Bereitschaft für den EU-KI-Rechtsakt

Der EU-KI-Rechtsakt ist kein fernes regulatorisches Konzept mehr. Er trat am 1. August 2024 in Kraft, und seine Pflichten werden schrittweise wirksam. Verbote bestimmter KI-Praktiken und Pflichten zur KI-Kompetenz gelten seit Februar 2025. Die Pflichten für KI mit allgemeinem Verwendungszweck gelten seit August 2025. Am 2. August 2026 beginnen die meisten verbleibenden Regelungen zu gelten, darunter Vorschriften für die in Anhang III aufgeführten Hochrisiko-KI-Systeme und Transparenzpflichten nach Artikel 50.

Dieser Zeitplan ist wichtig, weil viele Unternehmen noch keinen klaren Überblick darüber haben, wo KI in der Organisation eingesetzt wird. Einige Systeme sind offensichtlich: kundenorientierte Chatbots, KI-gestützte Recruiting-Tools, Betrugsmodelle, Entscheidungsunterstützungssysteme, Analysetools und interne Assistenten. Andere sind weniger sichtbar: KI-Funktionen in SaaS-Plattformen, Entwicklertools, Workflows zur Dokumentenprüfung, Kundensupport-Plattformen und Automatisierungen in bestehenden Geschäftssystemen.

Eine Organisation kann ihre Bereitschaft für den EU-KI-Rechtsakt nicht steuern, wenn sie nicht weiß, welche KI-Systeme sie nutzt, was diese Systeme tun, auf welche Daten sie zugreifen, wer von ihren Ergebnissen abhängt und ob sie Menschen in risikoreicheren Kontexten beeinflussen.

Dieser Artikel stellt keine Rechtsberatung dar. Organisationen sollten mit qualifizierten Rechtsberatern zusammenarbeiten, um regulatorische Pflichten auszulegen. Viele Lücken bei der Vorbereitung sind jedoch operativer und technischer Natur. Daher müssen Produkt-, Engineering-, Daten-, Sicherheits-, Beschaffungs-, Compliance- und Geschäftsteams gleichermaßen tätig werden.

Der August 2026 ist ein wichtiges Datum, aber nicht der gesamte Zeitplan

Der 2. August 2026 ist ein wichtiges Datum, da dann die meisten verbleibenden Regelungen des KI-Rechtsakts anwendbar werden. Dazu gehören Vorschriften für Hochrisiko-KI-Systeme in Anhang III, Transparenzvorschriften und Maßnahmen zur Innovationsförderung. Für viele Organisationen ist es angemessen, dies als wichtigen Termin für die Vorbereitung zu betrachten.

Es ist jedoch nicht korrekt, ihn als einzigen Termin oder als allgemeine Zäsur für jedes KI-System zu bezeichnen. Der KI-Rechtsakt wird schrittweise angewendet, und einige Pflichten haben andere Geltungsdaten. Für bestimmte Hochrisiko-Systeme, die über Rechtsvorschriften zur Produktsicherheit erfasst werden, gelten spätere Fristen. Die praktische Schlussfolgerung ist einfach: Organisationen sollten nicht auf eine Frist warten, um zu beginnen. Die erforderliche Bestandsaufnahme, Klassifizierung, Dokumentation, Überwachung und Governance von KI-Systemen braucht Zeit.

Unternehmen, die bis zur letzten Minute warten, werden wahrscheinlich feststellen, dass das eigentliche Problem nicht in einer fehlenden Richtlinie liegt, sondern in fehlender Transparenz.

Der risikobasierte Ansatz

Der EU-KI-Rechtsakt verwendet einen risikobasierten Rahmen. Das ist sinnvoll, weil er anerkennt, dass nicht jedes KI-System die gleiche Prüfungstiefe erfordert. Ein Spamfilter und ein KI-System, das bei der Einstellung von Mitarbeitenden, in der Bildung, bei der Strafverfolgung, in kritischen Infrastrukturen oder beim Zugang zu grundlegenden Dienstleistungen eingesetzt wird, verursachen nicht das gleiche Risiko.

Unvertretbares Risiko: Bestimmte KI-Praktiken sind verboten, darunter einige Formen des Social Scoring, schädliche Manipulation, die Ausbeutung schutzbedürftiger Gruppen und andere Nutzungen, die der Rechtsakt als unvereinbar mit Sicherheit oder Grundrechten einstuft.
Hohes Risiko: Systeme, die in sensiblen Kontexten eingesetzt werden, können umfangreichen Pflichten in den Bereichen Risikomanagement, Daten-Governance, technische Dokumentation, Protokollierung, Transparenz, menschliche Aufsicht, Genauigkeit, Robustheit und Cybersicherheit unterliegen.
Begrenztes Risiko: Systeme wie Chatbots oder bestimmte Tools für synthetische Inhalte können Transparenzpflichten auslösen. Dazu gehört, Nutzer darüber zu informieren, wenn sie mit KI interagieren oder Inhalte künstlich erzeugt oder manipuliert wurden.
Minimales Risiko: Für viele KI-Systeme gelten über andere anwendbare Gesetze und die üblichen Erwartungen an eine verantwortungsvolle Nutzung hinaus keine spezifischen Pflichten aus dem KI-Rechtsakt.

