Fast jedes Unternehmen im deutschsprachigen Raum pilotiert inzwischen KI — einen Assistenten im Service, ein Modell in der Dokumentenverarbeitung, einen Copiloten in der Entwicklung. Die Technik ist verfügbar, die Einstiegshürde niedrig wie nie. Genau das verschleiert das eigentliche Problem: Die Hürde kommt erst danach, wenn KI aus der Spielwiese in einen regulierten, geschäftskritischen Prozess wandern soll.
Ab diesem Punkt zählt nicht mehr, dass das Modell funktioniert. Es zählt, dass Sie nachweisen können, wie es funktioniert, wer es kontrolliert und was passiert, wenn es falsch liegt. Der EU AI Act macht genau diesen Nachweis zur Pflicht.
Was verlangt der EU AI Act konkret?
Der EU AI Act ist seit dem 1. August 2024 in Kraft und gilt unmittelbar in allen Mitgliedstaaten. Seine Pflichten greifen gestaffelt: Die Verbote bestimmter KI-Praktiken gelten seit dem 2. Februar 2025, die Transparenzpflichten für allgemeine KI-Modelle (General-Purpose AI) seit dem 2. August 2025, die umfangreichen Anforderungen an Hochrisiko-KI treten gestaffelt zum 2. August 2026 und 2. August 2027 in Kraft.
Im Kern teilt die Verordnung KI in vier Risikoklassen ein — von minimalem Risiko über begrenztes und hohes Risiko bis zu verbotenen Praktiken. Für Systeme mit begrenztem Risiko gilt vor allem eine KI-Transparenzpflicht: Nutzer müssen erkennen können, dass sie mit einer Maschine interagieren oder dass Inhalte KI-generiert sind. Für Hochrisiko-KI — Systeme, die über Zugang zu Bildung, Beschäftigung, Kreditwürdigkeit oder kritische Infrastruktur mitentscheiden — gelten die härtesten Auflagen:
- technische Dokumentation und Risikomanagement über den gesamten Lebenszyklus,
- Daten-Governance und durchgängige Protokollierung,
- menschliche Aufsicht und nachvollziehbare, reproduzierbare Ergebnisse.
Wie ernst es die EU meint, zeigt der Bußgeldrahmen: Die Verordnung sieht als Höchstmaß bis zu 7 % des weltweiten Jahresumsatzes (maximal 35 Mio. €) für verbotene Praktiken vor und bis zu 3 % (15 Mio. €) für andere Verstöße. Compliance ist damit kein Papierthema mehr.
Warum scheitern KI-Projekte am Nachweis, nicht an der Technik?
Hier liegt der blinde Fleck vieler KI-Initiativen. Es existiert ein beeindruckender Prototyp — aber kein belastbarer Nachweis, dass dieses System im laufenden Betrieb tut, was es soll, und nur das. Das Modell wurde einmal evaluiert, nie systematisch getestet. Niemand kann sagen, wie es sich bei untypischen Eingaben verhält. Es gibt keine Protokollierung, die eine einzelne Entscheidung im Nachhinein erklärbar macht.
Solange KI im Pilotstatus bleibt, fällt das nicht auf. In dem Moment, in dem sie zur Hochrisiko-KI wird, wird genau dieser fehlende Nachweis zum Showstopper — nicht, weil die Technik schlecht ist, sondern weil KI-Governance und Nachweisbarkeit nie mitgedacht wurden.
Was unterscheidet KI-Governance von einem Compliance-Dokument?
Viele Organisationen behandeln KI-Compliance als juristische Aufgabe: eine Richtlinie, eine Risikoklassifizierung, ein Haken auf einer Liste. Das greift zu kurz. Die entscheidenden Anforderungen — Protokollierung, menschliche Aufsicht, Robustheit, Reproduzierbarkeit — lassen sich nicht in einem Dokument behaupten. Sie müssen im System verankert und belegt sein.
Wer die Regulierung der letzten Jahre verfolgt hat, kennt dieses Prinzip. DORA verordnet dem Finanzsektor operative Resilienz nicht als Papierübung, sondern als getestete Fähigkeit. NIS2 verlangt im Kern dasselbe für die Cybersicherheit. Der rote Faden lautet überall: Nachweis statt Papier.
Welche Rolle spielen Testing und Quality Gates?
Damit wird die KI-Einführung im Unternehmen vor allem zu einer Disziplin aus Testing, Quality Gates und belastbarer Governance — denselben Mechanismen, die komplexe IT-Programme seit jeher absichern. Die zentrale Frage ist nicht „Haben wir eine KI-Richtlinie?“, sondern „Können wir beweisen, dass dieses System getestet, überwacht und kontrollierbar ist — heute und nach dem nächsten Modell-Update?“.
Genau hier bringt Ventus seine Erfahrung aus großen, regulierten IT-Programmen ein: Systeme nicht nur zu bauen, sondern sie getestet und sicher in den Betrieb zu bringen. KI einzuführen ist einfach geworden. Sie nachweisbar unter Kontrolle zu halten, bleibt die eigentliche Aufgabe. Wie belastbar ein geplanter Rollout gegen solche Risiken ist, lässt sich vorab abschätzen — etwa mit unserem Go-Live Risiko-Simulator.
Häufig gestellte Fragen
Seit wann gilt der EU AI Act?
Er ist seit dem 1. August 2024 in Kraft. Die Verbote gelten seit Februar 2025, die Pflichten für allgemeine KI-Modelle seit August 2025, die Hochrisiko-Anforderungen gestaffelt bis 2. August 2026 und 2027.
Was ist Hochrisiko-KI?
KI-Systeme, die über sensible Bereiche wie Beschäftigung, Kreditwürdigkeit, Bildung oder kritische Infrastruktur mitentscheiden. Sie unterliegen Dokumentations-, Protokollierungs- und Aufsichtspflichten.
Ist KI-Compliance eine reine Rechtsaufgabe?
Nein. Die Kernanforderungen — Testbarkeit, Nachvollziehbarkeit, menschliche Aufsicht — sind technischer und organisatorischer Natur. Sie müssen im System belegt sein, nicht nur dokumentiert.
Dieser Beitrag dient der allgemeinen Information und stellt keine Rechtsberatung dar. Für die verbindliche Bewertung konkreter KI-Systeme im Rahmen des EU AI Act ziehen Sie bitte qualifizierten Rechtsrat hinzu.
