01Betroffenheit und Mindestkontrollen klären
Amtliche Quellen, Anwendungsbereich, Fristen, vorhandene Systeme, Verantwortliche und bereits vorhandene Nachweise werden gemeinsam mit zuständigen Fach- und Rechtsrollen abgegrenzt.
Softwarekosten senken / EU AI Act
EU AI Act: Compliance-Kosten im Mittelstand kontrollieren
KI-Anwendungen und Zuständigkeiten sichtbar machen.
Der EU AI Act verlangt nicht für jedes KI-System dieselben Kontrollen. Wer vorschnell eine große Governance-Suite kauft, automatisiert möglicherweise eine noch ungeklärte Betroffenheit. Der wirtschaftliche Einstieg ist ein quellenbezogenes KI-Inventar, das Rolle, Zweck, Risiko, Nutzer, Daten und erforderliche Nachweise je System trennt.
Quellenstand: 2026-07-23 · Einzelne Angaben können sich ändern.
Die Entscheidung in Kürze
AI-Act-Compliance beginnt nicht mit Softwarekauf, sondern mit Inventar und Klassifizierung. KI-Kompetenzpflichten gelten bereits seit 2. Februar 2025; Transparenzpflichten nach Artikel 50 greifen ab 2. August 2026. Weitere Pflichten hängen von Rolle, System und Risikokategorie ab. Ein Evidence Agent kann Nachweise, Owner, Schulungen, Transparenztexte und Reviews koordinieren, darf aber keine autonome Rechts- oder Risikoklassifizierung abgeben.
Ihr Weg zur begründeten Entscheidung
Anforderungen klären. Nachweise verbinden. Aufwand prüfen.
Die fachlich geklärten Pflichten und wirksamen Kontrollen bilden den Maßstab. Der Ablauf zeigt, wie die technische Unterstützung geprüft wird.
EU AI Act
EINGANG / 01
Fachlich geklärte Anforderungen
ERGEBNIS
Quellenbezogene Pflichtenmatrix ohne automatisches Rechtsurteil
02Einen Evidence-Workflow mit echten Nachweisen testen
Ein begrenzter Kontrollprozess sammelt Belege, prüft Vollständigkeit, verfolgt Owner und Fristen und legt jede Bewertung zur fachlichen Freigabe vor.
03Quellen, Rollen und Eskalationen produktiv verbinden
Inventare, Dokumente, Tickets, Schulungsnachweise und Meldedaten werden mit minimalen Rechten, Versionierung, Audit Trail und menschlicher Entscheidung integriert.
04Regelstand, Nachweise und Ausnahmen aktuell halten
Quellenstand, Kontrollstatus, Fehler, Fristen, Zugriffe, Modelländerungen und offene Maßnahmen werden laufend überwacht und regelmäßig fachlich neu freigegeben.
Illustrativer Ablauf. Keine Live-Daten oder behaupteten Kundenergebnisse. Alle Schritte lassen sich einzeln auswählen.
Unternehmen mit Chatbots, Copilots, eigenen Agenten oder eingebetteten KI-Funktionen
Mittelständler ohne vollständiges Inventar ihrer KI-Systeme und Anbieter
Teams vor dem Kauf einer AI-Governance- oder GRC-Suite
Organisationen, die Kompetenz, Transparenz und Human Oversight nachweisbar betreiben wollen
Pflichtprozess · Evidence First
Erst Pflicht und Nachweis klären. Dann den Stack wählen.
Ein Compliance Evidence Agent verbindet amtliche Quellen, wirksame Kontrollen, Owner, Fristen und Belege aus vorhandenen Systemen. Er markiert Lücken und bereitet Nachweisakten vor – ohne Rechtsfragen autonom zu entscheiden, Kontrollen zu ersetzen oder Compliance zu bescheinigen.
Keine Rechts- oder Steuerberatung. Die konkrete Betroffenheit und Umsetzung muss durch die zuständigen Fach- und Rechtsexperten freigegeben werden.
Der Kostenhebel ist zuerst die richtige Risikokategorie.
Die Europäische Kommission beschreibt einen risikobasierten Ansatz. Die große Mehrheit der KI-Systeme fällt nach ihrer Einordnung in minimale oder keine Risikokategorien; andere Systeme unterliegen Transparenzpflichten, und Hochrisiko-Systeme tragen weitergehende Anforderungen. Eine Vollsuite für jeden KI-Anwendungsfall wäre deshalb kein sauberer Ausgangspunkt.
