Der EU AI Act macht den Einsatz von KI für Unternehmen verbindlicher. Doch wer jetzt nur auf die rechtliche Bewertung schaut, übersieht den entscheidenden Punkt: KI muss auch technisch beherrschbar bleiben.
Besonders relevant wird das für Unternehmen, die bereits KI-Funktionen in bestehender Software nutzen, erste KI-Piloten produktiv machen oder neue KI-Anwendungen in gewachsene Systemlandschaften integrieren möchten. Wer hier früh technische Klarheit schafft, vermeidet spätere Nacharbeiten bei Dokumentation, Datenflüssen, Schnittstellen, Sicherheit und Betrieb.
Genau hier entsteht technischer Handlungsbedarf: Unternehmen müssen KI-Anwendungen erfassen, Architekturen prüfen, Integrationen absichern und Betriebsprozesse so aufsetzen, dass KI im Alltag produktiv, kontrollierbar und weiterentwickelbar bleibt.
KI-Bestand erfassen: Wo ist KI bereits im Einsatz?
Viele Unternehmen wissen nicht genau, wo KI bereits genutzt wird. Das betrifft nicht nur große KI-Projekte, sondern auch Chatbots, Assistenzsysteme, Prognosemodelle, Bilderkennung, Entscheidungsunterstützung oder KI-Funktionen in bestehender Software.
Eine KI-Inventur schafft die Grundlage für jede weitere Bewertung. Sie zeigt, welche Systeme KI nutzen, welche Daten einfließen, welche Prozesse betroffen sind und welche externen Tools, Plattformen oder SaaS-Lösungen eingebunden werden.
Gerade in gewachsenen IT-Landschaften ist diese Transparenz entscheidend. Nur wer weiß, wo KI im Unternehmen steckt, kann Anwendungen sinnvoll einordnen, absichern und weiterentwickeln.
Risiko und Rolle richtig einordnen
Der AI Act folgt einem risikobasierten Ansatz. Nicht jede KI-Anwendung ist automatisch hochkritisch oder streng reguliert. Entscheidend sind Einsatzbereich, Zweck und Risiko.
Ein Produktempfehlungssystem ist anders zu bewerten als eine KI, die Bewerbungen vorsortiert, medizinische Entscheidungen unterstützt oder sicherheitsrelevante Prozesse beeinflusst. Hochrisiko-KI ist ein wichtiger Sonderfall, aber nicht automatisch der Normalfall.
Die Digital-Omnibus-Verordnung zur KI verschiebt den AI Act nicht insgesamt, sondern ordnet einzelne Pflichten und Fristen neu. Für Hochrisiko-KI gelten differenzierte spätere Fristen. Für Unternehmen bleibt deshalb entscheidend, jedes KI-System einzeln nach Rolle, Einsatzbereich, Risikoklasse und relevanter Pflicht zu betrachten.
Für viele Unternehmen werden zunächst allgemeinere Themen relevant: Transparenz, mögliche Informationspflichten, technische Nachvollziehbarkeit, Verantwortlichkeiten und eine strukturierte Bewertung möglicher Risiken.
Ebenso wichtig ist die Rolle des Unternehmens. Im AI Act wird unter anderem zwischen Anbietern und Betreibern unterschieden. In komplexeren Lieferketten können weitere Rollen relevant werden, etwa Produkthersteller, Einführer oder Händler.
Die rechtliche Einordnung sollte gemeinsam mit Legal, Compliance oder Datenschutz erfolgen. jambit kann dafür die technische Grundlage schaffen: durch Transparenz über Systeme, Daten, Schnittstellen, Integrationen und Betriebsprozesse.
Daten, Dokumentation und Betrieb vorbereiten
Wer KI produktiv einsetzt, sollte die technische Grundlage strukturiert prüfen. Ein zentraler Punkt ist die Datenqualität. Bei Hochrisiko-KI können Anforderungen an Datenqualität und Daten-Governance rechtlich relevant werden. Unabhängig davon ist Datenqualität für jedes produktive KI-System entscheidend, weil fehlerhafte, verzerrte oder manipulierte Daten zu falschen Ergebnissen führen können.
Besonders externe oder veränderbare Datenquellen können zum Risiko werden. Manipulierte, veraltete oder fehlerhafte Inhalte können Ergebnisse verfälschen. Das ist nicht nur ein Qualitätsproblem, sondern auch eine Sicherheitsfrage.
Auch Dokumentation sollte pragmatisch mitgedacht werden. Bei Hochrisiko-KI können Dokumentationspflichten rechtlich verpflichtend sein. Bei anderen KI-Anwendungen ist sie vor allem eine wichtige Best Practice. Sie schafft Klarheit darüber, welche KI eingesetzt wird, für welchen Zweck, mit welchen Daten, in welchem Prozess und mit welchen bekannten Grenzen.
