Regulatory Sandboxes im AI Act – Chancen für innovative KMUs

Nur 2 % der KI-Startups und KMUs in der EU wissen, dass sie ihre KI-Systeme unter echten Bedingungen testen dürfen – ohne sofort alle Compliance-Pflichten des AI Act erfüllen zu müssen. Das ist kein Trick, kein Schlupfloch. Es ist ein offizielles Instrument, das der AI Act explizit für genau diese Situation geschaffen hat: die Regulatory Sandbox.

Während große Konzerne ihre Compliance-Abteilungen hochfahren, bleibt dieses Instrument für die meisten KMUs unsichtbar. Dabei könnte es für innovative Unternehmen im DACH-Raum einer der entscheidenden Wettbewerbsvorteile der nächsten Jahre sein.

Was ist eine Regulatory Sandbox – und warum steht sie im AI Act?

Eine Regulatory Sandbox (auf Deutsch: regulatorischer Sandkasten oder Experimentierraum) ist ein kontrolliertes Testumfeld, in dem Unternehmen neue Technologien unter Aufsicht der zuständigen Behörde entwickeln und erproben dürfen – mit vereinfachten oder vorübergehend ausgesetzten regulatorischen Anforderungen.

Das Konzept ist nicht neu. Die britische Finanzaufsicht FCA führte 2016 als eine der ersten Behörden eine Fintech-Sandbox ein. Seither haben Dutzende Regulierungsbehörden weltweit ähnliche Programme aufgebaut.

Der AI Act kodifiziert Regulatory Sandboxes erstmals verbindlich für alle EU-Mitgliedstaaten. Artikel 57 verpflichtet jedes EU-Land, mindestens eine KI-Regulatory-Sandbox auf nationaler Ebene einzurichten – spätestens bis August 2026, also zwölf Monate nach dem vollständigen Inkrafttreten der Verordnung. Artikel 58 regelt die Funktionsweise und die Pflichten der zuständigen nationalen Behörden.

Der Gedanke dahinter ist pragmatisch: Innovation soll nicht am Compliance-Aufwand scheitern, bevor überhaupt klar ist, ob ein Produkt funktioniert. Gleichzeitig soll der Schutz von Grundrechten und Sicherheit gewährleistet bleiben – weshalb die Sandbox keine rechtsfreie Zone ist, sondern ein beaufsichtigter Experimentierraum.

Das Problem, das Sandboxes lösen sollen

Stellen Sie sich vor, Sie entwickeln ein KI-gestütztes Diagnosesystem für Hausarztpraxen. Ihr System soll Symptomkombinationen auswerten und Ersteinschätzungen liefern – nicht als Ersatz für den Arzt, sondern als Unterstützung bei der Triage.

Aus Sicht des AI Act handelt es sich dabei sehr wahrscheinlich um ein Hochrisiko-KI-System nach Anhang III (Nummer 5, Bereich Gesundheit). Das bedeutet unter anderem:

Konformitätsbewertung vor dem Inverkehrbringen
Umfassende technische Dokumentation
Menschliche Aufsichtsmechanismen
Registrierung in der EU-Datenbank
CE-Kennzeichnung

Das kostet Zeit und Geld – beides, das ein frühes Startup oder ein KMU oft nicht hat, bevor das Produkt überhaupt marktreif ist. Die Bußgeldrisiken bei Nichtbeachtung sind real, aber das eigentliche Problem ist früher: Wer soll 50.000 Euro in Compliance stecken, wenn noch unklar ist, ob das Produkt funktioniert?

Genau hier setzt die Regulatory Sandbox an.

Wie die KI-Sandbox funktioniert: Der rechtliche Rahmen

Wer darf teilnehmen?

Die Teilnahme steht grundsätzlich allen Anbietern offen – also Unternehmen, die ein KI-System entwickeln oder in Verkehr bringen wollen. Artikel 57 Abs. 3 AI Act sieht ausdrücklich vor, dass KMUs und Startups bevorzugt Zugang erhalten sollen. Das ist keine bloße Absichtserklärung: Die nationalen Behörden sind angehalten, ihre Auswahlkriterien so zu gestalten, dass kleine Unternehmen nicht durch bürokratische Hürden ausgeschlossen werden.

Voraussetzung ist ein konkretes Vorhaben mit einem definierten KI-System und einem glaubwürdigen Entwicklungsplan. Reine Konzepte oder allgemeine Forschungsprojekte reichen in der Regel nicht aus.

Was bringt die Sandbox konkret?

