- Dezember 2027. Markieren Sie es in Ihrem Kalender.
Das ist das Datum, an dem die Anforderungen des EU AI Act fuer KI-Systeme mit hohem Risiko vollstaendig in Kraft treten. Die Strafen fuer Nichteinhaltung erreichen 35 Millionen Euro oder 7% des weltweiten Jahresumsatzes - je nachdem, welcher Betrag hoeher ist. Dies ist keine ferne Sorge. Sie haben Monate, nicht Jahre, um sich vorzubereiten.
Dieser Leitfaden deckt alles ab, was Sie wissen muessen: welche Systeme betroffen sind, was Compliance erfordert und wie Sie dorthin gelangen.
Das Risikoeinstufungssystem verstehen
Der EU AI Act kategorisiert KI-Systeme in vier Risikostufen:
Verboten (bereits in Kraft)
Einige KI-Praktiken sind gaenzlich verboten:
- Social Scoring durch Regierungen
- Biometrische Echtzeit-Identifizierung in oeffentlichen Raeumen (mit begrenzten Ausnahmen)
- Manipulation vulnerabler Gruppen
- Emotionserkennung am Arbeitsplatz und in Schulen (mit Ausnahmen)
Wenn Sie eines davon tun, hoeren Sie sofort auf.
Hohes Risiko (Dezember 2027)
KI-Systeme, die erhebliche Auswirkungen auf die Rechte, die Sicherheit oder den Zugang zu wesentlichen Diensten von Menschen haben. Hier sollte der Grossteil der Enterprise-Aufmerksamkeit liegen:
- Kreditscoring und Kreditentscheidungen
- Einstellungs- und Beschaeftigungsentscheidungen
- Bildungszulassungen und -bewertungen
- Zugang zu wesentlichen oeffentlichen Diensten
- Strafverfolgung und Grenzkontrolle
- Management kritischer Infrastrukturen
Begrenztes Risiko (August 2025)
KI-Systeme, die Transparenzverpflichtungen erfordern:
- Chatbots muessen offenlegen, dass sie KI sind
- Deepfakes muessen gekennzeichnet werden
- Emotionserkennungssysteme muessen Nutzer benachrichtigen
Minimales Risiko (keine Anforderungen)
KI-Systeme mit minimalem Risiko haben keine spezifischen Verpflichtungen. Die meiste Geschaefts-KI faellt hierunter - Spamfilter, Empfehlungssysteme, interne Analytik.
Die Hochrisiko-Anforderungen
Fuer KI-Systeme mit hohem Risiko schreibt das Gesetz umfassende Anforderungen gemaess Artikeln 9-15 vor:
Risikomanagementsystem (Artikel 9)
Sie muessen Risiken waehrend des gesamten Lebenszyklus des KI-Systems identifizieren, analysieren und mindern. Dies ist keine einmalige Bewertung - es ist ein fortlaufender Prozess.
Data Governance (Artikel 10)
Trainings-, Validierungs- und Testdatensaetze muessen relevant, repraesentativ und fehlerfrei sein. Sie muessen Datenherkunft und Qualitaetsmassnahmen dokumentieren.
Technische Dokumentation (Artikel 11)
Detailierte Dokumentation, die Compliance nachweist. Dies umfasst Systembeschreibung, Verwendungszweck, Designspezifikationen und Risikominderungsmassnahmen.
Aufzeichnungsfuehrung (Artikel 12)
Automatische Protokollierung des Systembetriebs zur Ermoeglichung der Rueckverfolgbarkeit. Protokolle muessen fuer die Lebensdauer des Systems oder wie gesetzlich vorgeschrieben aufbewahrt werden.
Transparenz (Artikel 13)
Klare Anweisungen fuer Nutzer, die den Systembetrieb, Faehigkeiten und Einschraenkungen erklaeren.
Menschliche Aufsicht (Artikel 14)
Design fuer effektive menschliche Aufsicht. Menschen muessen in der Lage sein, KI-Entscheidungen zu verstehen, zu ueberwachen und einzugreifen.
Genauigkeit, Robustheit und Cybersicherheit (Artikel 15)
Systeme muessen angemessene Genauigkeitsniveaus erreichen, widerstandsfaehig gegen Fehler und Angriffe sein und Cybersicherheit aufrechterhalten.
Der 6-Schritte-Compliance-Fahrplan
Schritt 1: KI-System-Inventar
Sie koennen Anforderungen fuer Systeme, von denen Sie nicht wissen, dass Sie sie haben, nicht erfuellen. Fuehren Sie ein umfassendes Inventar durch:
- Welche KI-Systeme werden in Ihrer Organisation verwendet?
- Wer ist fuer jedes System verantwortlich?
- Welche Entscheidungen beeinflussen sie?
- Welche Daten verarbeiten sie?
Viele Organisationen sind von dieser Uebung schockiert. KI hat sich schneller verbreitet als Governance.