Die Klassifizierung bildet die Grundlage. Bevor eine Organisation entscheiden kann, welche Kontrollen sie aufbauen muss, muss sie verstehen, in welche Kategorie jedes System fällt und welche Rolle die Organisation einnimmt. Je nach System und dessen Nutzung kann ein Unternehmen Anbieter, Betreiber, Importeur, Händler, Produkthersteller oder nachgelagerter Integrator sein.

Pflichten für Hochrisiko-Systeme reichen bis in die Systemgestaltung

Die Compliance bei Hochrisiko-KI ist nicht nur eine rechtliche Aufgabe. Die Pflichten reichen unmittelbar in Produktgestaltung, Datenarchitektur, Engineering-Praktiken, Überwachung, Sicherheit, Dokumentation und Betrieb hinein.

Für die Vorbereitung auf Hochrisiko-Systeme sind mehrere Artikel besonders relevant:

Artikel 9 — Risikomanagement: Anbieter von Hochrisiko-KI-Systemen müssen ein Risikomanagementsystem einrichten, das absehbare Risiken identifiziert, bewertet und mindert.
Artikel 10 — Daten und Daten-Governance: Hochrisiko-KI-Systeme, die Trainings-, Validierungs- und Testdatensätze verwenden, müssen mit Daten-Governance-Praktiken und Qualitätskriterien entwickelt werden, die für den vorgesehenen Zweck angemessen sind.
Artikel 11 — Technische Dokumentation: Anbieter müssen technische Dokumentation erstellen, bevor sie ein Hochrisiko-KI-System auf den Markt bringen oder in Betrieb nehmen.
Artikel 12 — Aufzeichnungspflichten: Hochrisiko-KI-Systeme müssen technisch die automatische Aufzeichnung von Ereignissen oder Protokollen über die gesamte Lebensdauer des Systems ermöglichen.
Artikel 13 — Transparenz und Informationen für Betreiber: Hochrisiko-Systeme müssen so konzipiert sein, dass Betreiber die Ausgaben interpretieren und das System angemessen nutzen können.
Artikel 14 — Menschliche Aufsicht: Hochrisiko-Systeme müssen so konzipiert und entwickelt werden, dass sie während der Nutzung wirksam von Menschen überwacht werden können.
Artikel 15 — Genauigkeit, Robustheit und Cybersicherheit: Hochrisiko-Systeme müssen während ihres gesamten Lebenszyklus angemessene Werte für Genauigkeit, Robustheit und Cybersicherheit erfüllen.
Artikel 18 — Aufbewahrung von Dokumentation: Anbieter müssen die erforderliche Dokumentation für den maßgeblichen Aufbewahrungszeitraum aufbewahren, häufig zehn Jahre nachdem das System in Verkehr gebracht oder in Betrieb genommen wurde.

Die praktische Konsequenz ist, dass Compliance nicht nach dem Start nachgerüstet werden kann. Wenn ein System nicht darauf ausgelegt wurde, relevante Ereignisse zu protokollieren, menschliche Aufsicht zu unterstützen, die Herkunft von Daten zu dokumentieren, die Leistung zu überwachen oder seine Einschränkungen zu erklären, kann die nachträgliche Implementierung dieser Funktionen schwierig sein.

Die sieben Compliance-Lücken, nach denen Sie zuerst suchen sollten

Die meisten Organisationen müssen nicht mit einer umfassenden Compliance-Transformation beginnen. Sie müssen zunächst die Lücken finden, die die Herstellung der Bereitschaft erschweren würden.

1. Kein KI-Inventar

Die erste Lücke ist einfach: Die Führung weiß nicht, wo KI eingesetzt wird. KI kann in intern entwickelten Systemen, SaaS-Tools, Plattformen von Anbietern, Entwicklerassistenten, Analyseprodukten, Kundendienst-Workflows, HR-Tools und Pipelines zur Dokumentenverarbeitung vorhanden sein.

Ohne Inventar ist die Klassifizierung reine Schätzung.

2. Kein Verfahren zur Risikoklassifizierung

Einige Organisationen wissen, dass sie KI einsetzen, haben aber nicht jedes System nach seinem Risiko klassifiziert. Das ist gefährlich, weil die Pflichten stark von Anwendungsfall, Kontext, Rolle und Auswirkungen abhängen. Ein Tool, das in einem Umfeld harmlos erscheint, kann in einem anderen zu einem Hochrisikosystem werden, je nachdem, wie es eingesetzt wird.