Erfasst werden System, Anbieter, eigene Rolle als Provider oder Deployer, beabsichtigter Zweck, betroffene Personen, Daten, Integrationen, Entscheidungseinfluss, Owner und aktueller Regelstand. Die fachliche und rechtliche Klassifizierung wird dokumentiert freigegeben – nicht vom Agenten erfunden.
Zwei Pflichten liefern sofort konkrete Arbeitsprozesse.
Artikel 4 zur KI-Kompetenz gilt laut Kommission seit 2. Februar 2025. Anbieter und Betreiber müssen Maßnahmen für ein ausreichendes Kompetenzniveau der Personen treffen, die in ihrem Auftrag mit KI-Systemen umgehen. Ein pauschales Einmalstraining genügt nicht automatisch; Rolle, Erfahrung, Einsatzkontext und betroffene Personen sind zu berücksichtigen.
Die Transparenzpflichten nach Artikel 50 gelten ab 2. August 2026. Die am 20. Juli 2026 veröffentlichten Leitlinien konkretisieren unter anderem Hinweise bei direkter Interaktion mit KI sowie Kennzeichnungspflichten für bestimmte generierte oder manipulierte Inhalte. Welcher konkrete Fall erfasst ist, muss anhand der Leitlinien geprüft werden.
Der AI-Governance-Agent erzeugt eine lebende Nachweisakte.
Der Agent sammelt Systemsteckbriefe, Anbieterunterlagen, freigegebene Klassifizierung, Schulungsnachweise, Transparenztexte, Human-Oversight-Rollen, Testfälle, Vorfälle und Änderungen. Er erinnert Owner, erkennt fehlende Nachweise und erstellt eine Review Queue mit Quelle und Regelstand.
Er darf ein System nicht selbst als compliant, minimal risk oder high risk deklarieren. Auch eine automatisch erzeugte Policy ist noch kein wirksamer Prozess. Entscheidungen, Ausnahmen und Freigaben bleiben bei den benannten Fach-, Datenschutz-, Sicherheits- und Rechtsrollen.
- • Ein Systemsteckbrief statt unverbundener Tabellen
- • Quelle und Gültigkeitsstand je Kontrollanforderung
- • Owner, Frist, Beleg und dokumentierte Ausnahme
- • Änderungsereignisse lösen eine erneute Prüfung aus
Amtliche Gratiswerkzeuge kommen vor zusätzlicher Lizenz.
Die Europäische Kommission stellt mit der AI Act Single Information Platform einen Compliance Checker, einen AI Act Explorer und den AI Act Service Desk bereit. Diese Werkzeuge ersetzen keine individuelle Rechtsprüfung, können aber Betroffenheit und Quellenzugang strukturieren.
Eine kostenpflichtige Suite wird erst bewertet, wenn Inventargröße, Rollen, Nachweisvolumen, Integrationen und Freigabeprozess bekannt sind. Bei wenigen Systemen kann ein schlanker Workflow tragen; bei vielen Gesellschaften, Standards und Auditprogrammen kann die Suite wirtschaftlicher sein.
Vergleich auf derselben Basis
| Kontrolle | AI-Governance-Suite | Evidence Agent auf Bestandssystemen |
|---|---|---|
| KI-Inventar | Zentrales Datenmodell mit Rollen und Workflows. | Schlanker Systemsteckbrief aus bestehenden Quellen und freigegebenen Feldern. |
| Regelstand | Herstellerkuratierte Inhalte je Paket. | Amtliche Quellen werden referenziert; fachliche Bewertung bleibt intern oder beraten. |
| Nachweise | Integrierte Aufgaben, Kontrollen und Reports. | Belege aus DMS, Tickets, Schulung und Entwicklung werden verknüpft. |
| Skalierung | Stark bei vielen Einheiten, Standards und Audits. | Stark bei begrenztem Inventar und klaren eigenen Kontrollprozessen. |
| Grenze | Paketumfang, Datenmodell und Vendor-Lock-in. | Eigene Integration, Review, Rechtsbezug und Betrieb müssen verantwortet werden. |
Kein Werkzeug nimmt dem Unternehmen die rechtliche Einordnung oder wirksame Umsetzung ab. Der Vergleich gilt nur für denselben Inventar- und Nachweisumfang.
