KI-Compliance für europäische Unternehmen: Von regulatorischen Anforderungen zu Lösungen von GFT

Das im Juni 2026 verabschiedete Gesetzespaket Digital Omnibus hat den Zeitplan für die Umsetzung der regulatorischen Anforderungen deutlich verändert und wichtige, ursprünglich kurz bevorstehende Fristen nach hinten verschoben: Eigenständige Hochrisiko-KI-Systeme müssen die Anforderungen nun bis zum 2. Dezember 2027 erfüllen. Für Hochrisiko-KI-Systeme, die in andere regulierte Produkte integriert sind, gilt eine Frist bis zum 2. August 2028*.

Diese Verlängerung bedeutet jedoch keinen Rückschritt bei der Umsetzung der regulatorischen Anforderungen. Im Gegenteil, sie bietet Unternehmen eine strategische Chance. Die im AI Act verankerten Best Practices für Governance, Aufsicht und Transparenz sind keine vorübergehenden Pflichten, sondern grundlegende Prinzipien des Risikomanagements, die unabhängig von regulatorischen Fristen relevant bleiben. Vorausschauende Unternehmen werden den Digital Omnibus daher nicht als Aufschub betrachten, sondern die zusätzliche Zeit nutzen, um eine stärkere und proaktivere Governance zu etablieren.

Zunächst ist wichtig zu verstehen, dass die Verordnung einen sehr breiten Anwendungsbereich hat und für unterschiedliche Akteure entlang der KI-Wertschöpfungskette gilt.

• Anbieter. Unternehmen, die ein KI-System oder KI-Modell entwickeln und unter ihrem eigenen Namen oder ihrer eigenen Marke auf den Markt bringen. Dazu zählen sowohl große Technologieunternehmen als auch Start-ups, die KI-Lösungen anbieten.
• Betreiber. Unternehmen, öffentliche Verwaltungen und Organisationen, die KI-Systeme im Rahmen ihrer beruflichen Tätigkeit einsetzen. Dabei spielt es keine Rolle, ob sie die KI selbst entwickelt oder von einem Drittanbieter bezogen haben: Die gesetzlichen Anforderungen müssen in beiden Fällen erfüllt werden.
• Importeure und Händler. Unternehmen, die außerhalb der EU entwickelte KI-Systeme auf dem europäischen Markt anbieten.

Ein entscheidender Punkt: Der europäische AI Act gilt auch über die Grenzen der EU hinaus. Er betrifft auch Unternehmen mit Sitz außerhalb der EU, wenn ihre KI-Systeme oder die von diesen Systemen erzeugten Ergebnisse innerhalb der Europäischen Union genutzt werden. Ausgenommen sind lediglich die rein private Nutzung sowie Systeme, die ausschließlich für wissenschaftliche Forschungs- und Entwicklungszwecke eingesetzt werden.

Was bedeutet das konkret? Ein Start-up aus Kalifornien, dessen Chatbot von europäischen Unternehmen genutzt wird, fällt beispielsweise ebenso unter den AI Act wie ein Cloud-Anbieter aus Japan, der Daten von Nutzern aus der EU verarbeitet.

Der regulatorische Rahmen basiert auf einem risikobasierten Ansatz, der KI-Systeme in vier Kategorien einteilt. Je höher das Risiko, desto strenger sind die jeweiligen Anforderungen.

1. Unannehmbares Risiko: vollständig verbotene Praktiken. Diese Systeme sind verboten, da sie eine eindeutige und nicht hinnehmbare Gefahr für die Rechte und die Würde von Menschen darstellen. Dazu gehören:

• Social-Scoring-Systeme, die Menschen anhand ihres sozialen Verhaltens bewerten oder klassifizieren;
• Techniken zur unterschwelligen Manipulation, die unbewusst wahrgenommene Reize nutzen, um das Verhalten von Menschen zu beeinflussen oder die Schutzbedürftigkeit bestimmter Personen auszunutzen;
• biometrische Echtzeit-Fernidentifizierung durch Strafverfolgungsbehörden im öffentlichen Raum, mit wenigen Ausnahmen bei schweren Straftaten;
• biometrische Kategorisierung anhand sensibler Merkmale, beispielsweise wenn KI Menschen nach ethnischer Herkunft, Religion oder sexueller Orientierung einordnet;
• Emotionserkennung am Arbeitsplatz oder in Bildungseinrichtungen.