3. Unzureichende Dokumentation

Viele Teams können die beabsichtigte Nutzung, das Modellverhalten, die Systembeschränkungen, Datenquellen, Überwachungspraktiken, menschliche Aufsicht oder Verfahren zum Änderungsmanagement nicht einheitlich erläutern. Während der Experimentierphase mag das akzeptabel sein. Für Hochrisikosysteme reicht es nicht aus.

4. Unzureichende Data Governance

Die KI-Bereitschaft hängt von der Datenbereitschaft ab. Teams müssen Trainings-, Validierungs-, Test-, Eingabe- und Betriebsdatenquellen verstehen. Außerdem müssen sie gegebenenfalls Qualitätskontrollen, Herkunft, Zugriff, Aufbewahrung und Maßnahmen zur Bias-Minderung dokumentieren.

5. Fehlende menschliche Aufsicht

“Ein Mensch ist eingebunden” reicht allein nicht aus. Organisationen müssen festlegen, wer Ergebnisse überprüft, wann eine Überprüfung erforderlich ist, welche Befugnisse die Prüfer haben, wie sie geschult werden und was geschieht, wenn sie mit dem System nicht übereinstimmen.

6. Keine Überwachung oder kein Prozess für Vorfälle

Die Leistung von KI-Systemen kann sich ändern, wenn sich Daten, Anwendungsfälle, Modelle, Prompts, Integrationen oder Nutzer ändern. Organisationen benötigen Überwachung, Eskalation von Problemen, Überprüfungen nach der Einführung und Verfahren zur Reaktion auf Vorfälle, die dem Risiko des Systems entsprechen.

7. Blinde Flecken bei Anbieter-KI

Viele Organisationen nutzen KI-Funktionen innerhalb von Plattformen Dritter. Sie wissen möglicherweise nicht, wie diese Anbieter Daten verarbeiten, ob Modelländerungen kommuniziert werden, welche Protokolle verfügbar sind oder welche Dokumentation bereitgestellt werden kann. Das Anbietermanagement muss Bestandteil der KI-Governance werden.

Was Organisationen jetzt tun sollten

Der erste Schritt ist nicht der Kauf einer Governance-Plattform. Der erste Schritt besteht darin, ein klares Bild der KI-Umgebung zu erhalten.

Erstellen Sie ein KI-Inventar: Identifizieren Sie intern entwickelte Systeme, KI-Funktionen von Anbietern, Modell-APIs, Chatbots, Entwickler-Tools, Analyse-Workflows und Automatisierungen mit KI.
Klassifizieren Sie Systeme nach Risiko: Bestimmen Sie, ob jedes System als unannehmbares Risiko, hohes Risiko, begrenztes Risiko, minimales Risiko oder als außerhalb des Geltungsbereichs des Gesetzes liegend erscheint, und dokumentieren Sie anschließend die Begründung.
Ordnen Sie organisatorische Rollen zu: Ermitteln Sie, ob die Organisation für jedes System als Anbieter, Betreiber, Importeur, Händler, Produkthersteller oder nachgelagerter Integrator auftritt.
Priorisieren Sie potenzielle Hochrisikosysteme: Konzentrieren Sie die erste Prüfung auf KI, die in Beschäftigung, Bildung, wesentlichen Dienstleistungen, kritischer Infrastruktur, sicherheitsrelevanten Produkten, im Gesundheitswesen, im Finanzwesen, bei behördennahen Strafverfolgungs-Workflows oder in anderen sensiblen Kontexten eingesetzt wird.
Überprüfen Sie die Data Governance: Verstehen Sie Datenherkunft, Qualität, Repräsentativität, Zugriff, Aufbewahrung und Maßnahmen gegen Bias.
Gestalten Sie Aufsicht und Überwachung: Legen Sie Verfahren für menschliche Prüfung, Eskalation, Protokollierung, Leistungsüberwachung, den Umgang mit Vorfällen und das Änderungsmanagement fest.
Bewerten Sie Anbieter: Bitten Sie Anbieter um Dokumentation, Verfahren zum Umgang mit Daten, Richtlinien für Modelländerungen, Audit-Funktionen, Unterstützung bei der Protokollierung und Nachweise für die Compliance.

Diese Schritte schaffen die Grundlage für detailliertere Compliance-Arbeiten. Sie helfen der Führung außerdem zu verstehen, wo die tatsächliche Gefährdung liegt.

Compliance sollte kein Checkbox-Theater werden

Der KI-Rechtsakt wird Dokumentationspflichten schaffen, aber Dokumentation ist nicht dasselbe wie Governance.

