EU AI Act: Ein praxisorientierter Implementierungsleitfaden für CTOs

Der EU AI Act ist der weltweit erste umfassende Rechtsrahmen für künstliche Intelligenz. Er trat im August 2024 in Kraft. Die zentralen Hochrisiko-Pflichten gelten ab dem 2. Dezember 2027. Die meisten CTOs in Deutschland, Österreich und der Schweiz wissen, dass sie kommen. Was fehlt, ist die unspektakuläre Arbeit, von der diese Pflichten abhängen: das KI-Inventar aufbauen, die Systeme einstufen und die Aufsicht dokumentieren. Und die meisten haben auch die Pflicht verpasst, die seit Februar 2025 gilt: KI-Kompetenz für alle Mitarbeitenden, deren Arbeit von KI betroffen ist. Diese Pflicht kommt nicht erst. Sie ist bereits überfällig.

Dieser Leitfaden ist keine weitere Zusammenfassung der Verordnung. Davon gibt es Hunderte. Er ist ein Arbeitsdokument für CTOs, die wissen wollen, wie Compliance in der Praxis aussieht: wo die Lücken liegen, was der Zeitplan für die Planung bedeutet und was wirklich schwierig ist – und was nur schwierig aussieht.

Die Pflicht, bei der die meisten bereits zu spät sind (Artikel 4)

Artikel 4 des EU AI Act verpflichtet Anbieter und Betreiber von KI-Systemen sicherzustellen, dass ihre Mitarbeitenden über ausreichende „KI-Kompetenz“ verfügen – also ein hinreichendes Verständnis von Fähigkeiten, Grenzen und Auswirkungen der eingesetzten KI-Systeme. Das ist keine künftige Pflicht. Sie gilt seit dem 2. Februar 2025 – sechs Monate vor den zentralen Bestimmungen zur Risikoeinstufung.

Die meisten Unternehmen haben das noch nicht erledigt. Viele haben noch nicht einmal angefangen. Über ein Jahr lang hieß es: „Das regeln wir 2026 zusammen mit der übrigen Compliance-Arbeit.“ Jetzt ist 2026, und die zentralen Hochrisiko-Pflichten gelten ab dem 2. Dezember 2027. Wenn die Schulung nach Artikel 4 noch nicht stattgefunden hat, ist sie kein Punkt für die Planung mehr – sie ist eine überfällige Pflicht, die vor allem anderen erledigt werden muss.

Was gilt als „KI-Kompetenz“ im Sinne von Artikel 4? Der Act macht bewusst keine detaillierten Vorgaben. Er schreibt weder Lehrplan noch Dauer noch Zertifizierung vor. Er verlangt, dass Mitarbeitende ein verhältnismäßiges Verständnis der KI-Systeme haben, mit denen sie arbeiten. In der Praxis bedeutet das:

• Mitarbeitende, die KI-Tools verwenden – einschließlich allgemeiner Tools wie Microsoft Copilot, ChatGPT oder Gemini – müssen verstehen, was diese Systeme zuverlässig können und was nicht.
• Mitarbeitende, die Entscheidungen auf Basis von KI-Ergebnissen treffen, müssen diese kritisch bewerten können.
• Technische Mitarbeitende, die KI-Systeme einsetzen oder warten, benötigen ein tieferes Verständnis der Systemgrenzen und bekannten Fehlerquellen.

Das Verhältnismäßigkeitsprinzip ist wichtig – und es bedeutet auch, dass die Hürde niedriger liegt, als die meisten Unternehmen annehmen. Für allgemeine Nutzer reicht ein dokumentiertes Team-Briefing, das erklärt, wo ChatGPT danebenliegt, wie man KI-Ergebnisse auf Plausibilität prüft und wofür KI nicht eigenmächtig eingesetzt werden darf. Sie brauchen weder eine E-Learning-Plattform noch externe Trainer. Sie brauchen einen Nachweis, dass die Schulung stattgefunden hat, was sie abgedeckt hat und wer teilgenommen hat. Das ist in wenigen Tagen machbar.

Die KI, die Sie nicht kennen

Bevor Sie KI-Systeme nach dem Act klassifizieren können, müssen Sie wissen, welche KI-Systeme Sie überhaupt haben. Für die meisten Organisationen ist das schwieriger, als es klingt.

Das offensichtliche Inventar – intern entwickelte ML-Modelle und KI-gestützte Eigenprodukte – lässt sich überschauen. Das unsichtbare Inventar ist das Problem. KI wurde so tiefgreifend in Standardsoftware integriert, dass die meisten Technologiestacks KI-Systeme enthalten, die niemand explizit eingeführt hat.

