EU AI Act 2026: Warum Unternehmen jetzt eine souveräne KI-Infrastruktur auf OpenShift brauchen

Während viele Unternehmen noch darüber diskutieren, welche KI-Modelle sie künftig einsetzen wollen, tritt bereits in wenigen Tagen ein weiterer Meilenstein des EU AI Act in Kraft. Damit rückt eine Frage in den Vordergrund, die bislang oft übersehen wurde: Auf welcher Infrastruktur laufen KI-Systeme eigentlich?

Am 2. August 2026 endet die 24-monatige Übergangsfrist des EU AI Act für die meisten seiner Bestimmungen. Ab diesem Datum gelten weitreichende Transparenz- und Kennzeichnungspflichten für KI-generierte Inhalte, und die Vorgaben für General-Purpose-AI-Modelle (GPAI) werden durchsetzbar. Die Pflicht, dass Mitarbeitende im Umgang mit KI-Systemen über ausreichende Kompetenz verfügen müssen, gilt bereits seit Februar 2025. Nur die Hochrisiko-Pflichten aus Anhang III für eigenständige KI-Systeme wurden durch das Digital-Omnibus-Paket auf Dezember 2027 verschoben.

Viele Unternehmen konzentrieren sich bei diesem Thema vor allem auf die Modellwahl oder auf Prompting-Richtlinien. Eine Frage wird dabei häufig unterschätzt: Auf welcher Infrastruktur laufen die eigenen KI- und Analytics-Workloads eigentlich und wie gut ist diese Infrastruktur tatsächlich abgesichert und kontrollierbar?

Warum die Infrastruktur-Frage bei KI-Workloads jetzt an Bedeutung gewinnt

Wer KI-Anwendungen ausschließlich über externe API-Dienste großer Anbieter betreibt, gibt damit zwangsläufig einen Teil der Kontrolle über Daten, Verarbeitungsorte und Sicherheitsarchitektur ab, ein Muster, das wir bereits in unserem Artikel zur digitalen Souveränität ausführlich beschrieben haben. Dieselbe Überlegung steckt hinter dem Trend zum Cloud Exit: Auch dort geht es darum, bewusst zu entscheiden, welche Workloads wirklich extern laufen sollten, bei einer eigenen Enterprise-KI-Plattform stellt sich diese Frage nur besonders zugespitzt. Trainings- und Inferenzdaten sind oft besonders sensibel, die Nachvollziehbarkeit von Entscheidungen wird regulatorisch verlangt, und die Kombination aus EU AI Act, NIS2 und dem KRITIS-Dachgesetz macht eine dokumentierte, auditierbare Infrastruktur zur Voraussetzung, nicht zur Kür.

Warum sich OpenShift als Enterprise-KI-Plattform etabliert

Für viele Enterprise-Unternehmen entwickelt sich OpenShift zunehmend zur bevorzugten Plattform für KI- und Analytics-Workloads, nicht zuletzt, weil Kubernetes-native Skalierung, Multi-Cloud-Fähigkeit und ein reifes Sicherheits-Ökosystem (Red Hat Advanced Cluster Security, Advanced Cluster Management) hier in einer Plattform zusammenkommen. Statt jedes KI-Projekt einzeln und isoliert aufzubauen, entsteht so eine gemeinsame, standardisierte Grundlage, auf der einzelne Fachbereiche ihre KI-Anwendungen kontrolliert ausrollen können.

Typische Bausteine einer solchen Plattform für KI-Workloads sind:

• Standardisierte, gehärtete Container-Basis-Images (z. B. auf Basis von Red Hat UBI)

• S3-kompatibler Storage für Trainings- und Inferenzdaten

• GitOps-/CI-CD-Prozesse für reproduzierbare, versionierte Deployments

• Zentrale Observability (Prometheus, Grafana, Loki) für Nachvollziehbarkeit und Audits

Moderne KI-Plattformen müssen dabei heute nicht nur klassische Container-Workloads, sondern auch GPU-Ressourcen effizient verwalten. Kubernetes und OpenShift ermöglichen die zentrale Orchestrierung von GPU-basierten Trainings- und Inferenz-Workloads über verschiedene Infrastrukturumgebungen hinweg, ein Thema, das mit wachsendem unternehmensinternen KI-Einsatz zunehmend an Bedeutung gewinnt.

Die beschriebenen Prinzipien, Zero Trust, GitOps, automatisiertes Policy Enforcement oder Observability, lassen sich grundsätzlich auch auf anderen Kubernetes-Plattformen umsetzen. OpenShift bietet hierfür jedoch bereits viele Enterprise-Funktionen integriert an.

Sicherheit und Governance von Anfang an mitdenken

Der entscheidende Unterschied zu einer klassischen Kubernetes-Plattform liegt darin, Sicherheit nicht nachträglich aufzusetzen, sondern von Beginn an in die Architektur einzubauen:

Zero-Trust-Prinzipien. Identity-first-Ansätze, Least-Privilege-Zugriffe und Continuous Monitoring sorgen dafür, dass auch KI-Workloads keinen impliziten Vertrauensvorschuss erhalten.

