EU AI Act jetzt nutzen: In 90 Tagen zu skalierbarer, regelkonformer KI mit ISO/IEC 42001

Der EU AI Act setzt neue Maßstäbe für sichere, transparente und verantwortungsvolle KI. Für DACH-Unternehmen bietet er eine Chance, KI nicht nur compliant, sondern auch skalierbar und geschäftsorientiert einzuführen. Die Pflichten greifen gestaffelt über die nächsten Jahre; wer jetzt die Weichen stellt, reduziert Umsetzungsrisiken, beschleunigt Time-to-Value und stärkt das Vertrauen von Kundinnen und Kunden, Regulatoren und Mitarbeitenden. Dieses Playbook liefert Ihnen einen klaren, praxisnahen Fahrplan – abgestimmt auf ISO/IEC 42001, den Standard für ein AI-Managementsystem (AIMS).

Hinweis: Der Beitrag gibt Orientierung und ersetzt keine Rechtsberatung.

Ihre Rolle klären: Provider vs. Deployer (inkl. Sonderfälle)

Die korrekte Rollenbestimmung ist die Basis für alle weiteren Pflichten.

• Sie sind Provider (Anbieter), wenn Sie ein KI-System entwickeln, unter eigenem Namen in Verkehr bringen oder in Dienst stellen. Pflichten: Konformitätsbewertung, CE-Kennzeichnung (bei Hochrisiko), Qualitätsmanagementsystem, technische Dokumentation, Post-Market-Monitoring, Meldung schwerwiegender Vorfälle.
• Sie sind Deployer (Anwender), wenn Sie ein KI-System in Ihrer Organisation nutzen. Pflichten: Nutzung gemäß Anleitung, Risikokontrollen im Einsatz, Protokollierung/Logging, Human Oversight, Datenqualitäts- und Bias-Kontrollen, ggf. Auswirkungen auf Grundrechte prüfen, Meldung schwerwiegender Vorfälle.
• Sonderfälle, die oft übersehen werden:
  • Signifikante Modifikation: Passen Sie ein KI-System wesentlich an (z. B. durch Retraining/Finetuning mit neuer Zweckbestimmung), können Sie vom Deployer zum Provider werden.
  • Integration in regulierte Produkte: Wird KI ein Sicherheitsbestandteil eines Produkts unter sektoraler Regulierung (z. B. Medizinprodukt, Maschine), greifen Hochrisiko-Pflichten.
  • General Purpose AI (GPAI)/Basismodelle: Beim Einbau von LLMs oder Foundation Models prüfen Sie zusätzliche Transparenz- und Governance-Anforderungen sowie Lieferantenpflichten.

Kurz-Checkliste Rollen:

• Wer bringt das System unter wessen Marke in Verkehr?
• Wurde der Zweck (Intended Use) verändert?
• Gibt es sektorale Regulierung des Endprodukts?
• Welche Verträge/Haftungs- und Supportregelungen sind vereinbart?

Use Cases und Risikoklassen – praxisnahe Einordnung

Der EU AI Act unterscheidet grob zwischen verboten, Hochrisiko, begrenztem Risiko (Transparenzpflichten) und minimalem Risiko. Die eindeutige Zuordnung hängt von Zweck, Kontext und Integrationstiefe ab.

• Industrie/Produktion
  • Visuelle Qualitätsprüfung für kosmetische Fehler: meist begrenztes oder minimales Risiko, sofern keine Sicherheitsfunktion.
  • Kollaborative Robotik mit Personenschutzfunktion: Hochrisiko (Sicherheitsbestandteil).
  • Predictive Maintenance: in der Regel minimal/transparent, aber Datenqualität und Drift-Kontrollen sind essenziell.
• Finanzwesen
  • Kreditwürdigkeitsprüfung natürlicher Personen: typischer Hochrisiko-Anwendungsfall.
  • Transaktionsbetrugserkennung: kontextabhängig; Governance, Erklärbarkeit und Fehlalarm-Management bleiben geschäftskritisch.
• Gesundheitswesen
  • Diagnostik/Entscheidungsunterstützung als Medizinprodukt: i. d. R. Hochrisiko.
  • Personal- und Ressourcenplanung: minimal/transparent, dennoch Fairness- und Datenschutzfragen beachten.
• Handel/Retail
  • Empfehlungen/Pricing-Optimierung: meist minimal/transparent.
  • Biometrische Identifikation in öffentlich zugänglichen Räumen: je nach Zweck restriktions- bis verbotsnah; rechtlich besonders sorgfältig prüfen.

