EU AI Act Compliance: Warum Ihr AI Asset Register schnell veraltet
Sie haben Ihre KI-Systeme erfasst und ein sauberes KI-Inventar erstellt. Vielleicht sogar erste Risikobewertungen durchgeführt.
Glückwunsch. Sie sind weiter als 90 Prozent der deutschen KMUs.
Aber hier ist das Problem: Ihr KI Inventar ist bereits veraltet. Wahrscheinlich seit dem Tag, an dem Sie es fertiggestellt haben.
Die Illusion der einmaligen Bestandsaufnahme
Viele Unternehmen behandeln ihr KI Inventar wie eine Steuererklärung. Einmal im Jahr abhaken, dann vergessen. Das funktioniert bei Büromöbeln. Bei KI-Systemen ist es ein Rezept für Compliance-Lücken.
Die KI-Landschaft in Ihrem Unternehmen verändert sich ständig. Nicht dramatisch, nicht sichtbar, aber kontinuierlich. Und genau das macht es gefährlich für Ihre EU AI Act Compliance.
Fünf Wege, wie Ihre KI-Dokumentation veraltet
Der erste Weg sind neue Tools. Ein Mitarbeiter entdeckt ein KI-Tool, das seine Arbeit erleichtert. Er erzählt es Kollegen. Innerhalb von zwei Wochen nutzen es fünf Leute. Niemand meldet es der IT. Niemand denkt an Compliance.
Der zweite Weg sind Feature-Updates. Microsoft fügt Copilot zu Office 365 hinzu. Salesforce integriert Einstein AI. Ihr CRM bekommt plötzlich KI-gestützte Prognosen. Sie haben nichts installiert, aber Sie nutzen jetzt KI-Systeme, die vor sechs Monaten noch nicht existierten.
Der dritte Weg sind Personalwechsel. Ein neuer Mitarbeiter bringt seine Lieblingstools mit. Eine Abteilungsleiterin führt ein KI-gestütztes Projektmanagement-Tool ein. Wissen aus dem Onboarding geht verloren, neues Wissen kommt rein – unkontrolliert.
Der vierte Weg sind veränderte Anwendungsfälle. Das Marketing-Team nutzt ChatGPT seit Monaten für Texte. Kein Problem, MINIMAL RISK. Dann kommt jemand auf die Idee, damit auch Bewerbungsanschreiben zu analysieren. Plötzlich: HIGH-RISK nach Annex III. Gleiches Tool, neuer Anwendungsfall, völlig andere Compliance-Anforderungen.
Der fünfte Weg sind Schatten-Upgrades. Kostenlose KI-Tools werden zu Premium-Versionen. Browser-Erweiterungen bekommen KI-Funktionen. Ihr Buchhaltungsprogramm integriert automatische Kategorisierung. Die Grenze zwischen KI und Nicht-KI verschwimmt und Ihr Register hinkt hinterher.
Das mathematische Problem
Nehmen wir an, Sie haben 50 Software-Tools im Einsatz. Davon haben 20 bereits KI-Funktionen oder bekommen sie in den nächsten 12 Monaten. Jedes Quartal kommen durchschnittlich zwei neue Tools hinzu. Und Sie haben 30 Mitarbeiter, die eigenständig entscheiden können, welche Browser-Tools sie nutzen.
Wie lange bleibt Ihr KI Inventar aktuell? Wochen, wenn Sie Glück haben. Tage, realistisch betrachtet.
Warum das für EU AI Act Compliance kritisch ist
Der EU AI Act verlangt nicht nur, dass Sie Ihre KI-Systeme kennen. Er verlangt, dass Sie sie kontinuierlich überwachen.
Artikel 26.6 verpflichtet Deployer von HIGH-RISK Systemen zur laufenden Überwachung des Betriebs. Artikel 26.5 fordert, dass alle Mitarbeiter, die KI-Systeme bedienen, ausreichend geschult sind. Wie wollen Sie Mitarbeiter schulen für Systeme, von denen Sie nicht wissen, dass sie existieren?
Bei einer Prüfung durch Aufsichtsbehörden zählt nicht, was Sie im Januar erfasst haben. Es zählt, was Sie heute im Einsatz haben. Ein veraltetes KI Inventar ist schlimmer als keines – es vermittelt falsche Sicherheit.
Die versteckten Compliance-Lücken
Stellen Sie sich vor: Bei einer Prüfung legen Sie stolz Ihre KI-Dokumentation vor. Zehn Systeme, sauber erfasst, alle bewertet. Der Prüfer fragt: Was ist mit dem KI-gestützten Recruiting-Tool, das Ihre HR-Abteilung seit März nutzt?
Sie wissen von nichts. Das Tool wurde nie gemeldet. Keine Risikobewertung, keine Dokumentation, keine Schulung. Ein HIGH-RISK System im Blindflug.
Das ist kein hypothetisches Szenario. Das ist der Normalfall in Unternehmen, die Compliance als einmaliges Projekt behandeln.
Die unbequeme Wahrheit
EU AI Act Compliance ist kein Projekt mit Anfang und Ende. Es ist ein kontinuierlicher Prozess. Wie Datenschutz. Wie IT-Sicherheit. Wie Qualitätsmanagement.
Die KI-Verordnung wird nicht am 2. August 2026 enden. Sie beginnt dann erst richtig. Und sie verlangt von Ihnen, dass Sie jederzeit wissen, welche KI-Systeme Sie einsetzen, wofür Sie sie einsetzen und welche Risiken damit verbunden sind.
Ein statisches AI Asset Register kann das nicht leisten. Sie brauchen einen lebenden Prozess.
Was das für Ihr Unternehmen bedeutet
Die Frage ist nicht: Haben wir unsere KI-Systeme dokumentiert? Die Frage ist: Ist unsere Dokumentation heute noch korrekt?
Wenn Sie diese Frage nicht mit einem klaren Ja beantworten können, haben Sie eine Compliance-Lücke. Nicht vielleicht. Sicher.
Die gute Nachricht: Ein kontinuierlicher Erfassungsprozess muss nicht kompliziert sein. Er braucht keine teure Software. Er braucht klare Verantwortlichkeiten, einfache Meldewege und regelmäßige Überprüfung.
Fazit
Ihr AI Asset Register war der erste Schritt. Ein wichtiger Schritt. Aber eben nur der erste.
Die KI-Landschaft in Ihrem Unternehmen verändert sich schneller, als Sie Listen aktualisieren können. Neue Tools, neue Features, neue Anwendungsfälle – jeden Tag entstehen potenzielle Lücken in Ihrer EU AI Act Compliance.
Die KI-Verordnung verlangt keine perfekte Momentaufnahme. Sie verlangt kontinuierliche Kontrolle über alle KI-Systeme.
Compliance ist kein Zustand. Compliance ist ein Prozess.
Über den Autor
Jochen Stier ist AI Compliance Experte mit über 20 Jahren Erfahrung in Prozessmanagement und IT Service Management. Er unterstützt deutsche KMUs dabei, die Anforderungen des EU AI Act systematisch und pragmatisch umzusetzen. Sein 5-Phasen Framework für AI Compliance namens NADOVO verbindet regulatorische Anforderungen mit praktischer Umsetzbarkeit ohne Enterprise-Budgets oder komplexe Tools.