2. Hohes Risiko. Hierzu zählen Systeme, die in kritischen Bereichen mit hoher gesellschaftlicher Tragweite eingesetzt werden, beispielsweise im Personalwesen bei der Personalauswahl oder bei Beförderungsentscheidungen, im Bildungswesen bei der Bewertung von Prüfungen oder der Entscheidung über den Zugang zu Bildungsangeboten sowie in kritischen Infrastrukturen, der Justiz und der Strafverfolgung. Diese Systeme sind nicht verboten, unterliegen jedoch umfassenden Governance-Anforderungen. Dazu gehören eine sorgfältige Prüfung vor dem Einsatz, ein kontinuierliches Risikomanagement, hochwertige und möglichst unverzerrte Trainingsdaten, eine detaillierte technische Dokumentation, eine verpflichtende menschliche Aufsicht, vollständige Nachvollziehbarkeit und angemessene Cybersicherheitsmaßnahmen. Ein KI-System, das beispielsweise bei Einstellungsentscheidungen unterstützt, gilt als Hochrisiko-System. Es muss strengen Kontrollen unterzogen werden, seine Entscheidungsfindung muss dokumentiert und das System regelmäßig auf mögliche Verzerrungen aufgrund von Geschlecht, ethnischer Herkunft oder anderen geschützten Merkmalen geprüft werden. Zudem muss stets eine Person die Ergebnisse überwachen und bei Bedarf eingreifen können.
3. Begrenztes Risiko. Diese Kategorie betrifft vor allem Systeme wie Chatbots, virtuelle Assistenten und GenAI-Modelle. Im Mittelpunkt stehen hier Transparenzanforderungen: Nutzer müssen eindeutig darüber informiert werden, dass sie mit einer Maschine interagieren oder dass Inhalte, die sie sehen oder hören, künstlich erzeugt wurden. Ein Chatbot, der mit Kunden einer Bank kommuniziert, muss beispielsweise klar darauf hinweisen, dass es sich nicht um einen menschlichen Ansprechpartner handelt. Ebenso muss ein Social-Media-Video, in dem ein CEO als „digitaler Avatar“ eine Geschäftsentscheidung erläutert, eindeutig als künstlich erzeugter Inhalt gekennzeichnet sein.
4. Minimales oder kein Risiko. In diese Kategorie fallen die meisten heute eingesetzten Systeme, darunter Spamfilter, generative Text-KI und einfache Empfehlungssysteme. Für ihre Nutzung gelten keine spezifischen regulatorischen Verpflichtungen. Die freiwillige Orientierung an ethischen Verhaltenskodizes wird jedoch empfohlen.

Welche Maßnahmen Unternehmen ergreifen müssen, hängt von ihrer jeweiligen Rolle in der Wertschöpfungskette ab.

• Anbieter müssen zertifizierbare Qualitätsmanagementsysteme einführen, eine detaillierte technische Dokumentation erstellen und aktuell halten, die CE-Konformität sicherstellen und Hochrisiko-KI-Systeme in einer europäischen Datenbank registrieren, die von den zuständigen nationalen Behörden verwaltet wird.
• Betreiber, also Unternehmen und Organisationen, die KI-Systeme erwerben und einsetzen, müssen diese strikt gemäß den Anweisungen des Anbieters nutzen, eine wirksame menschliche Aufsicht gewährleisten, den Betrieb überwachen und Auffälligkeiten melden sowie Protokolle über die Nutzung führen und Beschäftigte vorab informieren. Für öffentliche Einrichtungen und private Anbieter wesentlicher Dienstleistungen, etwa öffentliche Dienste, Banken oder das Gesundheitswesen, ist zudem eine Grundrechte-Folgenabschätzung („Fundamental Rights Impact Assessment“) verpflichtend. Darin wird dokumentiert, wie sich das System auf Grundrechte wie Privatsphäre, Nichtdiskriminierung oder Zugangsrechte auswirken könnte.
• Schulung und KI-Kompetenz. Alle betroffenen Organisationen müssen Schulungsmaßnahmen durchführen, um eine AI Culture bei ihren Mitarbeitenden zu fördern. Auch hierbei handelt es sich nicht nur um eine Empfehlung, sondern um eine konkrete Verpflichtung. Entwickler und Anwender müssen in der Lage sein, die Grenzen, Verzerrungen und Risiken der von ihnen eingesetzten Technologie zu erkennen.