Eine ausgefeilte Richtlinie beweist nicht, dass ein System überwacht wird. Ein Risikoregister hilft nicht, wenn niemand es überprüft. Ein Verfahren zur menschlichen Aufsicht ist schwach, wenn dem Prüfer Befugnisse oder Kontext fehlen. Eine Erklärung des Anbieters reicht nicht aus, wenn die Organisation nicht weiß, wie das Tool intern eingesetzt wird.

Eine gute KI-Governance verbindet Richtlinien mit dem operativen Betrieb. Sie gibt Teams eine wiederholbare Methode an die Hand, um Risiken zu klassifizieren, Daten zu prüfen, den vorgesehenen Einsatz zu definieren, Kontrollen zu dokumentieren, das Verhalten zu überwachen, auf Vorfälle zu reagieren und Systeme zu aktualisieren, wenn sich die Rahmenbedingungen ändern.

Eine solche Governance ist auch über die Einhaltung des EU-KI-Gesetzes hinaus nützlich. Sie hilft Organisationen generell, bessere Entscheidungen im Umgang mit KI zu treffen.

Wie Ridiculous Engineering die Vorbereitung auf das KI-Gesetz angeht

Bei Ridiculous Engineering betrachten wir die Vorbereitung auf das KI-Gesetz sowohl als Governance- als auch als Implementierungsproblem. Die rechtliche Auslegung ist wichtig, und Organisationen sollten bei ihren Verpflichtungen mit Rechtsberatern zusammenarbeiten. Viele Lücken bei der Vorbereitung liegen jedoch in Systemen und Arbeitsabläufen: Bestandsaufnahme, Datenflüsse, Zugriffskontrolle, Dokumentation, Lieferantenintegration, Protokollierung, Überwachung und menschliche Aufsicht.

Wir helfen Organisationen, diese Elemente miteinander zu verbinden. Das kann bedeuten, KI-Systeme zu erfassen, potenzielle Risikokandidaten zu klassifizieren, Datenpipelines zu prüfen, KI-Funktionen von Anbietern zu bewerten, Governance-Workflows zu entwerfen, die Dokumentationspraxis zu verbessern oder die technischen Kontrollen aufzubauen, die für Prüfbarkeit und Überwachung erforderlich sind.

Das Ziel besteht nicht darin, um ihrer selbst willen Papierkram zu erzeugen. Ziel ist es, ein operatives KI-Modell aufzubauen, das die Führungsebene versteht, dem Teams folgen können und dem Kunden, Prüfer oder Aufsichtsbehörden vertrauen können.

Vorbereitung ist eine Fähigkeit, kein hektischer Endspurt

Das EU-KI-Gesetz ist eines der deutlichsten Zeichen dafür, dass KI-Systeme in eine reifere regulatorische Phase eintreten. Die anfängliche Frage lautete: „Können wir KI einsetzen?“ Die nächste Frage lautet: „Können wir sie verantwortungsvoll einsetzen, sie dokumentieren und überwachen sowie die entsprechenden Kontrollen erklären?“

Organisationen, die Compliance als Checkliste in letzter Minute behandeln, können möglicherweise einige Dokumente erstellen. Sie werden jedoch Schwierigkeiten bekommen, wenn diese Dokumente nicht damit verbunden sind, wie die Systeme tatsächlich betrieben werden.

Wenn Ihre Organisation sich auf Verpflichtungen aus dem EU-KI-Gesetz vorbereitet, ihren KI-Fußabdruck verstehen möchte oder Governance-Anforderungen mit einer konkreten technischen Umsetzung verbinden will, kann Ridiculous Engineering helfen. Wir arbeiten mit Kunden daran, KI-Governance von einem Richtliniendokument in ein praktisches Betriebsmodell zu überführen.

Vertrauen wird zu einem Bestandteil des Produkts. Organisationen, die dies frühzeitig verstehen, werden besser vorbereitet sein als diejenigen, die es nachträglich integrieren wollen, wenn das System bereits im Einsatz ist.

Quellen und weiterführende Literatur: Europäische Kommission: Regulierungsrahmen für KI, Servicestelle der Europäischen Kommission zum KI-Gesetz: Zeitplan für die Umsetzung, EU-KI-Gesetz: Artikel 10 – Daten und Daten-Governance, EU-KI-Gesetz: Artikel 12 – Aufzeichnungspflichten, EU-KI-Gesetz: Artikel 13 – Transparenz und Informationen für Betreiber, Cloud Security Alliance: Vorbereitung auf Hochrisiken nach dem EU-KI-Gesetz

Bereitschaft für den EU-KI-Rechtsakt: Compliance-Lücken, die Unternehmen vor August 2026 schließen sollten