social Scoring, biometrische Massenidentifikation in Echtzeit, manipulatives Sozialverhalten beeinflussende Systeme. Stichtag: 2. Februar 2025.

2. Hochrisiko-KI (Artikel 6 in Verbindung mit Anhang III): Strenge Pflichten, etwa Konformitätsbewertung, technische Dokumentation, Risikomanagement. Anwendungsfelder: Bildung, Personalwesen, Strafverfolgung, kritische Infrastruktur. Stichtag: 2. August 2026.

3. Begrenzte Risiken (Artikel 50): Transparenzpflichten. Dazu gehören Chatbots, Deepfakes, generative KI. Stichtag: 2. August 2026.

4. Minimale Risiken: Keine Pflichten. Spam-Filter, KI in Videospielen, einfache Empfehlungssysteme.

Wo TextRank steht

Artikel 3 Nr. 1 definiert KI-System als “ein maschinelles System, das so konzipiert ist, dass es mit unterschiedlichen Autonomiegraden operiert und Anpassungsfähigkeit zeigen kann, nachdem es eingesetzt wurde, und das aus den Eingaben, die es empfängt, ableitet, wie es Ausgaben wie Vorhersagen, Inhalte, Empfehlungen oder Entscheidungen erzeugen kann, die physische oder virtuelle Umgebungen beeinflussen können”.

Schlüsselwörter sind hier “Autonomiegrade”, “Anpassungsfähigkeit nach Einsatz” und “ableiten”. TextRank erfüllt keines dieser Kriterien. Der Algorithmus hat keinen Autonomiegrad (er führt fest definierte Schritte aus), keine Anpassungsfähigkeit (er lernt nichts), und er leitet nicht ab, sondern berechnet deterministisch.

In der Begründung der Kommission zur Verordnung (Erwägungsgrund 12) wird das explizit klargestellt: Einfachere Software-Systeme, die auf vorher festgelegten Regeln basieren, fallen nicht in den Anwendungsbereich. TextRank ist genau das, ein regelbasiertes Verfahren mit fester Formel und fester Iteration.

Wo GPT, Claude und Gemini stehen

Die großen Sprachmodelle gelten als General-Purpose-AI-Modelle (GPAI) nach Artikel 51. Voraussetzung: Das Modell ist mit großen Datenmengen trainiert und kann für eine Vielzahl von Aufgaben angepasst werden. GPT-4, Claude 3.5, Gemini 1.5 erfüllen das ohne Frage.

Für GPAI-Anbieter (OpenAI, Anthropic, Google, Meta, Mistral) gelten Pflichten ab dem 2. August 2025: technische Dokumentation, Transparenz über Trainingsdaten, Übereinstimmung mit Urheberrecht. Für GPAI-Modelle mit systemischen Risiken (laut Verordnung 10^25 FLOPS Trainings-Compute überschreitend, was GPT-4-Klasse und höher trifft) kommen zusätzliche Pflichten: Modellbewertungen, Risikominderung, Cybersicherheitsmaßnahmen.

Als Endnutzer (Deployer) der Modelle bist du nicht in der Anbieterrolle. Deine einzige Pflicht aus dem AI Act bei normaler Nutzung ist Artikel 50: Transparenz über die KI-Nutzung.

Artikel 50 in der Praxis

Die für Endnutzer wichtigste Norm ist Artikel 50. Er enthält vier Absätze, von denen für Summarizer drei relevant sind.

Artikel 50 Abs. 1: Anbieter von KI-Systemen, die direkt mit natürlichen Personen interagieren, müssen sicherstellen, dass die Personen darüber informiert werden. Das trifft Chatbots, gilt aber auch indirekt für Online-Summarizer mit Konversations-Interface.

Artikel 50 Abs. 2: Anbieter von KI-Systemen, die synthetische Inhalte erzeugen, müssen diese in maschinenlesbarer Form als KI-generiert markieren. Das ist die berühmte Wasserzeichen-Pflicht. Sie trifft die Modell-Anbieter (OpenAI, Anthropic), nicht die Nutzer.

Artikel 50 Abs. 4: Nutzer (Deployer) von KI-Systemen, die Texte erzeugen, die zur Information der Öffentlichkeit über Angelegenheiten von öffentlichem Interesse veröffentlicht werden, müssen kenntlich machen, dass der Text künstlich erzeugt oder manipuliert wurde. Hier sind die Endnutzer angesprochen.

Praktisch heißt das: Wer für eine Webseite, ein Newsletter oder eine Pressemitteilung eine GPT-Zusammenfassung veröffentlicht, muss das offenlegen. Wie genau, ist Auslegungssache. Empfohlen wird ein Hinweis wie “Dieser Text wurde mit Unterstützung von KI erstellt” oder “Automatisch generierte Zusammenfassung, redaktionell geprüft”.

DSGVO-Verschränkung

AI Act und DSGVO gelten parallel. Wer einen Cloud-Summarizer nutzt, der personenbezogene Daten verarbeitet, hat es mit beiden Gesetzen zu tun.

