Der EU AI Act verlangt nicht für jedes KI-System dieselben Kontrollen. Wer vorschnell eine große Governance-Suite kauft, automatisiert möglicherweise eine noch ungeklärte Betroffenheit. Der wirtschaftliche Einstieg ist ein quellenbezogenes KI-Inventar, das Rolle, Zweck, Risiko, Nutzer, Daten und erforderliche Nachweise je System trennt.
Kurzantwort: AI-Act-Compliance beginnt nicht mit Softwarekauf, sondern mit Inventar und Klassifizierung. KI-Kompetenzpflichten gelten bereits seit 2. Februar 2025; Transparenzpflichten nach Artikel 50 greifen ab 2. August 2026. Weitere Pflichten hängen von Rolle, System und Risikokategorie ab. Ein Evidence Agent kann Nachweise, Owner, Schulungen, Transparenztexte und Reviews koordinieren, darf aber keine autonome Rechts- oder Risikoklassifizierung abgeben.
Fachlich und quellenbezogen geprüft: 2026-07-23
Pflichtprozess · Evidence First
Ein Compliance Evidence Agent verbindet amtliche Quellen, wirksame Kontrollen, Owner, Fristen und Belege aus vorhandenen Systemen. Er markiert Lücken und bereitet Nachweisakten vor – ohne Rechtsfragen autonom zu entscheiden, Kontrollen zu ersetzen oder Compliance zu bescheinigen.
Keine Rechts- oder Steuerberatung. Die konkrete Betroffenheit und Umsetzung muss durch die zuständigen Fach- und Rechtsexperten freigegeben werden.
Die Europäische Kommission beschreibt einen risikobasierten Ansatz. Die große Mehrheit der KI-Systeme fällt nach ihrer Einordnung in minimale oder keine Risikokategorien; andere Systeme unterliegen Transparenzpflichten, und Hochrisiko-Systeme tragen weitergehende Anforderungen. Eine Vollsuite für jeden KI-Anwendungsfall wäre deshalb kein sauberer Ausgangspunkt.
Erfasst werden System, Anbieter, eigene Rolle als Provider oder Deployer, beabsichtigter Zweck, betroffene Personen, Daten, Integrationen, Entscheidungseinfluss, Owner und aktueller Regelstand. Die fachliche und rechtliche Klassifizierung wird dokumentiert freigegeben – nicht vom Agenten erfunden.
Artikel 4 zur KI-Kompetenz gilt laut Kommission seit 2. Februar 2025. Anbieter und Betreiber müssen Maßnahmen für ein ausreichendes Kompetenzniveau der Personen treffen, die in ihrem Auftrag mit KI-Systemen umgehen. Ein pauschales Einmalstraining genügt nicht automatisch; Rolle, Erfahrung, Einsatzkontext und betroffene Personen sind zu berücksichtigen.
Die Transparenzpflichten nach Artikel 50 gelten ab 2. August 2026. Die am 20. Juli 2026 veröffentlichten Leitlinien konkretisieren unter anderem Hinweise bei direkter Interaktion mit KI sowie Kennzeichnungspflichten für bestimmte generierte oder manipulierte Inhalte. Welcher konkrete Fall erfasst ist, muss anhand der Leitlinien geprüft werden.
Der Agent sammelt Systemsteckbriefe, Anbieterunterlagen, freigegebene Klassifizierung, Schulungsnachweise, Transparenztexte, Human-Oversight-Rollen, Testfälle, Vorfälle und Änderungen. Er erinnert Owner, erkennt fehlende Nachweise und erstellt eine Review Queue mit Quelle und Regelstand.
Er darf ein System nicht selbst als compliant, minimal risk oder high risk deklarieren. Auch eine automatisch erzeugte Policy ist noch kein wirksamer Prozess. Entscheidungen, Ausnahmen und Freigaben bleiben bei den benannten Fach-, Datenschutz-, Sicherheits- und Rechtsrollen.