Schritt 2: Risikoeinstufung
Bestimmen Sie fuer jedes System seine Risikokategorie. Am schwierigsten sind Grenzfaelle:
- Ein Chatbot ist begrenztes Risiko. Aber ein Chatbot, der Finanzentscheidungen beeinflusst, koennte hohes Risiko sein.
- Analytik-Software ist minimales Risiko. Aber Analytik, die Beschaeftigungsentscheidungen beeinflusst, ist hohes Risiko.
Im Zweifelsfall konservativ einstufen.
Schritt 3: Gap-Analyse
Bewerten Sie fuer jedes Hochrisikosystem den aktuellen Stand gegenueber jeder Artikelanforderung. Wo sind die Luecken?
Haeufige Luecken sind:
- Kein Bias-Testing-Framework
- Ungenuegend Erklaerbarkeit
- Keine menschlichen Aufsichtsmechanismen
- Unvollstaendige Dokumentation
- Unzureichende Protokollierung
Schritt 4: Technische Sanierung
Implementieren Sie die technischen Massnahmen, die erforderlich sind, um Luecken zu schliessen:
Bias-Testing: Implementieren Sie Frameworks wie Fairlearn oder AIF360, um auf demografische Paritaet, gleichwertige Chancen und andere Fairness-Metriken zu testen.
Erklaerbarkeit: Fuegen Sie SHAP, LIME oder andere Interpretierbarkeitstools hinzu, um die Erklaerung einzelner Entscheidungen zu ermoeglichen.
Menschliche Aufsicht: Entwerfen Sie Review-Workflows fuer automatisierte Entscheidungen, insbesondere solche mit erheblichen Auswirkungen.
Protokollierung: Implementieren Sie umfassende Audit-Trails fuer Modelleingaben, -ausgaben und Entscheidungsfaktoren.
Schritt 5: Dokumentation
Erstellen Sie konforme technische Dokumentation. Dies ist erhebliche Arbeit - erwarten Sie Wochen, nicht Tage, pro System.
Wichtige Dokumentationselemente:
- Systembeschreibung und Verwendungszweck
- Risikobewertung und Minderungsmassnahmen
- Data-Governance-Verfahren
- Genauigkeitsmetriken und Validierungsergebnisse
- Menschliche Aufsichtsmechanismen
- Gebrauchsanweisungen
Schritt 6: Laufende Compliance
Compliance ist kein Ziel - es ist ein Prozess. Etablieren Sie:
- Regelmaessiges Bias-Testing und Monitoring
- Model-Drift-Erkennung
- Dokumentations-Updates bei Systemaenderungen
- Audit-Trails und Incident-Response-Verfahren
- Regelmaessige Compliance-Reviews
Praktische Implementierungstipps
Beginnen Sie mit Kreditscoring
Wenn Sie KI fuer Kreditentscheidungen verwenden, beginnen Sie dort. Kredit-KI ist eindeutig hohes Risiko, gut verstanden von Regulierern und typischerweise Ihr System mit den hoechsten Auswirkungen.
Nutzen Sie bestehende Frameworks
Bauen Sie nicht von Grund auf. Verwenden Sie etablierte Tools:
- MLflow fuer Model-Registry und Dokumentation
- Evidently AI oder WhyLabs fuer Monitoring
- Fairlearn fuer Bias-Testing
- SHAP fuer Erklaerbarkeit
Erstellen Sie Templates
Sobald Sie fuer ein System konform sind, templaten Sie den Ansatz. Ihr zweites Hochrisikosystem sollte die Haelfte der Zeit benoetigen.
Holen Sie externe Pruefung ein
Bevor Regulierer Sie pruefen, bezahlen Sie jemand anderen dafuer. Externe Compliance-Reviews identifizieren Luecken, bevor sie zu Verstoessen werden.
Die Wettbewerbschance
Compliance klingt defensiv, aber es ist auch eine Wettbewerbschance:
- Konforme KI ist vertrauenswuerdige KI. Nutzen Sie Compliance als Verkaufsdifferenzierungsmerkmal.
- Der Compliance-Prozess verbessert die KI-Qualitaet. Bessere Dokumentation bedeutet bessere Systeme.
- Fruehe Compliance baut Expertise auf. Sie werden Partnern und Kunden helfen, die spaet angefangen haben.
Zeitleisten-Realitaetscheck
Es bleibt noch Zeit bis zur Frist. Ist das genug Zeit?
Fuer Organisationen, die bereits mit KI-Governance-Arbeit begonnen haben: wahrscheinlich ja, wenn Sie aggressiv priorisieren.
Fuer Organisationen, die bei null anfangen: Es wird eng. Beginnen Sie sofort. Erwaegen Sie externe Hilfe zur Beschleunigung.
Die Frist vom 2. Dezember 2027 ist gesetzlich verankert. Die Strafen sind nicht verhandelbar. Die Zeit zu handeln ist jetzt.