Kurz-Checkliste Risikoklassifizierung:

• Ist der Use Case in einer Hochrisiko-Liste/Sektorregelung erfasst?
• Dient das System sicherheitskritischen Funktionen?
• Betreffen Entscheidungen Grundrechte/zugangskritische Dienste?
• Welche Transparenzanforderungen (z. B. Kennzeichnung KI-Interaktion, synthetische Medien) gelten?

Ein AI-Managementsystem (AIMS) nach ISO/IEC 42001 aufsetzen

ISO/IEC 42001 bietet die Managementsystem-Basis, um EU-AI-Act-Pflichten systematisch umzusetzen und kontinuierlich zu verbessern.

Kernbausteine Ihres AIMS:

• Kontext & Scope: Geltungsbereich (Organisation, Prozesse, Systeme, Lieferkette) und Stakeholder-Anforderungen festlegen.
• Führung & Richtlinien: KI-Policy, Prinzipien (Sicherheit, Transparenz, Fairness, Nachhaltigkeit) und Ziele verabschieden.
• Rollen & Verantwortlichkeiten: Product Owner, AI Risk Officer, Data Steward, Human Oversight Responsible; RACI-Matrix.
• Risikomanagement: Identifikation, Bewertung, Behandlung von Modellen, Daten, Prozessen (anschlussfähig an ISO 31000).
• Lifecycle-Kontrollen: Von Use-Case-Idee über Entwicklung, Validierung, Deployment bis Stilllegung.
• Daten-Governance: Herkunft, Qualität, Repräsentativität, Zugriffsrechte, Datenschutz, Datenretention.
• Human Oversight: Eingriffsrechte, Vier-Augen-Prinzip, Schwellenwerte/Alerting, Eskalationen.
• Technische Kontrollen: Robustheit, Sicherheit, Monitoring, MLOps, Modell- und Datenversionierung, Audit-Logs.
• Lieferantenmanagement: Auswahl, Due Diligence, Verträge, Model Cards/Datasheets, SLA/KPI.
• Dokumentation & Nachweisführung: Technische Dokumentation, Nutzerinformationen, Aufzeichnungen.
• Leistungsbewertung & Verbesserung: KPIs, Audits, Management-Reviews, Korrekturmaßnahmen.

Alignment EU AI Act ↔ ISO/IEC 42001 (Auszug):

• Risikomanagement, Datenqualität, Human Oversight, technische Dokumentation, Genauigkeit/Robustheit/Cybersecurity, Logging, Post-Market-Monitoring sind in beiden Rahmenwerken zentrale Pflichtfelder – Ihr AIMS wird so zur „Tragschiene“ für Compliance und Skalierung.

Die ersten 90 Tage – Phase 1 (0–30): Portfolio-Inventur und Risk-Mapping

Ziel: Transparenz über aktuelle und geplante KI-Anwendungen schaffen und Pflichten priorisieren.

• Aktivitäten
  • KI-Portfolio erfassen: Produkte, interne Tools, Piloten, Shadow-AI identifizieren; Register aufsetzen.
  • Rollen- und Zweckbestimmung je System: Provider vs. Deployer, Intended Use, betroffene Personengruppen.
  • Risikoklassifizierung pro Use Case: erste Einordnung inkl. kritischer Abhängigkeiten (Schnittstellen, Datenquellen, GPAI).
  • Datenlandkarte erstellen: Trainings-, Validierungs-, Betriebsdaten; Herkunft, Qualität, rechtliche Grundlagen.
  • Quick-Gap-Assessment: Abgleich gegen Kernpflichten des EU AI Act und ISO/IEC 42001-Anforderungen.
• Deliverables
  • KI-Register inkl. Risikoprofilen und Roadmap-Empfehlungen.
  • Rollenmatrix und Verantwortlichkeiten auf Ebene der Use Cases.
  • Priorisierte Maßnahmenliste (z. B. Top-10 Gaps).
• Schnellwins
  • Transparenzkennzeichnung für KI-Interaktionen einführen.
  • Logging standardisieren (Ein- und Ausgaben, Versionen, Entscheidungen).
  • Modell- und Datenversionierung in MLOps-Pipelines aktivieren.

