Am Anfang steht nicht die Frage, welche Pflichten gelten, sondern wo im Unternehmen überhaupt AI eingesetzt wird. CRISAM® erfasst AI-Funktionen in Anwendungen, IT-Systemen und Cloud-Services, stuft sie ein und dokumentiert, was daraus folgt.
Rechtsstand: 23. September 2026
| AI-System | Rolle | Einstufung | Status |
|---|---|---|---|
| Bewerbervorauswahl im Recruiting | Betreiber | offen | |
| Kundenchat im Serviceportal | Anbieter | in Arbeit | |
| Textgenerator im Marketing | Betreiber | in Arbeit | |
| Prognose der Ersatzteilnachfrage | Betreiber | erledigt |
Der EU AI Act ist die Verordnung (EU) 2024/1689 über künstliche Intelligenz. Sie stuft AI-Systeme nach Risiko ein: unannehmbares Risiko und damit verboten, hohes Risiko mit umfangreichen Pflichten, Transparenzrisiko mit Hinweispflichten, minimales Risiko ohne besondere Anforderungen. Die Verordnung gilt unmittelbar in allen EU-Mitgliedstaaten und unterscheidet zwischen Anbietern und Betreibern.
Der Zeitplan wurde geändert: Die Verordnung (EU) 2026/1744 vom 8. Juli 2026, die Digital-Omnibus-Verordnung zur AI, verschiebt die Pflichten für Hochrisiko-AI-Systeme auf den 2. Dezember 2027 und, für AI in regulierten Produkten, auf den 2. August 2028.
Die Digital-Omnibus-Verordnung zur AI hat die Termine für Hochrisiko-AI verschoben. Die folgenden Termine entsprechen dieser geänderten Fassung.
Begriffsbestimmungen, AI-Kompetenz und die verbotenen Praktiken gelten.
Pflichten für AI-Modelle mit allgemeinem Verwendungszweck, nationale Behörden und Governance.
Transparenzpflichten nach Artikel 50, Durchsetzung durch die Behörden beginnt.
Neue Verbote und das Ende der Übergangsfrist für Anbieter synthetischer Inhalte.
Hochrisiko-AI-Systeme nach Anhang III unterliegen den vollen Anforderungen.
Hochrisiko-AI in regulierten Produkten nach Anhang I muss alle Vorgaben erfüllen.
Zuerst die Risikoklasse: Der Einsatzzweck des Systems bestimmt, wie viel verlangt wird. Dann die Rolle: Ob Sie die AI entwickeln oder einsetzen, führt zu unterschiedlichen Pflichten.
Die Verordnung unterscheidet zwischen denen, die ein AI-System entwickeln und in Verkehr bringen, und denen, die es einsetzen. Beide Rollen tragen Pflichten, aber nicht dieselben. Viele Unternehmen sind beides: Betreiber für zugekaufte Systeme, Anbieter für das, was sie selbst in ihr Produkt einbauen.
AI ist heute in vielen Anwendungen, IT-Systemen und Cloud-Services enthalten, ohne dass sie beim Einkauf als solche ausgewiesen wurde. Ohne einen vollständigen Überblick über die eingesetzten AI-Funktionen bleibt jede Einstufung unvollständig.
AI-Kompetenz gilt seit dem 2. Februar 2025 unabhängig von der Risikoklasse: Wer AI-Systeme betreibt oder anbietet, sorgt dafür, dass die damit befassten Personen ausreichend Kenntnisse haben.
Acht Pflichtenbereiche. Welche davon für Sie gelten, hängt von der Risikoklasse und Ihrer Rolle ab.