Innerhalb der Sandbox können Teilnehmer ihr KI-System unter realen Bedingungen testen, ohne vorab alle Pflichten eines vollständig complianten Systems erfüllen zu müssen. Das bedeutet in der Praxis:

Aspekt	Außerhalb der Sandbox	Innerhalb der Sandbox
Technische Dokumentation	Vollständig vor Markteinführung	Kann parallel entwickelt werden
Konformitätsbewertung	Vor dem Inverkehrbringen	Begleitend während der Testphase
Registrierungspflicht	Vor dem Marktstart	Aufgeschoben bis Sandbox-Ende
Behördliche Begleitung	Reaktiv (bei Meldepflichten)	Proaktiv, regelmäßiger Austausch

Hinzu kommt ein rechtlicher Schutzschirm für die Sandbox-Dauer: Solange das Unternehmen die Sandbox-Bedingungen einhält und in gutem Glauben handelt, kann es grundsätzlich nicht wegen mangelnder Konformität sanktioniert werden – selbst wenn das System noch nicht alle Anforderungen erfüllt.

Wie lange dauert eine Sandbox?

Artikel 57 Abs. 6 AI Act sieht eine Laufzeit von maximal 12 Monaten vor, mit der Möglichkeit zur Verlängerung um weitere 12 Monate. Das gibt KMUs einen realistischen Zeitrahmen, um ihr System zu entwickeln, zu testen und parallel die Compliance-Dokumentation aufzubauen.

Datenschutz in der Sandbox

Ein häufiges Missverständnis: Die Sandbox hebt die DSGVO nicht auf. Artikel 59 AI Act regelt ausdrücklich, dass personenbezogene Daten, die für andere Zwecke erhoben wurden, unter engen Voraussetzungen für das Training und den Test von KI-Systemen in der Sandbox verwendet werden dürfen – aber nur mit entsprechenden Schutzmaßnahmen. Die Datenschutz-Folgenabschätzung bleibt in vielen Fällen relevant.

Die Sandbox in der Praxis: Was passiert dort wirklich?

Schritt 1: Bewerbung und Aufnahme

Der erste Schritt ist eine formale Bewerbung bei der nationalen Aufsichtsbehörde. In Deutschland wird das voraussichtlich die zuständige Marktüberwachungsbehörde sein – die genaue Zuständigkeitsstruktur ist noch in Abstimmung. In Österreich arbeitet die RTR (Rundfunk und Telekom Regulierungs-GmbH) an einem Rahmenwerk, in der Schweiz – die als Nicht-EU-Land nicht direkt gebunden ist – gibt es analoge Initiativen.

Die Bewerbung enthält typischerweise:

Beschreibung des KI-Systems (Funktionsweise, Risiken, Anwendungsbereich)
Entwicklungsplan mit klaren Meilensteinen
Risikoabschätzung (entsprechend der Risikoklassen des AI Act)
Nachweis der technischen und organisatorischen Kompetenz

Schritt 2: Strukturierter Dialog mit der Behörde

Das Herzstück der Sandbox ist nicht die regulatorische Auszeit – es ist der direkte Austausch mit der Aufsichtsbehörde. Teilnehmende Unternehmen erhalten Guidance zu offenen Compliance-Fragen, bevor diese zu Problemen werden.

Konkret bedeutet das: Wenn unklar ist, ob ein bestimmtes Kontrollmechanismus die Anforderungen an menschliche Aufsicht nach dem AI Act erfüllt, kann das im Sandbox-Prozess direkt geklärt werden – nicht erst im Nachhinein durch ein Bußgeldverfahren.

Schritt 3: Dokumentation und Abschlussbericht

Die Sandbox endet nicht mit dem Auslaufen der Frist. Teilnehmer müssen einen Abschlussbericht vorlegen, der die Testergebnisse, die identifizierten Risiken und die getroffenen Maßnahmen dokumentiert. Dieser Bericht dient gleichzeitig als Grundlage für die anschließende formale Konformitätsbewertung – und macht diese oft erheblich einfacher.

Drei Szenarien: Wo KMUs von der Sandbox profitieren

Szenario 1: Das Recruiting-Tool

Ein HR-Software-Anbieter aus München entwickelt ein KI-Tool, das Bewerbungsunterlagen vorauswertet und Shortlists erstellt. Das System fällt unter Anhang III des AI Act (Beschäftigung, Arbeitsverwaltung) und ist damit hochriskant.

Ohne Sandbox: Vollständige Compliance-Anforderungen vor dem ersten Pilotprojekt. Aufwand: 3-6 Monate, Kosten: 30.000-80.000 Euro (externe Berater, technische Dokumentation, Audit).

Mit Sandbox: Das Unternehmen kann das Tool in einer definierten Pilotgruppe testen, erhält Feedback der Behörde zu kritischen Punkten (z. B. Bias-Prüfung, Transparenzpflichten) und baut die Dokumentation parallel auf. Kosten und Zeit für den Markteintritt: deutlich reduziert.

