Services / EU AI Act

EU AI Act · KI-Inventar

Welche KI im Haus läuft und welche Pflichten daraus folgen.

Die Anforderung

Was das Regelwerk verlangt

Adressiert sind Anbieter und Betreiber von KI-Systemen. Die Verordnung (EU) 2024/1689 gilt gestaffelt: Verbote und KI-Kompetenz seit dem 02.02.2025, GPAI-Pflichten seit dem 02.08.2025, allgemeiner Anwendungsbeginn inklusive Hochrisiko nach Annex III am 02.08.2026; eine Verschiebung durch den „Digital Omnibus“ ist zum Stand dieser Seite noch nicht rechtsverbindlich.

Verbotene Praktiken

Social Scoring, bestimmte biometrische Echtzeit-Fernidentifizierung im öffentlichen Raum und manipulative KI-Techniken sind untersagt.

Art. 5 AI Act

KI-Kompetenz

Anbieter und Betreiber stellen sicher, dass ihr Personal über ausreichende KI-Kompetenz verfügt.

Art. 4 AI Act

Pflichten für GPAI-Modelle

Technische Dokumentation und Transparenzpflichten; für Modelle mit systemischem Risiko zusätzliche Risikobewertungs- und Meldepflichten.

Kapitel V AI Act

Hochrisiko-KI-Pflichten

Konformitätsbewertung, Risikomanagementsystem, technische Dokumentation, Fundamental Rights Impact Assessment und Post-Market-Monitoring — Anwendungsbeginn gestaffelt nach Klassifizierung.

Art. 6 · Annex III, IV · Art. 72 AI Act

Unsere Lösung

Man kann keine Pflicht erfüllen für ein KI-System, von dem man nichts weiß.

Fachabteilungen führen Chatbots, Scoring-Modelle und KI-Assistenten oft eigenständig ein, ohne dass die Compliance davon erfährt. Der AI Act knüpft Pflichten an das einzelne System: Was nicht erfasst ist, wird nicht eingestuft.

Ohne vollständiges Inventar bleibt die zentrale Frage offen: Zählt ein System zu den Hochrisiko-Anwendungen nach Annex III, mit Pflichten zu Konformitätsbewertung, technischer Dokumentation und Marktbeobachtung nach Inbetriebnahme? Wer die Systeme nicht kennt, kann sie nicht einstufen.

Die Pflichten treten gestaffelt bis 2027 in Kraft. Wer das Inventar erst aufbaut, wenn die nächste Stufe gilt, verliert die Vorlaufzeit für Risikoeinstufung und Dokumentation.

Was Sie bekommen

Die Bausteine für ein vollständiges KI-Inventar.

16 aktive EU-AI-Act-Kontrollen

4 Risikoklassen, automatisch zugeordnet

Annex IV technische Dokumentation, strukturiert geführt

Kern dieses Service

KI-Inventar mit Risikoeinstufung

Jedes eingesetzte KI-System wird erfasst und nach Art. 6 in Verbindung mit Annex III eingestuft und legt fest, welche Pflichten greifen.

GPAI-Register mit Systemrisiko-Flag

General-Purpose-AI-Modelle werden separat erfasst und mit einem Systemrisiko-Flag versehen, wenn sie die Schwellen nach Art. 51 erreichen.

KI-Vorfallregister

KI-Vorfälle werden strukturiert erfasst und bis zur zuständigen Meldebehörde nach Art. 73 nachverfolgt.

Konformitäts-Attestation

Für Hochrisiko-Systeme entsteht eine Attestation des Konformitätsstatus, mit Verantwortlichem und Zeitstempel.

Risikobewertung je System

Für Hochrisiko-Systeme führt ReportAct die Risikobewertung nach Art. 9 mit: Auswirkung, Minderungsmaßnahmen und Restrisiko je System, verknüpft mit dem Risikoregister. Eine wesentliche Änderung löst die Bewertung erneut aus.

Kontroll-Werkbank mit Nachweis-Checkliste

Aus der Risikoklasse leitet ReportAct die anwendbaren Pflichten ab und führt sie als Kontrollen mit Nachweis-Checkliste. Was das KI-Systemregister belegt, wird automatisch als Auszug versiegelt.

Versiegelte Nachweiskette

Jeder Nachweis wird gehasht, signiert und mit einem RFC-3161-Zeitstempel versehen. Für die Konformitätsbewertung nach Art. 43 zählt ein Beleg, dessen Stand sich nachträglich nicht verschieben lässt.

Außerdem in diesem Service enthalten

Dynamische Lieferantenrisikoanalyse

Der Anbieterbestand ist vom Start verfügbar und wächst laufend. Sanktionslisten, bekannte Schwachstellen, Eigentümerwechsel und geänderte Vertragsbedingungen werden fortlaufend analysiert. Ändert sich etwas, erfahren Sie es sofort, nicht erst beim nächsten Audit.