Konkret: Wenn du eine Bewerbung in ChatGPT zusammenfasst, ist das eine Verarbeitung personenbezogener Daten (Name, Lebenslauf, Adresse). Du brauchst eine Rechtsgrundlage nach Artikel 6 DSGVO, typisch Einwilligung oder berechtigtes Interesse. Außerdem schickst du die Daten an OpenAI in die USA, das ist eine Drittlandsübermittlung nach Artikel 44 DSGVO, die Standardvertragsklauseln nach Artikel 46 voraussetzt.

Bei einem Browser-Tool wie text-zusammenfassen.de, das ohne Server-Verarbeitung auskommt, fällt die Drittlandsübermittlung weg. Der Text bleibt physisch auf dem Gerät des Nutzers, es gibt keine Verarbeitung im Sinne von Artikel 4 Nr. 2 DSGVO. Auch der AI Act greift nicht, weil kein KI-System vorliegt. Das macht solche Tools für Datenschutz-sensible Anwendungen attraktiv.

Was sich für Hochschulen ändert

Viele deutsche Hochschulen haben 2024 und 2025 ihre Prüfungsordnungen angepasst. Die DFG (Deutsche Forschungsgemeinschaft) hat im September 2023 Leitlinien zum Umgang mit generativer KI in der Forschung veröffentlicht. Die Hochschulrektorenkonferenz folgte 2024 mit einer Empfehlung für Studien-Eigenständigkeitserklärungen.

Der typische Wortlaut einer aktuellen Eigenständigkeitserklärung enthält jetzt:

• Liste der genutzten KI-Tools (GPT-4, Claude, Gemini, DeepL, etc.).
• Beschreibung der Nutzungsart (Recherche, Übersetzung, Korrektur, Generierung).
• Bestätigung, dass die eigentliche Argumentation eigenständig ist.

Wer einen TextRank-basierten Summarizer nutzt, muss das nach den meisten Hochschul-Richtlinien nicht explizit angeben, weil TextRank kein KI-System im Sinne der Hochschul-Definitionen ist. Sicherheitshalber prüfen, manche Universitäten ziehen die Grenze enger.

Pflichten für Anbieter: Was OpenAI, Anthropic und Google tun müssen

Auch wenn Endnutzer den AI Act meist nur über Artikel 50 spüren, sind die Hauptpflichten bei den Anbietern. Für GPAI-Modelle (General-Purpose-AI) regelt Artikel 53 die Grundpflichten: technische Dokumentation, Informationen für nachgelagerte Anbieter, Strategie zur Einhaltung des Urheberrechts (insbesondere Respektierung von TDM-Vorbehalten nach § 44b UrhG), Zusammenfassung der für das Training genutzten Inhalte.

Für GPAI mit systemischen Risiken (Trainings-Compute über 10^25 FLOPS, was GPT-4-Klasse und höher betrifft) kommt Artikel 55 dazu: Modellbewertung, Risikominderung, Cybersicherheitsmaßnahmen, Meldung schwerwiegender Vorfälle. OpenAI hat 2025 erstmals eine Model Card nach den AI-Act-Anforderungen veröffentlicht, Anthropic folgte mit der System Card für Claude. Beide Dokumente sind über die jeweiligen Webseiten öffentlich einsehbar.

Für deutsche und EU-basierte Anbieter (Aleph Alpha, Mistral) gelten dieselben Pflichten. Mistral hat 2025 eine Konformitätserklärung für Mixtral und Mistral Large veröffentlicht. Aleph Alpha hat für sein Luminous-Modell entsprechende Dokumentation bereitgestellt.

Wie sich das auf den deutschen Markt auswirkt

Der AI Act hat den deutschen Markt für KI-Tools merklich verändert. Drei Effekte sind beobachtbar.

Erster Effekt: Konsolidierung bei kleinen Anbietern. Wer ein KI-Tool mit eigenem trainierten Modell anbietet, hat seit August 2025 erhebliche Compliance-Kosten (Dokumentation, Bewertung, Audit). Für Solo-Entwickler und kleine Teams wird das oft zu teuer, sie wechseln auf API-basierte Lösungen (OpenAI, Anthropic), wo der Anbieter die Pflichten trägt.

Zweiter Effekt: Comeback klassischer Algorithmen. Tools, die ohne ML auskommen (TextRank, regelbasierte Klassifikatoren, deterministische Such-Algorithmen) gewinnen an Attraktivität, weil sie nicht in den AI-Act-Scope fallen. Browser-Tools mit nur clientseitiger Verarbeitung haben einen doppelten Vorteil: weder AI Act noch DSGVO-Auftragsverarbeitung.

Dritter Effekt: Transparenz wird Standard. Veröffentlichte Texte mit KI-Beteiligung werden zunehmend als solche gekennzeichnet, auch über die strikten Anforderungen aus Artikel 50 hinaus. Newsletter und Online-Magazine ergänzen “Erstellt mit KI”-Hinweise, journalistische Plattformen wie Welt und Süddeutsche führen “KI-Disclosure-Statements” in ihren AGB ein.

