KI-Compliance für DACH-Unternehmen. Strukturiert, nachweisbar, prüffähig.

KI-Compliance bezeichnet die Einhaltung aller rechtlichen und regulatorischen Anforderungen, die für die Entwicklung, das Inverkehrbringen und den Einsatz von KI-Systemen gelten. In Europa ist die zentrale Regel die EU-KI-Verordnung (Verordnung 2024/1689), ergänzt um DSGVO (bei personenbezogenen Daten), NIS2 (bei kritischer Infrastruktur), DORA (Finanzdienstleister), Branchenrecht (Medizinprodukteverordnung, Maschinenverordnung) und nationales Recht. KI-Compliance ist kein Einzelprojekt, sondern ein laufender Management-Prozess — typischerweise auf Basis eines AI Management System (AIMS) wie ISO 42001.

Für DACH-Unternehmen typischerweise: (1) EU-KI-Verordnung — risikobasierte Pflichten für alle KI-Systeme. (2) DSGVO — bei personenbezogenen Daten in Training oder Inference, einschließlich Art. 22 zu automatisierten Entscheidungen. (3) NIS2 — für KI in kritischer Infrastruktur (Energie, Wasser, Verkehr, digitale Infrastruktur). (4) DORA — für Finanzinstitute (Banken, Versicherungen, Kapitalmarkt), KI fällt unter ICT-Risikomanagement und Drittparteien. (5) Branchenrecht — MDR für Medizinprodukte, MaschV für Maschinen, AÜG für KI im Recruiting. (6) Nationale Regeln — in Deutschland TTDSG, GeschGehG, Urheberrecht (Text-and-Data-Mining). (7) Internationale Regeln — UK AI Bill, Colorado AI Act, NYC Local Law 144.

Beim KI-Inventar. Ohne vollständige Übersicht aller eingesetzten KI-Systeme (interne Tools, Drittanbieter-APIs wie OpenAI/Anthropic/Azure OpenAI, embedded AI in SaaS-Produkten, Shadow AI durch Mitarbeitende) ist keine Klassifizierung und keine Risikobewertung möglich. Erst danach: Klassifizierung pro System (verboten/Hochrisiko/Transparenz/minimal), Pflichten-Mapping pro Rolle (Anbieter/Betreiber/Einführer), Risiko- und Folgenabschätzung, Dokumentation, technische Implementierung (Watermarking, Logging, Aufsicht), Schulung (KI-Kompetenz nach Art. 4), Audit-Vorbereitung.

Pflicht nur für Hochrisiko-KI-Anbieter (Art. 17 KI-Verordnung verlangt ein Qualitätsmanagementsystem). Sinnvoll aber für alle: ein AIMS strukturiert die laufenden KI-Compliance-Aktivitäten. Die etablierte Norm ist ISO/IEC 42001:2023. Sie folgt der gleichen Struktur wie ISO 27001 und lässt sich als integriertes Management-System mit existierenden ISMS betreiben. Vorteile: nachweisbare Governance-Reife, RFP-Tauglichkeit (EU-Käufer fragen ISO 42001 zunehmend ab), Audit-Bereitschaft, klare Grundlage für AI-Act-Konformitätsbewertung sobald harmonisierte Normen ratifiziert sind.

Art. 99 KI-Verordnung staffelt Bußgelder: Verbotene Praktiken nach Art. 5 — bis zu 35 Mio. € oder 7 % weltweiter Jahresumsatz. Verstöße gegen Hochrisiko-Pflichten — bis zu 15 Mio. € oder 3 %. Falsche/irreführende Informationen an Behörden — bis zu 7,5 Mio. € oder 1,5 %. GPAI-Anbieter haften gesondert nach Art. 101 (bis 15 Mio. €/3 %). Zusätzliche Risiken: DSGVO-Bußgelder bei personenbezogener Datenverarbeitung (bis 20 Mio. €/4 %), Schadenersatz nach AI-Liability-Directive (in Vorbereitung), Reputationsrisiko bei medienwirksamen Vorfällen.

Foundation Models sind GPAI-Modelle und unterliegen Art. 51-56 der KI-Verordnung. Der primäre Adressat ist der Modellanbieter (OpenAI, Anthropic etc.), nicht der Betreiber. Aber: Wenn Sie ein Foundation Model in Ihrer Anwendung einsetzen, sind Sie häufig der Anbieter dieser nachgelagerten KI-Anwendung — und tragen die Anbieter-Pflichten der KI-Verordnung für Ihre Anwendung. Wichtig: Sicherstellen, dass der Foundation-Model-Anbieter seine GPAI-Pflichten erfüllt (Modellkarte, Trainingsdaten-Zusammenfassung, Copyright-Richtlinie). Bei systemischem Risiko-GPAI (über 10^25 FLOPs) zusätzliche Sorgfaltspflichten beim Betreiber.

Realistisch 6-12 Monate für ein mittelständisches Unternehmen mit moderater KI-Nutzung (5-20 KI-Systeme im Einsatz). Aufschlüsselung: KI-Inventar + Klassifizierung 4-8 Wochen, Risiko- und Folgenabschätzung 4-6 Wochen, technische Dokumentation 6-10 Wochen, Implementierung von Aufsicht/Logging/Watermarking 8-12 Wochen, Schulung 4 Wochen, Audit-Vorbereitung 4-6 Wochen. Mit Matproof typischerweise 3-5 Monate, da Inventar/Klassifizierung/Dokumentation automatisiert sind.