Checkliste Phase 1:

• [ ] Gibt es ein vollständiges, versioniertes KI-Register?
• [ ] Ist pro Use Case Rolle, Zweck und Risikoklasse dokumentiert?
• [ ] Sind Datenquellen, Qualität und Rechtsgrundlagen belegt?
• [ ] Liegen erste Kontrollen für Transparenz und Logging vor?

Phase 2 (31–60): Governance, Verantwortlichkeiten, Human Oversight, Datenqualität, Lieferanten

Ziel: Verbindliche Strukturen und Kontrollen implementieren.

• Governance & Organisation
  • AIMS-Policy verabschieden; Geltungsbereich und Prinzipien kommunizieren.
  • RACI pro Use Case; Genehmigungs- und Eskalationswege definieren.
  • Schulungen für Schlüsselrollen (Product Owner, Data Scientists, Rechts- und Compliance-Teams).
• Human Oversight
  • Oversight-Design je Use Case: Interventionspunkte, Schwellenwerte, Override-/Rollback-Mechanismen, Not-Aus.
  • Dokumentierte Arbeitsanweisungen, Vier-Augen-Freigaben bei Hochrisikoentscheidungen.
  • Benutzerinformationen und Erklärbarkeit (Fit-for-Purpose).
• Datenqualitätskontrollen
  • Qualitätsmetriken (Vollständigkeit, Repräsentativität, Drift, Bias); Prüfroutinen und Abnahmekriterien.
  • Datenzugriffs- und Bereinigungskonzepte; synthetische Daten wo sinnvoll.
• Lieferanten- und Drittparteienprüfung
  • Due Diligence: Sicherheits-/Qualitätszertifikate, Model Cards/Datasheets, Trainingsdaten-Herkunft, Restriktionshinweise.
  • Vertragsklauseln: Support, Updatepflichten, Transparenz, Audit-Rechte, Leistungs- und Verfügbarkeitskennzahlen.
  • GPAI-/LLM-spezifisch: Nutzungsgrenzen, Prompt-/Output-Logging, Content-Sicherheitsfilter, IP/Urheberrechtsaspekte.

Deliverables

• Abgenommene AIMS-Policy, RACI, Oversight-Handbücher.
• Data Quality Plan inkl. Metriken und Monitoring.
• Lieferantenbewertung und Vertrags-Addenda.

Checkliste Phase 2:

• [ ] Sind Oversight-Prozesse mit Eingriffsrechten dokumentiert?
• [ ] Gibt es messbare Datenqualitätsmetriken und -schwellen?
• [ ] Sind Drittparteien vertraglich auf Transparenz/Support verpflichtet?
• [ ] Sind Teams rollenspezifisch geschult?

Phase 3 (61–90): Technische Dokumentation, Monitoring, Incident-Handling und Probeläufe

Ziel: Nachweisführung, Betriebsfähigkeit und Resilienz sicherstellen.

• Technische Dokumentation (insb. für Hochrisiko)
  • Systembeschreibung, Zweck, Architektur, Versionen.
  • Risikomanagementakte: Gefährdungen, Bewertungen, Maßnahmen.
  • Daten-Governance: Quellen, Aufbereitung, Qualität, Bias-Analysen.
  • Validierung & Tests: Genauigkeit, Robustheit, Sicherheit, Red-Teaming-Ergebnisse.
  • Nutzerinformationen: Gebrauchsanweisung, Beschränkungen, Oversight-Anforderungen.
• Monitoring & Betrieb
  • KPIs: Modellleistung, Drift, Fehlalarme, Bearbeitungszeiten, Energie-/Ressourcenverbrauch.
  • Alerting & Eskalation: klare Schwellen und Reaktionszeiten.
  • Post-Market-Monitoring-Plan: Feedbackkanäle, Updates, Re-Evaluierungen.
• Incident-Handling
  • Definition „schwerwiegender Vorfall“ und Meldewege.
  • Incident-Runbooks, Kommunikationsleitfäden, forensische Sicherung.
  • Übungen/Simulationen (Tabletop, Chaos-Engineering für MLOps).
• Probeläufe & Readiness-Check
  • Interne Audits gegen EU-AI-Act-Pflichten und ISO/IEC 42001.
  • Abnahme-Review durch Management, Recht, Datenschutz, IT-Sicherheit.
  • Go-Live-Entscheidungen mit dokumentierter Risikoakzeptanz.

