Mit dem 2. August 2026 wird der EU AI Act in weiten Teilen anwendbar und durch zuständige Behörden durchsetzbar. Für Unternehmen bedeutet das nicht, dass jede ausgemusterte Grafikkarte oder jeder Server plötzlich besonderen Entsorgungsvorschriften unterliegt. Die praktische Herausforderung liegt an anderer Stelle: KI-Systeme bestehen aus Hardware, Modellen, Konfigurationen, Protokollen, Zugangsdaten und oft personenbezogenen oder vertraulichen Trainings- und Nutzungsdaten. Wird eine Plattform abgeschaltet, verkauft, zurückgebaut oder dem Recycling zugeführt, müssen diese Bestandteile getrennt betrachtet werden. Wer Zuständigkeiten, Datenlöschung, Nachweise und den weiteren Verbleib nicht frühzeitig plant, riskiert Sicherheitsvorfälle, unklare Verantwortlichkeiten und den Verlust wichtiger Compliance-Dokumentation.
Ausmusterung beginnt mit der Beweissicherung
Der AI Act regelt vor allem Entwicklung, Bereitstellung und Nutzung künstlicher Intelligenz. Er schreibt kein eigenes Entsorgungsverfahren für ausgemusterte KI-Hardware vor. Trotzdem wirkt sich die Verordnung auf die Ausmusterung aus, weil Unternehmen ihre KI-Systeme nachvollziehbar verwalten müssen. Vor dem Abbau sollte daher feststehen, welche Rolle das Unternehmen einnimmt: Betreiber, Anbieter, Importeur oder Nutzer eines Systems. Ebenso wichtig ist die Einordnung des Systems. Ein internes Analysewerkzeug, ein generatives Modell, eine automatisierte Entscheidungshilfe und ein KI-System in einem regulierten Produkt können sehr unterschiedlichen Anforderungen unterliegen.Für die Praxis empfiehlt sich zunächst ein vollständiges Ausmusterungsinventar. Es sollte nicht nur Server, Beschleunigerkarten, Arbeitsplatzrechner und Netzwerktechnik erfassen, sondern auch virtuelle Maschinen, Container, Modellgewichte, Trainingsdaten, Schnittstellen, API-Schlüssel, Sicherungskopien und Protokolldaten. Gerade bei KI-Projekten liegen relevante Informationen häufig verteilt in Cloud-Speichern, Backup-Systemen oder Entwicklungsumgebungen. Die physische Rückgabe eines Servers beendet deshalb nicht automatisch jede Verarbeitung. Ein System gilt erst dann als kontrolliert außer Betrieb, wenn auch digitale Kopien, Berechtigungen und automatisierte Schnittstellen geprüft wurden.Besondere Aufmerksamkeit verdienen Trainings- und Nutzungsdaten. In Datenbeständen können personenbezogene Angaben, Kundendaten, Bewerbungsinformationen, Gesprächsinhalte oder interne Geschäftsgeheimnisse enthalten sein. Vor der Weitergabe von Datenträgern ist deshalb ein dokumentiertes Löschkonzept erforderlich. Dabei muss zwischen Daten unterschieden werden, die gelöscht werden müssen, solchen, die aufgrund gesetzlicher oder vertraglicher Pflichten vorübergehend aufzubewahren sind, und technischen Nachweisen, die für Audits oder Sicherheitsuntersuchungen benötigt werden. Eine pauschale Löschung ohne vorherige Prüfung kann ebenso problematisch sein wie die Weitergabe eines scheinbar leeren Systems, auf dem sich Wiederherstellungskopien befinden.Bei der sicheren Datenlöschung sollten Speichermedien einzeln bewertet werden. Festplatten, SSDs, Flash-Speicher, mobile Datenträger und beschädigte Medien reagieren unterschiedlich auf Löschverfahren. Bei besonders schutzbedürftigen Daten kann eine physische Datenträgervernichtung erforderlich sein. Die DIN 66399 bietet hierfür eine Orientierung zur sicheren Vernichtung von Datenträgern und zur Auswahl geeigneter Verfahren. Entscheidend ist, dass Schutzbedarf, Datenträgertyp und gewünschtes Ergebnis zusammenpassen. Ein Vernichtungsnachweis sollte mindestens die betroffenen Medien, den Auftrag, den Zeitpunkt und das angewandte Verfahren nachvollziehbar dokumentieren.Erst nach der Daten- und Zugriffssicherung beginnt die ökologische Verwertung. KI-Systeme enthalten häufig leistungsfähige Prozessoren, Grafikkarten, Netzteile, Speicher, Kupfer und weitere wertvolle Rohstoffe. Funktionsfähige Komponenten können grundsätzlich für eine weitere Nutzung oder Aufarbeitung interessant sein. Dabei muss jedoch ausgeschlossen werden, dass gespeicherte Daten, Firmware, Zugangsinformationen oder Konfigurationen mitübergeben werden. Nicht wiederverwendbare Geräte sind als Elektroaltgeräte ordnungsgemäß zu behandeln. Akkus und Batterien benötigen eine getrennte Betrachtung nach den geltenden batterierechtlichen Vorgaben; beschädigte Lithium-Batterien erfordern zusätzlich eine sichere Verpackung und einen geeigneten Transport.Auch der Cyber Resilience Act sollte bei der Planung berücksichtigt werden. Er betrifft Produkte mit digitalen Elementen und enthält eigene Anwendungs- und Übergangsfristen. Für ausgemusterte Systeme folgt daraus nicht automatisch eine zusätzliche Recyclingpflicht. Relevant ist jedoch, ob Hardware oder Software weiterverkauft, als Bestandteil eines Produkts eingesetzt oder in anderer Form erneut bereitgestellt wird. Bei einer Wiederverwendung sollten deshalb Sicherheitsupdates, bekannte Schwachstellen, Lizenzrechte und die sichere Entfernung alter Zugangsdaten geprüft werden.Für Unternehmen ist ein abgestufter Prozess sinnvoll: System klassifizieren, Datenflüsse dokumentieren, Zugänge sperren, Löschung oder Vernichtung freigeben, Hardware sicher abholen lassen und die Behandlung anschließend nachweisen. Ein zertifizierter Entsorgungsfachbetrieb wie Corebo kann dabei die Abholung, den IT-Rückbau, die Datenträgervernichtung, die sichere Datenlöschung und die getrennte Verwertung koordinieren. Entscheidend bleibt eine lückenlose Dokumentation vom letzten produktiven Betrieb bis zum Recycling oder zur kontrollierten Wiederverwendung.