EU AI Act Readiness
Unsere Architektur adressiert die zentralen Anforderungen des EU AI Act als Designprinzip. Das ist eine Architekturaussage, kein Konformitätszertifikat.
Auswahl aus über 5.000 Projekten in 25 Jahren Softwareentwicklung
EU AI Act - Relevanz für Enterprise AI-Agenten
Der EU AI Act (Verordnung (EU) 2024/1689) reguliert KI-Systeme in der Europäischen Union. Für Enterprise AI-Agenten die automatisierte oder teilautomatisierte Entscheidungen in geschäftskritischen Prozessen treffen, sind insbesondere vier Bereiche relevant.
Die Gosign-Architektur adressiert diese Bereiche als Designprinzip - nicht als nachträglichen Compliance-Layer.
Fünf architektonische Antworten
Art. 13 - Transparenz
Anforderung: Hochrisiko-KI-Systeme müssen so konzipiert sein, dass ihr Betrieb hinreichend transparent ist.
Architektonische Umsetzung: Der Decision Layer dokumentiert jeden Entscheidungspfad vollständig: Input, Modell und Version, fachliche Bewertung, Confidence, angewandtes Regelwerk und Version, resultierendes Ergebnis. Der Audit Trail macht diese Information für Nutzer, Prüfer und Betriebsräte zugänglich.
Art. 14 - Menschliche Aufsicht
Anforderung: Hochrisiko-KI-Systeme müssen so konzipiert sein, dass sie von natürlichen Personen wirksam beaufsichtigt werden können.
Architektonische Umsetzung: Human-in-the-Loop ist ein architektonisch erzwungenes Routing. Bei Bias-Risiko, Diskriminierungspotenzial, Mitbestimmungsthemen oder niedriger Confidence wird automatisch ein Mensch eingebunden. Dieses Routing kann nicht durch Konfigurationsänderung umgangen werden.
Art. 12 - Aufzeichnungspflichten
Anforderung: Hochrisiko-KI-Systeme müssen so konzipiert sein, dass sie automatisch Protokolle generieren.
Architektonische Umsetzung: Der Audit Trail erfasst für jede Agenten-Entscheidung: Zeitstempel (UTC), Input-Hash, Modellversion, Regelversion, Confidence Score, Entscheidungspfad, Ergebnis. Unveränderlich, exportierbar (JSON, CSV, PDF), maschinenlesbar, vollständig.
Art. 9 - Risikomanagement
Anforderung: Für Hochrisiko-KI-Systeme muss ein Risikomanagementsystem eingerichtet werden.
Architektonische Umsetzung: Der Governance Layer implementiert: Bias-Monitoring (statistische Überwachung auf systematische Verzerrungen), Confidence-Tracking (Überwachung der Confidence-Scores über Zeit), Anomalie-Erkennung (Erkennung abweichender Entscheidungsmuster), Cert-Ready Controls (Controls als Datenobjekte mit automatischer Evidence-Generierung).
Art. 86 - Recht auf Erläuterung der Einzelentscheidung
Anforderung: Betroffene Personen haben gegenüber dem Betreiber Anspruch auf eine klare und aussagekräftige Erläuterung der Rolle des KI-Systems im Entscheidungsprozess und der wichtigsten Elemente der getroffenen Entscheidung - pro Einzelfall, nicht pro System.
Architektonische Umsetzung: Jede Mikroentscheidung erzeugt einen Entscheidungsakt: Input, angewandte Fachregel samt Version und Quelle, Konfidenz, Modellversion, Ergebnis, Anfechtungspfad. Die Art.-86-Anfrage eines Betroffenen wird damit zur Abfrage statt zum Forensik-Projekt. Der Entscheidungsakt im Detail →
Was ab wann gilt
Der EU AI Act tritt gestaffelt in Kraft. Die Verordnung (EU) 2026/1744 (Digital-Omnibus-Paket, im Amtsblatt am 24. Juli 2026, in Kraft seit dem 27. Juli 2026) hat den Stichtag für Hochrisiko-Systeme nach Anhang III vom 2. August 2026 auf den 2. Dezember 2027 verschoben. Die Einstufung selbst bleibt unverändert - verschoben ist die Frist, nicht die Pflicht.
