EU AI Act
Erst wissen, welche KI im Haus läuft.
Ein Register aller KI-Systeme deiner Marke: Anbieter, Einsatzbereich, Verantwortlicher — und je System die Risikoklasse, aus der sich alle weiteren Pflichten ableiten.
- Verordnung
- (EU) 2024/1689
- Rollen-Check
- 8 Fragen
- Risikoklassen
- 4 + unklassifiziert
- Einsatzbereiche
- 9
Ausgangslage
Niemand im Haus weiß, wie viele KI-Systeme laufen
Die KI-Verordnung knüpft jede Pflicht an ein konkretes System und dessen Risikoklasse. Solange die Liste dieser Systeme nicht existiert, lässt sich keine einzige Pflicht sauber zuordnen — und keine erfüllen.
- KI kommt selten über die IT ins Haus: Ein Abo im Marketing, ein Assistent im Service, eine Vorauswahl im Recruiting — eingekauft, nicht eingeführt.
- Ohne geklärte Rolle bleibt offen, welche Pflichten überhaupt greifen: Anbieter, Betreiber, Einführer, Händler und GPAI-Anbieter tragen unterschiedliche Lasten.
- Die Einstufung als verboten, hochriskant, begrenzt oder minimal wird als Bauchentscheidung getroffen — ohne festgehaltene Begründung, an der später jemand nachvollziehen könnte, warum.
- Wer bei einem System verantwortlich ist, steht nirgends. Kommt eine Anfrage oder ein Vorfall, sucht man erst die Person, dann die Unterlagen.
- Schulungen und Anbieterauskünfte liegen in Postfächern und Kalendern statt an dem System, um das es geht.
So arbeitest du damit
Rolle klären
Der Rollen-Check stellt acht Ja/Nein-Fragen und ordnet dich als Anbieter, Anbieter durch wesentliche Änderung, Betreiber, Einführer, Händler oder GPAI-Anbieter ein — und erkennt, ob ein Hochrisiko-Fall nach Anhang III vorliegt. Das Ergebnis erscheint als Reihe von Rollenkarten mit der Zahl der jeweils greifenden Pflichten; ein Klick öffnet sie im Detail, mit Artikel, kurzer Erläuterung und einer ehrlichen Notiz, was Reguly dabei leistet und was nicht.
Systeme erfassen
Jedes System bekommt Name, Anbieter und Produkt, den Anwendungsfall, einen von neun Einsatzbereichen (Marketing, Vertrieb, Service, HR, Betrieb, IT, Produkt, Finanzen, Sonstiges), die verarbeiteten Datenkategorien von öffentlich bis sensible Personendaten, eine verantwortliche Adresse und den Vertragsstatus. Drei Kennzahlen halten den Stand fest: aktive Systeme, hochriskante oder verbotene, noch nicht klassifizierte — Letztere bleiben amber, solange etwas offen ist. Ausgelaufene Systeme archivierst du, statt sie zu löschen; über einen Filter holst du sie zurück ins Bild.
Risiko einstufen
Der Risiko-Wizard führt durch vier Abschnitte — verbotene Praktiken, Hochrisiko, Transparenzpflichten, Kontext — und zeigt live, auf welche Klasse die bisherigen Antworten hinauslaufen. Gespeichert wird nicht nur das Ergebnis (verboten, hoch, begrenzt, minimal), sondern auch die Auslöser: welche Frage die Einstufung verursacht hat, jeweils mit Artikelbezug, dazu eine automatisch erzeugte deutsche Zusammenfassung. Genau das ist der Unterschied zwischen einer Meinung und einer Einstufung, die jemand später prüfen kann.
Pflichten abarbeiten
Aus der Klasse wird eine Checkliste: Pflichten mit Artikelbezug, Status von offen bis erledigt oder nicht anwendbar, Notizfeld und Fortschrittsanzeige. Bei Hochrisiko kommen die schweren Stücke dazu — die Grundrechte-Folgenabschätzung als geführtes Formular über die sieben Pflichtabschnitte a bis g mit Sign-off, die technische Dokumentation nach Anhang IV und die EU-Registrierung mit den Feldern aus Anhang VIII, umschaltbar zwischen Anbieter- und Betreibersicht. Für die Transparenz gibt es Vorlagen für Website, App, E-Mail und Druck, die sich anhand der Systemmerkmale empfehlen und mit Live-Vorschau befüllen lassen.
Anbieterauskünfte einholen
Wer fremde Basismodelle einsetzt, dokumentiert die Sourcing-Diligence nach Art. 25 in einem eigenen Protokoll: Anbieter-Preset wählen, Anfragetext zusammenstellen, Versand und Antwort verfolgen. Der Status läuft von Entwurf über versendet bis beantwortet, abgelehnt oder abgelaufen; ein Kennzahlenband zeigt die Summen und die Antwortquote. Bleibt eine Antwort aus, erinnert Reguly; kommt sie, lässt sie sich als Audit-PDF ins Vault archivieren.
Kompetenz nachweisen
Der Literacy-Tracker ist der Nachweis nach Art. 4: Datum, Thema, Dauer in Minuten, Teilnehmerzahl und die durchführende Person mit Kennzeichnung intern oder extern. Die Zusammenfassung zählt Trainings, eindeutige Teilnehmer und Gesamtdauer und zeigt, wie lange das letzte Training her ist — nach 180 Tagen wird daraus eine Warnung. Für die Pflichten-Checkliste am System ist das kein separates Silo: Die Literacy- und GPAI-Lage wird dort inline eingeblendet.
