KI-Governance
EU AI Act
Der EU AI Act
Der EU AI Act ist die Verordnung der Europäischen Union für künstliche Intelligenz, die Pflichten auf der Grundlage des Risikos auferlegt, das ein KI-System darstellt. Wir helfen Ihnen, Ihre Systeme zu klassifizieren, die geltenden Pflichten zu erfüllen und die Einhaltung nachzuweisen.
Was EU AI Act ist
Der EU AI Act ist ein Gesetz der Europäischen Union, das künstliche Intelligenz mit einem risikobasierten Ansatz reguliert. Es verbietet bestimmte Verwendungen vollständig, legt KI-Systemen mit hohem Risiko erhebliche Pflichten auf, setzt für andere Transparenzpflichten und enthält spezifische Regeln für KI-Modelle mit allgemeinem Verwendungszweck. Die Pflichten treffen Anbieter und Betreiber von KI-Systemen unterschiedlich.
Der AI Act ist eine Verordnung, deren Einhaltung Sie nachweisen, kein Standard, gegen den Sie von einer akkreditierten Stelle zertifiziert werden, auch wenn einige Systeme mit hohem Risiko vor dem Inverkehrbringen eine Konformitätsbewertung erfordern. Seine Pflichten gelten zeitlich gestaffelt und können Organisationen außerhalb der EU erreichen, wenn ihre KI-Systeme genutzt werden oder ihre Ausgabe innerhalb der EU verwendet wird.
Die vier Risikostufen und was jede verlangt
Stufe 1 · Unannehmbares Risiko
Eine kurze Liste von KI-Praktiken, etwa Social Scoring durch Behörden und bestimmte manipulative oder ungezielte biometrische Verwendungen, ist vollständig verboten und darf weder in Verkehr gebracht noch überhaupt genutzt werden.
Stufe 2 · Hohes Risiko
Systeme, die in Bereichen wie kritischer Infrastruktur, Beschäftigung, wesentlichen Diensten, Strafverfolgung und Medizinprodukten eingesetzt werden, tragen die schwersten Pflichten, darunter Risikomanagement, Daten-Governance, Protokollierung, menschliche Aufsicht, Genauigkeit und eine Konformitätsbewertung vor dem Markteintritt.
Stufe 3 · Begrenztes Risiko
Systeme, die mit Menschen interagieren oder Inhalte erzeugen, etwa Chatbots und synthetische Medien, tragen hauptsächlich Transparenzpflichten, damit Nutzer wissen, dass sie es mit KI oder mit künstlich erzeugter oder manipulierter Ausgabe zu tun haben.
Stufe 4 · Minimales Risiko
Die große Mehrheit der KI-Systeme, etwa Spamfilter und Empfehlungsfunktionen, fällt nicht unter spezifische Pflichten, obwohl freiwillige Verhaltenskodizes gefördert werden.
Übergreifend · KI-Modelle mit allgemeinem Verwendungszweck
Anbieter von KI-Modellen mit allgemeinem Verwendungszweck haben eigene Pflichten zu Dokumentation, Urheberrecht und Transparenz, mit strengeren Pflichten, wenn ein Modell als systemisches Risiko bewertet wird.
Übergreifend · Rollen und Governance
Die Pflichten sind zwischen Anbietern und Betreibern aufgeteilt, wobei die Aufsicht auf nationale Behörden, die Europäische Kommission und das KI-Büro verteilt ist, das Modelle mit allgemeinem Verwendungszweck überwacht.