Automatisiertes Schwachstellen- und Policy-Management. Werkzeuge wie Red Hat Advanced Cluster Security prüfen Container-Images automatisiert auf Schwachstellen und erzwingen Sicherheitsrichtlinien, bevor Workloads überhaupt in Produktion gehen.

PKI- und Zertifikatsmanagement als Automatisierung, nicht als manueller Prozess. Automatisierte Ausstellung, Rotation und Verwaltung von Zertifikaten (etwa über Cert-Manager) verhindern, dass abgelaufene oder unsichere Zertifikate zur stillen Schwachstelle werden.

Governance- und Compliance-Dashboards. Zentrale Transparenz darüber, welche Workloads wo laufen, wer Zugriff hat und ob Sicherheitsvorgaben eingehalten werden, ist die Grundlage für jeden späteren Audit, ob nach BSI, NIS2 oder dem EU AI Act.

Dadurch entstehen Plattformen, auf denen neue KI-Anwendungen nicht jedes Mal individuell abgesichert werden müssen. Sicherheits- und Compliance-Vorgaben werden stattdessen zentral bereitgestellt und automatisch für alle Workloads angewendet.

Aus der Praxis

Diese Prinzipien setzen wir aktuell in mehreren Enterprise-Projekten um. Bei einem internationalen IT-Dienstleister entstehen im Auftrag für dessen Konzernkunden die Plattform-Grundlagen für skalierbare KI- und Analytics-Workloads auf OpenShift, inklusive Zero-Trust-Architektur, automatisiertem Schwachstellenmanagement und Governance-Dashboards für mehrere Konzerngesellschaften gleichzeitig. Bei einem Finanzdienstleister begleiten wir den Aufbau einer OpenShift-Umgebung auf Microsoft Azure, ebenfalls mit dem Ziel, KI- und Analytics-Workloads auf einer gemeinsamen, abgesicherten Plattform-Basis auszurollen, ergänzt um ein eigenes Cost Management, das Cloud- und Container-Kosten transparent den einzelnen Teams zuordnet.

Beide Projekte zeigen denselben Kernpunkt: Die Frage ist nicht mehr, ob ein Unternehmen KI-Workloads betreibt, sondern ob die zugrunde liegende Plattform von Anfang an so gebaut ist, dass Sicherheit, Kostenkontrolle und regulatorische Nachweisbarkeit mitwachsen.

Was Unternehmen jetzt konkret prüfen sollten

• Auf welcher Infrastruktur laufen aktuell KI- und Analytics-Workloads und wer hat tatsächlich Zugriff darauf?

• Existiert ein Zero-Trust-Konzept, oder verlassen sich bestehende Systeme noch auf implizites Vertrauen innerhalb des Netzwerks?

• Sind Container-Images und Deployments automatisiert auf Schwachstellen geprüft, bevor sie produktiv gehen?

• Ist die KI-Kompetenzpflicht für Mitarbeitende, die KI-Systeme bedienen oder deren Ergebnisse nutzen, bereits umgesetzt?

• Gibt es Governance-Dashboards, die im Ernstfall eines Audits sofort belastbare Antworten liefern?

Wie wir unterstützen können

Wir unterstützen Unternehmen beim Aufbau einer souveränen, abgesicherten Enterprise-KI-Plattform, von der Kubernetes- und Cloud-Architektur über Zero-Trust- und Governance-Konzepte bis zum laufenden Betrieb im Rahmen unserer Managed Services, die Containerplattformen (Kubernetes, OpenShift) sowie Security & Compliance bereits heute abdecken.

Häufige Fragen zu souveräner KI-Infrastruktur und dem EU AI Act

Was ändert sich am 2. August 2026 konkret? Es gelten weitreichende Transparenz- und Kennzeichnungspflichten für KI-generierte Inhalte, und die Vorgaben für General-Purpose-AI-Modelle (GPAI) werden durchsetzbar. Die Hochrisiko-Pflichten aus Anhang III für eigenständige KI-Systeme wurden dagegen auf Dezember 2027 verschoben.

Warum eignet sich OpenShift besonders für Enterprise-KI-Workloads? OpenShift vereint Kubernetes-native Skalierung mit einem reifen Sicherheits-Ökosystem (u. a. Red Hat Advanced Cluster Security und Advanced Cluster Management) und lässt sich sowohl On-Premises als auch in der Cloud betreiben. Eine gute Grundlage für hybride, regulierungskonforme KI-Plattformen.

Ist eine eigene KI-Infrastruktur nicht viel aufwendiger als ein externer KI-Dienst? Der initiale Aufwand ist höher, dafür bleiben Kontrolle über Daten, Kosten und Sicherheitsarchitektur im eigenen Haus. Gerade bei sensiblen oder regulierten Anwendungsfällen ein entscheidender Faktor.

Deckt Contensi auch die rechtliche Bewertung der EU-AI-Act-Pflichten ab? Nein. Wir unterstützen bei der technischen Umsetzung einer sicheren, souveränen Infrastruktur für KI-Workloads; für die rechtliche Einordnung der eigenen Betroffenheit empfehlen wir zusätzlich eine spezialisierte Kanzlei.