Was Unternehmen vor August 2026 vorbereiten sollte

Das EU-KI-Gesetz bewegt sich von der politischen Diskussion in die operative Realität. Für Unternehmen, die mit der Europäischen Union verbundene KI-Systeme entwickeln, kaufen, einsetzen oder integrieren, lautet die Frage nicht mehr, ob KI-Governance wichtig sein wird. Die Frage ist, ob die Organisation nachweisen kann, dass ihre KI-Systeme klassifiziert, dokumentiert, überwacht und so verwaltet werden, dass dies dem von ihnen ausgehenden Risiko entspricht.

Das KI-Gesetz trat am 1. August 2024 in Kraft. Seine Vorschriften gelten schrittweise. Verbote bestimmter KI-Praktiken und Pflichten zur KI-Kompetenz gelten seit dem 2. Februar 2025. Die Pflichten für KI-Modelle mit allgemeinem Verwendungszweck gelten seit dem 2. August 2025. Das Gesetz gilt grundsätzlich ab dem 2. August 2026, obwohl für einige Hochrisikosysteme, insbesondere solche, die in regulierte Produkte eingebettet sind, gemäß dem Umsetzungszeitplan und den jüngsten Vereinfachungsbemühungen längere Übergangsfristen gelten.

Dieser Zeitplan ist wichtig, weil viele Organisationen noch keine verlässliche Übersicht darüber haben, wo KI eingesetzt wird. Einige Systeme sind offensichtlich: kundenseitige Chatbots, automatisierte Entscheidungstools, KI-gestützte Recruiting-Plattformen, Betrugserkennungssysteme oder KI-gestützte medizinische, finanzielle oder beschäftigungsbezogene Prozesse. Andere sind weniger sichtbar: integrierte KI-Funktionen in SaaS-Plattformen, Entwicklerassistenten, Tools zur Dokumentenprüfung, Analyseprozesse, Kundenbewertungsmodelle und interne Automatisierung.

Eine Organisation kann ihre Bereitschaft zur Einhaltung des KI-Gesetzes nicht steuern, wenn sie nicht weiß, welche KI-Systeme sie nutzt, was diese Systeme tun, auf welche Daten sie zugreifen und ob sie Menschen auf eine Weise beeinflussen, die nach der Verordnung als höheres Risiko gilt.

Der risikobasierte Ansatz

Das EU-KI-Gesetz verwendet einen risikobasierten Rahmen. Das ist sinnvoll, weil dadurch anerkannt wird, dass nicht jedes KI-System dem gleichen Maß an Prüfung unterliegen sollte. Ein Spamfilter ist nicht dasselbe wie ein KI-System, das bei Einstellungen, im Bildungswesen, bei der Strafverfolgung, in kritischen Infrastrukturen, im Gesundheitswesen oder beim Zugang zu wesentlichen Dienstleistungen eingesetzt wird.

Auf hoher Ebene teilt der Rahmen KI-Systeme in mehrere Kategorien ein:

Unvertretbares Risiko: Bestimmte Praktiken sind verboten, darunter einige Formen des Social Scoring, schädliche Manipulation, die Ausbeutung schutzbedürftiger Gruppen und andere Verwendungen, die das Gesetz als unvereinbar mit Grundrechten und der öffentlichen Sicherheit betrachtet.
Hohes Risiko: Systeme, die in sensiblen Kontexten eingesetzt werden, können umfangreichen Pflichten in Bezug auf Risikomanagement, Daten-Governance, technische Dokumentation, Protokollierung, Transparenz, menschliche Aufsicht, Genauigkeit, Robustheit und Cybersicherheit unterliegen.
Begrenztes Risiko: Systeme wie Chatbots und bestimmte Tools für synthetische Inhalte können Transparenzpflichten auslösen, darunter die Information der Nutzer, wenn sie mit einer KI interagieren oder wenn Inhalte künstlich erzeugt oder manipuliert wurden.
Minimales Risiko: Viele alltägliche KI-Systeme unterliegen neben anderen geltenden Gesetzen und den üblichen Erwartungen an eine verantwortungsvolle Nutzung keinen besonderen Pflichten nach dem KI-Gesetz.

Die praktische Schlussfolgerung lautet, dass die Klassifizierung an erster Stelle steht. Bevor ein Unternehmen entscheiden kann, welche Kontrollen es aufbauen muss, muss es verstehen, in welche Kategorie jedes KI-System fällt und welche Rolle das Unternehmen einnimmt. Ist es der Anbieter? Der Betreiber? Ein Importeur, Händler, Produkthersteller oder nachgelagerter Integrator? Diese Unterscheidungen wirken sich auf die Pflichten aus.

