Das EU-KI-Gesetz steht nicht mehr nur bevor. Es ist bereits Realität. Das Verbot von KI-Systemen mit unannehmbarem Risiko ist seit dem 2. Februar 2025 durchsetzbar. Die Verpflichtungen für KI-Modelle mit allgemeinem Verwendungszweck traten am 2. August 2025 in Kraft. Und das gesamte Spektrum der Anforderungen für Hochrisiko-Systeme – Risikomanagement, technische Dokumentation, menschliche Aufsicht, Konformitätsbewertung – wird am 2. August 2026 wirksam.[1] Das ist in vier Monaten.

Für Compliance-Teams in Unternehmen besteht die Herausforderung nicht darin, die Verordnung abstrakt zu verstehen. Es geht darum, sie über Dutzende oder Hunderte von KI-Systemen hinweg zu operationalisieren, von denen jedes ein anderes Risikoprofil, einen anderen Anbieter und einen anderen Einsatzkontext aufweist. Die Fülle an juristischen Kommentaren zum Gesetz ist beträchtlich; praktische Anleitungen zur Umsetzung sind jedoch rar gesät.

Dieser Leitfaden schließt diese Lücke. Er bietet Compliance-Teams in Unternehmen einen strukturierten Ansatz zur Einhaltung des EU-KI-Gesetzes – von der Risikoklassifizierung über die mit den einzelnen Stufen verbundenen Pflichten und den Zeitplan für die Durchsetzung bis hin zu einem sequenzierten Aktionsplan für die kommenden Monate.

Der Zeitplan für die Durchsetzung

Das Gesetz ist am 1. August 2024 in Kraft getreten, aber die Verpflichtungen sind über mehrere Tranchen gestaffelt. Zu verstehen, welche Verpflichtungen bereits aktiv sind und welche bevorstehen, ist der Ausgangspunkt für jedes Compliance-Programm.

Der im November 2025 vorgeschlagene „Digital Omnibus“ würde die Frist für Hochrisiko-Systeme nach Anhang III auf Dezember 2027 und die Frist für eingebettete Produkte nach Anhang I auf August 2028 verlängern.[2] Diese Vorschläge sind jedoch noch kein Gesetz – die Trilog-Verhandlungen zwischen Parlament, Rat und Kommission dauern an, und das Ergebnis ist ungewiss. Unternehmen sollten für den Termin im August 2026 planen und jede Verlängerung als Eventualität, nicht als Ausgangsbasis betrachten.

Risikoklassifizierung: In welche Kategorie fällt jedes KI-System?

Die regulatorische Architektur des Gesetzes basiert auf einem vierstufigen Risikoklassifizierungssystem. Jedes KI-System, das ein Unternehmen entwickelt, kauft oder einsetzt, muss anhand dieser Stufen klassifiziert werden.

Unannehmbares Risiko: verbotene Praktiken (Artikel 5)

Acht Kategorien der KI-Nutzung sind gänzlich verboten, wobei Geldbußen von bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes drohen.[3] Die für Unternehmen relevantesten sind:

• Emotionserkennung am Arbeitsplatz oder in Bildungseinrichtungen – KI-Systeme, die auf den emotionalen Zustand von Mitarbeitern oder Studierenden schließen, es sei denn, sie werden für Sicherheits- oder medizinische Zwecke eingesetzt

• Biometrische Kategorisierung nach sensiblen Merkmalen – Systeme, die Personen anhand biometrischer Daten nach Rasse, politischen Meinungen, Gewerkschaftszugehörigkeit, religiösen Überzeugungen, Sexualleben oder sexueller Orientierung kategorisieren

• Social Scoring – Systeme, die von Behörden verwendet werden, um Personen im Laufe der Zeit auf der Grundlage ihres Sozialverhaltens zu bewerten, was zu einer unverhältnismäßigen Behandlung führt

• Subliminale Beeinflussung – KI, die Techniken unterhalb der Wahrnehmungsschwelle einsetzt, um das Verhalten in einer Weise zu manipulieren, die wahrscheinlich erheblichen Schaden verursacht

Maßnahme für Unternehmen: Überprüfen Sie unverzüglich alle KI-Systeme auf die Nähe zu diesen Kategorien. HR-Tools mit Emotionsanalyse, biometrische Systeme und Tools zur Verhaltensbewertung erfordern besondere Aufmerksamkeit. Wenn ein System nicht eindeutig von einer verbotenen Praxis abgegrenzt werden kann, ist es einzustellen oder neu zu gestalten. Diese Verpflichtung ist seit Februar 2025 durchsetzbar.

