Der EU AI Act schafft einen einheitlichen Rechtsrahmen für den sicheren, transparenten und verantwortungsvollen Einsatz von KI in Europa. Für mittelgroße und große Unternehmen in der DACH-Region bedeutet das: Sie müssen ihre KI-Anwendungen inventarisieren, Risiken bewerten, technische und organisatorische Kontrollen etablieren und den laufenden Betrieb überwachen. Wer jetzt strukturiert vorgeht, reduziert Risiken, vermeidet spätere Re-Engineering-Kosten und schafft zugleich die Basis, um KI skalierbar und messbar wertstiftend einzusetzen.
Die folgenden 90 Tage liefern eine klare, pragmatische Roadmap – von der Bestandsaufnahme über die Risikoklassifizierung (unzulässig, Hochrisiko, begrenzt) bis hin zu Dokumentation, Daten-Governance, menschlicher Aufsicht, Transparenzpflichten und Post-Market-Monitoring. Branchenhinweise für Industrie, Finanzdienstleistungen, Gesundheit und Handel helfen bei der Priorisierung.
Phase 1 (Tage 1–30): Inventarisierung, Rollenklärung und Governance-Basis
Ziel der ersten 30 Tage ist Transparenz: Was ist im Einsatz, wer ist verantwortlich, welche Risiken sind wahrscheinlich?
-
KI-Inventar erstellen:
- Erheben Sie alle KI-Anwendungen, Piloten und geplanten Vorhaben (inkl. zugekaufter Tools, Cloud-Services und eingebetteter KI-Funktionen in Standardsoftware).
- Dokumentieren Sie pro Eintrag: Zweck, betroffene Prozesse, Nutzergruppen, Datenquellen, Modelltyp (z. B. Machine Learning, generative KI), Lieferanten, Schnittstellen, Betriebsumfeld.
-
Vorab-Risikoprofiler:
- Prüfen Sie Anwendungsszenarien gegen die Kategorien des EU AI Act:
- Unzulässige Praktiken (z. B. manipulative Techniken, Social Scoring im Sinne des Gesetzes).
- Hochrisiko-Systeme (u. a. Beschäftigung und Arbeitnehmermanagement, Zugang zu wesentlichen privaten Diensten wie Kreditwürdigkeitsbewertung, Bildung/Prüfung, bestimmte sicherheitsrelevante Anwendungen und medizinische Geräte).
- Begrenztes Risiko (insb. Transparenzpflichten bei Interaktion mit Menschen, Emotionserkennung, biometrischer Kategorisierung, Kennzeichnung synthetischer Inhalte).
- Minimales Risiko (keine spezifischen Pflichten; dennoch interne Regeln sinnvoll).
- Markieren Sie Anwendungen, die potenziell Hochrisiko sind, für eine vertiefte Prüfung in Phase 2.
-
Rollenklärung gemäß Gesetz:
- Bestimmen Sie je Anwendung die Rolle(n):
- Provider/Anbieter: Entwickelt ein KI-System mit der Absicht, es in Verkehr zu bringen oder in Betrieb zu nehmen (auch für Eigennutzung möglich).
- Deployer/Betreiber: Setzt ein KI-System in der eigenen Organisation ein.
- Importeur/Distributor: Bei Bezug aus Drittstaaten oder Weitervertrieb.
- Klären Sie, ob Sie als Organisation allein Provider, allein Deployer oder beides zugleich sind (häufig bei Inhouse-Entwicklung der Fall).
-
Governance-Strukturen setzen:
- Benennen Sie eine/n AI-Compliance-Verantwortliche/n und ein funktionsübergreifendes Gremium (IT/OT, Fachbereiche, Risiko/Compliance, Datenschutz, Recht, Einkauf).
- Entwerfen Sie eine erste KI-Policy (Zwecke, Verantwortlichkeiten, Prinzipien, Freigabeprozesse).
- Verzahnung vorbereiten: Prüfen Sie bestehende Managementsysteme (ISO/IEC 42001 – AI Management, ISO 27001 – Informationssicherheit, ISO 9001 – Qualität, ISO 27701 – Datenschutz) und definieren Sie Anschlussstellen.
Ergebnis von Phase 1: Vollständiges KI-Inventar mit Rollen und einem ersten Risiko-Heatmap, benannte Verantwortliche, Policy-Entwurf und ein Governance-Setup.
Phase 2 (Tage 31–60): Risikoklassifizierung, Lieferanten-Due-Diligence und Kontrolldesign
Jetzt vertiefen Sie die Bewertung und planen die erforderlichen Kontrollen je Risikoklasse.