Behörden und Vollzug: Wer kontrolliert?

Die Umsetzung des AI Act in Deutschland wird durch das Bundesnetzagentur-Gesetz und das Telekommunikations-Telemedien-Datenschutz-Gesetz (TTDSG) flankiert. Die Bundesnetzagentur ist mit der Aufsicht über bestimmte KI-Bereiche betraut, die Datenschutzbehörden über die personenbezogene Dimension. Eine vollständige Klärung der Zuständigkeiten ist 2026 noch nicht abgeschlossen.

Auf EU-Ebene wurde mit dem AI Office (in Brüssel angesiedelt) eine zentrale Stelle für GPAI-Aufsicht eingerichtet. Sie überwacht die größten Modell-Anbieter, kann Geldbußen verhängen (bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes) und gibt Leitlinien heraus. Die ersten Bußgeld-Verfahren sind 2025 angekündigt worden, aber 2026 noch keine veröffentlicht.

Konkrete Checkliste für Tool-Betreiber

Wer ein Tool zur Textverarbeitung anbietet, sollte folgende Punkte durchgehen.

1. Ist mein Tool ein KI-System nach Art. 3 Nr. 1? Hat es ML-Komponenten, lernt es aus Daten, ist es adaptiv? Wenn ja, weiter. Wenn nein (wie bei TextRank), bist du außerhalb des Anwendungsbereichs.

2. Fällt mein Tool unter Hochrisiko-KI nach Anhang III? Bildung, Personal, Strafverfolgung, kritische Infrastruktur? Wenn ja, Konformitätsbewertung, technische Dokumentation und Risikomanagement nötig.

3. Erzeugt mein Tool synthetische Inhalte? Wenn ja, Transparenzpflichten nach Art. 50: Output als KI-generiert kennzeichnen, idealerweise mit Wasserzeichen.

4. Verarbeitet mein Tool personenbezogene Daten? Wenn ja, zusätzlich DSGVO-Pflichten (Datenschutzerklärung, Rechtsgrundlage, ggf. Auftragsverarbeitung).

5. Welche Rechtsgrundlage habe ich für Trainingsdaten? Wenn das Tool selbst Modelle trainiert hat: § 44b UrhG (TDM) plus Respekt für Rechteinhaber-Vorbehalte.

Für ein Browser-Tool wie text-zusammenfassen.de mit TextRank-Engine sind nur Punkte 4 (DSGVO) und 5 (TDM) relevant, beide aber unkritisch, weil keine personenbezogene Verarbeitung erfolgt und keine Modelle trainiert werden.

Vergleich mit anderen Jurisdiktionen

Der AI Act ist ein EU-Gesetz, gilt aber für alle Anbieter, die ihre Tools in der EU vermarkten. Das hat einen Brüssel-Effekt erzeugt: Anbieter weltweit passen ihre Praktiken an EU-Standards an, weil eine EU-konforme Version oft das Maximum ist und für andere Märkte ausreicht.

Andere Jurisdiktionen folgen mit eigenen Regelungen. In den USA wurde im Oktober 2023 der Executive Order on Safe, Secure, and Trustworthy AI erlassen, der NIST-Standards für KI-Bewertung einführt. Im Januar 2025 wurde unter der neuen Administration der Schwerpunkt verschoben, aber NIST-Frameworks blieben. In Großbritannien wurde 2024 das AI Safety Institute gegründet, das systemische Risiken großer KI-Modelle bewertet, aber keine Verbote ausspricht. In China gibt es seit Juli 2023 die Interim Measures for the Management of Generative AI Services, die Anbieter zur Lizenzierung und Inhalts-Filterung verpflichten.

Für deutsche und EU-basierte Tool-Betreiber heißt das: Der AI Act ist der zentrale Maßstab, aber bei internationaler Vermarktung müssen weitere Regulatorien geprüft werden. Für reine EU-Anbieter bleibt der AI Act der dominante Rahmen.

Was hängenbleibt

Die EU-Verordnung 2024/1689 trifft KI-Systeme nach ihrer Risikoklasse. Extraktive Algorithmen wie TextRank fallen laut Erwägungsgrund 12 nicht in den Anwendungsbereich, sie sind regelbasiert und ohne Lernkomponente. GPT-basierte Tools sind GPAI nach Artikel 51 mit Transparenzpflichten aus Artikel 50. Wichtigste Stichtage: 2. Februar 2025 (Verbote), 2. August 2025 (GPAI-Pflichten), 2. August 2026 (Hochrisiko). Wer KI-Outputs öffentlich nutzt, muss sie nach Artikel 50 Abs. 4 kennzeichnen. Browser-Tools ohne Server-Verarbeitung umgehen sowohl AI Act als auch DSGVO-Auftragsverarbeitung.