KI-Compliance
Wir leisten die technische und Governance-Arbeit für KI nach dem EU AI Act (KI-Verordnung), der DSGVO, ISO/IEC 42001 und DORA, an der Seite Ihrer Rechtsabteilung. Wir bereiten die Risikoklassifizierung Ihrer KI-Systeme vor, schreiben die technische Dokumentation, planen menschliche Aufsicht in Ihre Prozesse ein und bauen das Managementsystem auf, das ISO/IEC 42001 beschreibt. Dies ist keine Rechtsberatung.
Die Aufgabe.
Der EU AI Act gilt stufenweise, und der AI Omnibus hat die Hochrisiko-Termine verschoben. Die Vorschriften für Systeme nach Anhang III gelten jetzt ab dem 2. Dezember 2027. Ihre Rechtsabteilung liest das Gesetz; jemand muss umsetzen, was es verlangt.
Die Pflichten schlagen sich in Systemen nieder: in Protokollen, Dokumentation, menschlicher Aufsicht und Datenaufzeichnungen. Die DSGVO, ISO/IEC 42001 und, für Banken und Versicherer, DORA fügen eigene hinzu. Wir leisten die technische Arbeit; die rechtliche Bewertung bleibt bei Ihren Juristen.
Was wir tun.
EU AI Act
Wir listen Ihre KI-Systeme auf und bereiten mit Ihrer Rechtsabteilung ihre Risikoklassifizierung vor. Dann setzen wir um, was anwendbar ist: technische Dokumentation, Protokollierung und menschliche Aufsicht für Hochrisiko-Systeme sowie die Transparenzpflichten nach Art. 50, wo sie anwendbar sind.
DSGVO
Wo KI personenbezogene Daten verarbeitet, bereiten wir den technischen Teil der Datenschutz-Folgenabschätzung (DSFA) vor: Datenflüsse, Zwecke und Schutzmaßnahmen. Für automatisierte Entscheidungen nach Art. 22 planen wir eine menschliche Überprüfung als User Task in den Prozess ein.
ISO/IEC 42001
Wir bereiten ein KI-Managementsystem nach ISO/IEC 42001:2023 vor: Richtlinien, Rollen, Risikoaufzeichnungen und die Nachweise, die ein Auditor verlangt. Das Zertifikat selbst kommt von einer unabhängigen Zertifizierungsstelle.
DORA
Bei Banken und Versicherern läuft KI auf IKT-Systemen, die unter DORA fallen. Wir bilden die KI-Komponenten in Ihrem IKT-Risikomanagement und in Ihrem Register der IKT-Drittdienstleister ab.
An der Seite Ihrer Rechtsabteilung
Dies ist technische und Governance-Arbeit. Es ist keine Rechtsberatung und keine Compliance-Garantie: Ihre Rechtsberater entscheiden, wie das Recht auf Sie anzuwenden ist.
Typische Projekte.
KI-Bestandsaufnahme und Klassifizierung
Eine schriftliche Liste Ihrer KI-Systeme, jedes mit einer vorgeschlagenen Risikoklasse zur Bestätigung durch Ihre Rechtsabteilung.
Bereit für Anhang III
Für ein System, das ein Hochrisiko-System sein könnte: Dokumentation, Protokollierung und Aufsicht, umgesetzt vor dem 2. Dezember 2027.
Vorbereitung auf ISO/IEC 42001
Das KI-Managementsystem und seine Aufzeichnungen, vorbereitet, bevor Sie eine Zertifizierungsstelle beauftragen.
Passt das zu Ihnen?
Passt gut
- Sie haben KI-Systeme im Einsatz oder in Planung, die Entscheidungen über Menschen treffen oder unterstützen.
- Ihre Rechtsabteilung sucht Ingenieure, die umsetzen, was das Gesetz verlangt.
- Sie sind eine Bank oder ein Versicherer und brauchen KI innerhalb Ihres DORA-Rahmens.