Typische Beispiele in deutschen Mittelstandsumgebungen:

• CRM- und Vertriebsplattformen mit Lead-Scoring, Churn-Prognose oder Next-Best-Action – Salesforce Einstein, HubSpot AI, Microsoft Dynamics Copilot.
• HR-Plattformen, die Lebensläufe screenen, Bewerber ranken oder Fluktuationsrisiken erkennen – SAP SuccessFactors, Workday, Personio mit KI-Add-ons.
• Finanztools mit Anomalieerkennung, Betrugsscoring oder automatisierten Genehmigungsworkflows.
• ERP-Systeme mit Nachfrageprognose, Beschaffungsoptimierung oder vorausschauender Wartung.
• Kommunikationsplattformen mit Echtzeit-Transkription, Sentimentanalyse oder Meeting-Zusammenfassungen – Teams, Zoom, Slack AI.

Jedes dieser Systeme kann ein KI-System im Sinne des Acts darstellen – die Definition ist bewusst weit gefasst: "maschinenbasiertes System, das Ausgaben wie Vorhersagen, Empfehlungen, Entscheidungen oder Inhalte erzeugt." Die meisten ML-gestützten Softwarefunktionen erfüllen diese Schwelle.

Ein praktischer Startpunkt: Bitten Sie Ihre IT-Einkaufsabteilung, alle Anbieterverträge der letzten drei Jahre zu prüfen und jene zu identifizieren, die irgendeine Form automatisierten Scorings, von Empfehlungen, Prognosen oder Entscheidungen enthalten. Dann fragen Sie Abteilungsleiter direkt – sie kennen oft KI-Tools, die nie formal über die IT beschafft wurden.

Eine nützliche Abkürzung steht inzwischen zur Verfügung: Seit August 2025 unterliegen Anbieter von KI-Modellen mit allgemeinem Verwendungszweck – Microsoft, Google, SAP und andere – eigenen EU-AI-Act-Pflichten, Dokumentation zu Fähigkeiten und Grenzen ihrer Modelle zu veröffentlichen. Wenn Sie KI-Funktionen nutzen, die in deren Plattformen eingebettet sind, können Sie diese Unterlagen direkt anfordern. Sie passen nicht perfekt auf Ihren Einsatzkontext, geben Ihnen aber eine Grundlage für Ihr eigenes Inventar und die Klassifizierung, statt bei null anzufangen.

Die Klassifizierungsfalle

Der EU AI Act unterteilt KI-Systeme in Risikoklassen: inakzeptables Risiko (verboten), hohes Risiko (strenge Pflichten), begrenztes Risiko (Transparenzanforderungen) und minimales Risiko (keine spezifischen Anforderungen). Die meiste Compliance-Aufmerksamkeit gilt den Hochrisikokategorien – zu Recht. Aber die Klassifizierungsfalle liegt nicht darin, in welche Klasse ein System nach der Bewertung fällt. Sie liegt in der Annahme, die Organisationen vor der Bewertung treffen.

Die Falle: Die meisten Organisationen gehen davon aus, dass ihre KI minimales Risiko hat, bis das Gegenteil bewiesen ist. Der Act funktioniert anders. Für bestimmte KI-Kategorien liegt die Beweislast umgekehrt. Wenn Sie KI in diesen Kategorien einsetzen, müssen Sie nachweisen, dass sie nicht hochriskant ist. Schweigen ist keine Compliance.

Anhang III des Acts listet acht Kategorien auf, in denen KI-Systeme vermutungsweise als hochriskant einzustufen sind:

Kategorie 4 – Beschäftigung und Arbeitnehmermanagement – überrascht Organisationen mit bemerkenswerter Regelmäßigkeit. KI, die in Recruiting, CV-Screening, Leistungsüberwachung, Aufgabenverteilung und HR-Entscheidungsunterstützung eingesetzt wird, kann nach dem Act als hochriskant gelten. Wenn Ihre HR-Plattform ML-basiertes Ranking oder Scoring in diesen Prozessen einsetzt, betreiben Sie möglicherweise bereits ein Hochrisiko-KI-System, ohne es als solches klassifiziert zu haben.