Zeitachse
Woran die Pflichten hängen
Die KI-Verordnung staffelt ihre Anforderungen — teils nach Kalender, teils nach dem Moment, in dem ein System in Verkehr kommt. Drei Stufen führt das Modul ausdrücklich mit, jeweils mit dem Artikel, aus dem sie stammt. Dazu kommen ereignisgebundene Fristen: Bei einem schweren Vorfall rechnet Reguly aus dem Entdeckungszeitpunkt 72 Stunden (Todesfall, Grundrechte) beziehungsweise 15 Tage (sonstige) hoch und zeigt den Countdown im Kopf des Vorgangs.
Seit Februar 2025
KI-Kompetenz ist Pflicht
Personal, das KI bedient, muss ausreichend KI-Kompetenz haben; dokumentierte Schulungen sind seither verpflichtend (Art. 4). Der AI-Literacy-Tracker führt sie mit Datum, Thema, Dauer, Teilnehmern und durchführender Person — und meldet sich, wenn die letzte Schulung mehr als 180 Tage zurückliegt.
Ab August 2026
Registrierung und Vorfallmeldung
Für Hochrisiko-Systeme nach Anhang III markiert der Rollen-Check zwei Pflichten mit diesem Stichtag: die Registrierung in der öffentlichen EU-Datenbank (Art. 71) und die Meldung schwerer Vorfälle an die Marktüberwachungsbehörde (Art. 73). Beides bereitet Reguly vor — den Behördenkontakt selbst nimmst du vor.
Vor Inverkehrnahme
Der systemgebundene Auslöser
Kein Kalenderdatum, sondern ein Moment: FRIA (Art. 27), technische Dokumentation (Anhang IV) und Konformitätsbewertung samt CE-Kennzeichnung (Art. 43) müssen vorliegen, bevor ein System in Verkehr geht. Deshalb entscheidet die Risikoklasse früh — sie bestimmt, wie viel Vorlauf ein Projekt braucht.
Im Zusammenspiel
Ein Datenbestand, der weiterreicht
- 01KI-Inventar
führt die Systeme und ihre Risikoklasse
- Risikoklasse
- Auslöser
- Verantwortlicher
- 02GPAI-Anfragen
holt die Auskünfte der KI-Anbieter nach Art. 25
- Anbieterantwort
- Antwortquote
- 03Compliance-Vault
archiviert die Nachweise als PDF
- FRIA
- Einreichungspaket
- Audit-PDF
Häufige Fragen
Welche Risikoklassen kennt das Modul?
Verboten, hoch, begrenzt und minimal — plus „unklassifiziert", solange der Wizard für ein System nicht gelaufen ist. Genau diese Zahl zeigt die dritte Kennzahl oben, damit keine Lücke unbemerkt bleibt.
Ist die Einstufung des Wizards rechtsverbindlich?
Nein. Der Wizard strukturiert die Einstufung entlang der Kriterien der Verordnung und hält fest, welche Antwort sie ausgelöst hat. Die rechtliche Bewertung bleibt bei dir oder deiner Kanzlei — Reguly leistet keine Rechtsberatung.
Muss ich den Rollen-Check machen, bevor ich Systeme anlege?
Nötig ist es nicht, sinnvoll schon: Die Rolle entscheidet, welche Pflichten überhaupt greifen. Grundrechte-Folgenabschätzung, technische Dokumentation und EU-Registrierung tauchen nur in bestimmten Konstellationen auf.
Wann ist eine FRIA fällig?
Wenn du Betreiber bist, ein Hochrisiko-Fall nach Anhang III vorliegt und die Klasse „hoch" lautet. Dann markiert der Hub am System die FRIA als nächsten Schritt. Der Abschluss mit Sign-off exportiert sie automatisch als PDF ins Vault.
Meldet Reguly einen schweren Vorfall an die Behörde?
Nein. Reguly erfasst den Vorfall mit Schweregrad und Entdeckungszeitpunkt und rechnet daraus die Frist hoch — 72 Stunden bei Todesfall oder Grundrechtsverletzung, 15 Tage bei sonstigen Fällen. Die Meldung selbst nimmst du vor. In der aktuellen Ausbaustufe liegen die Vorfälle zudem clientseitig je System; PDF-Export ins Vault und Behördenkontakt sind vorgesehen.
Betrifft mich GPAI überhaupt?
Wenn du fremde Basismodelle einsetzt, gehören die Transparenzangaben des Anbieters nach Art. 25 dokumentiert — dafür ist das Anfragenprotokoll da. Der Rollen-Check sagt dir, ob du darüber hinaus selbst als GPAI-Anbieter giltst.
Was passiert mit einem System, das wir nicht mehr nutzen?
Du archivierst es. Es verschwindet aus den Kennzahlen und der Standardansicht, bleibt aber mit Einstufung und Historie erhalten und lässt sich über den Filter „Archivierte" wieder einblenden oder reaktivieren.
Ersetzt das Modul eine Rechtsberatung?
Nein. Es macht die Pflichten sichtbar, zuordenbar und dokumentierbar. Interpretation und Verantwortung bleiben bei dir beziehungsweise deiner Kanzlei.
Verordnung (EU) 2024/1689 (KI-VO), Art. 3, 4, 6, 25, 26, 27, 43, 51 ff., 71, 73 sowie Anhang III, IV und VIII
Den ersten Überblick bekommen
Zeig uns in einem Gespräch, welche KI-Tools bei euch im Einsatz sind — wir zeigen dir, wie das Inventar samt Rollen und Risikoklassen daraus aussieht.