Der EU AI Act ist in Kraft und wird in Stufen wirksam. Für Unternehmen in der DACH-Region bedeutet das: Sie benötigen in kurzer Zeit belastbare Nachweise, dass Sie AI-Systeme kennen, klassifizieren, steuern und überwachen. Die Fristen sind gestaffelt: Verbotene Praktiken greifen sehr zeitnah, Transparenzpflichten und Regelungen für General-Purpose AI (GPAI/Foundation-Modelle) folgen, und die umfangreichen Anforderungen an Hochrisiko-Systeme gelten nach einer längeren Übergangszeit. Für Schweizer Unternehmen gilt: Sobald Sie AI-Systeme in der EU anbieten oder dort einsetzen lassen, ist der AI Act relevant.
Der Act verfolgt einen risikobasierten Ansatz. Damit werden nicht alle AI-Anwendungen gleich reguliert, sondern je nach Risiko mit differenzierten Pflichten belegt. Der Schlüssel zur praktischen Umsetzung ist deshalb eine frühzeitige, systematische Inventarisierung und Klassifizierung Ihrer AI-Use-Cases – verbunden mit einem pragmatischen Governance-Setup, das ISO/IEC 42001 und ISO/IEC 23894 integriert.
Schritt 1: Klassifizieren Sie Ihre AI-Use-Cases – inkl. GPAI/Foundation-Modelle
Beginnen Sie mit einem vollständigen AI-Inventar: Systeme, Anwendungsfälle, genutzte Modelle (inkl. Foundation-Modelle), Datenquellen, Lieferanten, Einsatzkontexte und betroffene Prozesse/Produkte. Ordnen Sie anschließend zu:
- Verbotene Praktiken: z. B. manipulative oder ausnutzende Systeme, unzulässige biometrische Kategorisierung. Diese sind einzustellen bzw. zu unterbinden.
- Geringes/minimales Risiko: keine besonderen Pflichten, aber Good Practices (z. B. Grundsätze, Daten- und Modellhygiene) sind empfehlenswert.
- Limitiertes Risiko (Transparenzpflicht): Nutzer müssen wissen, dass sie mit AI interagieren (z. B. Chatbots), generierte Inhalte sind als solche erkennbar, synthetische Medien sind zu kennzeichnen.
- Hochrisiko-Systeme: typischerweise Systeme in sicherheitskritischen oder regulierten Bereichen (Annex-III-Use-Cases), etwa Qualitätskontrollen in der Fertigung als Sicherheitskomponente, Kreditwürdigkeitsbewertungen, HR-Scoring in sensiblen Kontexten oder klinische Unterstützungssoftware. Hier gelten umfangreiche Anforderungen an Risikomanagement, Datenqualität, technische Dokumentation, Loggings, Human Oversight, Robustheit und Konformitätsbewertung.
- GPAI/Foundation-Modelle:
- Sind Sie Anbieter/Integrator eines Foundation-Modells? Dann treffen Sie modellbezogene Pflichten (u. a. Dokumentation, Evaluierung, Informationen für nachgelagerte Nutzer).
- Nutzen Sie GPAI im Unternehmen (z. B. Code- oder Text-Assistenz, generative Bild-/Video-Services)? Transparenz-, Evaluations- und Lieferantenanforderungen sind zentral; bei hochkritischem Einsatz kann die Kombination mit Annex-III‑Use-Cases Hochrisiko-Pflichten auslösen.
Dokumentieren Sie die Einordnung nachvollziehbar. Diese Klassifizierung wird später Teil Ihrer technischen Dokumentation und Ihrer internen Rechtfertigung gegenüber Prüfern und Auditoren.
Schritt 2: AI-Governance nach ISO/IEC 42001 und Risikomanagement nach ISO/IEC 23894
Für nachhaltige Compliance benötigen Sie ein schlankes, aber wirksames Managementsystem:
- AI Management System (AIMS) nach ISO/IEC 42001:
- Politik, Rollen und Verantwortlichkeiten (z. B. CIO als Sponsor, CDO für Daten/Modelle, Legal/Compliance für regulatorische Steuerung).