Drei Lücken mit dem größten Haftungsrisiko

Lücke 1: Kein dokumentiertes KI-Inventar

Der Act verpflichtet Organisationen, Aufzeichnungen über eingesetzte KI-Systeme zu führen. Ohne Inventar können Sie nicht klassifizieren, keine Konformität prüfen und nicht auf behördliche Anfragen reagieren. Die meisten Organisationen haben kein systematisches KI-Inventar. Was sie haben: Excel-Listen einzelner Teams, SaaS-Abonnements außerhalb des IT-Einkaufs und KI in Anbietersoftware, die bei der Einführung nie als KI gekennzeichnet wurde. Das ist der Ausgangspunkt bei den meisten Unternehmen, die wir bewerten – und er ist unbequem.

Lücke 2: Kein Prozess zur KI-Prüfung vor der Einführung

Der Act verlangt eine Konformitätsbewertung für Hochrisiko-KI vor der Einführung. Die meisten Organisationen haben keinen Beschaffungs- oder IT-Governance-Prozess, der vor einem Kauf fragt: "Enthält dieses Tool KI?" KI wird eingeführt, weil ein Team ein Feature brauchte, weil der Anbieter es in einem Update mitlieferte oder weil jemand ein SaaS-Tool kaufte, das ML enthielt. Die Lücke ist strukturell: Beschaffungsprozesse wurden nicht für KI-Klassifizierung ausgelegt. Die Lösung beginnt simpel: eine Frage in die Checkliste aufnehmen – "Enthält dies automatisiertes Scoring, Empfehlungen oder Entscheidungen?"

Lücke 3: Keine nachweisbare menschliche Aufsicht bei automatisierten Entscheidungen

Hochrisiko-KI-Systeme erfordern nach dem Act "angemessene menschliche Aufsicht" – Mechanismen, die Menschen ermöglichen, das System zu überwachen, einzugreifen und Ausgaben außer Kraft zu setzen. Viele Organisationen haben Aufsicht im Prinzip ("ein Manager prüft alle KI-Empfehlungen"), können sie aber nicht in der Praxis nachweisen ("wir haben kein Prüfprotokoll, das diese Prüfung belegt"). Ein Prüfprozess, der in der Richtlinie existiert, aber keine Belege erzeugt, ist keine nachweisbare Aufsicht. Diese Lücke ist schwieriger zu schließen als die ersten beiden, da sie Änderungen an Anwendungsprotokollen, Workflow-Design oder den Systemen selbst erfordern kann.

Der Betriebsrat-Faktor

Deutsche Unternehmen, die unter das Betriebsverfassungsgesetz fallen, haben eine zusätzliche Compliance-Dimension, die internationale Leitfäden zum EU AI Act fast nie behandeln. Für den Mittelstand ist diese Lücke erheblich.

Jedes KI-System, das die Leistung von Mitarbeitenden überwacht, Arbeit verteilt oder Personalentscheidungen beeinflusst, kann den Mitbestimmungsrechten des Betriebsrats nach § 87 und § 90 BetrVG unterliegen. Das ist kein neues Risiko durch den EU AI Act – es ist geltendes deutsches Arbeitsrecht, das es schon Jahrzehnte vor dem Act gab. Der EU AI Act erweitert jedoch, was als KI-gestütztes System im Personalbereich gilt, und macht das Zusammenspiel beider Regelwerke folgenreicher.

Die praktische Konsequenz: Bevor Mittelständler KI-Systeme im Personalbereich einführen, müssen sie nicht nur die Einstufung nach EU AI Act berücksichtigen, sondern auch die Mitbestimmungsrechte des Betriebsrats. Das sind keine getrennten, unabhängigen Prozesse. Sie greifen ineinander. Ein KI-System, das alle Anforderungen des EU AI Act erfüllt, kann vor der Einführung trotzdem eine Betriebsvereinbarung erfordern – und deren Verhandlung kann Monate dauern.

Diese Komplexität betrifft speziell deutsche Unternehmen und fehlt in auf Brüssel ausgerichteten Leitfäden weitgehend. CTOs in deutschen Unternehmen sollten sicherstellen, dass ihre Rechtsberater beide Regelwerke kennen und wissen, wie sie bei KI-gestützten HR- und Personalmanagement-Tools zusammenwirken. Internationale Kanzleien ohne starke Expertise im deutschen Arbeitsrecht sind hier oft nicht gut aufgestellt.