Wer es braucht
- Anbieter, die KI-Systeme entwickeln oder auf dem EU-Markt in Verkehr bringen, unabhängig von ihrem Standort
- Betreiber, die KI-Systeme in der EU einsetzen, insbesondere in Kontexten mit höherem Risiko
- Unternehmen mit KI-Modellen mit allgemeinem Verwendungszweck oder Produkten, die darauf aufbauen und EU-Nutzer bedienen
Was Sie erhalten
- Ein Inventar der KI-Systeme mit den Rollen als Anbieter oder Betreiber und einer Risikoklassifizierung
- Risikomanagement, Daten-Governance und technische Dokumentation, ausgerichtet auf die geltende Stufe
- Maßnahmen für Transparenz und menschliche Aufsicht mit unterstützenden Nachweisen
- Bereitschaft für die Konformitätsbewertung und ein Dokumentationspaket zur Compliance
Die Zeitpläne hängen davon ab, wie viele KI-Systeme Sie betreiben, von ihrer Risikoklassifizierung und von den für sie geltenden Übergangsfristen. Wir legen den Umfang vorab ehrlich fest, anstatt eine feste Anzahl von Wochen zu versprechen.
Aktuelle Version
Der EU AI Act ist am 1. August 2024 in Kraft getreten und gilt in Phasen statt auf einmal. Die Verbote unannehmbarer Praktiken und die Pflicht zur KI-Kompetenz gelten seit Februar 2025, die Pflichten für KI-Modelle mit allgemeinem Verwendungszweck seit August 2025, und der Großteil der Pflichten für hohes Risiko und Governance wird im Laufe des Jahres 2026 fällig, wobei bestimmte in regulierte Produkte eingebettete Systeme mit hohem Risiko bis 2027 Zeit haben. Die Kommission gibt weiterhin Leitlinien, delegierte Rechtsakte und harmonisierte Standards heraus, die die Details ausfüllen, und der freiwillige Verhaltenskodex für KI mit allgemeinem Verwendungszweck steht neben dem Gesetzestext, sodass sich das praktische Compliance-Bild noch festigt. Der sinnvolle Übergangsansatz besteht darin, Ihre Systeme jetzt zu klassifizieren, zu verfolgen, welche Übergangsfrist für jedes gilt, und Nachweise gegen die bereits geltenden Pflichten aufzubauen, während Sie die noch kommenden im Blick behalten.
Was es kostet
Der EU AI Act ist ein Gesetz, kein Schema, gegen das Sie zertifiziert werden, daher gibt es kein Zertifikat zu kaufen und am Ende kein akkreditiertes Siegel. Die Kosten, die daneben stehen, sind unser im Umfang festgelegtes Honorar für Beratung und Umsetzung, das vorab angeboten wird, sobald wir verstehen, wie viele KI-Systeme Sie betreiben und wo Sie starten, sowie jede unabhängige Leistung, die Sie hinzufügen möchten, etwa eine Konformitätsbewertungsstelle für bestimmte Systeme mit hohem Risiko, externe Tests oder rechtliche und datenschutzrechtliche Beratung dazu, wie das Gesetz auf Sie zutrifft. tr3labs ist niemals die zertifizierende, prüfende oder regulierende Stelle; das sind eigenständige Parteien mit ihren eigenen Zeitplänen. Wir legen den Umfang lieber gemeinsam mit Ihnen fest, als blind ein Angebot zu machen.
Wie tr3labs Sie dorthin bringt
Anwendungsbereich und Klassifizierung
Wir inventarisieren Ihre KI-Systeme, stellen fest, ob Sie für jedes davon Anbieter oder Betreiber sind, und klassifizieren sie nach den Risikokategorien des Gesetzes, sodass Sie wissen, welche Pflichten gelten.
Kontrollen und Dokumentation aufbauen
Wir helfen Ihnen, die Maßnahmen für Risikomanagement, Daten-Governance, technische Dokumentation, Transparenz und menschliche Aufsicht umzusetzen, die die geltende Risikostufe erfordert.
Testen und nachweisen
Wir bringen Sicherheitstests und Prüfungen in die Systeme ein, die Ihre KI bereitstellen, und helfen, die Robustheit, Genauigkeit und Aufsicht zu belegen, die das Gesetz erwartet.
Unterstützung bei Konformität und Bereitschaft
Wir bereiten Sie auf jede Konformitätsbewertung vor, die für Systeme mit hohem Risiko gilt, und stellen die Dokumentation zusammen, die Kunden und Aufsichtsbehörden die Einhaltung nachweist.