Hohes Risiko: die zentrale Compliance-Verpflichtung

Die Einstufung als Hochrisiko-System erfolgt über zwei Wege.[4]

Weg 1 – Sicherheitsbauteile (Artikel 6 Absatz 1): KI-Systeme, die ein Sicherheitsbauteil von Produkten sind, die bereits unter die harmonisierten Rechtsvorschriften der Union fallen (Medizinprodukte, Maschinen, Luftfahrt, Kraftfahrzeuge, Druckgeräte und andere in Anhang I aufgeführte Produkte), sofern diese Produkte einer Konformitätsbewertung durch Dritte unterliegen.

Weg 2 – Eigenständige Systeme nach Anhang III (Artikel 6 Absatz 2): KI-Systeme, die in acht sensiblen Anwendungsbereichen eingesetzt werden:

Eine wichtige Nuance: Nach Artikel 6 Absatz 3 kann ein Anbieter feststellen, dass ein System, das unter eine Kategorie des Anhangs III fällt, tatsächlich kein signifikantes Risiko darstellt, vorausgesetzt, das System wird für einen eng begrenzten verfahrenstechnischen Zweck verwendet, beeinflusst keine wesentlichen Entscheidungen oder das Risiko ist im gegebenen Kontext nachweislich vernachlässigbar. Der Anbieter muss die zuständige nationale Marktüberwachungsbehörde benachrichtigen und die Selbsteinstufung in der EU-Datenbank registrieren, bevor diese wirksam wird. Dies ist keine Risikoausnahme, sondern eine dokumentierte, prüfbare Behauptung, die einer behördlichen Überprüfung standhalten muss.

Begrenztes Risiko: Transparenzverpflichtungen (Artikel 50)

Systeme, die direkt mit Personen interagieren, aber nicht in die Hochrisiko-Kategorien fallen, müssen ab August 2026 Transparenzanforderungen erfüllen:

• Chatbots und dialogorientierte KI müssen offenlegen, dass der Nutzer mit einem KI-System interagiert

• Deepfake-Inhalte müssen als KI-generiert oder manipuliert gekennzeichnet werden

• KI-generierter Text zu Themen von öffentlichem Interesse erfordert eine Offenlegung

• Systeme zur Emotionserkennung und zur biometrischen Kategorisierung müssen betroffene Personen benachrichtigen

Minimales Risiko: keine zwingenden Verpflichtungen

KI-Systeme, die in keine der oben genannten Kategorien fallen – Spam-Filter, Empfehlungs-Engines, KI-gestützte Grammatik-Tools, KI in Videospielen –, bringen keine zwingenden Verpflichtungen mit sich. Freiwillige Verhaltenskodizes gemäß Artikel 95 werden empfohlen, sind aber nicht vorgeschrieben.

Hochrisiko-Verpflichtungen: Was Compliance tatsächlich erfordert

Für KI-Systeme, die als hochriskant eingestuft werden, legt das Gesetz in den Artikeln 9-15 sieben Kategorien von verbindlichen Anforderungen fest. Dies sind keine abstrakten Prinzipien, sondern spezifische, prüfbare Verpflichtungen mit Dokumentationsanforderungen.