- Geltungsbereich, AI-Inventar, Klassifizierungsrichtlinie und Freigabeprozesse.
- Kontrollen zu Daten-, Modell- und Lieferantengovernance, Change- und Incident-Management.
- Schulung, Awareness, KPIs und internes Audit.
- Risikomanagement nach ISO/IEC 23894:
- Risikoidentifikation entlang des gesamten Lebenszyklus (Daten, Modell, Deployment, Betrieb).
- Bewertung technischer, rechtlicher, ethischer und geschäftlicher Risiken.
- Maßnahmenkatalog mit Wirksamkeitsprüfung, regelmäßige Re‑Evaluierung.
- Verzahnung mit bestehenden Managementsystemen:
- ISMS (ISO/IEC 27001), QMS (ISO 9001), Datenschutz (DSGVO) und, falls relevant, GxP/Medizinprodukte, MaRisk/BAIT/EBA, KRITIS.
So vermeiden Sie Doppelstrukturen und nutzen bereits etablierte Prozesse für AI-Compliance mit.
Schritt 3: Daten- und Modell-Governance, technische Dokumentation, Transparenz und Human Oversight
Bauen Sie die zentralen AI-Kontrollbereiche in die Linie ein:
- Datengovernance:
- Datenherkunft, Rechtmäßigkeit, Einwilligungen/Interessenabwägung, Zweckbindung.
- Datenqualität, Bias-Analysen, Repräsentativität und Driftdetektion.
- Dokumentierte Datenpipelines, Versionierung und Zugriffskontrollen.
- Modell-Governance:
- Modellauswahl, Trainings-/Fine-Tuning-Protokolle, Evaluierung (Accuracy, Robustheit, Fairness).
- Red-Teaming/Adversarial Tests, Sicherheitsanforderungen, Grundsatz der Erklärbarkeit soweit angemessen.
- Freigabe- und Änderungsprozesse, Modellkatalog, Model Cards/System Cards.
- Technische Dokumentation:
- Zweck, Systemgrenzen, Trainingsdatencharakteristika, Leistungsmetriken, Einschränkungen.
- Risikomanagementakte, Testprotokolle, Validierung, Wartungskonzept.
- Für Hochrisiko: vollständiges Dossier für die Konformitätsbewertung.
- Transparenz und Human Oversight:
- Nutzerhinweise und Kennzeichnung für generative Inhalte.
- Klare Oversight-Konzepte: Rollen, Eingriffsrechte, Schwellenwerte, Fallback-Prozesse.
- Schulung der menschlichen Aufsicht, Vier-Augen-Prinzip bei kritischen Entscheidungen.
Schritt 4: Logging, Post-Market Monitoring und Lieferanten-Due-Diligence
- Logging und Nachvollziehbarkeit:
- Ereignis- und Entscheidungslogs, Daten-/Modellversionen, Parameteränderungen.
- Auditierbare Trails für Reklamationen, Incidents und Rückrufmaßnahmen.
- Post-Market Monitoring:
- Kontinuierliche Leistungs- und Risikobeobachtung im Feld.
- Incident- und Beschwerdeprozess, Meldewesen für schwerwiegende Vorfälle.
- Re-Assessment bei Kontextwechseln oder größeren Updates.
- Lieferanten-Due-Diligence:
- Vertragsklauseln zu AI-Compliance, Transparenz, Support und Audit-Rechten.
- Anforderung von Model Cards/Systembeschreibungen, Evaluationsberichten, Sicherheitsmaßnahmen.
- Bewertung von GPAI-Anbietern: Trainingsdatenangaben, Nutzungsbeschränkungen, Content-Filter, Ausfallkonzepte, SLA und Exit-Strategie.