-
Detaillierte Risikoklassifizierung:
- Prüfen Sie für potenzielle Hochrisiko-Anwendungen die betroffenen Anhänge des EU AI Act.
- Bestimmen Sie, ob Konformitätsbewertung und CE-Kennzeichnung (für Provider) erforderlich sind.
- Für begrenztes Risiko konkretisieren Sie die Transparenzpflichten (z. B. Nutzerhinweise, Kennzeichnung synthetischer Inhalte).
-
Lieferanten-Due-Diligence:
- Erstellen Sie einen standardisierten Fragenkatalog für KI-Zulieferer und Plattformen:
- Technische Dokumentation vorhanden (z. B. Model Cards, Data Sheets, Risikoanalyse)?
- Nachweise zu Daten-Governance, Bias-Tests, Robustheit, Sicherheit.
- Konformitätsstatus (sofern anwendbar), Roadmap zu EU-AI-Act-Konformität.
- Support für Logging, Monitoring, Schnittstellen für menschliche Aufsicht.
- Rechte und Pflichten: Incident-Meldung, Änderungsmanagement, Audit- und Transparenzklauseln.
- Bewerten Sie General-Purpose-/Foundation-Modelle gesondert: Herkunft, Trainingsdaten-Transparenz, Lizenz/IP, Nutzungsbeschränkungen, Fine-Tuning-Support.
-
Technische und organisatorische Kontrollen designen:
- Risikomanagementprozess definieren (Identifikation, Bewertung, Behandlung, Akzeptanz, Review).
- Daten-Governance festlegen:
- Datenqualität, Repräsentativität, Verzerrungen, erlaubte Zwecke, Minimierung, Aufbewahrung.
- Schnittstellen zu Datenschutz (z. B. DPIA, Betroffenenrechte) und Informationssicherheit (Zugriff, Verschlüsselung).
- Menschliche Aufsicht planen:
- Rollen, Eingriffsmöglichkeiten (Override/Stop), Vier-Augen-Prinzip, Eskalationspfade.
- Kompetenzanforderungen und Schulungen.
- Transparenz und Nutzerinformation:
- Klare, verständliche Hinweise bei Interaktion mit KI.
- Kennzeichnung generierter oder manipulierter Inhalte (inkl. technischer Maßnahmen wie Wasserzeichen, wo verfügbar).
- Logging und Nachvollziehbarkeit:
- Protokolle zu Eingaben, Ausgaben, relevanten Parametern und Entscheidungen.
- Aufbewahrungsfristen im Einklang mit rechtlichen Anforderungen.
- Test- und Validierungsplan:
- Genauigkeit, Robustheit, Sicherheit, Fairness/Nichtdiskriminierung, Resilienz gegen Angriffe.
- Domänenspezifische Akzeptanzkriterien.
-
Dokumentationsrahmen aufsetzen:
- Struktur für technische Dokumentation, Bedienungsanleitungen, Konfigurations- und Betriebsdokumente.
- Verzeichnis der KI-Systeme, Risikobewertungen, Freigaben und Änderungen (lebendes Artefakt).
Ergebnis von Phase 2: Abgestimmte Risikoklassifizierung je Anwendung, qualifizierte Zulieferer, definierte Kontrollen und ein belastbarer Dokumentationsrahmen.
Phase 3 (Tage 61–90): Umsetzung, Nachweisführung und Betriebsaufnahme
In den letzten 30 Tagen bringen Sie die Kontrollen in die Praxis und sichern die Nachweisführung.
-
Implementieren und schulen:
- Kontrollen in Prozesse und Tools integrieren (z. B. MLOps/LLMOps-Pipelines mit Gates).
- Schulungen für Fachanwender, Entwickler, Compliance, Einkauf.
- Nutzerhinweise und Kennzeichnungen ausrollen.
-
Konformitäts- und Betriebsfreigabe:
- Für Hochrisiko-Systeme als Provider: Konformitätsbewertung nach den einschlägigen Verfahren vorbereiten; technische Dokumentation finalisieren; ggf. CE-Kennzeichnung.
- Als Deployer: Einsatz im vorgesehenen Zweck, Konfiguration gemäß Herstellerangaben, Abnahmetests, Freigabe durch das KI-Gremium.
-
Post-Market-Monitoring (PMM) etablieren:
- Laufendes Monitoring von Leistung, Bias, Drift, Sicherheit.
