KI-Compliance umsetzen: von der Policy auf Papier zur Durchsetzung im Live-Betrieb

Der EU AI Act ist seit August 2024 in Kraft. Ab dem 2. August 2026 wird er aktiv durchgesetzt, inklusive Untersuchungsbefugnissen und Bußgeldern. Viele Unternehmen haben darauf mit Dokumenten reagiert: einer KI-Richtlinie, einem Verhaltenskodex, einer Schulung. Doch KI-Compliance entsteht nicht auf Papier, sondern im Live-Betrieb. Dieser Beitrag zeigt, wie aus einer Policy durchsetzbare und nachweisbare Kontrolle wird.

Das Wichtigste in Kürze

• KI-Compliance heißt: regulatorische und interne Vorgaben für KI-Systeme nicht nur formulieren, sondern im laufenden Betrieb durchsetzen und belegen können.
• Ab dem 2. August 2026 kann das EU AI Office Verstöße untersuchen und Bußgelder verhängen; Transparenzpflichten für Chatbots und KI-generierte Inhalte greifen ebenfalls. Die Hochrisiko-Pflichten nach Anhang III wurden auf Dezember 2027 verschoben.
• Papier allein schützt nicht: 63 Prozent der Unternehmen mit Datenpanne hatten laut IBM (2025) keine KI-Governance-Richtlinie. Und wo Regeln existieren, verbergen 57 Prozent der Beschäftigten ihre Nutzung trotzdem (KPMG, 2025).
• Durchsetzung im Live-Betrieb heißt: Kontrollpunkte im Systempfad, also Zugriffskontrolle, Datenfilter und Protokollierung, statt Appelle in Schulungsfolien.
• Der Audit-Trail entsteht dabei als Nebenprodukt. Wer zur Laufzeit kontrolliert, hat den Nachweis schon.

Was ab August 2026 konkret gilt

Die nächste Stufe des EU AI Act macht aus Pflichten erstmals durchsetzbares Recht: Ab dem 2. August 2026 kann das EU AI Office Untersuchungen einleiten, Compliance-Dokumentation anfordern und Bußgelder verhängen. Der Zeitplan im Überblick:

• Seit Februar 2025: Verbote bestimmter KI-Praktiken und die Pflicht, für ausreichende KI-Kompetenz der Beschäftigten zu sorgen (Artikel 4).
• Ab 2. August 2026: aktive Durchsetzung mit Sanktionen, unter anderem gegenüber Anbietern von General-Purpose-AI-Modellen. Dazu kommen Transparenzpflichten: Wer Chatbots mit Kundenkontakt einsetzt, muss das offenlegen, und KI-generierte Inhalte sind zu kennzeichnen.
• Verschoben: die Pflichten für Hochrisiko-Systeme nach Anhang III auf den 2. Dezember 2027, für KI in regulierten Produkten nach Anhang I auf den 2. August 2028 (Digital-Omnibus-Paket, im Juni 2026 formal verabschiedet).

Wichtig für die Einordnung: Auch wer KI nur einsetzt, statt sie zu entwickeln, trägt als Betreiber eigene Pflichten, etwa bei der Transparenz gegenüber Kunden und der Kontrolle des Einsatzbereichs. Die Bußgeldrahmen reichen je nach Verstoß bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes.

Warum Policies auf Papier in der Praxis scheitern

Eine Richtlinie, die nur als Dokument existiert, ändert das Verhalten von Systemen gar nicht und das von Menschen nur begrenzt. Die Zahlen sind eindeutig: Laut IBM Cost of a Data Breach Report 2025 hatten 63 Prozent der von einer Datenpanne betroffenen Unternehmen keine KI-Governance-Richtlinie, und nur 37 Prozent verfügten über einen Freigabeprozess für KI-Einsätze.

Doch auch vorhandene Regeln laufen ins Leere, wenn niemand sie prüft: In der weltweiten KPMG-Studie (2025) geben 57 Prozent der Beschäftigten an, ihre KI-Nutzung zu verbergen und Ergebnisse als eigene Arbeit auszugeben. Eine Policy ohne Kontrolle erzeugt so vor allem eines, nämlich das falsche Gefühl, das Thema sei erledigt. Wie groß diese Lücke typischerweise ist, zeigt unser Beitrag zu Schatten-KI im Unternehmen.