Unternehmen stehen damit heute vor einer zentralen Herausforderung: Sie müssen sich einen Überblick über ihre eingesetzten KI-Systeme verschaffen, deren Risikoprofil gemäß dem EU AI Act bewerten und die erforderlichen Kontroll- und Governance-Mechanismen etablieren, ohne dabei ihre Innovationsfähigkeit oder die Funktionsfähigkeit ihrer Prozesse und Services einzuschränken.

AI Governance darf daher keine einmalige Compliance-Maßnahme sein. Sie muss als dynamisches, operatives System verstanden werden, das kontinuierlich greift und fest in die Entscheidungsprozesse des Unternehmens integriert ist.

Auf diesem Prinzip basiert das von GFT entwickelte GOS (Governance Operating System), ein durchgängiges, automatisiertes Framework, das über die Grenzen manueller Prozesse und statischer Checklisten hinausgeht.

GOS umfasst drei zentrale Komponenten:

1. das Governance Operating Model (GOM), das Strategien, Rollen und Verantwortlichkeiten definiert;
2. das Impact-to-Risk-to-Policy (IRP) Framework, das Risiken gemäß ISO 42001 und dem EU AI Act abbildet, Anwendungsfälle automatisiert analysiert, ihre Auswirkungen bewertet und Maßnahmen zur Risikominderung in maschinenlesbare Regeln übersetzt;
3. die Governance Operating Platform (GOP), die diese Regeln in Echtzeit auf die Systeme im Unternehmen anwendet, kontrolliert und überwacht.

Die modulare Lösung von GFT ermöglicht es Unternehmen:

• die Risikostufe gemäß AI Act zu bestimmen und die jeweils relevanten Artikel zu identifizieren;
• KI-Agenten im Produktivbetrieb zu implementieren und zu kontrollieren;
• Geschäftsregeln zur Laufzeit in konkrete Freigabe- oder Sperrentscheidungen zu übersetzen;
• Monitoring und Alerting zu integrieren sowie die vom AI Act geforderte technische Dokumentation automatisiert zu erstellen oder zu validieren.

Die Ergebnisse sind messbar: Auf Basis konkreter Use Cases und realer Anwendungsszenarien schätzen wir, dass sich der Zeitaufwand für die Governance eines einzelnen Use Cases um 42 Prozent reduzieren lässt. Gleichzeitig entsteht eine Infrastruktur, die jederzeit auditfähig ist, und Silos zwischen technischen Teams, Legal, Compliance und Fachbereichen werden aufgebrochen. Vor allem aber greifen Compliance-Kontrollen genau in dem Moment, in dem KI mit Daten interagiert und Entscheidungen beeinflusst. So entsteht Governance by Design, die wirksamer ist als eine nachträgliche Überprüfung.

Redaktioneller Hinweis: Mit Spagna sollte noch geklärt werden, welche Komponenten konkrete Softwaremodule darstellen und welche den zugrunde liegenden methodischen Ansatz bilden. Diese Unterscheidung sollte im finalen Text eindeutig dargestellt werden.

Als Teil der Governance Operating Platform (GOP) hat GFT zwei spezialisierte agentenbasierte Lösungen entwickelt, die zwei besonders kritische und zeitaufwendige dokumentenbasierte Compliance-Prozesse automatisieren: die technische Prüfung von KI-Dokumentationen und die Analyse von Lieferantenverträgen.