Passt nicht
- Sie brauchen Rechtsberatung: Diese geben Ihnen Ihre Rechtsabteilung oder externe Rechtsberater.
- Sie möchten von uns eine Compliance-Garantie oder ein Zertifikat.
- Sie suchen reine Personalbereitstellung, ohne technische Leitung auf Ihrer Seite.
Die Termine.
Aus EUR-Lex und den Seiten der Kommission, geprüft am 19. Oktober 2026.
ISO/IEC 42001:2023 wurde im Dezember 2023 veröffentlicht.
Nächster
2. Dezember 2027
EU AI Act
Die Regeln für Hochrisiko-KI-Systeme nach Anhang III gelten (verschoben durch den AI Omnibus).
2. August 2028
EU AI Act
Die Regeln für Hochrisiko-KI in Produkten (Anhang I) gelten (verschoben durch den AI Omnibus).
2. August 2026 Gilt
Der allgemeine Geltungsbeginn, einschließlich der Transparenzpflichten nach Art. 50.
Frühere Termine (4)
27. Juli 2026 In Kraft
Der AI Omnibus zur Änderung des AI Act ist in Kraft getreten (Verordnung (EU) 2026/1744).
2. August 2025 Gilt
Die Pflichten für KI-Modelle mit allgemeinem Verwendungszweck, die Governance und die Sanktionen gelten.
2. Februar 2025 Gilt
Die verbotenen Praktiken und die Pflicht zur KI-Kompetenz gelten.
1. August 2024 In Kraft
Der EU AI Act (Verordnung (EU) 2024/1689) ist in Kraft getreten.
Fragen.
Ist das Rechtsberatung?
Unsere Arbeit zur KI-Compliance ist technische und Governance-Arbeit an der Seite Ihrer Rechtsabteilung, keine Rechtsberatung. Ihre Rechtsabteilung oder externe Rechtsberater entscheiden, wie das Recht auf Sie anzuwenden ist, und nichts hier ist eine Compliance-Garantie.
Ab wann gelten die Hochrisiko-Vorschriften des AI Act?
Die Vorschriften für Hochrisiko-KI-Systeme nach Anhang III gelten ab dem 2. Dezember 2027, die Vorschriften für KI, die in Produkte nach Anhang I eingebettet ist, ab dem 2. August 2028. Der AI Omnibus, seit dem 27. Juli 2026 in Kraft, hat beide Termine verschoben. Wir haben sie am 19. Oktober 2026 geprüft.
Können Sie uns auf ISO/IEC 42001 vorbereiten?
Ja, wir bereiten das KI-Managementsystem vor, das ISO/IEC 42001:2023 beschreibt: Richtlinien, Rollen, Risikoaufzeichnungen und Nachweise. Das Zertifikat kommt von einer unabhängigen Zertifizierungsstelle, nicht von uns; ISO rät zu prüfen, ob die Stelle akkreditiert ist.
Wie hängt DORA mit der Arbeit an KI zusammen?
Bei Banken und Versicherern laufen die KI-Komponenten auf IKT-Systemen, die bereits unter DORA fallen. Wir bilden sie in Ihrem IKT-Risikomanagement und in Ihrem Register der IKT-Drittdienstleister ab. Wie DORA auf Sie anzuwenden ist, entscheidet Ihre Rechtsabteilung.
Wie gehen Sie mit automatisierten Entscheidungen nach Art. 22 DSGVO um?
Wir planen einen menschlichen Prüfschritt als User Task in den Prozess ein, wo immer Ihre Rechtsabteilung sagt, dass Art. 22 einen solchen verlangt. Der Prozess zeichnet auf, wer jede Entscheidung geprüft hat und wann.
Mit welchem Prozess würden Sie beginnen?
Nennen Sie uns den Prozess, die Entscheidung, die heute ein Mensch darin trifft, und die Daten, die der Prozess liest. Wir antworten mit Fragen oder einem Vorschlag für den nächsten Schritt.
Mit einem Architekten sprechen