Was Durchsetzung im Live-Betrieb bedeutet

Durchsetzung im Live-Betrieb heißt: Die Regel wird an der Stelle geprüft, an der die Handlung tatsächlich passiert, also bei jeder Anfrage, jedem Datenzugriff und jeder Agenten-Aktion. Statt darauf zu hoffen, dass sich alle an die Richtlinie erinnern, wird sie in technische Kontrollpunkte übersetzt, die im Systempfad liegen:

• Aus „keine Kundendaten an externe Modelle" wird ein Datenfilter, der personenbezogene Daten erkennt und maskiert, bevor die Anfrage das Haus verlässt.
• Aus „nur freigegebene Modelle verwenden" wird ein zentrales Routing, das andere Modelle technisch nicht zulässt.
• Aus „Kosten im Rahmen halten" werden Budgets und Raten-Limits pro Team oder Anwendung.
• Aus „Nutzung muss nachvollziehbar sein" wird die Protokollierung jedes Aufrufs mit Identität, Zeitpunkt und Ergebnis.

Der natürliche Ort für diese Kontrollpunkte ist eine zentrale Vermittlungsschicht, durch die der gesamte KI-Verkehr läuft. Wie eine solche Schicht arbeitet und wann sie sich lohnt, beschreibt unser Artikel zum AI Gateway als Policy Enforcement Point.

Der Nachweis entsteht als Nebenprodukt

Wer zur Laufzeit kontrolliert, dokumentiert automatisch. Jeder geprüfte Aufruf hinterlässt einen Eintrag: welche Anwendung wann welches Modell mit welcher Freigabe genutzt hat, welche Filter griffen, was blockiert wurde. Genau diese Betriebsnachweise will eine Aufsichtsbehörde oder ein Auditor sehen.

In der Papier-Compliance ist jeder Nachweis ein eigenes Projekt aus Interviews, Screenshots und nachträglicher Rekonstruktion. In der Laufzeit-Compliance ist der Nachweis ein Abfrageergebnis. Wer zusätzlich ein KI-Managementsystem aufbauen will, findet in ISO/IEC 42001 den international anerkannten Rahmen. Die Laufzeit-Kontrollen liefern genau die Betriebsbelege, die ein solches System fordert.

KI-Compliance in vier Schritten umsetzen

Der Weg von der Policy zur Durchsetzung folgt einer klaren Reihenfolge:

1. Inventur: Alle KI-Anwendungen erfassen, auch die inoffiziellen und die, die in eingekaufter Software mitlaufen.
2. Klassifizierung: Jeden Einsatz nach den Risikokategorien des AI Act und nach eigener Datenkritikalität einordnen und priorisieren.
3. Kontrollpunkte: Die Vorgaben je Klasse in technische Regeln übersetzen und an einer zentralen Stelle im Systempfad verankern: Zugriff, Datenfilter, Routing, Budgets, Protokollierung.
4. Nachweise und Review: Audit-Trail regelmäßig auswerten, Regeln nachschärfen, neue Anwendungsfälle durch den Freigabeprozess führen.

Die Schritte eins und zwei sind Organisationsarbeit, drei und vier Architekturarbeit.

Fazit

KI-Compliance entscheidet sich nicht daran, wie gut die Richtlinie formuliert ist, sondern daran, ob sie im Live-Betrieb durchgesetzt wird. Der EU AI Act erhöht ab August 2026 den Druck, aus Papier gelebte Kontrolle zu machen, und die Daten zeigen, dass Policies ohne Enforcement schlicht ignoriert werden. Wer seine Vorgaben in Kontrollpunkte im Systempfad übersetzt, gewinnt doppelt: Die Regeln gelten wirklich, und der geforderte Nachweis entsteht nebenbei. So wird KI-Compliance vom Dokumentationsprojekt zur Eigenschaft der eigenen Systemlandschaft.

Quellen

• Europäische Kommission — Regulatory framework for AI (EU AI Act)
• IBM — Cost of a Data Breach Report 2025
• KPMG / University of Melbourne — Trust, attitudes and use of Artificial Intelligence: A global study 2025
• ISO — ISO/IEC 42001:2023 Artificial intelligence management system
• Gibson Dunn — EU AI Act Omnibus Agreement: Postponed High-Risk Deadlines and Other Key Changes

Dieser Artikel wurde mit Unterstützung von KI erstellt und vor der Veröffentlichung redaktionell geprüft.