In this Article
Der EU AI Act ist nun das Regelwerk, das Teams für Webdaten und KI nicht ignorieren können. Ab August 2026 wird er konsequent durchgesetzt, und zwei seiner Pflichten betreffen unmittelbar die Erhebung von Trainingsdaten: Anbieter von KI-Modellen mit allgemeinem Verwendungszweck (GPAI) müssen eine Zusammenfassung ihrer Trainingsdaten veröffentlichen und eine Urheberrechtsrichtlinie umsetzen, die maschinenlesbare Opt-outs respektiert. Einfach gesagt: Die Signale, mit denen eine Website mitteilt, “durchsuche mich nicht” – robots.txt, ai.txt, TDM-Vorbehalte -, erhalten nun rechtliche Bedeutung für alle, die Modelle für den EU-Markt trainieren. Dieser Leitfaden erläutert, was sich geändert hat, wen es betrifft und was Sie tun sollten, wenn Sie Webdaten erfassen.
Ich bin Andrii Byzov, AI-Native Fractional CMO, und arbeite täglich mit Webdaten-Pipelines. Im Folgenden finden Sie einen praxisnahen, für 2026 aktuellen Überblick – mit dem wichtigen Hinweis, dass es sich um allgemeine Informationen und nicht um Rechtsberatung handelt. Weiterführende Informationen finden Sie unter robots.txt und KI-Crawler sowie Ist Web Scraping legal?.
Wichtige Fakten
- Der EU AI Act (Verordnung 2024/1689) ist das weltweit erste umfassende KI-Gesetz – risikobasiert und schrittweise von 2024 bis 2027 eingeführt.
- Die GPAI-Regeln gelten seit dem 2. August 2025; die konsequente Durchsetzung beginnt am 2. August 2026 (GPAI-Geldbußen von bis zu €15M oder 3% des Umsatzes sowie Pflichten für Hochrisiko-KI und Transparenz).
- Zusammenfassung der Trainingsdaten: GPAI-Anbieter müssen anhand der verbindlichen Vorlage der Kommission einen Überblick über ihre Trainingsinhalte veröffentlichen.
- Urheberrecht / TDM-Opt-out: Anbieter müssen über eine Richtlinie verfügen, die Rechtevorbehalte gemäß der EU-Ausnahme für Text und Data Mining identifiziert und respektiert – auch über maschinenlesbare Signale wie robots.txt und ai.txt.
- Betroffen sind Modellanbieter, nicht Proxys: Die Pflichten treffen diejenigen, die GPAI-Modelle für den EU-Markt entwickeln oder bereitstellen, sowie die Art ihrer Datenerhebung. Infrastruktur wie Proxys ist neutral; entscheidend ist, was Sie erfassen und ob Sie Opt-outs beachten.
Was der EU AI Act ist – und warum er Webdaten betrifft
Der EU AI Act ist eine risikobasierte Verordnung: Er ordnet KI-Anwendungen den Stufen verbotenes, hohes, begrenztes und minimales Risiko zu und legt entsprechende Pflichten fest. Der Großteil betrifft die Entwicklung und Bereitstellung von KI-Systemen. Ein besonderer Bereich richtet sich jedoch an KI-Modelle mit allgemeinem Verwendungszweck (die großen Modelle hinter Chatbots und Assistenten) und reicht bis in die Phase der Datenerhebung zurück. Da moderne Modelle mit Daten im Umfang des gesamten Webs trainiert werden, regeln die Transparenz- und Urheberrechtsvorgaben des Gesetzes faktisch, wie diese Webdaten erhoben und dokumentiert werden.