Risikomanagement (Artikel 9)

Etablieren Sie ein kontinuierliches Risikomanagementsystem – keine einmalige Bewertung, sondern ein fortlaufender Prozess über den gesamten Lebenszyklus des KI-Systems hinweg. Der Prozess muss vorhersehbare Risiken für Gesundheit, Sicherheit und Grundrechte identifizieren und analysieren, diese Risiken schätzen und bewerten, Minderungsmaßnahmen ergreifen (wobei Designänderungen Vorrang vor operativen Kontrollen haben) und das System vor dem Einsatz anhand des Risikomanagementplans testen. Restrisiken müssen dokumentiert und an die Betreiber kommuniziert werden.

Daten-Governance (Artikel 10)

Trainings-, Validierungs- und Testdatensätze müssen relevant, repräsentativ, fehlerfrei und hinreichend vollständig sein. Die Daten-Governance-Praktiken müssen die Erfassung, Kennzeichnung, Verarbeitung und Aufbewahrung abdecken. Verfahren zur Erkennung und Korrektur von Verzerrungen (Bias) sind erforderlich, und personenbezogene Daten müssen im Einklang mit der DSGVO verarbeitet werden.

Technische Dokumentation (Artikel 11 und Anhang IV)

Erstellen Sie eine umfassende technische Dokumentation, bevor Sie das System in Verkehr bringen. Anhang IV legt fest, was enthalten sein muss: Systembeschreibung und -zweck, Designspezifikationen, Trainingsmethodik und Datenmerkmale, Leistungskennzahlen, Testverfahren, bekannte Einschränkungen, Cybersicherheitsmaßnahmen und ein Plan zur Überwachung nach dem Inverkehrbringen. Diese Dokumentation muss auf dem neuesten Stand gehalten werden und den Behörden auf Anfrage zur Verfügung stehen.

Aufzeichnungspflichten (Artikel 12)

Hochrisiko-Systeme müssen über integrierte Funktionen zur automatischen Protokollierung verfügen, die Ereignisse aufzeichnen, die für die Identifizierung von Risiken und wesentlichen Änderungen während der Lebensdauer des Systems relevant sind. Betreiber müssen die Protokolle mindestens sechs Monate lang aufbewahren. Für agentische KI-Systeme, die über mehrstufige Argumentationsketten hinweg operieren, ist die Protokollierungsanforderung besonders anspruchsvoll – und besonders wichtig.

Transparenz (Artikel 13)

Anbieter müssen Gebrauchsanweisungen bereitstellen, die es den Betreibern ermöglichen, die Funktionen, Einschränkungen, Genauigkeitswerte, den Verwendungszweck und die erforderlichen menschlichen Aufsichtsmaßnahmen des Systems zu verstehen. Die Anweisungen müssen für Personen ohne KI-Fachwissen verständlich sein.

Menschliche Aufsicht (Artikel 14)

Systeme müssen so konzipiert sein, dass sie eine wirksame menschliche Aufsicht ermöglichen. Das bedeutet, dass Menschen die Ausgaben des Systems verstehen, eingreifen oder den Betrieb unterbrechen, Ausgaben ignorieren oder außer Kraft setzen und verhindern können, dass das System menschliche Entscheidungen ohne vorherige Genehmigung überschreibt. Anbieter bauen diese Funktion ein; Betreiber weisen qualifiziertes Personal an und schulen es, diese Aufsicht auszuüben.

Genauigkeit, Robustheit und Cybersicherheit (Artikel 15)

Systeme müssen während ihres gesamten Lebenszyklus ein angemessenes Maß an Genauigkeit aufweisen, Fehlern und Ungenauigkeiten bei den Eingaben standhalten, manipulativem Missbrauch durch Dritte widerstehen und die geltenden Cybersicherheitsstandards erfüllen.

Über die Artikel 9-15 hinaus müssen Anbieter auch ein Qualitätsmanagementsystem einrichten (Artikel 17), eine Konformitätsbewertung durchführen (Artikel 43), eine EU-Konformitätserklärung ausstellen (Artikel 47), die CE-Kennzeichnung anbringen (Artikel 48), das System in der EU-Datenbank registrieren (Artikel 71), eine Überwachung nach dem Inverkehrbringen einrichten (Artikel 72) und schwerwiegende Vorfälle innerhalb von 15 Tagen melden (Artikel 73).

