EU AI Act Compliance als Kreislauf: In 5 Schritten von der Dauersorge zur Routine

Ihr habt euren KI-Agenten geprüft, das Häkchen gesetzt und trotzdem bleibt ein ungutes Gefühl? Das ist berechtigt. EU AI Act Compliance ist kein Stempel, den man einmal holt und abheftet. Die Regeln bewegen sich, eure Agenten verändern sich, und beides passiert ohne Vorwarnung. Die gute Nachricht ist, dass ihr dafür keine Rechtsabteilung braucht, sondern einen festen Kreislauf. In diesem Beitrag zeige ich euch, wie er in fünf Schritten funktioniert.

Warum unser Zertifikat mit jedem Satz verfällt

Als wir unser Konformitätszertifikat AZ5 für KI-Agenten auf unserem Marktplatz entwickelt haben, haben wir eine Entscheidung getroffen, die anfangs viele irritiert hat. Das Zertifikat gilt immer nur für genau eine Instruktionsversion. Ändert sich auch nur ein Satz in der Anweisung eines Agenten, verfällt es. Wichtig ist mir dabei die Abgrenzung. AZ5 prüft den Instruktionstext eines Agenten anhand fester Kriterien. Es ist keine behördliche Zertifizierung und keine vollständige Konformitätsbewertung nach dem gesamten EU AI Act.

Die häufigste Rückfrage in den ersten Wochen lautete sinngemäß „Und warum muss ich mich nach dem Zertifikat überhaupt noch kümmern?“. Genau diese Frage zeigt die gefährlichste Fehlannahme, die mir in der Praxis begegnet. Compliance wird als Ziel verstanden, das man erreicht und abhakt.

Wie schnell sich der Boden bewegt, hat dieses Jahr gezeigt. Seit dem 2. August 2026 gelten die Transparenzpflichten nach Artikel 50, etwa die Kennzeichnung von KI-Inhalten. Mit dem Digital Omnibus, der am 27. Juli 2026 in Kraft getreten ist, wurden die Hochrisiko-Pflichten nach Anhang III auf den 2. Dezember 2027 und die für Anhang I auf den 2. August 2028 verschoben. Die Pflicht zur KI-Kompetenz nach Artikel 4 wurde neu gefasst. Unternehmen müssen nun Maßnahmen ergreifen, die den Aufbau von KI-Kompetenz unterstützen, statt ein bestimmtes Niveau sicherzustellen. Und ab dem 9. Dezember 2026 gilt die neue EU-Produkthaftungsrichtlinie, die Software ausdrücklich als Produkt erfasst.

Wer sich an einem bestimmten Stichtag festgehalten hat, musste in diesem Jahr mehrfach umdenken. Wer einen Kreislauf hatte, hat einfach nachgezogen.

Der regulatorische Boden bewegt sich ständig. Das Prinzip darunter nicht.

So geht ihr vor: EU AI Act Compliance in 5 Schritten als Kreislauf

1. Erstellt eine Inventur eurer KI-Agenten. 

Haltet für jeden Agenten fest, wofür er eingesetzt wird, welche Instruktionsversion gerade läuft und ob ihr ihn selbst anbietet oder nur betreibt. Diese Rollenfrage entscheidet, welche Pflichten euch treffen. Eine einfache Liste genügt für den Start.

2. Legt ein Change-Control-Log an. 

Jede relevante Änderung bekommt einen Eintrag mit Datum, Version, Auslöser, Prüfergebnis und verantwortlicher Person. Auslöser kann eine geänderte Instruktion sein, ein neuer Einsatzzweck oder eine neue Rechtslage. Eine Tabelle reicht völlig, entscheidend ist, dass sie lückenlos geführt wird.

3. Ändert sich der Agent, prüft ihr neu. 

Wird die Instruktion angepasst oder der Agent für einen neuen Zweck eingesetzt, stuft ihr den Zweck neu ein und lasst die neue Version prüfen. Erst danach geht sie in den Einsatz. So weicht die Version im Umlauf nie von der geprüften ab.

4. Ändert sich die Regel, gleicht ihr ab. 

Legt einen festen Termin fest, zum Beispiel einmal im Quartal. Dort prüft ihr in einer halben Stunde, ob sich Fristen oder Pflichten verändert haben und was das für eure offenen Punkte bedeutet. Das Ergebnis kommt ins Log, auch wenn es lautet „keine Auswirkung“.

5. Haltet den Nachweis bereit. 

Log, aktuelle Instruktionsversion und Prüfbericht gehören zusammen an einen festen Ort. Fragt eine Behörde, ein Kunde oder ein Auditor nach, könnt ihr sofort zeigen, dass die eingesetzte Version die geprüfte ist.

Danach beginnt der Kreislauf von vorn, aber nicht bei null. Jede Runde wird schneller, weil die Grundlage steht. Wenn ihr tiefer in die Frage einsteigen wollt, wie ihr Regulierung und Praxis zusammenbringt, hört in unseren Podcast rein. Dort sprechen wir regelmäßig über genau solche Fragen.

Was ich dabei gelernt habe

Transparenz, Nachvollziehbarkeit und Vertrauen sind keine Frist, die man einmal erfüllt. Sie sind eine Haltung. Als wir unser Zertifikat an die Instruktionsversion gebunden haben, wollten wir nicht für den Gesetzesstand eines bestimmten Tages bauen, sondern für dieses Prinzip darunter. Heute zahlt sich das aus. Keine der Änderungen dieses Jahres hat uns aus dem Takt gebracht.

Der typische Stolperstein ist, den Kreislauf zu groß anzulegen. Wer mit einem perfekten Managementsystem startet, kommt selten ins Tun. Fangt klein an und lasst das Log mit euren Erfahrungen wachsen. Und ein Hinweis, der mir wichtig ist. Dieser Beitrag ersetzt keine Rechtsberatung. Bei konkreten Einzelfragen, etwa zur Rolle als Anbieter oder Betreiber, holt euch fachkundige Unterstützung.

Euer Sofort-Schritt für heute

Öffnet eine leere Tabelle und legt sechs Spalten an, Datum, Agent, Version, Auslöser, Prüfergebnis und Verantwortlich. Tragt euren meistgenutzten KI-Agenten mit seinem heutigen Stand als ersten Eintrag ein. Das dauert zehn Minuten, und euer Kreislauf hat begonnen.

Wie geht es weiter?

• Tiefer einsteigen: In unserem Podcast geht es regelmäßig um KI, Recht und Verantwortung in der Praxis.

• Gemeinsam umsetzen: In unserer Skool-Community bauen wir KI-Agenten gemeinsam und halten sie richtlinienkonform, mit Anleitungen, Austausch und Feedback. Die Mitgliedschaft ist kostenpflichtig.

• Agent zertifizieren: Wenn ihr eure Instruktion prüfen lassen wollt, findet ihr alles zur Zertifizierung auf unserem Marktplatz.

  
  
  
  

Linda Sabottig – Vorstand Intra.ID eG