Beispielrechnung mit Annahmen
AI-Governance-Suite vs. fokussierte Evidence-Schicht
Zeitraum: 36 Monate
Annahmen
- • Suite: 15.000 Euro Einführung und 60.000 Euro pro Jahr als frei gewählte Beispielannahmen
- • Evidence-Schicht: 45.000 Euro Implementierung und 2.000 Euro pro Monat für Betrieb, Quellenpflege, Monitoring und Support als Beispielannahmen
- • Vorhandene Identität, DMS, Tickets und Schulungsplattform werden weiter genutzt
- • Identischer begrenzter Umfang; externe Rechtsberatung, interne Fachzeit und Steuern nicht enthalten
Rechenweg
- 1. Suite: 15.000 € + 60.000 € × 3 = 195.000 €
- 2. Evidence-Schicht Implementierung: 45.000 €
- 3. Evidence-Schicht Betrieb: 2.000 € × 36 = 72.000 €
- 4. Evidence-Schicht gesamt: 45.000 € + 72.000 € = 117.000 €
In diesem Annahmen-Szenario liegt die fokussierte Evidence-Schicht 78.000 Euro unter der Suite.
Alle Euro-Werte sind frei gewählt und keine Herstellerpreise. Beide Optionen liefern ohne fachliche Umsetzung und Rechtsprüfung keine Compliance. Inventargröße, Integrationen, Standards, Beratung und Auditumfang können das Ergebnis drehen.
Entscheidungscheck
Diese Fragen müssen vor dem Beschluss beantwortet sein.
Sind alle eingesetzten und beschafften KI-Systeme mit Owner und Zweck inventarisiert?
Sind Provider-/Deployer-Rolle und Risikoeinordnung fachlich freigegeben?
Welche Kompetenz-, Transparenz-, Protokollierungs- und Oversight-Pflichten gelten tatsächlich?
Wo liegen Anbieterunterlagen, Tests, Schulungen, Vorfälle und Änderungen?
Welche Entscheidungen dürfen niemals autonom durch den Agenten erfolgen?
Ist der aktuelle Regelstand mit Quelle und Prüfdatum dokumentiert?
Passende Agenten-Bausteine
Nicht jede Funktion braucht eine weitere Vollsuite.
Lösungsbeispiel
KI-Wissensagent
Verknüpft Policies und amtliche Quellen mit Version und Prüfdatum.
LösungsbeispielBusiness-Ops-Agent
Verfolgt Systemsteckbriefe, Owner, Fristen, Nachweise und Freigaben.
LösungsbeispielLokaler privater KI-Agent
Ordnet sensible Governance-Daten, Zugriff und kontrollierten Betrieb ein.
Wir entwickeln auch eigene Produkte
Die Fragen aus Ihrem Projekt kennen wir aus der Umsetzung.
Daten zusammenführen, Ergebnisse prüfen, an Menschen übergeben: Daran arbeiten wir auch in unseren eigenen Projekten. Hier können Sie sich ein Bild davon machen.
Unsere Produkte im ÜberblickAusschreibungsagenten
Eigene Entwicklung · Pilot
Öffentliche Quellen bündeln, Treffer nach nachvollziehbaren Kriterien zuordnen und eine Vorauswahl mit Originalquellen bereitstellen.
KI-Vertriebstrainer
Eigene Entwicklung · Training
Gesprächssituationen und Einwandbehandlung mit KI üben. Trainingsmodule verbinden wiederholbare Szenarien mit strukturiertem Feedback.
Medikationsberatung
Eigene Entwicklung · Apotheken-Pilot
Digitale Anfrage und Vorgespräch mit der Übergabe an das Apothekenteam verbinden. Angaben und Gesprächsprotokolle werden im geschützten CRM bereitgestellt.
Eigene Projekte belegen Entwicklungspraxis. Sie sind keine Kundenreferenzen und keine Zusage für bestimmte Einsparungen oder Umsätze.
Quellen und Prüfstand
Stichtage und Pflichten sind mit amtlichen Quellen verlinkt. Rechtslage und Auslegung können sich ändern; die konkrete Betroffenheit muss im Einzelfall geprüft werden. Euro-Beträge in den Rechenbeispielen sind ausdrücklich offengelegte Annahmen und keine Anbieterpreise.