| Pflicht | Gilt ab | Was sie verlangt |
|---|---|---|
| Verbote + KI-Kompetenz (Art. 4, Art. 5) | 2. Februar 2025 | Social Scoring und Manipulation verboten; Maßnahmen zur Förderung der KI-Kompetenz im eigenen Haus |
| GPAI-Pflichten | 2. August 2025 | Transparenz, Kennzeichnung, technische Dokumentation - trifft die Modell-Anbieter |
| Transparenzpflichten (Art. 50) | 2. August 2026 - gilt heute | Wer mit einem KI-System interagiert, muss es erfahren; KI-erzeugte Inhalte sind zu kennzeichnen |
| Hochrisiko (Anhang III) | 2. Dezember 2027 | Risikomanagement, Daten-Governance, Protokollierung, menschliche Aufsicht |
| Produktintegrierte KI (Anhang I) | 2. August 2028 | Branchenspezifische Regeln, CE-Kennzeichnung |
Die Sanktionsstufen unterscheiden sich deutlich: Verstöße gegen die verbotenen Praktiken nach Art. 5 ahndet Art. 99 Abs. 3 mit bis zu 35 Mio Euro oder 7 Prozent des weltweiten Jahresumsatzes. Für alle übrigen Pflichten - einschließlich der Hochrisiko- und Betreiberpflichten - gilt Art. 99 Abs. 4 mit bis zu 15 Mio Euro oder 3 Prozent.
Was den Betreiber trifft, nicht den Anbieter
Die Pflichten oben richten sich überwiegend an den Anbieter eines KI-Systems. Wer ein System einkauft und einsetzt, ist Betreiber - und trägt eigene Pflichten nach Art. 26: Nutzung nach der Gebrauchsanweisung, Zuweisung der menschlichen Aufsicht an Personen mit der nötigen Kompetenz, Verantwortung für die Eingabedaten, Aufbewahrung der Protokolle. Zwei davon werden regelmäßig übersehen: Art. 26 Abs. 7 verlangt, die Arbeitnehmervertretung vor der Inbetriebnahme eines Hochrisiko-Systems am Arbeitsplatz zu unterrichten - das trifft mit der Mitbestimmung nach BetrVG zusammen. Und Art. 26 Abs. 11 verpflichtet, betroffene Personen darüber zu informieren, dass ein Hochrisiko-System auf sie angewendet wird.
Ob ein System überhaupt als Hochrisiko gilt, entscheidet Art. 6 in Verbindung mit Anhang III. Art. 6 Abs. 3 kennt eine Ausnahme für Systeme, die nur eine eng umgrenzte Verfahrensaufgabe erfüllen oder menschliche Tätigkeit lediglich vorbereiten - wer sich darauf beruft, muss die Einschätzung nach Art. 6 Abs. 4 dokumentieren und das System vor der Inbetriebnahme registrieren. Die Ausnahme ist also keine Abkürzung, sondern eine eigene Nachweispflicht.
Risikoklassifizierung
Die Einstufung eines AI-Systems in eine Risikoklasse des EU AI Act hängt vom konkreten Einsatzzweck ab:
Potenziell Hochrisiko (je nach Kontext): AI-Agenten die Personalentscheidungen vorbereiten oder beeinflussen, die in der Kreditwürdigkeitsprüfung eingesetzt werden oder die Zugang zu wesentlichen Dienstleistungen beeinflussen.
Nicht Hochrisiko (typischerweise): Document Agents die Dokumente klassifizieren ohne Personalentscheidungen zu treffen, Knowledge Agents die Informationen bereitstellen ohne Entscheidungen zu treffen.
Die Gosign-Architektur ist auf die strengsten Anforderungen ausgelegt. Wenn ein Agent in einem Hochrisiko-Kontext eingesetzt wird, sind die architektonischen Voraussetzungen bereits vorhanden.
Abgrenzung
Diese Seite beschreibt architektonische Maßnahmen, nicht rechtliche Konformität. Die tatsächliche EU AI Act Compliance hängt vom konkreten Einsatzkontext, der Risikoklassifizierung und der rechtlichen Bewertung im Einzelfall ab.
Gosign liefert die technische Architektur die die Anforderungen des EU AI Act adressiert. Die rechtliche Bewertung und die formale Konformitätserklärung obliegen dem Betreiber und seinen Rechtsberatern.
Zusammenfassung
- Transparenz durch vollständige Entscheidungsdokumentation im Decision Layer
- Menschliche Aufsicht durch architektonisch erzwungenes Human-in-the-Loop-Routing
- Aufzeichnungspflichten durch unveränderlichen, exportierbaren Audit Trail
- Risikomanagement durch Bias-Monitoring, Confidence-Tracking und Cert-Ready Controls
- Erläuterung der Einzelentscheidung (Art. 86) durch den Entscheidungsakt pro Mikroentscheidung
Das ist eine Architekturaussage, kein Konformitätszertifikat.
Vertiefung im Agent Briefing
Unsere Fachartikel-Serie für Entscheider, die AI Agents im Unternehmen einführen.
Häufige Fragen zum EU AI Act
Fallen die Gosign AI-Agenten unter den EU AI Act?
Welche Risikoklasse haben die Agenten?
Was ist der Unterschied zwischen EU AI Act Compliance und EU AI Act Readiness?
Sprechen Sie mit uns über EU AI Act Readiness.
Compliant by Design. Nicht nachträglich. Nicht optional. Architektonisch.
Gespräch vereinbaren