Die Aufteilung zwischen Anbieter und Betreiber

Das Gesetz weist Verpflichtungen unterschiedlich zu, je nachdem, ob eine Organisation ein Anbieter (entwickelt ein KI-System oder lässt es entwickeln) oder ein Betreiber (verwendet es in einem beruflichen Kontext) ist.[5]

Anbieter tragen die Hauptlast: vollständige Einhaltung der Artikel 9-15, Konformitätsbewertung, Dokumentation und Überwachung nach dem Inverkehrbringen. Betreiber müssen Systeme gemäß den Anweisungen des Anbieters verwenden, die menschliche Aufsicht qualifiziertem Personal übertragen, Protokolle aufbewahren, betroffene Personen informieren und Vorfälle melden.

Die kritische Grenze: Ein Unternehmen, das ein KI-System eines Dritten wesentlich verändert, dessen Verwendungszweck ändert oder es unter seiner eigenen Marke auf den Markt bringt, wird gemäß Artikel 25 zum Anbieter und übernimmt alle Anbieterpflichten. Das Fine-Tuning eines Foundation-Modells für einen neuen Anwendungsfall kann beispielsweise diese Schwelle überschreiten. Organisationen sollten jedes KI-System dem Anbieter-Betreiber-Rahmenwerk zuordnen und die Einstufung dokumentieren.

Bei KI-Systemen von Drittanbietern ist die Due Diligence des Betreibers unerlässlich. Fordern Sie Unterlagen an, die die Risikoklassifizierung und den Konformitätsstatus des Systems bestätigen. Aktualisieren Sie Lieferantenverträge, um die Meldung von Vorfällen, die Aufbewahrung von Protokollen, Spezifikationen für die menschliche Aufsicht und die Aufteilung der Verantwortlichkeiten zu regeln. Wenn ein Anbieter keine angemessene Dokumentation vorlegen kann, stellt dies ein erhebliches Compliance-Risiko dar.

Ein häufiges und unterschätztes Szenario: Große SaaS-Anbieter (Salesforce, ServiceNow, Workday und andere) betten zunehmend KI-Funktionen ein, die in den Bereichen Beschäftigung oder grundlegende Dienstleistungen als hochriskant eingestuft werden könnten, lehnen es jedoch unter Umständen ab, Konformitätsdokumente bereitzustellen. Der Betreiber kann seine Pflichten aus Artikel 26 in dieser Situation nicht auslagern. Betreiber müssen entweder eine eigene Bewertung der KI-Funktion durchführen, die Nutzung auf Nicht-Hochrisiko-Kontexte beschränken oder die Nutzung einstellen, bis eine angemessene Dokumentation vorliegt. Dies ist ein erhebliches Beschaffungsrisiko, das vor einer Vertragsverlängerung bewertet werden sollte. Enzai bildet Anbieter-Betreiber-Verpflichtungen über Ihren gesamten KI-Stack ab, einschließlich mehrschichtiger GPAI- und Hochrisiko-Systemkonfigurationen.

Verpflichtungen für GPAI-Modelle

Viele KI-Systeme in Unternehmen basieren auf KI-Modellen mit allgemeinem Verwendungszweck – Foundation-Modellen von Anthropic, OpenAI, Google, Meta und anderen. Das Gesetz erlegt den Anbietern von GPAI-Modellen gemäß den Artikeln 51-56 eigenständige Pflichten auf, die seit August 2025 in Kraft sind.[6]

Alle GPAI-Anbieter müssen eine technische Dokumentation führen, nachgeschalteten Integratoren ausreichende Informationen zur Verfügung stellen, damit diese ihre eigenen Verpflichtungen erfüllen können, eine Urheberrechts-Compliance-Richtlinie implementieren und eine Zusammenfassung der Trainingsdaten veröffentlichen.

Modelle oberhalb der Schwelle für systemische Risiken (kumulierte Trainingsrechenleistung von mehr als 10^25 FLOPs oder von der Kommission aufgrund nachgewiesener Fähigkeiten so eingestuft) bringen zusätzliche Verpflichtungen mit sich: Adversarial Testing, Risikobewertung und -minderung, Meldung schwerwiegender Vorfälle an das Europäische KI-Büro und Cyberschutzmaßnahmen.