Szenario 2: Das Finanzberatungs-Tool

Ein österreichisches Fintech entwickelt ein KI-System, das Privatpersonen bei der Portfolioallokation unterstützt. Die Klassifizierung ist unklar – handelt es sich um ein Hochrisiko-System im Bereich kritische Infrastruktur oder fällt es unter GPAI-Regeln? (Zur Abgrenzung: AI Act und ChatGPT – GPAI-Regeln)

Die Sandbox bietet hier einen Klärungsrahmen: Die Behörde gibt eine qualifizierte Einschätzung zur Risikoklassifizierung – eine Information, die andernfalls nur durch teure Rechtsgutachten oder (schlimmstenfalls) durch ein Verfahren zu erhalten wäre.

Szenario 3: Das Pflegeunterstützungs-System

Ein Schweizer Startup entwickelt ein System, das Pflegepersonal bei der Medikamentendosierung unterstützt. Hochrisiko, sensible Daten, ethisch komplex. Die Gründer sind technisch exzellent, aber compliance-unerfahren.

Die Sandbox ermöglicht hier, das System schrittweise zu validieren, Schulungsempfehlungen nach Artikel 4 (seit Digital Omnibus Empfehlung statt Pflicht) frühzeitig zu adressieren und eine Compliance-Kultur im Unternehmen aufzubauen – bevor das erste echte Krankenhaus als Kunde kommt.

Was die Sandbox nicht ist – und typische Missverständnisse

Missverständnis 1: „In der Sandbox müssen wir keine Grundrechte beachten.“ Falsch. Die Sandbox schützt vor formalen Compliance-Anforderungen, nicht vor materiellen Rechtspflichten. Diskriminierungsverbote, Datenschutz, Produkthaftung – all das gilt weiterhin.

Missverständnis 2: „Jedes Unternehmen wird aufgenommen.“ Die nationalen Behörden haben einen Ermessensspielraum. Unternehmen ohne glaubwürdigen Entwicklungsplan oder ohne technische Grundvoraussetzungen werden nicht aufgenommen.

Missverständnis 3: „Nach der Sandbox brauchen wir keine volle Compliance mehr.“ Im Gegenteil. Die Sandbox ist eine Vorstufe, keine Alternative zur Compliance. Am Ende steht das vollständig konforme Produkt – die Sandbox macht diesen Weg effizienter, nicht überflüssig. Den vollständigen Zeitplan mit allen Fristen sollten Unternehmen kennen.

Missverständnis 4: „Das ist nur etwas für Tech-Startups.“ Auch etablierte KMUs, die bestehende Prozesse mit KI ergänzen wollen, können teilnehmen. Die Sandbox ist nicht auf die Unternehmensgröße, sondern auf das konkrete KI-Vorhaben zugeschnitten.

Jetzt handeln: Der Zeitplan ist eng

Die nationalen Sandboxes müssen bis August 2026 operativ sein. Damit beginnt die eigentliche Arbeit: Behörden müssen Antragsverfahren etablieren, Kapazitäten aufbauen, erste Unternehmen aufnehmen.

Kluge KMUs positionieren sich jetzt:

KI-Systeme inventarisieren: Welche KI-Anwendungen sind in der Entwicklung? Welche fallen potenziell unter Hochrisiko? (Anleitung: KI-Inventar erstellen)
Risikoklasse vorprüfen: Für welches System kommt eine Sandbox überhaupt in Frage? (Überblick: KI-Risikoklassen im Vergleich)
Behördenkontakt aufnehmen: In Deutschland, Österreich und der Schweiz gibt es bereits jetzt informelle Konsultationsangebote der zuständigen Stellen.
Compliance-Basis aufbauen: Die Sandbox ersetzt keine Grundkenntnisse. Wer die KMU-Checkliste bereits abgearbeitet hat, ist im Bewerbungsverfahren klar im Vorteil.

Ob eine Sandbox für Sie in Frage kommt, hängt zuerst an der Risikoklasse Ihres Systems. Die Einordnung samt zugehöriger Pflichten und Fristen steht im AI-Act-Leitfaden.

Fazit: Regulatory Sandbox als strategisches Instrument

Die Regulatory Sandbox des AI Act ist kein bürokratisches Feigenblatt. Sie ist ein ernstes innovationspolitisches Instrument – und für KMUs mit ambitionierten KI-Projekten möglicherweise der wichtigste Compliance-Hebel der kommenden Jahre.

Sie reduziert nicht nur Kosten und Zeit bis zur Marktreife. Sie schafft etwas noch Wertvolleres: Rechtssicherheit durch Behördendialog. In einem Rechtsrahmen, der so komplex und teilweise noch interpretationsbedürftig ist wie der AI Act, ist dieser direkte Austausch Gold wert.

Wer heute die Voraussetzungen für eine Sandbox-Teilnahme schafft – KI-Inventar, Risikobewertung, Compliance-Grundlage – hat gleichzeitig den größten Teil der Hausaufgaben erledigt, die für einen erfolgreichen Markteintritt nach AI Act ohnehin nötig sind.

Die Frage ist nicht, ob Ihr Unternehmen eine Regulatory Sandbox braucht. Die Frage ist: Ist Ihr KI-System bereit für den strukturierten Dialog mit der Aufsichtsbehörde?