Bei Hochrisiko-KI wird die operative Arbeit ernst

Hochrisiko-KI-Systeme sind der Bereich, auf den sich viele Unternehmen konzentrieren müssen. Dazu können je nach konkretem Anwendungsfall und Klassifizierungsregeln KI-Systeme gehören, die bei Beschäftigungsentscheidungen, beim Zugang zu Bildung, in kritischen Infrastrukturen, bei der biometrischen Identifizierung, bei der Strafverfolgung, bei Migration und Grenzkontrolle, bei der Rechtspflege sowie beim Zugang zu wesentlichen privaten oder öffentlichen Dienstleistungen eingesetzt werden.

Das KI-Gesetz verlangt von Organisationen für Hochrisikosysteme nicht lediglich die Veröffentlichung einer Richtlinie. Es erwartet ein funktionierendes Compliance- und Governance-Modell. Dazu können Risikomanagement, Daten-Governance, technische Dokumentation, Protokollierung, Transparenz, menschliche Aufsicht, Genauigkeit, Robustheit, Cybersicherheit und die Überwachung nach dem Inverkehrbringen gehören.

Diese Arbeit ist nicht nur juristische Formalität. Sie hat technische Folgen. Systeme benötigen möglicherweise bessere Audit-Protokolle. Datenpipelines brauchen eventuell stärkere Kontrollen zur Herkunftssicherung. Arbeitsabläufe für die menschliche Prüfung müssen möglicherweise neu gestaltet werden. Die Modellleistung muss unter Umständen überwacht werden. Anbieter Verträge benötigen möglicherweise mehr Details. Die Dokumentation muss möglicherweise Systemfunktionen, Einschränkungen, den vorgesehenen Verwendungszweck und bekannte Risiken erläutern.

Mit anderen Worten: Die Einhaltung des KI-Gesetzes reicht in Architektur, Produktdesign, Beschaffung, Daten-Governance, Sicherheit, Betrieb und Nutzererfahrung hinein.

August 2026 ist nicht der Zeitpunkt, um anzufangen

Es ist verlockend, den August 2026 als eine Frist in der Zukunft zu betrachten. Das ist der falsche Ansatz. Selbst wenn bestimmte Pflichten stufenweise in Kraft treten, ist der erforderliche Vorbereitungsaufwand nicht gering.

Unternehmen benötigen Zeit, um KI-Systeme zu identifizieren, Risiken zu klassifizieren, Abhängigkeiten von Anbietern zu bewerten, den vorgesehenen Verwendungszweck zu dokumentieren, Datenquellen zu prüfen, die menschliche Aufsicht zu bewerten, Beschaffungsprozesse zu aktualisieren, Governance-Gremien einzurichten und Überwachungsmaßnahmen umzusetzen. Größere Organisationen müssen außerdem Rechtsabteilung, Sicherheit, Produkt, Entwicklung, Daten, Compliance, Beschaffung, Personalwesen und Geschäftsbereiche koordinieren.

Unternehmen, die bis kurz vor einer Frist warten, werden wahrscheinlich feststellen, dass ihr eigentliches Problem nicht in einer fehlenden Richtlinie besteht, sondern in fehlender operativer Transparenz.

Möglicherweise wissen sie nicht, welche KI-Funktionen in Anbieterplattformen integriert sind. Sie wissen vielleicht nicht, ob ein interner Prozess von menschlicher Entscheidungsunterstützung zu automatisierter Einflussnahme auf Entscheidungen übergegangen ist. Möglicherweise wissen sie nicht, ob ein Modell in einem Hochrisikokontext eingesetzt wird. Vielleicht verfügen sie nicht über Audit-Protokolle, Dokumentation oder Verfahren zur menschlichen Überprüfung, die der Rolle des KI-Systems entsprechen.

Deshalb ist der erste Schritt in der Regel nicht die Abhilfe, sondern die Bestandsaufnahme.

Was Unternehmen jetzt tun sollten

Eine praktische Vorbereitung sollte mit einem klaren Bild der KI-Umgebung beginnen. Das bedeutet nicht, dass jedes System ein umfangreiches Compliance-Programm benötigt. Es bedeutet, dass die Organisation wissen sollte, was vorhanden ist, bevor sie entscheidet, welches Maß an Governance angemessen ist.