Der im August 2025 gebilligte GPAI-Verhaltenskodex bietet einen Weg zur Compliance und begründet für die Unterzeichner eine Konformitätsvermutung.[7] Das Europäische KI-Büro hat die ausschließliche Aufsichtsbefugnis über GPAI-Modelle, unabhängig von den nationalen Marktüberwachungsbehörden.

Für Unternehmen, die Agenten und Anwendungen auf der Grundlage von GPAI-Modellen von Drittanbietern einsetzen, bedeutet dies in der Praxis eine mehrschichtige Compliance: Der Modell-Anbieter trägt die GPAI-Verpflichtungen, während die betreibende Organisation die Pflichten für Hochrisiko-Systeme auf der Anwendungsebene trägt. Klarheit darüber, wo eine Reihe von Verpflichtungen endet und die andere beginnt, ist unerlässlich.

Sanktionen und Durchsetzung

Der Sanktionsrahmen ist beträchtlich und gestaffelt.[8]

Die Durchsetzung ist dezentralisiert. Nationale Marktüberwachungsbehörden sind für die Einhaltung der Vorschriften für Hochrisiko-Systeme zuständig. Das Europäische KI-Büro befasst sich mit der Compliance von GPAI-Modellen. Behörden zum Schutz der Grundrechte (was in einigen Mitgliedstaaten die Datenschutzbehörde sein kann) sind für Fälle zuständig, in denen Behörden Hochrisiko-KI einsetzen.

Zu den Faktoren bei der Festlegung von Geldbußen gehören die Art und Schwere des Verstoßes, die Frage, ob er vorsätzlich oder fahrlässig begangen wurde, die Größe der Organisation, die Zusammenarbeit mit den Behörden und die zur Schadensminderung ergriffenen Maßnahmen.

Ein sequenzierter Aktionsplan

Da die Frist im August 2026 näher rückt, benötigen Unternehmen einen strukturierten Ansatz. Enzai empfiehlt die folgende Sequenzierung, basierend auf unserer Arbeit mit Compliance-Teams in Unternehmen, die sich mit dem Gesetz auseinandersetzen.

Phase 1: Sofortmaßnahmen (bereits anwendbare Verpflichtungen)

Ernennen Sie einen interimistischen KI-Compliance-Beauftragten, der die Maßnahmen der Phase 1 leitet und mit der Definition des Gesamtprogramms beginnt. Die folgenden Sofortmaßnahmen erfordern jemanden mit der nötigen Autorität und Kapazität, um sie voranzutreiben.

Prüfung auf verbotene Praktiken. Artikel 5 ist seit Februar 2025 durchsetzbar. Überprüfen Sie alle KI-Systeme auf die Nähe zu verbotenen Kategorien – insbesondere Emotionserkennung am Arbeitsplatz, biometrische Kategorisierung und Verhaltensbewertung.

Etablierung von KI-Kompetenz. Artikel 4 verlangt, dass Personal, das mit dem Betrieb von KI befasst ist, über ausreichende KI-Kompetenz verfügt. Dokumentieren Sie Schulungsprogramme und bewahren Sie Nachweise auf.

Bewertung der GPAI-Exposition. Wenn Ihre Organisation Foundation-Modelle entwickelt oder feintunt, stellen Sie sicher, dass die seit August 2025 aktiven Verpflichtungen der Artikel 51-56 eingehalten werden.

Phase 2: Fundamentlegung (jetzt bis Q2 2026)

Governance-Struktur einrichten. Bestimmen Sie einen Verantwortlichen für die KI-Compliance auf Führungsebene, weisen Sie die Verantwortung für Hochrisiko-Systeme auf Produktebene zu und rufen Sie eine funktionsübergreifende KI-Governance-Gruppe ins Leben, die Recht, Technologie, Sicherheit, Beschaffung und HR umfasst. Ohne diese Autoritätsstruktur fehlt den folgenden Bestandsaufnahmen und Klassifizierungen das organisatorische Mandat, um Offenlegungen von den Geschäftsbereichen einzufordern. Budget- und Tooling-Entscheidungen sollten in dieser Phase getroffen werden – Bestandsaufnahmen und Klassifizierungen im Unternehmensmaßstab erfordern in der Regel dedizierte Tools oder einen verwalteten Überprüfungsprozess.