Der Compliance-Zeitplan: Was wann gilt

Der EU AI Act wird schrittweise wirksam, und der Digital Omnibus hat die zweite Hälfte des Zeitplans neu geordnet. Nicht alles gilt auf einmal, und die Verschiebung betrifft nicht alle Pflichten gleich. Die Unsicherheit darüber, was sich verschoben hat und was nicht, ist heute die größte Quelle trügerischer Sicherheit, die wir sehen: Unternehmen hören „auf 2027 verschoben“ und stellen still die Arbeit an Pflichten ein, die bereits durchsetzbar sind.

Die Verschiebung auf Dezember 2027 verändert die Rechnung in einem bestimmten Punkt: Ein komplexes Hochrisiko-System, das Sie heute in Ihrem Inventar entdecken, lässt sich jetzt realistisch anpassen, bevor die Pflichten greifen. Eine gründliche Konformitätsbewertung – technische Dokumentation, Genauigkeitstests, Bias-Bewertung und Gestaltung der Aufsichtsmechanismen – dauert bei einem System von echter Komplexität zwei bis vier Monate, und Architekturänderungen können weitere zwei Quartale in Anspruch nehmen. Fünfzehn Monate reichen dafür. Sechs Monate hätten nicht gereicht. Zum ersten Mal seit Beginn der Umsetzung kann ein Mittelständler, der bei null anfängt, fertig werden, ohne Abkürzungen zu nehmen.

Was die zusätzliche Zeit nicht tut: etwas von der Liste streichen. Die Pflichten selbst – Risikomanagement, Data Governance, technische Dokumentation, Protokollierung, menschliche Aufsicht, Genauigkeit und Robustheit – bleiben unverändert. Nur das Datum hat sich verschoben. Wer Dezember 2027 als Erlaubnis zum Abwarten versteht, steht am Ende genau da, wo er dieses Jahr stand – mit derselben Lücke im Inventar, aber ohne Ausrede. Wer die Zeit richtig nutzt, schließt Inventar und Einstufung 2026 ab und verwendet 2027 für Dokumentation und Aufsicht statt für die Bestandsaufnahme.

Wo die meisten Leitfäden zu kurz greifen

Der Markt für Beratung zum EU AI Act ist rasant gewachsen. Das meiste, was verkauft wird, hat drei wiederkehrende Schwächen.

Erstens: Es ist auf den Text der Verordnung ausgerichtet, nicht auf die Realität des KI-Einsatzes in Unternehmen. Ein Leitfaden, der empfiehlt, „technische Dokumentation für Hochrisiko-KI-Systeme zu führen“, ist inhaltlich korrekt. Er hilft aber nicht weiter, wenn die KI im SAP-HR-Modul vor drei Jahren von einem Berater eingeführt wurde, niemand die ursprüngliche Model Card hat und sich die Anbieterdokumentation auf eine inzwischen veraltete Version bezieht. In der Lücke zwischen regulatorischer Anforderung und betrieblicher Realität stecken die meisten Unternehmen fest – und genau dort helfen die meisten Leitfäden am wenigsten.

Zweitens: Es behandelt den EU AI Act als isolierte Compliance-Übung statt als Erweiterung bestehender Governance-Prozesse. Unternehmen mit ausgereifter Data Governance – DSGVO-Prozessen, Datenqualitätsrahmen, Audit-Trails – haben bei der Umsetzung des EU AI Act einen erheblichen Vorsprung. Viele Dokumentations- und Aufsichtspflichten des Acts erfüllen DSGVO-reife Unternehmen für ihre Datenverarbeitung bereits. Sie müssen nicht bei null anfangen, sondern bestehende Governance-Prozesse um KI-spezifische Anforderungen erweitern.

Drittens: Es ist für KI-Anbieter geschrieben, nicht für KI-Betreiber. Der Act unterscheidet zwischen Anbietern (Organisationen, die KI-Systeme entwickeln und in Verkehr bringen) und Betreibern (Organisationen, die KI-Systeme im eigenen Betrieb einsetzen). Die meisten Compliance-Leitfäden – und ein Großteil der öffentlichen Diskussion – konzentrieren sich auf die Pflichten der Anbieter (Artikel 16–27). Die meisten Mittelständler sind aber Betreiber, nicht Anbieter. Ihre Pflichten nach Artikel 26 sind andere: Sie verantworten Ihren Einsatzkontext, Ihren Anwendungsfall, Ihre Aufsichtsmechanismen und die Schulung Ihrer Mitarbeitenden. Für die technische Konformität des Systems selbst ist der Anbieter zuständig. Viele Unternehmen leisten Compliance-Arbeit auf Anbieterniveau, obwohl sie nur Betreiberpflichten erfüllen müssen – und umgekehrt.