- Meldewege und Fristen für schwerwiegende Vorfälle; Zusammenarbeit mit Lieferanten und ggf. zuständigen Behörden.
- Regelmäßige Reviews, Re-Validierung nach größeren Änderungen, Änderungsmanagement.
-
Nachweisführung und Auditfähigkeit:
- Vollständige Aktenlage pro System: Anforderungen, Risiken, Tests, Freigaben, Trainings, Betriebsprotokolle.
- Interne Audits/Readiness-Assessments durchführen und Findings schließen.
-
KPI- und Mehrwerttracking:
- Definieren Sie operative und Compliance-KPIs (siehe unten), um Nutzen und Reifegrad sichtbar zu machen.
- Lessons Learned in die KI-Policy und das AIMS (AI Management System) zurückspielen.
Ergebnis von Phase 3: Wirksame Kontrollen im Betrieb, vollständige Dokumentation, funktionsfähiges Monitoring und belastbare Nachweise.
Branchenhinweise: Industrie, Finanz, Gesundheit, Handel
-
Industrie/Produktion:
- Qualitätsinspektion und vorausschauende Wartung sind häufig begrenztes Risiko; werden KI-Funktionen jedoch Sicherheitskomponenten eines Produkts/Anlage, greifen Hochrisiko-Pflichten.
- Achten Sie in OT-Umgebungen auf Robustheit, Sicherheitsintegration (SIL/PL-Kontexte) und Änderungsmanagement.
- Lieferanten-DD für eingebettete KI in Maschinen und Vision-Systemen ist kritisch; fordern Sie technische Dossiers ein.
-
Finanzdienstleistungen:
- Kreditwürdigkeits- und Kreditscoring für natürliche Personen ist Hochrisiko; etablieren Sie strenge Daten-Governance, Fairness-Tests und nachvollziehbare Entscheidungsunterstützung.
- Betrugsprävention und AML können nicht per se Hochrisiko sein, erfordern aber starke Transparenz gegenüber internen Prüfern und klare menschliche Aufsicht.
- Verzahnen Sie KI-Kontrollen mit Modellrisikomanagement (MRM) und Compliance (z. B. MaRisk, EBA-Leitlinien).
-
Gesundheitswesen:
- KI als Bestandteil von Medizinprodukten fällt regelmäßig in den Hochrisiko-Bereich; Provider-pflichten (inkl. Konformitätsbewertung) und klinische Validierung beachten.
- Krankenhäuser als Deployer: Nutzung gemäß Zweckbestimmung, Schulungen des medizinischen Personals, klare Eingriffsmöglichkeiten und Dokumentation im klinischen Workflow.
- Datenschutz und Datensouveränität (z. B. sensible Merkmale) besonders streng regeln.
-
Handel/Retail:
- Recommender und dynamische Preisgestaltung sind meist begrenztes Risiko; Transparenz gegenüber Konsumenten und Monitoring auf unbeabsichtigte Diskriminierung sind wichtig.
- Emotionserkennung oder biometrische Kategorisierung in Filialen lösen Transparenzpflichten aus; prüfen Sie Angemessenheit und Alternativen.
- KI in Personalplanung/Performance-Bewertung fällt unter Hochrisiko; dokumentieren Sie Kriterien, Tests und menschliche Freigaben.
Vorlagen und Beschaffung: Policy-, Prozess- und Vertragsbausteine
Beschleunigen Sie die Umsetzung mit wiederverwendbaren Artefakten:
-
KI-Policy und Standard Operating Procedures (SOPs):
- Klassifizierungshandbuch (inkl. Beispiele).
- Freigabeprozess für neue KI-Anwendungen (Gate-Checklisten).
- Richtlinie zu generativer KI (Prompting, Umgang mit sensiblen Daten, Ausgabenkontrolle).
-
Risiko- und Dokumentationsvorlagen:
- Risikoanalyse-Template (Bedrohungen, Auswirkungen, Kontrollen, Rest-Risiko).
- Model Card/Data Sheet mit Leistungsmetriken, Grenzen, Datenquellen und Evaluierung.
- Daten-Governance-Plan (Qualität, Herkunft, Bias, Schutzmaßnahmen).
- Human-Oversight-Checkliste (Rollen, Eingriffe, Eskalation).
- Transparenz- und Kennzeichnungstexte (z. B. Chatbot-Hinweise, Deepfake-Label).
-
Beschaffung und Verträge:
- Due-Diligence-Fragebogen zum EU-AI-Act-Status des Anbieters.
