EU-Verordnung für KI-Systeme — risikobasierte Pflichten von verbotenen Praktiken bis Hochrisiko- und Transparenzanforderungen.
Learning and orientation only — not legal advice.
Sobald Analytics-Teams Modelle für Scoring, Priorisierung, Textgenerierung oder Assistenten einsetzen, sind sie im Anwendungsbereich einer Produktregulierung — mit Dokumentations-, Daten- und Aufsichtspflichten.
Der AI Act macht dabei genau das zum Thema, was in Datenplattformen ohnehin wehtut: Herkunft und Qualität der Trainingsdaten, Nachvollziehbarkeit, Logging, menschliche Aufsicht und klare Rollen. Wer Lineage und Data Quality im Griff hat, hat den halben Weg schon gemacht.
Anbieter, Betreiber, Importeure und Händler von KI-Systemen mit EU-Bezug — auch wenn das Modell aus einem Drittland stammt, sofern die Ausgabe in der EU genutzt wird.
Die meisten Datenteams sind Betreiber (Deployer) fremder Systeme. Wer ein Modell jedoch wesentlich verändert, umbenennt oder unter eigenem Namen anbietet, kann selbst zum Anbieter werden — mit deutlich mehr Pflichten.
Die Pflichten gelten gestuft nach Risikoklasse — nicht jedes Modell im Warehouse ist Hochrisiko.
Der AI Act ersetzt die DSGVO nicht; für personenbezogene Trainings- und Eingabedaten gilt beides.
Die Anwendung erfolgt zeitlich gestaffelt — Verbote und AI-Kompetenz früher, Hochrisikopflichten später.
Rolle bestimmt Pflichtenumfang: Anbieter, Betreiber, Importeur oder Händler.
Art. 5, Art. 6, Anhang III
Verbotene Praktiken, Hochrisiko-Systeme, Transparenzfälle und minimales Risiko werden unterschiedlich behandelt. Erste Aufgabe ist immer die Einordnung des Use-Cases.
Art. 4
Organisationen müssen für ausreichende Kompetenz der Personen sorgen, die KI betreiben oder nutzen — inklusive Grenzen und typischer Fehlerbilder.
Art. 9
Für Hochrisiko-Systeme ist ein kontinuierlicher Risikoprozess über den Lebenszyklus vorgesehen, nicht eine Prüfung vor dem Go-live.
Art. 10
Trainings-, Validierungs- und Testdaten müssen relevant, repräsentativ und so weit möglich fehlerfrei sein; Herkunft, Erhebung und Bias-Prüfung sind zu dokumentieren.
Art. 11, Anhang IV
Systembeschreibung, Architektur, Datenquellen, Metriken und Grenzen gehören in eine nachvollziehbare Dokumentation nach Anhang IV.
Art. 12
Hochrisiko-Systeme müssen Ereignisse automatisch protokollieren, damit Betrieb und Vorfälle rückverfolgbar bleiben.
Art. 14
Die Aufsicht muss wirksam sein: Eingriffsmöglichkeit, verständliche Ausgaben und Bewusstsein für Automation Bias.
Art. 50, Art. 53
Chatbots, Emotionserkennung und synthetische Inhalte brauchen Kennzeichnung; Anbieter von Allzweckmodellen haben eigene Dokumentations- und Urheberrechtspflichten.
Jeder KI-Anwendungsfall bekommt Owner, Rolle (Anbieter/Betreiber), Risikoeinordnung und Datenquellen. Ohne Register ist keine Pflicht zuordenbar.
Herkunft, Filter, Stichproben und Qualitätsmetriken dokumentieren — idealerweise als Metadaten am Dataset, nicht in einer Präsentation.
Eingaben, Ausgaben, Modellversion und Entscheidungskontext so protokollieren, dass Nachvollziehbarkeit möglich ist — und die Logs selbst datenschutzkonform bleiben.
Feature-Auswahl, Masking und Pseudonymisierung reduzieren Datenschutz- und Bias-Risiken gleichzeitig.
Wer prüft Ausgaben, wer darf abschalten, wie wird eskaliert? Diese Rollen gehören in den Betriebsplan, nicht in ein Konzeptpapier.
Von Modell- und SaaS-Anbietern die Systemdokumentation, Nutzungsgrenzen und Trainingshinweise einfordern und aufbewahren.
Inklusive Copilot-Funktionen in BI-Tools, Skripten mit Modell-API und Pilotprojekten.
Dokumentiert und mit Legal abgestimmt, besonders bei HR-, Kredit- und Zugangsentscheidungen.
Quellen, Rechte, Filter und Qualitätsprüfungen für Trainings- und Evaluierungsdaten nachvollziehbar.
Mit definierter Aufbewahrung und Zugriffsbeschränkung.
Namentlich benannte Rollen, Eingriffswege und Abschaltkriterien.
Modelldokumentation, Nutzungsbedingungen und Änderungshinweise archiviert.
Auch Betreiber haben Pflichten — und wer ein System umbenennt oder wesentlich ändert, wird schnell selbst Anbieter.
Datenschutz-Folgenabschätzung und KI-Konformitätsanforderungen sind unterschiedliche Verfahren mit unterschiedlichen Inhalten.
Eingebaute Assistenzfunktionen und Browser-Plugins erzeugen KI-Nutzung, die in keinem Inventar auftaucht.
Ohne Logs sind Vorfälle nicht rekonstruierbar und Aufsicht nicht belegbar.
Interne Dokumente, Kundendaten und Web-Inhalte haben unterschiedliche Nutzungsgrenzen — Herkunft klären, bevor trainiert wird.
