EU AI Act Controls Trial
Überblick
EU AI Act Controls übersetzen Pflichten für High-Risk-AI, GPAI-Provider und Deployer in technische und organisatorische Maßnahmen. Dokumentation, Risk Management, Data Governance und Human Oversight betreffen Produkt- und MLOps-Roadmaps (EU AI Act).
Trial durch Mapping von Artikeln auf Control Matrices im Systems Register, nicht als einmaliges Legal-PDF. Legal, DSB und Engineering sollten gemeinsam eingebunden werden.
Adoptionssignale
- Der Digital Omnibus on AI wurde am 7. Mai 2026 politisch geeinigt, am 16. Juni 2026 vom Parlament angenommen und am 29. Juni 2026 vom Rat verabschiedet; er verschiebt die Pflichten für eigenständige High-Risk-Systeme auf den 2. Dezember 2027 und für eingebettete Systeme auf den 2. August 2028 (European Parliament Legislative Train).
- Die Zeitleiste der Kommission nennt Verbote seit Februar 2025, GPAI-Pflichten seit dem 2. August 2025 und Transparenzpflichten ab August 2026, flankiert vom AI Act Service Desk und veröffentlichten Leitlinien (European Commission).
- Der GPAI Code of Practice (10. Juli 2025) umfasst Kapitel zu Transparenz, Urheberrecht und Sicherheit und ist unter anderem von Amazon, Anthropic, Google, IBM, Microsoft, Mistral AI, OpenAI und Aleph Alpha unterzeichnet (European Commission).
- EN 18286:2026 zu Qualitätsmanagementsystemen für Zwecke des AI Act wurde am 12. Juli 2026 als erste JTC-21-Norm angenommen; Normen zu Risikomanagement, Datensatz-Governance, Cybersecurity und Vertrauenswürdigkeit sind noch Entwürfe (Modulos).
- Tools bilden Nachweise auf den AI Act ab: garak v0.17.0 (September 2026) ergänzte ein EU-AI-Act-Mapping für Scan-Ergebnisse (garak release), und Infosys automatisiert die Risikoeinstufung nach AI Act und ISO 42001 in watsonx.governance (IBM case study).
Risiken
- Bewegliche Fristen. Der Omnibus änderte Zeitplan und einzelne Pflichten, nachdem Teile des Gesetzes bereits galten; für die Kennzeichnung KI-generierter Inhalte nach Artikel 50 gilt eine Übergangsfrist bis 2. Dezember 2026 nur für Systeme, die vor dem 2. August 2026 in Verkehr gebracht wurden (Sidley).
- Noch keine Konformitätsvermutung. Bis harmonisierte Normen im Amtsblatt zitiert sind, beruhen Controls auf der Auslegung des Gesetzestexts, und Prüfer können sie unterschiedlich bewerten (Modulos).
- Fehleinstufung. Wird ein Use Case aus Anhang III (etwa in HR oder Kreditvergabe) fälschlich ausgenommen oder übersehen, dass Fine-Tuning oder Umbenennung einen Betreiber zum Anbieter machen kann, fehlen Pflichten.
- Papier-Compliance. Control Matrices ohne Verbindung zu Systems Register, CI-Nachweisen und Monitoring veralten und scheitern beim ersten Audit.
Vorteile & Nachteile
Vorteile
- Mehrere Pflichten gelten bereits (verbotene Praktiken seit Februar 2025, GPAI-Pflichten seit August 2025, Transparenz nach Artikel 50 seit August 2026); eine Control Matrix macht aus rechtlichem Risiko konkrete, prüfbare Engineering-Arbeit.
- Der Digital Omnibus hat die Pflichten für eigenständige High-Risk-Systeme auf den 2. Dezember 2027 und für in Produkte eingebettete Systeme auf den 2. August 2028 verschoben. Damit bleibt Zeit, Controls in MLOps-Pipelines einzubauen, statt sie nachzurüsten.
- Referenzmaterial kommt an: der GPAI Code of Practice (Juli 2025) mit 21 Unterzeichnern, die erste harmonisierte Norm EN 18286 zum Qualitätsmanagement (angenommen im Juli 2026) und Tools wie das EU-AI-Act-Mapping in garak.
Nachteile
- Die meisten harmonisierten Normen (Risikomanagement, Data Governance, Cybersecurity, Logging und Human Oversight) sind noch Entwürfe, und EN 18286 ist noch nicht im Amtsblatt zitiert; kein Control-Set begründet derzeit eine Konformitätsvermutung.
- Die Regeln haben sich innerhalb eines Jahres nach Geltungsbeginn geändert: Der Omnibus verschob Fristen, schwächte die KI-Kompetenzpflicht nach Artikel 4 ab und ergänzte ein neues Verbot. Control Matrices brauchen daher Versionierung und regelmäßige juristische Prüfung.
- Die Einstufung bestimmt alles: Ein fälschlich aus Anhang III ausgenommener Use Case oder ein Betreiber, der durch Änderungen an einem System zum Anbieter wird, führt zu falsch zugeordneten Pflichten.
Empfehlung
EU AI Act Controls sollten jetzt im Trial aufgebaut werden, statt auf die High-Risk-Frist 2027 zu warten. Am Anfang stehen ein Inventar der eingesetzten KI-Systeme und GPAI-Modelle, die Einstufung jedes Systems gegen die Verbote, Anhang III und Artikel 50 sowie die dokumentierte Rolle (Anbieter, Betreiber, Einführer) pro System. Darauf baut eine Control Matrix auf, die jede Pflicht mit einer verantwortlichen Person, einem technischen Control und automatisch erzeugten Nachweisen verknüpft (Model Cards, Eval- und Red-Teaming-Ergebnisse, Logs, Verfahren zur menschlichen Aufsicht).
Bestehende Managementsysteme lassen sich weitgehend wiederverwenden: ISO/IEC 42001, ISO 27001 und DSGVO-Prozesse decken einen großen Teil der Dokumentations- und Risikomanagementarbeit ab, und EN 18286 liefert eine Vorlage für das Qualitätsmanagementsystem, das High-Risk-Anbieter benötigen. Die Matrix gehört unter Versionskontrolle und sollte mindestens quartalsweise gegen Leitlinien der Kommission und zitierte Normen geprüft werden. Unternehmen, die GPAI-Modelle nur über Anbieter nutzen, konzentrieren sich auf Betreiberpflichten, Transparenz nach Artikel 50 und Verträge, die die Dokumentation des Anbieters weiterreichen.
Quellen
Beratung
Vom Radar zur Umsetzung
Du hast Technologien bewertet — wir helfen dir, sie sicher und messbar in produktive Systeme zu bringen.