- Europäische Kommission: AI Act – Regulatory framework
Aktueller offizieller Zeitplan und risikobasierter Überblick zu Transparenz, Protokollierung, Dokumentation, Human Oversight, Robustheit und Cybersicherheit.
Abgerufen am 2026-07-23
- Europäische Kommission: Guidelines on transparency obligations for AI systems
Am 20. Juli 2026 veröffentlichte Leitlinien zum Anwendungsbereich der Transparenzpflichten nach Artikel 50 ab 2. August 2026.
Abgerufen am 2026-07-23
- Europäische Kommission: AI Literacy – Questions & Answers
Offizielle Einordnung der seit 2. Februar 2025 geltenden Pflicht für Anbieter und Betreiber, ein ausreichendes Niveau an KI-Kompetenz sicherzustellen.
Abgerufen am 2026-07-23
- Europäische Kommission: AI Act Service Desk und Compliance Checker
Offizielles Informationsangebot mit Compliance Checker, AI Act Explorer und Kontakt zum AI Act Service Desk.
Abgerufen am 2026-07-23
FAQ
Häufige Fragen
Gilt der EU AI Act für jedes Unternehmen mit ChatGPT oder Copilot?
Die konkreten Pflichten hängen von Rolle, System, Zweck und Risikokategorie ab. Allgemeine KI-Kompetenzpflichten können Anbieter und Betreiber betreffen; weitere Anforderungen unterscheiden sich deutlich. Eine pauschale Hochrisiko-Einstufung wäre falsch.
Welche AI-Act-Pflicht gilt bereits?
Die Europäische Kommission nennt für KI-Kompetenz nach Artikel 4 den 2. Februar 2025. Anbieter und Betreiber sollen ein angemessenes Kompetenzniveau der Personen sicherstellen, die in ihrem Auftrag mit KI-Systemen umgehen.
Wann gelten die Transparenzpflichten des AI Act?
Die Transparenzpflichten nach Artikel 50 gelten nach aktuellem Stand ab 2. August 2026. Die Kommission veröffentlichte dazu am 20. Juli 2026 Leitlinien. Der konkrete Anwendungsfall und mögliche Ausnahmen müssen anhand der aktuellen amtlichen Quellen geprüft werden.
Kann ein Agent die AI-Act-Risikoklasse bestimmen?
Er kann Fakten, Quellen und offene Fragen vorbereiten. Die verbindliche Einordnung darf nicht allein aus einer Modellantwort übernommen werden. Sie benötigt dokumentierte fachliche und gegebenenfalls rechtliche Prüfung.
Was automatisiert ein AI-Governance-Agent?
Inventarpflege, Nachweissammlung, Fristen, Schulungsstatus, Änderungsabfragen, Vollständigkeitsprüfung und vorbereitete Reports. Freigaben, Risikoklassifizierung, Grundrechtsabwägung und rechtliche Entscheidungen bleiben menschlich verantwortet.
Ersetzt eine AI-Governance-Suite die Compliance-Verantwortung?
Nein. Eine Suite kann Inventar, Workflows und Reports bündeln. Wirksame Kontrollen, korrekte Systemdaten, Human Oversight, Schulung, Rechtsprüfung und verantwortliche Entscheidungen muss die Organisation weiterhin erbringen.
Verwandte Kostenentscheidungen
Compliance-Vergleich
Compliance-Suite vs. Agenten-Lösung: Pflicht mit kleinem Stack erfüllen
NIS2NIS2-Compliance im Mittelstand: Kosten in Kontrollen übersetzen
Aufgabe oder Add-onKI-Agent vs. Zusatzlizenz: Aufgabe automatisieren oder Add-on kaufen?
ApothekeKI in der Apotheke: Gesundheitsdaten, Schweigepflicht und der richtige Verarbeitungsort
Nächster Schritt
Welche Nachweisarbeit bindet Ihr Team?
Nennen Sie den fachlich geklärten Anlass, vorhandene Systeme und die offenen Aufgaben. Wir besprechen, welche technische Unterstützung sinnvoll sein kann und welcher Umfang für eine vertiefte Prüfung nötig ist.