EU AI Act und ISO 42001 im Vergleich
Die beiden werden verwechselt, weil beide KI regeln, aber das eine ist ein verbindliches EU-Gesetz, das Sie einhalten müssen, und das andere ein freiwilliger Managementsystem-Standard, gegen den Sie zertifiziert werden können.
| EU AI Act | ISO 42001 | |
|---|---|---|
| Deckt ab | KI-Systeme und KI-Modelle mit allgemeinem Verwendungszweck auf dem EU-Markt | Ein organisationsweites KI-Managementsystem |
| Wer es verlangt | EU-Aufsichtsbehörden, kraft Gesetzes | Kunden, Vorstände und Partner, freiwillig |
| Grundgedanke | Pflichten, abgestuft nach dem Risiko eines Systems | Ein gesteuertes Programm, das KI dauerhaft gelenkt hält |
| Prüfmodell | Kein Zertifikat; Konformitätsbewertung nur für einige Systeme mit hohem Risiko | Zertifiziert durch eine akkreditierte Stelle gegen den Standard |
| Reichweite | Verbindlich in der gesamten EU, einschließlich einiger Organisationen außerhalb | International, überall freiwillig übernehmbar |
| Oft gehalten mit | ISO 42001, GDPR, ISO 27001 | EU AI Act, ISO 27001, SOC 2 |
EU AI Act FAQ
- Gilt der EU AI Act für uns, wenn wir außerhalb der EU sind?
- Das kann sein. Das Gesetz erreicht Organisationen außerhalb der EU, wenn ihre KI-Systeme auf dem EU-Markt in Verkehr gebracht oder innerhalb der EU genutzt werden oder wenn die erzeugte Ausgabe in der EU verwendet wird. Wir helfen Ihnen, während der Umfangsbestimmung festzustellen, ob und wie es zutrifft.
- Welche Risikokategorien gibt es im EU AI Act?
- Das Gesetz verfolgt einen risikobasierten Ansatz: einige Verwendungen sind verboten, Systeme mit hohem Risiko tragen erhebliche Pflichten, bestimmte Systeme haben Transparenzpflichten, und es gibt spezifische Regeln für KI-Modelle mit allgemeinem Verwendungszweck. Die korrekte Klassifizierung Ihrer Systeme ist die Grundlage der Compliance.
- Ist der EU AI Act eine Zertifizierung?
- Nein. Es ist eine Verordnung, deren Einhaltung Sie nachweisen, kein zertifizierbarer Standard, auch wenn bestimmte Systeme mit hohem Risiko vor dem Inverkehrbringen eine Konformitätsbewertung durchlaufen müssen. Wir bereiten Sie auf diesen Prozess vor und erstellen die Nachweise, die die Einhaltung stützen.
Die Leistungen, die Sie dorthin bringen
Verwandte Standards
Weiterführende Artikel
Die OWASP LLM Top 10, erklärt: Ein verständlicher Leitfaden für Teams, die KI-Funktionen ausliefern
Ein klarer, praxisnaher Durchgang durch die OWASP Top 10 der Risiken für Anwendungen mit großen Sprachmodellen, mit einer verständlichen Beschreibung und einer konkreten Gegenmaßnahme für jedes Risiko, gerichtet an Teams, die zum ersten Mal KI-Funktionen hinzufügen.
9 Min. Lesezeit
Wie Sie einen Penetrationstest-Bericht (VAPT) lesen: ein verständlicher Leitfaden für Teams
Eine praxisnahe Erläuterung, was in einen Penetrationstest-Bericht gehört, Abschnitt für Abschnitt, damit Gründerinnen und Gründer sowie Engineering-Teams ihn souverän lesen und auf seiner Grundlage handeln können.
8 Min. Lesezeit
SOC 2 vs. ISO 27001: ein ehrlicher Vergleich als Entscheidungshilfe
Ein verständlicher Leitfaden zu den tatsächlichen Unterschieden zwischen SOC 2 und ISO 27001: was jeder Standard ist, wer welchen verlangt, wie die Prüfungen ablaufen, was Sie am Ende in der Hand halten und ob Sie beides machen sollten.
8 Min. Lesezeit