EU AI Act
Erst wissen, welche KI im Haus läuft.
Ein Register aller KI-Systeme deiner Marke: Anbieter, Einsatzbereich, Verantwortlicher — und je System die Risikoklasse, aus der sich alle weiteren Pflichten ableiten.
- Verordnung
- (EU) 2024/1689
- Rollen-Check
- 8 Fragen
- Risikoklassen
- 4 + unklassifiziert
- Einsatzbereiche
- 9
Ausgangslage
Niemand im Haus weiß, wie viele KI-Systeme laufen
Die KI-Verordnung knüpft jede Pflicht an ein konkretes System und dessen Risikoklasse. Solange die Liste dieser Systeme nicht existiert, lässt sich keine einzige Pflicht sauber zuordnen — und keine erfüllen.
- KI kommt selten über die IT ins Haus: ein Abo im Marketing, ein Assistent im Service, eine Vorauswahl im Recruiting — eingekauft, nicht eingeführt.
- Ohne geklärte Rolle bleibt offen, welche Pflichten greifen: Anbieter, Betreiber, Einführer, Händler und GPAI-Anbieter tragen unterschiedliche Lasten.
- Die Einstufung fällt als Bauchentscheidung — ohne festgehaltene Begründung, die später jemand nachvollziehen könnte.
Zeitachse
Woran die Pflichten hängen
Die Verordnung staffelt ihre Anforderungen teils nach Kalender, teils nach dem Moment, in dem ein System in Verkehr kommt. Diese drei Stufen führt das Modul mit, jede mit dem Artikel, aus dem sie stammt.
Seit Februar 2025
KI-Kompetenz ist Pflicht
Wer KI bedient, braucht ausreichend KI-Kompetenz; dokumentierte Schulungen sind seither verpflichtend (Art. 4). Liegt die letzte mehr als 180 Tage zurück, meldet sich der Tracker.
Ab August 2026
Registrierung und Vorfallmeldung
Für Hochrisiko-Systeme nach Anhang III: Registrierung in der EU-Datenbank (Art. 71) und Meldung schwerer Vorfälle (Art. 73). Beides bereitet Reguly vor — den Behördenkontakt nimmst du vor.
Vor Inverkehrnahme
Der systemgebundene Auslöser
Kein Datum, sondern ein Moment: FRIA (Art. 27), technische Dokumentation (Anhang IV) und Konformitätsbewertung (Art. 43) müssen vorher vorliegen. Deshalb entscheidet die Risikoklasse früh.
So arbeitest du damit
Rolle klären
Acht Ja/Nein-Fragen ordnen dich als Anbieter, Betreiber, Einführer, Händler oder GPAI-Anbieter ein und erkennen einen Hochrisiko-Fall nach Anhang III. Das Ergebnis erscheint als Rollenkarten mit der Zahl der greifenden Pflichten — je Pflicht mit Artikel und der Notiz, was Reguly dabei leistet und was nicht.
Systeme erfassen
Je System: Name, Anbieter, Anwendungsfall, Einsatzbereich, verarbeitete Datenkategorien und eine verantwortliche Adresse. Drei Kennzahlen halten den Stand — aktiv, hochriskant oder verboten, noch nicht klassifiziert. Ausgelaufene Systeme werden archiviert statt gelöscht.
Risiko einstufen und Pflichten ableiten
Der Wizard führt durch verbotene Praktiken, Hochrisiko, Transparenz und Kontext und zeigt live, worauf die Antworten hinauslaufen. Gespeichert wird nicht nur die Klasse, sondern auch der Auslöser mit Artikelbezug — der Unterschied zwischen einer Meinung und einer prüfbaren Einstufung. Daraus wird die Checkliste: bei Hochrisiko samt FRIA, technischer Dokumentation nach Anhang IV und EU-Registrierung.
Anbieterauskünfte einholen
Wer fremde Basismodelle einsetzt, dokumentiert die Sourcing-Diligence nach Art. 25: Anbieter-Preset wählen, Anfrage zusammenstellen, Antwort verfolgen. Bleibt sie aus, erinnert Reguly; kommt sie, wandert sie als Audit-PDF ins Vault.
Kompetenz nachweisen
Der Literacy-Tracker führt den Nachweis nach Art. 4: Datum, Thema, Dauer, Teilnehmer und die durchführende Person, intern oder extern. Liegt das letzte Training über 180 Tage zurück, wird daraus eine Warnung — sichtbar auch in der Pflichten-Checkliste am System.
Im Zusammenspiel
Ein Datenbestand, der weiterreicht
01
KI-Inventar
führt die Systeme und ihre Risikoklasse
Risikoklasse · Auslöser · Verantwortlicher
02
GPAI-Anfragen
holt die Auskünfte der KI-Anbieter nach Art. 25
Anbieterantwort · Antwortquote
03
Compliance-Vault
archiviert die Nachweise als PDF
FRIA · Einreichungspaket · Audit-PDF
Häufige Fragen
Ist die Einstufung des Wizards rechtsverbindlich?
Nein. Er strukturiert die Einstufung entlang der Kriterien der Verordnung und hält fest, welche Antwort sie ausgelöst hat. Die rechtliche Bewertung bleibt bei dir oder deiner Kanzlei — Reguly leistet keine Rechtsberatung.
Wann ist eine FRIA fällig?
Als Betreiber, bei einem Hochrisiko-Fall nach Anhang III und der Klasse „hoch". Dann markiert Reguly die Grundrechte-Folgenabschätzung als nächsten Schritt; der Abschluss mit Sign-off legt sie als PDF ins Vault.
Meldet Reguly einen schweren Vorfall an die Behörde?
Nein. Reguly erfasst den Vorfall mit Schweregrad und Entdeckungszeitpunkt und rechnet die Frist hoch — 72 Stunden bei Todesfall oder Grundrechtsverletzung, 15 Tage sonst. Die Meldung nimmst du vor. Vorfälle liegen derzeit clientseitig je System; PDF-Export ins Vault ist vorgesehen.
Was passiert mit einem System, das wir nicht mehr nutzen?
Du archivierst es. Es verschwindet aus Kennzahlen und Standardansicht, bleibt mit Einstufung und Historie erhalten und lässt sich über den Filter zurückholen.
Passt dazu
Jeder Nachweis liegt bereit, keiner verfällt still.
Der Compliance-Vault legt alle Nachweise an einem Ort ab — Prüfberichte, Zertifikate und Erklärungen, versioniert und mit Ablaufüberwachung.
Die Verordnung, zerlegt in 20 Pflichten.
Die Compliance-Roadmap zerlegt die PPWR in 20 Pflichten nach Stichtag — mit Rechtsgrundlage, deinem Stand aus den Verpackungsdaten und den Schritten, die in Reguly noch fehlen.
Den ersten Überblick bekommen
Zeig uns in einem Gespräch, welche KI-Tools bei euch im Einsatz sind — wir zeigen dir, wie das Inventar samt Rollen und Risikoklassen daraus aussieht.