Die Europäische Kommission stellt mit der AI Act Single Information Platform einen Compliance Checker, einen AI Act Explorer und den AI Act Service Desk bereit. Diese Werkzeuge ersetzen keine individuelle Rechtsprüfung, können aber Betroffenheit und Quellenzugang strukturieren.
Eine kostenpflichtige Suite wird erst bewertet, wenn Inventargröße, Rollen, Nachweisvolumen, Integrationen und Freigabeprozess bekannt sind. Bei wenigen Systemen kann ein schlanker Workflow tragen; bei vielen Gesellschaften, Standards und Auditprogrammen kann die Suite wirtschaftlicher sein.
| Kontrolle | AI-Governance-Suite | Evidence Agent auf Bestandssystemen |
|---|---|---|
| KI-Inventar | Zentrales Datenmodell mit Rollen und Workflows. | Schlanker Systemsteckbrief aus bestehenden Quellen und freigegebenen Feldern. |
| Regelstand | Herstellerkuratierte Inhalte je Paket. | Amtliche Quellen werden referenziert; fachliche Bewertung bleibt intern oder beraten. |
| Nachweise | Integrierte Aufgaben, Kontrollen und Reports. | Belege aus DMS, Tickets, Schulung und Entwicklung werden verknüpft. |
| Skalierung | Stark bei vielen Einheiten, Standards und Audits. | Stark bei begrenztem Inventar und klaren eigenen Kontrollprozessen. |
| Grenze | Paketumfang, Datenmodell und Vendor-Lock-in. | Eigene Integration, Review, Rechtsbezug und Betrieb müssen verantwortet werden. |
Kein Werkzeug nimmt dem Unternehmen die rechtliche Einordnung oder wirksame Umsetzung ab. Der Vergleich gilt nur für denselben Inventar- und Nachweisumfang.
Beispielrechnung mit Annahmen
Zeitraum: 36 Monate
In diesem Annahmen-Szenario liegt die fokussierte Evidence-Schicht 78.000 Euro unter der Suite.
Alle Euro-Werte sind frei gewählt und keine Herstellerpreise. Beide Optionen liefern ohne fachliche Umsetzung und Rechtsprüfung keine Compliance. Inventargröße, Integrationen, Standards, Beratung und Auditumfang können das Ergebnis drehen.
Entscheidungscheck
Sind alle eingesetzten und beschafften KI-Systeme mit Owner und Zweck inventarisiert?
Sind Provider-/Deployer-Rolle und Risikoeinordnung fachlich freigegeben?
Welche Kompetenz-, Transparenz-, Protokollierungs- und Oversight-Pflichten gelten tatsächlich?
Wo liegen Anbieterunterlagen, Tests, Schulungen, Vorfälle und Änderungen?
Welche Entscheidungen dürfen niemals autonom durch den Agenten erfolgen?
Ist der aktuelle Regelstand mit Quelle und Prüfdatum dokumentiert?
Vom Check in den Betrieb
Amtliche Quellen, Anwendungsbereich, Fristen, vorhandene Systeme, Verantwortliche und bereits vorhandene Nachweise werden gemeinsam mit zuständigen Fach- und Rechtsrollen abgegrenzt.
Ergebnis: Quellenbezogene Pflichtenmatrix ohne automatisches Rechtsurteil
Ein begrenzter Kontrollprozess sammelt Belege, prüft Vollständigkeit, verfolgt Owner und Fristen und legt jede Bewertung zur fachlichen Freigabe vor.
Ergebnis: Messbare Nachweisqualität, Bearbeitungszeit und Restarbeit
Inventare, Dokumente, Tickets, Schulungsnachweise und Meldedaten werden mit minimalen Rechten, Versionierung, Audit Trail und menschlicher Entscheidung integriert.