Der maßgebliche Zeitplan
| Datum | Was gilt |
|---|---|
| 1. Aug. 2024 | Der AI Act tritt in Kraft |
| 2. Feb. 2025 | Verbote bestimmter Praktiken + Pflichten zur KI-Kompetenz |
| 2. Aug. 2025 | GPAI-Pflichten beginnen; die Vorgabe zur Zusammenfassung der Trainingsdaten wird wirksam |
| 2. Aug. 2026 | Konsequente Durchsetzung: GPAI-Geldbußen, Transparenzregeln, Pflichten für Hochrisiko-KI |
| 2. Aug. 2027 | Bestehende GPAI-Modelle (vor August 2025 bereitgestellt) müssen ihre Zusammenfassung der Trainingsdaten veröffentlichen |
Zwei Pflichten, die die Datenerhebung betreffen
1. Die Zusammenfassung der Trainingsdaten. Nach Artikel 53 müssen GPAI-Anbieter eine “hinreichend detaillierte Zusammenfassung” der Inhalte veröffentlichen, die zum Trainieren des Modells verwendet wurden. Dabei ist eine vom AI Office der Kommission veröffentlichte Vorlage zu verwenden. Sie verlangt Angaben zu den Inhaltstypen, Datenquellen und Erhebungsmethoden – für öffentlich gescrapte Daten werden detailliertere Angaben erwartet als für lizenzierte oder private Datensätze. Die praktische Folge: Wenn Sie das Web für das Training eines Modells scrapen, müssen Sie wissen und dokumentieren, woher Ihre Daten stammen.
2. Die Urheberrechts- und TDM-Opt-out-Richtlinie. Ebenfalls nach Artikel 53 müssen Anbieter eine Richtlinie einhalten, um das EU-Urheberrecht zu beachten und insbesondere Rechtevorbehalte gemäß der Ausnahme für Text und Data Mining (TDM) der DSM-Richtlinie (Artikel 4) zu identifizieren und zu respektieren. Rechteinhaber können ihre Werke von Mining ausschließen. Entscheidend ist, dass diese Vorbehalte über maschinenlesbare Signale ausgedrückt werden. Der GPAI-Verhaltenskodex verpflichtet die Unterzeichner dazu, robots.txt und maschinenlesbare Protokolle für Rechtevorbehalte zu beachten. Das ist die Verbindung zwischen einer rechtlichen Pflicht und Ihrer Crawler-Konfiguration.
Maschinenlesbare Opt-outs haben nun rechtliche Bedeutung
Dies ist die wichtigste Änderung für Datenteams. Jahrelang war robots.txt nur eine Konvention (siehe unseren Leitfaden zu robots.txt und KI-Crawlern). Im Urheberrechtsregime des AI Act wird die Beachtung maschinenlesbarer Opt-outs – robots.txt, ai.txt und neu entstehender TDM-Vorbehaltsprotokolle – Teil der Compliance von GPAI-Anbietern. Ein gültiges maschinenlesbares Signal wie “nicht für Mining verwenden” zu ignorieren, ist nicht länger nur unhöflich; es kann die vom Gesetz verlangte Urheberrechts-Compliance-Richtlinie untergraben. Die Kommission hat sogar Standards für Protokolle zur Kennzeichnung solcher Vorbehalte konsultiert.
Für wen dies tatsächlich gilt
- Anbieter von GPAI-Modellen – alle, die ein Modell mit allgemeinem Verwendungszweck für den EU-Markt entwickeln oder bereitstellen, tragen die Pflichten zur Zusammenfassung der Trainingsdaten und zur Urheberrechtsrichtlinie, unabhängig von ihrem Unternehmenssitz.
- Teams, die Modelle für EU-Nutzer mit gescrapten Daten trainieren oder feinabstimmen – für Sie gelten die Anforderungen an Dokumentation und Opt-outs entsprechend.
- Datenlieferanten und Scraper, die diese Pipelines beliefern – Ihre Erhebungspraktiken werden Teil der Compliance-Kette Ihrer Kunden; daher sind Datenherkunft und der Umgang mit Opt-outs auch geschäftlich relevant.
Beachten Sie die Überschneidung mit der GDPR: Enthalten gescrapte Daten personenbezogene Informationen, gilt zusätzlich das EU-Datenschutzrecht. Beide Regelwerke greifen nebeneinander.
Was Sie tun sollten, wenn Sie Webdaten für KI erfassen
- Beachten Sie maschinenlesbare Opt-outs. Lesen und respektieren Sie robots.txt sowie TDM-/ai.txt-Vorbehalte für die Quellen, die Sie nutzen – dies ist nun Teil der Urheberrechts-Compliance und nicht nur eine Frage der Höflichkeit.
- Dokumentieren Sie die Datenherkunft. Halten Sie fest, woher jeder Datensatz stammt, wann und wie er erhoben wurde. So können Sie eine Zusammenfassung der Trainingsdaten ausfüllen und Fragen nachgelagerter Stellen beantworten.