KI-Bestand erfassen: Interne Tools, kundenseitige Systeme, integrierte KI-Funktionen von SaaS-Anbietern, von Anbietern bereitgestellte KI-Funktionen, Entwicklerwerkzeuge, Analysesysteme und automatisierte Entscheidungsprozesse identifizieren.
Systeme nach Risiko klassifizieren: Bestimmen, welche Systeme in die Kategorien unvertretbares Risiko, hohes Risiko, begrenztes Risiko oder minimales Risiko fallen könnten.
Organisatorische Rollen abbilden: Bestimmen, ob das Unternehmen bei jedem System als Anbieter, Betreiber, Importeur, Händler oder nachgelagerter Integrator handelt.
Kandidaten für Hochrisiko-KI identifizieren:Achten Sie besonders auf KI, die in Beschäftigung, Bildung, wesentlichen Diensten, kritischer Infrastruktur, sicherheitskritischen Produkten, im Gesundheitswesen, beim Zugang zu Finanzdienstleistungen oder in anderen regulierten Bereichen eingesetzt wird.
Überprüfen Sie die Daten-Governance:Verstehen Sie Quellen von Trainings-, Validierungs-, Test-, Eingabe- und Betriebsdaten, einschließlich Qualität, Herkunft, Zugriff und Aufbewahrung.
Bewerten Sie die menschliche Aufsicht:Ermitteln Sie, wo Menschen Ergebnisse prüfen, Entscheidungen außer Kraft setzen, Eskalationen bearbeiten und weiterhin für die Ergebnisse verantwortlich sind.
Verbessern Sie die Dokumentation:Halten Sie die bestimmungsgemäße Verwendung, Systembeschränkungen, Risikokontrollen, Überwachungsverfahren, Anbieterabhängigkeiten und Änderungsmanagementprozesse fest.
Integrieren Sie die Überwachung in den Betrieb:Verfolgen Sie Leistung, Fehler, Drift, Nutzerverhalten, Vorfälle und Veränderungen in der Nutzung der Systeme im Laufe der Zeit.

Nichts davon muss als riesiges unternehmensweites Transformationsprojekt beginnen. Aber es muss beginnen. KI-Governance lässt sich nur sehr schwer nachträglich integrieren, wenn sich Systeme bereits im gesamten Unternehmen verbreitet haben.

KI von Anbietern schafft ein verborgenes Compliance-Problem

Viele Unternehmen entwickeln nicht jedes KI-System selbst. Sie kaufen SaaS-Plattformen mit KI-Funktionen, integrieren APIs für Basismodelle, nutzen Produktivitätsassistenten, führen Entwicklerwerkzeuge ein und aktivieren KI-Funktionen innerhalb von Systemen, die bereits Teil des Geschäfts waren.

Das schafft ein Governance-Problem, das leicht übersehen wird. Ein Unternehmen betrachtet sich möglicherweise nicht als KI-Anbieter, kann aber dennoch Betreiber von KI-Systemen sein. Es verlässt sich möglicherweise auf die Dokumentation des Anbieters, muss aber trotzdem verstehen, wie das System in den eigenen Arbeitsabläufen eingesetzt wird. Es glaubt möglicherweise, dass der Anbieter für das Modellverhalten verantwortlich ist, bleibt aber dennoch dafür verantwortlich, wie das Werkzeug Mitarbeitende, Kunden, Bewerber oder Nutzer beeinflusst.

Beschaffung und Anbietermanagement müssen aufholen. Unternehmen sollten Anbieter zu Datennutzung, Modelldokumentation, Risikoklassifizierung, Protokollierung, Transparenz, menschlicher Aufsicht, Aufbewahrung, Sicherheit, Unterauftragnehmern und der Unterstützung bei Pflichten aus dem KI-Gesetz befragen. Diese Fragen gehören in Beschaffungsentscheidungen und nicht nur in die rechtliche Prüfung nach der Einführung.

Compliance sollte nicht zu Checkbox-Theater werden

Das KI-Gesetz wird Papierarbeit schaffen. Das ist unvermeidlich. Organisationen sollten KI-Governance jedoch nicht auf eine reine Dokumentationsübung reduzieren.

Eine ausgefeilte Richtlinie beweist nicht, dass ein KI-System sicher, fair, erklärbar, überwacht oder für seinen Anwendungsfall geeignet ist. Ein Risikoregister hilft nicht, wenn es niemand prüft. Ein Human-in-the-Loop-Prozess bedeutet wenig, wenn der menschliche Prüfer nicht über Kontext, Befugnisse oder Zeit verfügt. Eine Model Card reicht nicht aus, wenn das System außerhalb seines vorgesehenen Zwecks eingesetzt wird.

Gute KI-Governance verbindet Richtlinien mit dem operativen Geschäft. Sie gibt Teams die Möglichkeit, Risiken zu klassifizieren, Designentscheidungen zu treffen, Verhalten zu überwachen, auf Vorfälle zu reagieren und Anpassungen vorzunehmen, wenn sich ein System verändert. Außerdem verschafft sie der Führungsebene Einblick darin, wo KI Geschäftswert schafft und wo sie Risiken verursacht.