- Vertragsklauseln: Dokumentationszugang, Incident-Meldung, Auditrechte, Änderungsanzeigen, Service Levels (Genauigkeit/Robustheit), IP/Trainingdaten-Nutzung.
- Abnahme- und Exit-Kriterien (Datenportabilität, Modellübergabe, Abschaltplan).
Verzahnung mit Managementsystemen (ISO/IEC 42001 und Co.)
Ein integrierter Ansatz reduziert Aufwand und erhöht Auditfähigkeit:
-
ISO/IEC 42001 (AI Management System):
- Verankert Richtlinien, Rollen, Risikomanagement, Lebenszyklussteuerung, Monitoring – deckt viele prozessuale Anforderungen des EU AI Act ab.
- Nutzen Sie 42001 als Dach für Policies, Rollen (z. B. AI Owner), Kompetenzmanagement und kontinuierliche Verbesserung.
-
ISO/IEC 27001/27701:
- Informationssicherheit und Datenschutz-Management bieten Kontrollen für Zugriff, Logging, Verschlüsselung, DPIA-Integration und Betroffenenrechte.
-
ISO 9001/13485 (Qualität, v. a. bei regulierten Produkten):
- Bringt reife Prozesse für Design Control, CAPA und Lieferantenmanagement ein.
- In Medizinproduktkontexten ergänzend zu MDR/IVDR notwendig.
-
Praktische Integration:
- Einheitliches Risikoregister für KI.
- Gemeinsame Change- und Incident-Prozesse (inkl. Security und Datenschutz).
- Kombinierte Audits zur Effizienzsteigerung.
Compliance als Werttreiber: Messbarer Business-Nutzen und KPIs
Richtig aufgesetzt, wird Compliance zum Enabler für Skalierung und Vertrauen:
-
Weniger Risiko, mehr Geschwindigkeit:
- Frühzeitige Risikoerkennung vermeidet teure Nacharbeiten und Pilot-Dead-Ends.
- Standardisierte Freigaben verkürzen Time-to-Value für neue Use Cases.
-
Vertrauenswürdige KI:
- Nachvollziehbarkeit und menschliche Aufsicht stärken Akzeptanz bei Mitarbeitenden, Kunden und Prüfern.
- Bessere Datenqualität erhöht Modellleistung und reduziert Drift.
-
Beispiel-KPIs:
- Anteil inventarisierter KI-Anwendungen (%), Time-to-Approval (Tage), Abdeckungsgrad Trainings/Schulung (%).
- Rate signifikanter Incidents (pro Quartal), Abdeckungsgrad Transparenzhinweise (%), Anteil Use Cases mit dokumentierter Human Oversight (%).
- Business-KPIs pro Use Case (z. B. Kostenreduktion, Fehlerrate, Durchlaufzeit).
Häufige Stolpersteine und Praxis-Tipps
- Unvollständige Inventarisierung: Eingebettete KI in Standardsoftware wird oft übersehen. Prüfen Sie Funktions-Updates und Plug-ins.
- Rollenverwechslung: Interne Entwicklung für den Eigenbetrieb kann Provider-Pflichten auslösen. Klären Sie die Rolle frühzeitig.
- Daten-Governance unterschätzt: Ohne belastbare Datenprozesse scheitern Fairness, Genauigkeit und Nachvollziehbarkeit.
- Einmal-Projekt statt Systemansatz: Compliance ist kein Strohfeuer. Etablieren Sie ein AIMS mit klaren Verantwortlichkeiten und KPIs.
- Lieferantenblindflug: Verlassen Sie sich nicht nur auf Marketingaussagen. Fordern Sie belastbare Dokumente und vertragliche Zusagen ein.
- Fehlende menschliche Aufsicht: Definieren Sie konkrete Eingriffspunkte, Schwellenwerte und Eskalationswege – und testen Sie sie.
Ihr 90-Tage-Ergebnis: Regelkonform, skalierbar, wertschaffend
Nach 90 Tagen verfügen Sie über ein vollständiges KI-Inventar, klare Rollen, eine fundierte Risikoklassifizierung, definierte und implementierte Kontrollen je Risikokategorie, belastbare Dokumentation, trainierte Teams und ein laufendes Post-Market-Monitoring. Damit erfüllen Sie nicht nur die zentralen Anforderungen des EU AI Act – Sie schaffen zugleich die Voraussetzungen, um KI sicher, effizient und mit messbarem Geschäftsnutzen in der gesamten Organisation zu skalieren.