Beratung, die ihr Geld wert ist, beginnt bei Ihren tatsächlichen KI-Systemen – nicht bei der Struktur der Verordnung –, klärt für jedes System, ob Sie Anbieter, Betreiber oder beides sind, und ordnet die Anforderungen dem zu, was Sie tatsächlich schulden. Wenn ein Compliance-Projekt ein Rahmenwerk-Dokument liefert, aber weder ein KI-Inventar noch die Unterscheidung zwischen Anbieter und Betreiber, hat es keine Compliance geliefert. Es hat Papier geliefert.

Fünf Fragen für Ihre nächste Führungsrunde

Diese fünf Fragen zeigen nach unserer Erfahrung aus Compliance-Bewertungen in der DACH-Region am zuverlässigsten, wie gut ein Unternehmen auf den EU AI Act vorbereitet ist. Sie eignen sich als Einstieg ins Gespräch auf Führungsebene und als grobe Standortbestimmung.

1. Haben wir ein vollständiges Inventar der KI-Systeme, die wir derzeit betreiben – einschließlich KI in Anbieterplattformen, die wir nicht explizit ausgewählt haben? Wenn die Antwort "wir haben eine Teilliste" oder "wir arbeiten daran" ist, haben Sie keines.
2. Haben wir KI-Kompetenzschulungen für alle Mitarbeitenden abgeschlossen, deren Arbeit von KI-Systemen betroffen ist? Artikel 4 gilt bereits. Ein bloß geplantes Programm erfüllt die Pflicht seit Februar 2025 nicht.
3. Wissen wir für jedes KI-System, das wir betreiben, ob es in eine der acht Hochrisiko-Kategorien aus Anhang III fällt? Die Antwort "unsere KI ist nicht hochriskant" ohne dokumentierte Bewertung ist keine Compliance-Antwort.
4. Haben wir für KI-Systeme im HR-, Recruiting- oder Leistungsmanagement-Kontext den Betriebsrat konsultiert? Das ist keine Zukunftsfrage. Wenn diese Systeme bereits in Betrieb sind, hätte die Konsultation bereits stattgefunden haben müssen.
5. Haben wir für Hochrisiko-KI-Systeme dokumentierte Belege menschlicher Aufsicht – nicht nur eine Richtlinie, sondern Audit-Trails, die zeigen, dass die Prüfung stattgefunden hat? Zu dokumentieren, dass Aufsicht stattfinden soll, ist etwas grundlegend anderes, als zu belegen, dass sie stattfindet.

Was als Nächstes kommt

Die Hochrisiko-Pflichten für eigenständige Systeme nach Anhang III gelten ab dem 2. Dezember 2027, für KI in regulierten Produkten nach Anhang I ab dem 2. August 2028. Das sind rund fünfzehn Monate Vorlauf – genug, um es richtig zu machen, und genug, um die Zeit zu verschwenden. Wer es richtig macht, schließt die Bestandsaufnahme 2026 ab, statt sie ein weiteres Mal zu verschieben.

Ein realistischer Plan für den Rest von 2026 hat drei Phasen. Woche eins bis drei: die beiden Pflichten erledigen, die bereits durchsetzbar sind – die Schulung zur KI-Kompetenz nach Artikel 4 und eine Prüfung aller KI-Kontaktpunkte mit Kunden und aller Content-Pipelines auf die Transparenzpflichten nach Artikel 50. Beides läuft parallel und braucht keine externe Hilfe. Woche vier bis zehn: das KI-Inventar abschließen und jedes System darin einstufen. Nutzen Sie die Kategorien aus Anhang III als ersten Filter und ziehen Sie Systeme in Personal-, HR- oder Kreditkontexten vor – dort schaut die Aufsicht zuerst hin. Der Rest des Jahres: für bestätigte Hochrisiko-Systeme den Umfang der technischen Dokumentation und der Aufsichtsgestaltung festlegen und im Budget für 2027 einplanen, solange es dafür noch einen Budgetzyklus gibt.

