KI-Governance, KI-Audit, KI-Compliance, KI-Betriebssystem: vier Begriffe, vier Aufgaben

Fragen und Antworten.

Betrifft der EU AI Act unser Unternehmen?

Sehr wahrscheinlich ja, aber der Umfang hängt an Ihrer Rolle. Die Verordnung unterscheidet unter anderem Anbieter (die KI-Systeme entwickeln oder unter eigenem Namen anbieten) und Betreiber (die sie einsetzen). Ein Unternehmen, das nur fertige KI-Werkzeuge nutzt, hat deutlich schlankere Pflichten als ein Anbieter, vor allem Transparenz- und Kompetenzpflichten. Die belastbare Antwort beginnt mit einer Bestandsliste der eigenen KI-Einsätze. (Stand: 07.08.2026)

Gilt der AI Act auch für kleine Unternehmen?

Ja. Die Verordnung knüpft an Rolle und Risikoklasse des KI-Einsatzes an, nicht an der Unternehmensgröße. Für kleine und mittlere Unternehmen gibt es Erleichterungen an einzelnen Stellen, aber keine Generalausnahme. Klein zu sein befreit nicht, es verkleinert meist nur den Bestand, der zu ordnen ist. (Stand: 07.08.2026)

Wir nutzen nur ChatGPT und ähnliche Werkzeuge. Müssen wir trotzdem etwas tun?

Ja, in überschaubarem Umfang. Auch reine Nutzung löst Pflichten aus: Mitarbeitende müssen ausreichend KI-kompetent sein, KI-Interaktion und KI-erzeugte Inhalte müssen in bestimmten Fällen erkennbar sein, und die DSGVO gilt für alles, was personenbezogene Daten berührt. Dazu kommt die praktische Frage, welche Firmendaten Ihre Leute in fremde Werkzeuge eingeben. Eine kurze Bestandsaufnahme und klare Nutzungsregeln decken die häufigsten Lücken ab. (Stand: 07.08.2026)

Was ist der Unterschied zwischen KI-Governance und KI-Compliance?

Compliance ist der Zustand, die geltenden Vorschriften einzuhalten. Governance ist das Steuerungssystem, das diesen Zustand dauerhaft herstellt: Regeln, Zuständigkeiten, Prüfpunkte, Nachweise. Man kann kurzfristig compliant sein, ohne Governance zu haben, verliert diesen Zustand aber bei der nächsten Personal- oder Rechtsänderung. Die Begriffsklärung im Detail steht oben auf dieser Seite.

Was prüft ein KI-Audit, und wie lange dauert es?

Geprüft wird der Arbeitsablauf, nicht das Modell allein: Datenwege, Zuständigkeiten, Dokumentation und der Anschluss an die Rechtslage. Ergebnis ist ein Befund mit Prioritäten. Die Dauer hängt am Umfang; die verbindliche Spanne für den Einzelfall steht im Angebot vor der Beauftragung. Details auf der Audit-Seite.

Ist ein KI-Audit eine Zertifizierung?

Nein. Eine Zertifizierung bescheinigt die Konformität mit einer Norm und kommt von einer akkreditierten Stelle. Ein Audit im hier beschriebenen Sinn liefert einen Befund über einen konkreten Einsatz. Der Befund kann eine spätere Zertifizierung vorbereiten, ersetzt sie aber nicht, und umgekehrt sagt ein Zertifikat wenig darüber, ob ein einzelner Ablauf im Alltag haltbar läuft.

Lokale Modelle oder Cloud: was ist datenschutzfreundlicher?

Pauschal keines von beiden, aber die Kontrolle ist verschieden verteilt. Lokale Modelle halten Daten im eigenen Haus, kosten dafür eigene Rechenleistung und Pflege. Cloud-Dienste verlagern Betrieb und Wartung nach außen, dafür müssen Datenpfade, Auftragsverarbeitung und Speicherorte vertraglich und technisch geklärt sein. Entscheidend ist nicht das Etikett, sondern ob sich der Datenweg im konkreten Fall beschreiben, begrenzen und belegen lässt.

Wie verhält sich der AI Act zur DSGVO?

Beide gelten nebeneinander. Die DSGVO regelt den Umgang mit personenbezogenen Daten, unabhängig davon, ob eine KI im Spiel ist. Die KI-Verordnung regelt das Inverkehrbringen und den Einsatz von KI-Systemen nach Risikoklassen. Ein KI-Einsatz kann DSGVO-konform und trotzdem nach der KI-Verordnung pflichtig sein, und umgekehrt. In der Praxis heißt das: beide Prüfungen gehören in denselben Ablauf, nicht in zwei getrennte Projekte. (Stand: 07.08.2026)

Was ist ISO/IEC 42001, und brauchen wir das?

ISO/IEC 42001 ist eine internationale Norm für Managementsysteme für Künstliche Intelligenz, vergleichbar mit dem, was ISO 27001 für Informationssicherheit ist. Sie ist freiwillig: Kein Gesetz verlangt das Zertifikat. Sinnvoll ist sie vor allem, wenn Kunden oder Ausschreibungen einen anerkannten Nachweis verlangen. Für die meisten Häuser kommt zuerst die Ordnung im eigenen Bestand, dann die Frage nach der Norm.

Was ist ein KI-Betriebssystem?

Die Ordnung um die KI-Werkzeuge herum: Regeln, Wissensspeicher, Nachweise und Zuständigkeiten als zusammenhängende Schicht zwischen Werkzeugen und Arbeit. Es ist keine Software, die man installiert, sondern eine Struktur, die eingerichtet wird. Die ausführliche Erklärung mit Beispiel steht auf der Betriebssystem-Seite.

Welche Pflichten gelten seit dem 02.08.2026?

Seit dem 02.08.2026 sind die Transparenzpflichten nach Art. 50 der KI-Verordnung anwendbar. Kern: Menschen müssen in bestimmten Fällen erkennen können, dass sie mit einer KI interagieren oder KI-erzeugte beziehungsweise KI-bearbeitete Inhalte vor sich haben. Die Pflichten für Hochrisiko-Systeme folgen zum 02.12.2027. Die vollständige Tafel mit Quellen steht oben auf dieser Seite. (Stand: 07.08.2026)

Müssen KI-erzeugte Inhalte gekennzeichnet werden?

In bestimmten Fällen ja, seit dem 02.08.2026 nach Art. 50 der KI-Verordnung, etwa bei künstlich erzeugten oder manipulierten Bild-, Audio- und Videoinhalten und beim Einsatz von KI-Systemen, die mit Menschen interagieren. Wo genau die Grenze im eigenen Haus verläuft, gehört in die Bestandsliste und die Freigabe-Prüfpunkte, damit die Kennzeichnung im Ablauf passiert und nicht vom Einzelfall-Gedächtnis abhängt. (Stand: 07.08.2026)