Logging und Monitoring können helfen, KI-Systeme im laufenden Betrieb kontrollierbar zu halten. Während entsprechende Anforderungen bei Hochrisiko-KI rechtlich relevant werden können, tragen sie in anderen Fällen vor allem zu Qualität, Sicherheit und Nachvollziehbarkeit bei.
Entscheidungsgrenzen festlegen
Human Oversight ist im AI Act vor allem bei Hochrisiko-KI relevant. Die Grundfrage stellt sich aber auch darüber hinaus: KI sollte nicht unklar in Entscheidungsprozesse hineinwachsen.
Unternehmen sollten festlegen, wo KI automatisieren darf, wo sie nur Empfehlungen gibt und wo eine menschliche Freigabe erforderlich ist. Gerade bei sensiblen Prozessen schützt diese Abgrenzung vor falschem Vertrauen, Überautomatisierung und unklarer Verantwortung.
Ein Mensch kann nur dann wirksam kontrollieren, wenn das System die richtigen Informationen zur richtigen Zeit liefert. Deshalb braucht es praktikable Review-Prozesse, die im Arbeitsalltag funktionieren und nicht nur formal auf dem Papier bestehen.
Security und Architektur früh mitdenken
Der AI Act ist kein klassisches Security-Gesetz. Trotzdem spielt Security bei KI eine wichtige Rolle. Bei Hochrisiko-KI ist Cybersicherheit ausdrücklich Teil der Anforderungen an Genauigkeit, Robustheit und sicheren Betrieb. Auch bei anderen KI-Anwendungen ist Security aus technischer Sicht relevant.
Das betrifft den Schutz von Datenflüssen, Zugriffskontrolle, sichere Integration in bestehende Systeme, Monitoring ungewöhnlicher Nutzungsmuster und den Schutz vor manipulierten Quellen. Bei KI kommen zusätzliche Risiken hinzu, etwa manipulierte Trainingsdaten, verfälschte Modelle oder gezielte Eingaben, die falsche Ergebnisse provozieren.
Auch generative KI bringt neue Herausforderungen mit sich. Ähnliche Eingaben können unterschiedliche Ergebnisse liefern. Das erschwert Tests, Qualitätssicherung und Freigabeprozesse.
Bei KI-Anwendungen mit größerem Handlungsspielraum, etwa Systemen mit Tool-Zugriff oder angebundenen Aktionen, werden Rechtebeschränkungen, Freigaben und sichere Schnittstellen besonders wichtig.
Was Unternehmen jetzt tun können
Viele Unternehmen haben bereits KI- oder Analytics-Lösungen im Einsatz, die vor dem AI Act entstanden sind. Ein technischer AI-Readiness-Check kann als pragmatischer Einstieg helfen, bestehende KI-Anwendungen strukturiert zu erfassen und technische Lücken sichtbar zu machen.
Dabei geht es vor allem um Einsatzbereich, Datenbasis, Schnittstellen, Verantwortlichkeiten, Dokumentation, Monitoring, Security und Betriebsmodell. Die rechtliche Bewertung von Rolle, Risikoklasse, Pflichten und anwendbaren Fristen sollte gemeinsam mit Legal, Compliance oder Datenschutz erfolgen.
Für neue KI-Projekte ist der AI Act außerdem ein Anlass, Transparenz, Dokumentation, Security und Betrieb früh mitzudenken. Das betrifft nicht nur den Code, sondern auch Datenarchitektur, Rechtekonzepte, sichere Schnittstellen, Testprozesse, Review-Abläufe und klare Grenzen für automatisierte Entscheidungen.
Fazit: KI-Compliance braucht technische Grundlagen
Der AI Act ist kein reines Rechtsthema und auch kein klassisches Security-Gesetz. Für Unternehmen ist er dennoch ein Anlass, den eigenen KI-Einsatz genauer zu prüfen und sich technisch belastbar aufzustellen.
Wer KI langfristig nutzen möchte, braucht mehr als eine rechtliche Einschätzung. Es braucht Systeme, Prozesse und Architekturen, die Transparenz, Kontrolle, Sicherheit und Nachvollziehbarkeit ermöglichen.
jambit unterstützt Unternehmen bei der technischen Bestandsaufnahme, Architektur, Integration, Entwicklung und dem sicheren Betrieb von KI-Anwendungen. Die rechtliche Einordnung konkreter Pflichten sollte dabei immer gemeinsam mit den zuständigen Legal-, Compliance- oder Datenschutzverantwortlichen erfolgen.