Wenn Sie ein Hochrisiko-System entdecken, das größere Architekturänderungen braucht – neue Protokollierung, neu gestaltete Workflows, ein externes Audit –, reicht die Zeit bis Dezember 2027 jetzt aus, sofern die Entdeckung 2026 passiert und nicht erst im letzten Quartal. Das Risiko hat sich verändert: Es besteht nicht mehr darin, dass die Zeit knapp wird, sondern darin, das Inventar so spät zu beginnen, dass sie trotzdem nicht reicht. Wo sich eine Lücke wirklich nicht schließen lässt, dokumentieren Sie Ihre Erkenntnisse, Ihre Bewertung und Ihren Maßnahmenplan mit einem realistischen Zeitplan. In der frühen Phase der Durchsetzung bewerten Aufsichtsbehörden eine dokumentierte Verpflichtung zur Behebung eher wohlwollend als ein Unternehmen, das keinerlei Problembewusstsein nachweisen kann. Das ist keine Rechtsberatung – sprechen Sie mit Ihren Rechtsberatern –, entspricht aber der üblichen Praxis in frühen Phasen der Regulierung.

Wie ProDataAI helfen kann

Wir arbeiten seit 2024 mit Mittelstandsunternehmen an der EU-AI-Act-Readiness. Was wir dabei immer wieder feststellen: Die Herausforderung liegt nicht im Verstehen der Verordnung – sondern in der Übertragung auf konkrete Systeme, konkrete Teams und den eigenen Governance-Kontext. Genau diese Übertragungsarbeit ist es, die wir leisten.

KI-Inventar & Klassifizierungsbewertung

Wir erfassen jedes KI-System in Ihrem Unternehmen – einschließlich KI, die in Anbieterplattformen eingebettet ist und die Ihr IT-Register möglicherweise nicht kennt – und stufen jedes System nach den Risikoklassen des EU AI Act ein. Dabei trennen wir Ihre Betreiberpflichten von den Anbieterpflichten (die meisten Mittelständler sind Betreiber, keine Anbieter – wer beides vermischt, treibt unnötigen Compliance-Aufwand). Viele Unternehmen brauchen Monate für ein Inventar; unser strukturierter Discovery-Prozess liefert ein dokumentiertes, klassifiziertes Inventar in zwei bis vier Wochen.

KI-Kompetenzprogramm nach Artikel 4

Wir konzipieren und liefern verhältnismäßige Schulungen für Ihre Teams – von Mitarbeitenden, die täglich KI-Assistenten nutzen, bis zu technischen Fachkräften, die KI-Systeme betreiben und warten. Verhältnismäßig heißt: Inhalt und Tiefe der Schulung richten sich nach der KI, mit der die jeweilige Rolle tatsächlich arbeitet. Wir erstellen die Teilnahmenachweise und die Dokumentation, wer welche Schulung erhalten hat, die Sie gegenüber einer Aufsichtsbehörde brauchen. In der Regel ist das ein Projekt von ein bis zwei Wochen, ohne externe E-Learning-Plattform.

Governance-Integration – DSGVO zum AI Act

Wenn Sie eine ausgereifte Data-Governance-Infrastruktur haben – DSGVO-Verarbeitungsverzeichnisse, Rechenschaftspflicht-Frameworks, Audit-Trails – erweitern wir diese um KI-spezifische Pflichten, anstatt parallele Compliance-Prozesse aufzubauen. Das ist der effizienteste Weg für Unternehmen mit vorhandener Governance-Reife. Die Unternehmen, die im Dezember 2027 am besten aufgestellt sind, behandeln den EU AI Act fast immer als Erweiterung bestehender Governance – nicht als eigenständiges Projekt.

Betriebsrat-Koordination

Gemeinsam mit Ihren Arbeitsrechtlern klären wir, wo sich EU AI Act und Mitbestimmung nach BetrVG überschneiden. Wir erstellen technische Dokumentation, die beiden Rechtsrahmen gerecht wird: die Konformitätsnachweise, die der Act verlangt, und die Transparenz, die Verhandlungen über Betriebsvereinbarungen beschleunigt. Internationale Compliance-Frameworks ignorieren diese Ebene vollständig; bei uns ist sie von Anfang an eingebaut.

Hochrisiko-Dokumentation & Überwachungsdesign

Für bestätigte Hochrisiko-Systeme erstellen wir die technische Dokumentation, Genauigkeitsbewertungen und die Aufsichtsmechanismen nach Artikel 26. Wir gestalten auch die Audit-Protokollierung und die Workflow-Änderungen, die nötig sind, damit menschliche Aufsicht nachweisbar ist – und nicht nur in einer Richtlinie steht. Kann ein Hochrisiko-System nicht rechtzeitig vollständig angepasst werden, helfen wir Ihnen, eine dokumentierte Risikoakzeptanz und einen Maßnahmenplan zu erstellen, der zeigt, dass Sie das Risiko kennen und einen glaubwürdigen Weg zur Compliance verfolgen.