EU AI Act Compliance ist kein Stempel, sondern ein Kreislauf
Als wir bei Intra.ID unser Konformitätszertifikat AZ5 gebaut haben, haben wir eine Entscheidung getroffen, über die wir lange gerungen haben. Wir haben das Zertifikat bewusst an genau eine Instruktionsversion gebunden. Ändert sich auch nur ein Satz in der Instruktion eines KI-Agenten, verfällt es. Für mich ist genau das der Kern von guter EU AI Act Compliance, auch wenn manche es zuerst für übertrieben hielten.
Die häufigste Rückfrage in den ersten Wochen war sinngemäß immer dieselbe. Warum muss ich mich nach dem Zertifikat überhaupt noch kümmern, ich habe es doch? Ich habe diese Frage gut verstanden. Ein Zertifikat fühlt sich an wie ein Ziel, das man erreicht und dann abhaken kann. Doch genau diese Denkweise ist die gefährlichste Fehlannahme, die mir in der Praxis begegnet.
Der regulatorische Boden bewegt sich ständig. Das Prinzip darunter nicht.
Wie sehr sich dieser Boden bewegt, sehe ich gerade jeden Morgen, wenn ich auf die Schlagzeilen zum EU AI Act schaue. Seit August 2026 greift die Kennzeichnungspflicht für KI-Inhalte, ab Dezember haftet KI erstmals wie ein Produkt. Und im selben Atemzug verschiebt der „Digital Omnibus" die Hochrisiko-Pflichten auf 2027 und 2028, 44 Konzernchefs fordern in einem offenen Brief eine Pause, die KI-Kompetenzpflicht wird zur bloßen „Förderung" abgeschwächt. Wer da auf einen festen Endzustand wartet, an dem er endlich „fertig" ist, der wartet vergeblich.
Mein wichtigstes Learning aus dem Bau von AZ5 ist deshalb schlicht. Transparenz, Nachvollziehbarkeit und Vertrauen sind keine Frist, die man einmal erfüllt, sondern eine Haltung, die man hält. Wir haben unser Zertifikat von Anfang an nicht als Stempel gedacht, sondern als etwas, das mit jeder Änderung neu erworben wird. Es lebt und stirbt mit der Version, auf die es ausgestellt ist. Das klingt streng, ist aber der Grund, warum uns die schwankenden Schlagzeilen kaum erschüttern. Wir haben nie für den Gesetzesstand eines bestimmten Tages gebaut, sondern für das Prinzip, das darunter bleibt.
EU AI Act Compliance ist kein Dokument, das man einmal holt und ablegt, sondern eine Haltung, die man hält.
Was heißt das nun konkret für euch, wenn ihr selbst KI einsetzt oder eigene Agenten anbietet? Verankert eure Compliance nicht an der Vorschrift von heute, sondern an einem wiederholbaren Prozess. Das ist weniger Aufwand, als es klingt.
Fangt mit einem einfachen Change-Control-Log an. Jede relevante Änderung – an der Instruktion, am Zweck, an der Rechtsgrundlage – bekommt einen Eintrag mit Datum, Version und dem, was ihr daraufhin geprüft oder nachgezogen habt. Ändert sich die Instruktion, stuft ihr den Zweck neu ein und lasst die Version neu zertifizieren. Ändert sich die Regulierung, gleicht ihr eure offenen Punkte dagegen ab. So wird aus einer diffusen Dauer-Sorge eine überschaubare Routine.
Der schöne Nebeneffekt ist, dass genau dieses Log im Ernstfall eure Verteidigungslinie wird. Wenn eine Behörde oder ein Kunde fragt, könnt ihr jederzeit belegen, dass die im Umlauf befindliche Version genau die geprüfte ist. Und wenn eine Frist vorgezogen oder verschoben wird, müsst ihr nicht in Panik verfallen. Ihr zieht einfach nach.
Wer diesen Kreislauf einmal lebt, muss die nächste Schlagzeile nicht fürchten. Nicht, weil die Regeln einfacher würden, sondern weil ihr euch nicht mehr an den Regeln von gestern festhaltet, sondern an einer Haltung, die trägt.
Wenn ihr tiefer einsteigen wollt, wie ihr eure Agenten Schritt für Schritt richtlinienkonform aufsetzt und zertifizieren lasst, findet ihr den Weg über den Marktplatz und die Zertifizierung. Und wenn ihr euch mit anderen Creatorn austauschen wollt, kommt in unsere Community und in den kostenlosen AI.Connect Live Call, jeden Montag von 18:00 bis 19:00 Uhr.
Kommentare