Ergebnis: Produktiver Pflichtprozess mit nachvollziehbarer Verantwortlichkeit
Quellenstand, Kontrollstatus, Fehler, Fristen, Zugriffe, Modelländerungen und offene Maßnahmen werden laufend überwacht und regelmäßig fachlich neu freigegeben.
Ergebnis: Prüfbare Nachweisakte statt einmaligem Compliance-Projekt
Passende Agenten-Bausteine
Verknüpft Policies und amtliche Quellen mit Version und Prüfdatum.
LösungsbeispielVerfolgt Systemsteckbriefe, Owner, Fristen, Nachweise und Freigaben.
LösungsbeispielOrdnet sensible Governance-Daten, Zugriff und kontrollierten Betrieb ein.
Stichtage und Pflichten sind mit amtlichen Quellen verlinkt. Rechtslage und Auslegung können sich ändern; die konkrete Betroffenheit muss im Einzelfall geprüft werden. Euro-Beträge in den Rechenbeispielen sind ausdrücklich offengelegte Annahmen und keine Anbieterpreise.
Aktueller offizieller Zeitplan und risikobasierter Überblick zu Transparenz, Protokollierung, Dokumentation, Human Oversight, Robustheit und Cybersicherheit.
Abgerufen am 2026-07-23
Am 20. Juli 2026 veröffentlichte Leitlinien zum Anwendungsbereich der Transparenzpflichten nach Artikel 50 ab 2. August 2026.
Abgerufen am 2026-07-23
Offizielle Einordnung der seit 2. Februar 2025 geltenden Pflicht für Anbieter und Betreiber, ein ausreichendes Niveau an KI-Kompetenz sicherzustellen.
Abgerufen am 2026-07-23
Offizielles Informationsangebot mit Compliance Checker, AI Act Explorer und Kontakt zum AI Act Service Desk.
Abgerufen am 2026-07-23
FAQ
Die konkreten Pflichten hängen von Rolle, System, Zweck und Risikokategorie ab. Allgemeine KI-Kompetenzpflichten können Anbieter und Betreiber betreffen; weitere Anforderungen unterscheiden sich deutlich. Eine pauschale Hochrisiko-Einstufung wäre falsch.
Die Europäische Kommission nennt für KI-Kompetenz nach Artikel 4 den 2. Februar 2025. Anbieter und Betreiber sollen ein angemessenes Kompetenzniveau der Personen sicherstellen, die in ihrem Auftrag mit KI-Systemen umgehen.
Die Transparenzpflichten nach Artikel 50 gelten nach aktuellem Stand ab 2. August 2026. Die Kommission veröffentlichte dazu am 20. Juli 2026 Leitlinien. Der konkrete Anwendungsfall und mögliche Ausnahmen müssen anhand der aktuellen amtlichen Quellen geprüft werden.
Er kann Fakten, Quellen und offene Fragen vorbereiten. Die verbindliche Einordnung darf nicht allein aus einer Modellantwort übernommen werden. Sie benötigt dokumentierte fachliche und gegebenenfalls rechtliche Prüfung.
Inventarpflege, Nachweissammlung, Fristen, Schulungsstatus, Änderungsabfragen, Vollständigkeitsprüfung und vorbereitete Reports. Freigaben, Risikoklassifizierung, Grundrechtsabwägung und rechtliche Entscheidungen bleiben menschlich verantwortet.
Nein. Eine Suite kann Inventar, Workflows und Reports bündeln. Wirksame Kontrollen, korrekte Systemdaten, Human Oversight, Schulung, Rechtsprüfung und verantwortliche Entscheidungen muss die Organisation weiterhin erbringen.
Nächster Schritt
Im Compliance-Kostenaudit übersetzen wir den konkreten Pflichtanlass in Kontrollen, Nachweise, Owner und Systemgrenzen. Danach ist klar, was bereits vorhanden ist, welche Lücke wirklich bleibt und ob Suite oder Evidence Agent den tragfähigeren Pfad bildet.