Erstellung eines umfassenden KI-Inventars. Erfassen Sie jedes KI-System, das die Organisation entwickelt, kauft oder einsetzt – einschließlich Schatten-KI, eingebetteter KI in Lieferantenplattformen und SaaS-Tools mit KI-Funktionen. Dokumentieren Sie Zweck, Dateneingaben, Einsatzkontext und Systemverantwortliche. Das KI-Inventarmodul von Enzai bietet eine automatisierte Erkennung über Cloud-Umgebungen und SaaS-Integrationen hinweg und reduziert so den manuellen Aufwand, der normalerweise den größten Teil dieser Phase in Anspruch nimmt – sehen Sie, wie es funktioniert.

Klassifizierung aller Systeme. Ordnen Sie jedes erfasste System den Risikostufen zu. Dokumentieren Sie die Begründung für die Klassifizierung – dies ist an sich schon ein Compliance-Artefakt.

Phase 3: Aufbau der Compliance (Q2-Q3 2026)

Erstellen Sie für jedes Hochrisiko-System die erforderlichen Compliance-Dokumente:

• Risikomanagement-Dokumentation (Artikel 9)

• Verfahren zur Daten-Governance (Artikel 10)

• Technische Dokumentation gemäß Anhang IV (Artikel 11)

• Implementierung der automatischen Protokollierung (Artikel 12)

• Gebrauchsanweisungen (Artikel 13)

• Rahmenwerk für die menschliche Aufsicht – wer beaufsichtigt, wie eingegriffen wird und wie Eingriffe protokolliert werden (Artikel 14)

• Konformitätsbewertung (Artikel 43) – interne Bewertung für Anhang III Nummern 2-8, sofern harmonisierte Normen anwendbar sind; Bewertung durch eine notifizierte Stelle für die biometrische Fernidentifizierung (Nummer 1(a)) und für jede Kategorie, für die keine harmonisierte Norm veröffentlicht wurde. Überprüfen Sie das Register der harmonisierten Normen der Kommission, bevor Sie Ihren Konformitätsweg festlegen

Anpassung von Lieferantenverträgen. Stellen Sie bei KI-Systemen von Drittanbietern sicher, dass Verträge Dokumentationsrechte, die Meldung von Vorfällen, die Aufbewahrung von Protokollen und die Aufteilung der Verantwortlichkeiten gemäß Artikel 25 regeln.

Vorbereitung von Transparenzerklärungen. Überprüfen Sie kunden- und mitarbeiterseitige KI-Systeme auf die Anforderungen von Artikel 50 – Chatbot-Offenlegungen, Kennzeichnung von Deepfakes, Benachrichtigungen zur Emotionserkenn.

Phase 4: Validierung und Bereitschaft (Q3 2026)

Durchführung einer Grundrechte-Folgenabschätzung, sofern gemäß Artikel 27 erforderlich – obligatorisch für öffentliche Stellen und empfohlen für private Betreiber, die Hochrisiko-KI in besonders wirkmächtigen Kontexten einsetzen.

Etablierung von Prozessen zur Reaktion auf Vorfälle. Erweitern Sie bestehende Prozesse zur Reaktion auf Sicherheitsvorfälle auf KI-spezifische Vorfälle: 15-Tage-Frist für die Meldung von Vorfällen mit Todesfolge oder schweren Schäden, 72-Stunden-Frist für Verletzungen des Schutzes personenbezogener Daten, Identifizierung der zuständigen nationalen Behörde in jedem Mitgliedstaat.

Registrierung von Hochrisiko-Systemen in der EU-Datenbank vor dem Einsatz (Artikel 71).

