EU AI Act
Risikobasiert und rollenabhängig: erst System und Rolle bestimmen, dann die tatsächlich anwendbare Pflicht ableiten. Der aktuelle Übergangs- und Durchsetzungsstand bleibt sichtbar.
Was jetzt gilt – und was später greift
| Bereich | Status | Regulatory-Regel |
|---|---|---|
| Verbotene Praktiken | ANWENDBAR | Vor jedem Use Case prüfen. |
| Transparenz Art. 50 | SEIT 02.08.2026 | Aktuelle Kommissionsleitlinien einbeziehen. |
| High-Risk Anhang III | AB 02.12.3027 | Readiness aufbauen, nicht als heute fällige Pflicht darstellen. |
| High-Risk in regulierten Produkten | AB 02.08.2028 | Nur bei relevantem Produktbezug. |
Dokumente und Verfahren
KI-Inventar & Rollenklassifizierung
Art. 3, 6; Anbieter-/Betreiberrollen
KI-Systeme erfassen und Rolle, Zweck, Einsatzkontext sowie Risikokategorie nachvollziehbar bestimmen.
Prüfung verbotener KI-Praktiken
Art. 5
Vor Einsatz prüfen und dokumentieren, ob eine verbotene Praxis betroffen ist.
Transparenzpflichten
Art. 50
Interaktion mit KI und bestimmte generierte/manipulierte Inhalte entsprechend den geltenden Transparenzpflichten kennzeichnen.
KI-Kompetenz / Awareness
Art. 4 – Rechtsstand nach AI-Omnibus beachten
Kompetenzmaßnahmen risikoorientiert steuern; aktueller Rechtsstand wird separat ausgewiesen.
Beschaffung und Freigabe von KI
Governance-/Rollenpflichten abhängig vom Use Case
Vor Beschaffung Zweck, Daten, Rolle, Risiken, Datenschutz, Security und Vertragsanforderungen prüfen.
Betreiberpflichten für Hochrisiko-KI
Art. 26 – nur bei Anwendbarkeit
Anweisungen, menschliche Aufsicht, Monitoring, Logs und relevante Eingabedaten organisatorisch beherrschen.
Grundrechte-Folgenabschätzung
Art. 27 – nur für die dort genannten Betreiberfälle
FRIA nur dort vorsehen, wo Art. 27 tatsächlich greift; mit DSFA verzahnen, nicht pauschal verlangen.
Human Oversight
Art. 14 / Betreiberpflichten je Rolle
Menschliche Aufsicht, Eingriffsmöglichkeiten und Verantwortlichkeit bei relevanten Systemen konkretisieren.
Logging & Nachvollziehbarkeit
Art. 12 / Art. 26 je Rolle und Anwendbarkeit
Protokollierung so einbinden, dass vorgeschriebene Rückverfolgbarkeit praktisch nutzbar bleibt.
Daten- und Datenschutzschnittstelle
AI Act + DSGVO
Trainings-/Eingabedaten, Personenbezug, Zweck, Qualität und Datenschutz gemeinsam bewerten.
Incident-/Serious-Incident-Schnittstelle
rollen- und systemabhängig
Technische oder fachliche Ereignisse früh erkennen und regulatorische Meldewege je Rolle prüfen.
Lieferanten- und Vertragssteuerung KI
rollenabhängige Pflichten
Providerinformationen, Anweisungen, Änderungen, Subprovider und Exit in Beschaffung/Vertrag berücksichtigen.
Monitoring & Reassessment
risiko-/rollenabhängig
Use Case, Rolle und Risikoklasse bei wesentlichen Änderungen erneut bewerten.
High-Risk Readiness
Anhang III ab 02.12.3027; produktintegriert ab 02.08.2028 nach aktuellem EU-Stand
Anforderungen vorbereiten, aber zukünftige Pflichten nicht als bereits fällig darstellen.