Ihr 90‑Tage‑Readiness‑Plan: pragmatisch und überprüfbar
-
Tage 0–30: Sichtbarkeit schaffen und Prioritäten setzen
- Verantwortlich: CIO (Sponsor), CDO (Inventar), Legal/Compliance (Klassifizierungsleitfaden), Einkauf (Lieferantenliste)
- Ergebnisse:
- AI-Inventar und Use-Case-Backlog mit Risikoeinstufung (inkl. GPAI).
- Gap-Analyse gegen AI Act-Pflichten je Klasse.
- Beschluss eines Minimal-AIMS (ISO/IEC 42001‑konform in Kernbausteinen).
- Stoppkriterien für mögliche verbotene Praktiken.
- Quick Tasks:
- Transparenz-Hinweise für Chatbots/GenAI ergänzen.
- Lieferantenfragebogen versenden (Compliance, Doku, Sicherheitspraktiken).
-
Tage 31–60: Governance operationalisieren und Risiken mindern
- Verantwortlich: CDO (Daten-/Modell-Governance), Compliance (Policies), Legal (Verträge), CIO (Tools & Infrastruktur), Einkauf (Nachverhandlungen)
- Ergebnisse:
- Richtlinien und Prozesse für Datengovernance, Modellfreigabe, Logging, Incident-Handling.
- Muster-Templates: Model Cards, Risk Register, Testprotokolle.
- Vertragsanpassungen (Transparenz, Audit, Sicherheitsauflagen, Subprozessorkontrolle).
- Schulungen für Product Owner, Data Scientists, Einkauf, Rechts- und Compliance-Teams.
- Quick Tasks:
- Human-Oversight-Playbooks mit Eingriffsschwellen.
- Baseline-Evaluationsmetriken und Red-Teaming-Checkliste.
-
Tage 61–90: Nachweise festigen und hochkritische Use-Cases absichern
- Verantwortlich: CIO (Auditfähigkeit), Compliance (interne Audits), Legal (Konformitätsstrategie), Fachbereiche (UAT), Einkauf (Lieferantenaudits light)
- Ergebnisse:
- Technische Dokumentation pro priorisiertem Use-Case, inkl. Risikomanagementakte.
- Post-Market-Monitoring-Plan und KPIs.
- Hochrisiko-Readiness: Vorbereitete Konformitätsbewertungs-Checkliste, Testberichte, Oversight-Nachweise.
- Management-Review und Roadmap >90 Tage (Tiefeinführung, Automatisierung, Skalierung).
- Quick Tasks:
- Incident-Drill/War-Game für einen priorisierten Use-Case.
- Reporting-Template an Vorstand/Aufsicht mit Reifegrad und Risiken.
Hinweis: Stimmen Sie diese Schritte mit bestehenden Datenschutz-, IT‑Sicherheits- und Qualitätsprozessen ab, um Synergien zu nutzen und Doppelarbeit zu vermeiden.
Branchenspezifische Quick Wins in 90 Tagen
- Fertigung:
- Qualitätsprüfungssysteme mit klaren Freigabekriterien, Abnahme- und Rejekt-Logs.
- Ergänzung von Failsafes und manuellen Review-Gates in vision-basierten Kontrollketten.
- Lieferantenaudits für eingebettete AI in Maschinen/Robotik.
- Finanzdienstleistung:
- Dokumentierte Modellkarten für Kredit-/Betrugsmodelle inkl. Bias-/Fairness-Checks.
- Transparenz-Bausteine und Erläuterungen für Kundenberichte.
- Alignment mit MaRisk/BAIT; verbindliche Model-Risk-Policy mit Schwellenwerten.
- Gesundheitswesen:
- Klinische Oversight-Protokolle und klare Abgrenzung „Entscheidungsunterstützung vs. -ersetzung“.
- Datenherkunft und Einwilligungs-Management für Trainings-/Feinabstimmungsdaten.