Wie Ridiculous Engineering die Bereitschaft für das KI-Gesetz betrachtet

Bei Ridiculous Engineering betrachten wir KI-Governance sowohl als Compliance- als auch als Implementierungsproblem. Die rechtliche Auslegung ist wichtig, und Organisationen sollten bei regulatorischen Pflichten mit qualifizierten Rechtsberatern zusammenarbeiten. Viele der schwierigen Probleme sind jedoch operativer und technischer Natur: Bestandsaufnahme, Datenflüsse, Dokumentation, Systemdesign, Anbieterintegration, Überwachung, Prüfbarkeit und menschliche Aufsicht.

Hier müssen Engineering und Governance zusammenfinden. Wenn ein KI-System sensible Daten verarbeitet, Entscheidungen beeinflusst oder Teil eines geschäftskritischen Arbeitsablaufs wird, muss sich das Compliance-Modell in der Systemarchitektur widerspiegeln. Protokollierung, Zugriffskontrollen, Eskalationswege, Dokumentation, Überwachung und Prüfprozesse dürfen keine nachträglichen Überlegungen sein.

Wir unterstützen Organisationen dabei, diese praktische Ebene zu durchdenken. Welche KI-Systeme werden eingesetzt? Welche Arbeitsabläufe bergen ein höheres Risiko? Wohin fließen die Daten? Welche Systeme hängen von Drittanbietermodellen oder KI-Funktionen von Anbietern ab? Welche Dokumentation ist vorhanden? Was wäre bei einem Audit oder einer Kundenprüfung schwer nachzuweisen? Welche Verbesserungen sollten zuerst erfolgen?

Für manche Teams ist eine schlanke Bestandsaufnahme der KI-Systeme und eine Risikoklassifizierung der erste sinnvolle Schritt. Für andere können dies die Prüfung von Anbietern, die Gestaltung von Governance-Arbeitsabläufen, technische Dokumentation oder die Maßnahmenplanung für Systeme sein, die wahrscheinlich in eine Hochrisikokategorie fallen.

Vertrauen wird Teil des Produkts

Das EU-KI-Gesetz ist eines der deutlichsten Signale dafür, dass KI-Systeme in eine reifere Phase eintreten. Die anfängliche Frage lautete: “Können wir KI nutzen?” Die nächste Frage lautet: “Können wir sie verantwortungsvoll nutzen, ihre Funktionsweise nachweisen und sie auch nach der Einführung weiterhin steuern?”

Unternehmen, die Compliance als kurzfristig abzuhakende Pflicht behandeln, werden Schwierigkeiten haben. Sie können möglicherweise Dokumente vorlegen, aber es wird ihnen schwerer fallen zu zeigen, dass Governance tatsächlich die Systeme, Arbeitsabläufe, Anbieter und Entscheidungen erreicht, in denen KI eingesetzt wird.

Der bessere Weg besteht darin, Governance jetzt in das Betriebsmodell zu integrieren. Erfassen Sie die Systeme. Klassifizieren Sie das Risiko. Verstehen Sie die Daten. Ordnen Sie Verantwortlichkeiten zu. Dokumentieren Sie die bestimmungsgemäße Verwendung. Gestalten Sie dort menschliche Aufsicht, wo sie relevant ist. Überwachen Sie das Verhalten nach der Einführung.

Wenn Ihre Organisation Unterstützung bei der Vorbereitung auf Anforderungen an die KI-Governance, bei der Bewertung von KI-Systemen oder bei der Übertragung regulatorischer Erwartungen in praktische technische und operative Kontrollen benötigt, kann Ridiculous Engineering helfen. Wir arbeiten mit Kunden daran, Compliance-Ziele mit der dafür erforderlichen Architektur, den Arbeitsabläufen und der Dokumentation zu verbinden.

Vertrauen ist bei KI kein Slogan. Es wird Teil des Produkts. Organisationen, die dies früh verstehen, werden besser aufgestellt sein als jene, die versuchen, Vertrauen nachträglich zu integrieren, wenn das System bereits im Einsatz ist.

Quellen und weiterführende Lektüre: Europäische Kommission: Regulierungsrahmen und Zeitplan des KI-Gesetzes, EU-KI-Gesetz: Artikel 6 – Klassifizierungsregeln für Hochrisiko-KI-Systeme, Cloud Security Alliance: Vorbereitung auf die Frist für die Compliance bei Hochrisiko-KI gemäß dem EU-KI-Gesetz, Baker McKenzie: EU-Verordnung über KI, Bird & Bird: Leitfaden zum Gesetz der Europäischen Union über künstliche Intelligenz

Einhaltung des EU-KI-Gesetzes: Was jedes Unternehmen vor August 2026 benötigt