Abschluss der Konformitätsbewertung und Ausstellung der EU-Konformitätserklärung (Artikel 47) mit CE-Kennzeichnung (Artikel 48) für Systeme, die in Verkehr gebracht werden.

Ausblick

Das EU-KI-Gesetz ist die umfassendste KI-Regulierung, die weltweit in Kraft ist. Seine schrittweise Einführung bietet Unternehmen einen klar definierten Zeitplan, doch der Compliance-Umfang ist enorm – er reicht von technischer Dokumentation, Risikomanagement und Daten-Governance über menschliche Aufsicht und Transparenz bis hin zur Überwachung nach dem Inverkehrbringen von potenziell Hunderten von KI-Systemen.

Am besten positioniert sind diejenigen Organisationen, die jetzt Governance-Infrastrukturen aufbauen, anstatt Compliance als einmalige Übung zu betrachten. Die Verpflichtungen des Gesetzes gelten kontinuierlich: Das Risikomanagement muss fortlaufend, die Überwachung aktiv und die Dokumentation aktuell sein. Ein Managementsystem-Ansatz, bei dem Compliance fest in der Entwicklung, dem Einsatz und der Überwachung von KI-Systemen verankert ist, ist das einzige tragfähige Modell.

Bei Enzai bietet unsere Plattform die operative Infrastruktur für die Einhaltung des EU-KI-Gesetzes: ein zentrales KI-Inventar, automatisierte Risikoklassifizierung gemäß dem Rahmenwerk des Gesetzes, strukturierte Dokumentation für die Artikel 9-15, kontinuierliche Überwachung und prüfungsbereites Nachweismanagement. Für Unternehmen, die sich auf den August 2026 vorbereiten: Buchen Sie eine Demo, um zu sehen, wie die Plattform die Anforderungen des Gesetzes erfüllt.

Enzai ist die führende Plattform für KI-Governance in Unternehmen, die speziell dafür entwickelt wurde, Organisationen beim Übergang von abstrakten Richtlinien zu operativer Aufsicht zu unterstützen. Unsere Plattform für das KI-Risikomanagement bietet die spezialisierte Infrastruktur, die für die Verwaltung der Governance agentischer KI, die Führung eines umfassenden KI-Inventars und die Gewährleistung der Einhaltung des EU-KI-Gesetzes erforderlich ist. Durch die Automatisierung komplexer Arbeitsabläufe versetzt Enzai Unternehmen in die Lage, die Einführung von KI mit Vertrauen zu skalieren und gleichzeitig die Übereinstimmung mit globalen Standards wie ISO 42001 und NIST zu wahren.

Referenzen

[1] Verordnung (EU) 2024/1689 des Europäischen Parlaments und des Rates, Artikel 113-114 (Inkrafttreten und Geltungsbeginn). Amtsblatt der Europäischen Union, Reihe L, 12. Juli 2024.

[2] Europäische Kommission, „Digital Omnibus on AI“ (COM(2025) 871), 26. November 2025. Vorgeschlagene Verlängerungen der Fristen für Anhang III und Anhang I, abhängig von der Verfügbarkeit harmonisierter Normen.

[3] Verordnung (EU) 2024/1689, Artikel 5 (Verbotene KI-Praktiken) und Artikel 99 (Sanktionen).

[4] Verordnung (EU) 2024/1689, Artikel 6 (Klassifizierungsregeln für Hochrisiko-KI-Systeme) und Anhang III.

[5] Verordnung (EU) 2024/1689, Artikel 16 (Pflichten der Anbieter), Artikel 26 (Pflichten der Betreiber) und Artikel 25 (Andere Parteien entlang der KI-Wertschöpfungskette).

[6] Verordnung (EU) 2024/1689, Kapitel V, Artikel 51-56 (Verpflichtungen für GPAI-Modelle).

[7] GPAI-Verhaltenskodex, gebilligt von der Europäischen Kommission und dem KI-Ausschuss, 1. August 2025.

[8] Verordnung (EU) 2024/1689, Artikel 99 (Sanktionen).