• Smart Compliance ist ein Tool, das Unternehmensdokumente automatisiert anhand von Checklisten sowie technischen und regulatorischen Anforderungen prüft. Da die Erstellung und Pflege der technischen Dokumentation zu den zentralen Anforderungen des EU AI Act gehört, nutzt Smart Compliance eine Best-Practice-Checkliste, um vor dem Einsatz eines KI-Systems zu überprüfen, ob dessen technische Dokumentation (AI Technical Dossier) vollständig, qualitativ hochwertig und regelkonform ist. So wird aus einem manuellen und fehleranfälligen Prozess eine strukturierte und wiederholbare Prüfung.
• Contract Intelligence ist ein auf Agentic AI basierendes Framework, das die Compliance-Prüfung von Verträgen automatisiert und dabei Anforderungen aus dem AI Act und der DORA-Verordnung berücksichtigt. Es umfasst drei zentrale Funktionen: Assessment and Governance für die automatisierte Vertragsanalyse und Bewertung regulatorischer Risiken, Remediation mit einem Dashboard, das konkrete Maßnahmen und Richtlinien zur Behebung identifizierter Compliance-Lücken vorschlägt, sowie Explainability, die transparent nachvollziehbar macht, wie die jeweiligen Ergebnisse zustande kommen. Ein Proof of Concept im Bankensektor zeigte eine bis zu viermal höhere operative Produktivität, Einsparungen von rund 1.200 Arbeitsstunden pro Jahr und eine um 50 Prozent kürzere Bearbeitungszeit bei der Vertragsprüfung.

Regulatorische Compliance beginnt daher mit Transparenz über den Status quo. In vielen Unternehmen sind bereits KI-Systeme produktiv im Einsatz, ohne dass Klarheit darüber besteht, welches Risikoprofil sie haben, wo mögliche Lücken liegen und welche Schritte notwendig sind, um KI strategisch und sicher weiterzuentwickeln.

GFT Italien hat ein eigenes methodisches Framework entwickelt, mit dem sich der Reifegrad der AI Governance eines Unternehmens bestimmen und bewerten lässt. Dabei werden sechs zentrale Bereiche gemeinsam betrachtet:

1. Prozesse und Aufsicht: Qualität der übergreifenden Governance-Prozesse, Freigabemechanismen und Automatisierung;
2. Transparenz und Ethik: Erklärbarkeit von KI-Systemen, ethische Rahmenbedingungen und Reproduzierbarkeit von Ergebnissen;
3. Einführung und Auswirkungen: Transparenz und Monitoring der tatsächlichen Auswirkungen der eingesetzten Systeme;
4. Nachvollziehbarkeit: Qualität der fachlichen und technischen Nachvollziehbarkeit;
5. Compliance: Überprüfung zentraler Voraussetzungen für die Einhaltung regulatorischer Anforderungen wie AI Act, DSGVO und DORA sowie internationaler Standards wie ISO 42001. Ziel ist eine strukturierte und an regulatorischen Anforderungen ausgerichtete Governance;
6. Training und Change Management: Qualität der Schulungsmaßnahmen und Reifegrad der menschlichen Aufsicht.

Dieses Framework ist kein rein theoretischer Ansatz, sondern bildet eine strategische Grundlage für AI Governance Officer und Unternehmensführung. Auf dieser Basis lässt sich eine realistische, schrittweise Roadmap entwickeln, um den Reifegrad der AI Governance zu erhöhen und eine umfassende Compliance zu erreichen.

Gesetzliche Vorgaben bleiben dabei ein wichtiger Orientierungspunkt, reichen angesichts der aktuellen technologischen Herausforderungen jedoch möglicherweise nicht aus. Umso wichtiger ist ein Ansatz, der über die Erfüllung regulatorischer Mindestanforderungen hinausgeht und mögliche Lücken durch robuste interne Governance-Praktiken adressiert.

In einem bereits komplexen und teilweise noch unvollständigen regulatorischen Umfeld ist es für Unternehmen entscheidend, ihren Ausgangspunkt genau zu kennen. So können sie ihre AI Governance gezielt weiterentwickeln, sich auf künftige regulatorische Änderungen vorbereiten und gleichzeitig Sicherheit und Geschäftskontinuität gewährleisten.

*Fristen mit Stand vom 20. Juli 2026