- Bevorzugen Sie öffentliche, nicht personenbezogene Daten und prüfen Sie auf personenbezogene Informationen, um Risiken nach der GDPR zu steuern; umgehen Sie keine Logins oder Zugriffskontrollen.
- Erheben Sie Daten ethisch und transparent. Nutzen Sie Infrastruktur mit Einwilligung und ethischer Herkunft sowie angemessene Abrufraten – die Herkunft Ihrer Tools gehört zu den Angaben, die Sie erklären können müssen.
Welche Rolle Proxys spielen
Proxys sind neutrale Infrastruktur: Der AI Act regelt was Sie erfassen und ob Sie Opt-outs beachten, nicht den Transportweg. Dennoch gehört die Herkunft Ihrer Proxys zu einer nachvollziehbaren, ethischen Pipeline. Deshalb sind ethisch beschaffte Residential IPs wichtig. Proxys unterstützen auch bei Compliance-Tests: Da sich Regeln, Cookie-Banner und Inhalte je nach Land unterscheiden, erhalten Sie ein genaues Bild, wenn Sie prüfen, wie Ihre eigene Website (oder eine Zielseite) in den EU-Märkten über lokale IPs dargestellt wird. DataImpulse-Proxys sind ethisch beschafft und nach Verbrauch abrechenbar; sie bieten länderspezifisches Targeting in der gesamten EU – die saubere Infrastrukturebene unter einem verantwortungsvollen Erhebungsprozess, kein Ersatz für die rechtliche Prüfung.
FAQ
Verbietet der EU AI Act Web Scraping?
Nein. Er verbietet Scraping nicht. Er reguliert Anbieter von KI-Modellen mit allgemeinem Verwendungszweck, die eine Zusammenfassung der Trainingsdaten sowie eine Urheberrechtsrichtlinie vorlegen müssen, welche maschinenlesbare Opt-outs respektiert. Dadurch prägt er indirekt, wie Trainingsdaten erhoben und dokumentiert werden.
Wann wird der EU AI Act durchgesetzt?
Er trat am 1. August 2024 in Kraft und wird schrittweise angewendet: GPAI-Pflichten gelten ab dem 2. August 2025, die konsequente Durchsetzung (GPAI-Geldbußen von bis zu €15M oder 3% des Umsatzes sowie Transparenz- und Hochrisiko-Pflichten) ab dem 2. August 2026.
Was ist die Zusammenfassung der Trainingsdaten?
Nach Artikel 53 müssen GPAI-Anbieter anhand der verbindlichen Vorlage der Kommission einen hinreichend detaillierten Überblick über die Inhalte veröffentlichen, die zum Trainieren ihres Modells verwendet wurden. Dieser umfasst Inhaltstypen, Quellen und Erhebungsmethoden, mit mehr Details zu öffentlich gescrapten Daten.
Muss ich robots.txt nach dem AI Act beachten?
Praktisch gesehen ja, wenn Sie Modelle für den EU-Markt trainieren. Die Urheberrechtsregeln des Gesetzes verlangen die Beachtung von Opt-outs für Text und Data Mining, die über maschinenlesbare Signale ausgedrückt werden. Der GPAI-Verhaltenskodex verpflichtet zudem zur Beachtung von robots.txt und Protokollen für Rechtevorbehalte.
Gilt der AI Act für Unternehmen außerhalb der EU?
Ja. Die Pflichten treffen Anbieter, die Modelle mit allgemeinem Verwendungszweck für den EU-Markt bereitstellen, unabhängig von ihrem Sitz. Damit fallen auch Teams außerhalb der EU, die EU-Nutzer bedienen, in den Anwendungsbereich.
Erstellen Sie Ihre KI-Datenpipeline auf sauberer, ethischer Infrastruktur
Verantwortungsvolle KI-Datenerhebung beginnt mit der Beachtung von Website-Signalen und der Nutzung ethisch beschaffter IPs. Beziehen Sie ethisch beschaffte Residential Proxys ab $1/GB – nach Verbrauch abrechenbar, mit Abdeckung in der EU und weltweit sowie Geo-Steuerung für verantwortungsvolle Erhebung und Tests.
Dieser Artikel enthält allgemeine Informationen und keine Rechtsberatung. Lassen Sie sich zu Ihren konkreten Pflichten nach dem EU AI Act, der DSM-Richtlinie und der GDPR von qualifizierten Rechtsberatern beraten.