Checkliste Phase 3:

• [ ] Liegt die technische Dokumentation vollständig und versioniert vor?
• [ ] Sind Monitoring-KPIs implementiert und werden Alerts getestet?
• [ ] Existiert ein Incident-Response-Prozess inkl. Meldepflichten?
• [ ] Wurden Probeläufe/Audits durchgeführt und Findings behoben?

Branchennahe Beispiele: Compliance in Effizienzgewinne übersetzen

• Industrie: Eine Bildverarbeitung zur Qualitätsprüfung wird als nicht sicherheitskritisch eingestuft. Durch standardisierte Datenqualitätsmetriken und Drift-Alerts sinken Nacharbeiten um 12 %, die Reklamationsrate um 8 %. Die Dokumentation verkürzt zudem Lieferantenaudits um 30 %.
• Finanzwesen: Ein Hochrisiko-Credit-Scoring erhält ein Oversight-Design mit Schwellenwerten und Zweitvotum bei Grenzfällen. Ergebnis: 20 % weniger Fehlablehnungen, transparente Ablehnungsgründe und schnellere interne Freigaben dank klarer RACI.
• Gesundheitswesen: Ein diagnostisches Modell als Medizinprodukt wird mit robusten Post-Market-Monitoring-Prozessen betrieben. Frühe Drift-Erkennung führt zu gezielten Nachtrainings und reduziert falsch-positive Alarme in der Notaufnahme um 15 %.
• Handel: Eine Preisoptimierung nutzt synthetische Daten für Edge-Cases und führt Erklärungen für Merchandiser ein. Die Kombination aus Transparenzhinweisen und Lieferanten-SLAs beschleunigt Rollouts über Märkte hinweg bei stabiler Marge.

Typische Stolpersteine (und Gegenmaßnahmen):

• Unklare Zweckbestimmung: frühe, schriftliche Festlegung; Änderungen versionieren.
• Schatten-Use-Cases: zentrales KI-Register pflegen; Freigabeprozess verpflichtend.
• Unterschätzte Datenfragen: Data Stewards einsetzen; Qualitäts- und Bias-Checks automatisieren.
• Oversight „pro forma“: echte Eingriffsrechte, Schwellenwerte und Training der Fachrollen sicherstellen.

Metriken, KPIs und nachhaltiger Geschäftswert

Richtig aufgesetzt, erzeugt Compliance messbaren Nutzen.

• Betriebs- und Compliance-KPIs
  • Time-to-Approval für neue Use Cases
  • Anteil Use Cases mit vollständiger technischer Dokumentation
  • Modell-Drift-Frequenz und Mean Time to Mitigate
  • Fehlalarmrate/Fairness-Metriken (z. B. disparate impact, je nach Kontext)
  • Audit-Readiness-Zeit und externe Findings
• Effizienz- und Werthebel
  • Wiederverwendbare Policies, Templates und Pipelines senken Einführungskosten.
  • Lieferanten-SLAs reduzieren Betriebsrisiken und Eskalationszeiten.
  • Transparenz stärkt Kundenvertrauen und beschleunigt Vertragsabschlüsse.
• Nachhaltigkeit integrieren
  • Energie-/Ressourcenmetriken je Training/Inference erfassen.
  • Daten- und Modellarchitekturen auf Effizienz optimieren (z. B. Distillation, Retrieval-Augmentation).
  • Governance mit Unternehmens-Nachhaltigkeitszielen verzahnen.

Nächste Schritte: Vom Plan zur routinierten Praxis

• Starten Sie mit einem fokussierten 90-Tage-Programm für Ihr Top-Portfolio (z. B. 5–10 Use Cases).
• Verankern Sie ISO/IEC 42001 als Managementsystem – leichtgewichtig beginnen, iterativ ausbauen.
• Priorisieren Sie Hochrisiko- und kundennahe Anwendungen; standardisieren Sie Oversight, Datenqualität und Dokumentation.
• Stärken Sie die Zusammenarbeit zwischen Business, Technik, Recht/Compliance und Einkauf – klare RACI und feste Gremien.
• Etablieren Sie ein kontinuierliches Monitoring und Post-Market-Monitoring, um KI sicher und wertstiftend im Betrieb zu halten.

Mit einem strukturierten Vorgehen, klaren Verantwortlichkeiten und einem AIMS nach ISO/IEC 42001 schaffen DACH-Unternehmen die EU-AI-Act-Readiness – und übersetzen sie in belastbare Effizienzgewinne und nachhaltigen Geschäftswert.