- Post-Market-Monitoring mit klinischen KPIs und Incident-Meldewegen.
- Handel:
- Kennzeichnung generativer Inhalte und synthetischer Medien in Marketing/Produktdarstellung.
- Moderation und Abuse-Prevention bei Recommendation/GenAI-Tools.
- Lieferantenscreening für SaaS-basierte AI (SLAs, Content-Filter, Exportkontrollen).
Checkliste für Hochrisiko-Konformitätsbewertungen
Nutzen Sie diese kompakte Prüfliste als „Ready-to-Audit“-Basis:
- Zweckbindung und Systemgrenzen klar beschrieben; Annex-III‑Zuordnung belegt.
- Risikomanagementakte nach ISO/IEC 23894: Gefährdungen, Bewertungen, Maßnahmen, Wirksamkeit.
- Datengovernance: Herkunft, Rechtmäßigkeit, Qualität, Bias-Analysen, Versionierung.
- Technische Dokumentation: Architektur, Trainings-/Testverfahren, Leistungsmetriken, Limitierungen.
- Human Oversight: Rollen, Schulung, Eingriffsschwellen, Fallbacks, Vier-Augen-Prinzip.
- Robustheit/Sicherheit: Red-Teaming, adversariale Tests, Resilienz, Cybersecurity-Kontrollen.
- Logging und Traceability: Ereignis- und Entscheidungslogs, Modell-/Datenversionen.
- Post-Market-Monitoring: Monitoringplan, KPIs, Incident- und Beschwerdeverfahren.
- Lieferanten- und Komponenten-Compliance: Due Diligence, vertragliche Zusicherungen, Auditfähigkeit.
- Interne Auditierung und Management-Review dokumentiert; Maßnahmenplan für Findings.
Je nach konkreter Rechtslage und Produktkategorie kann zusätzlich eine Konformitätsbewertung durch eine notifizierte Stelle oder eine Selbstbewertung mit CE‑Kennzeichnung (falls einschlägig) erforderlich sein. Berücksichtigen Sie stets parallel geltende Fachregulierungen (z. B. Medizinprodukterecht, Finanzaufsicht).
Budgetrahmen und nachhaltige Umsetzung mit AIStrategyConsult
Aus der Praxis lassen sich folgende Orientierungswerte ableiten (je nach Größe, Komplexität und Kritikalität):
- Readiness-Start (30–90 Tage): ab ca. €5.000 für Assessments, Strategie‑Workshops und priorisierte Roadmaps; in mittelgroßen Umgebungen typischerweise €15.000–€60.000 für Inventar, Policies, Templates, Schulung und erste Nachweise.
- Hochrisiko-Vertiefung: €50.000–€250.000 für vollständige Dokumentation, Test-/Validierungsprogramm, Monitoring-Setup und Lieferantenaudits über mehrere Use-Cases.
- Laufender Betrieb: 10–20 % der initialen Aufwände pro Jahr für Updates, Audits, Schulungen und Monitoring.
AIStrategyConsult unterstützt Sie entlang des gesamten Weges – von der Klassifizierung Ihrer Use-Cases, dem Aufbau eines ISO/IEC 42001‑konformen AI‑Managementsystems und risikobasierten Prozessen nach ISO/IEC 23894 bis hin zu Daten- und Modell‑Governance, technischer Dokumentation, Transparenz- und Oversight‑Konzepten, Logging, Post‑Market‑Monitoring sowie Lieferanten‑Due‑Diligence. Mit modularen Assessments, Workshops und Umsetzungsbausteinen ab €5.000 schaffen wir in 90 Tagen prüffähige Grundlagen und skalieren anschließend rechtskonforme, wirkungsvolle und nachhaltige AI in Fertigung, Finanzdienstleistung, Gesundheitswesen und Handel – präzise zugeschnitten auf mittelgroße und große Unternehmen in der DACH‑Region.