| Pflicht | Gilt für | Was verlangt wird | So bilden Sie es in CRISAM® ab |
|---|---|---|---|
| AI-Systeme erfassen | alle | Bevor eine Einstufung möglich ist, muss bekannt sein, wo AI eingesetzt wird. Das schließt AI-Funktionen in zugekauften Anwendungen und Cloud-Diensten ein | Zentrale Dokumentation aller AI-Systeme mit vollständigem Überblick über eingesetzte AI-Funktionen in Anwendungen, IT-Systemen und Cloud-Services. |
| Einstufen nach Risikoklasse | alle | Je System bestimmen, ob es verboten ist, als hochriskant gilt, transparenzpflichtig ist oder unter minimales Risiko fällt. Die Einstufung ist zu begründen | Das Dashboard Übersicht AI-Systeme zeigt alle erfassten Systeme mit Klassifizierung, Status, Risikoeinstufung und Verantwortlichkeiten. |
| Verbotene Praktiken unterlassen | alle | Praktiken mit unannehmbarem Risiko sind untersagt, darunter schädliche Manipulation, soziale Bewertung und die Erzeugung nicht einvernehmlicher intimer Inhalte | Systeme, die in diese Kategorie fallen, sind im Modell als solche gekennzeichnet. Der Nachweis, dass sie nicht eingesetzt werden, ist Teil der Dokumentation. |
| AI-Kompetenz sicherstellen | alle | Die mit AI-Systemen befassten Personen müssen über ausreichende Kenntnisse verfügen. Die Pflicht gilt unabhängig von der Risikoklasse | Verantwortlichkeiten je System sind hinterlegt. Schulungsnachweise lassen sich als Maßnahme mit Verantwortlichem und Frist führen. |
| Pflichten für Hochrisiko-AI, Anbieterseite | Anhang I und III | Risikobewertung und Risikominderung, hochwertige Trainingsdaten, Protokollierung zur Nachvollziehbarkeit der Ergebnisse, technische Dokumentation, Information der Betreiber, menschliche Aufsicht sowie Robustheit, Cybersicherheit und Genauigkeit | Risiken, Kontrollen, Maßnahmen und Compliance-Anforderungen werden je System im Kontext der gesamten GRC-Plattform abgebildet. Die Detailansicht zeigt Risikobewertung, Maßnahmenstatus und Dokumentation der Anforderungen. |
| Pflichten für Hochrisiko-AI, Betreiberseite | Anhang I und III | Wer ein Hochrisiko-System einsetzt, ohne es selbst entwickelt zu haben, trägt eigene Pflichten aus der Verordnung | CRISAM® deckt Anbieter- und Betreiberpflichten ab und unterstützt sowohl Organisationen, die AI-Systeme entwickeln, als auch jene, die AI einsetzen. |
| Transparenzpflichten | Artikel 50 | Menschen müssen erkennen können, dass sie mit einem AI-System zu tun haben. Für Anbieter synthetischer Inhalte endete die Übergangsfrist am 2. Dezember 2026 | Je System ist hinterlegt, welche Hinweispflicht greift und wie sie umgesetzt wurde. Der Stand fließt in den Bericht AI-Systeme ein. |
| Nachweis gegenüber Aufsicht und Kunden | alle | Die Einhaltung ist zu dokumentieren und auf Verlangen zu belegen, gegenüber Behörden ebenso wie gegenüber Geschäftspartnern | Die Dokumentation zur Erfüllung regulatorischer Anforderungen ist strukturiert, revisionssicher und auditfähig. Management- und Compliance-Reports unterstützen Audits und regulatorische Nachweise. |
Vom ersten Inventar bis zum Bericht, der die Einstufung jedes Systems belegt.
Jedes AI-System wird mit einem eigenen Eintrag erfasst: wo es läuft, wer es verantwortet, welche Rolle Sie dabei einnehmen und welche Daten es verarbeitet.
AI-Funktionen stecken in Anwendungen und Cloud-Diensten, ohne im Einkauf so benannt zu sein. Der Blick in die Vertragsunterlagen lohnt.
Anbieter oder BetreiberWer ein System selbst entwickelt und in Verkehr bringt, ist Anbieter. Wer es einsetzt, ist Betreiber. Beide Rollen tragen Pflichten.
Verbindung zum DatenschutzVerarbeitet das System personenbezogene Daten, gehört es auch ins Verzeichnis der Verarbeitungstätigkeiten.
Die Einstufung bestimmt den Aufwand. Sie wird begründet und bleibt nachvollziehbar, auch wenn sich das System später ändert.
| AI-System | Fachbereich | Rolle | Begründung | Status |
|---|---|---|---|---|
| Bewerbervorauswahl im Recruiting | Personal | Betreiber | Auswahl von Beschäftigten | |
| Bonitätsbewertung im Vertrieb | Finanzen | Betreiber | Kreditwürdigkeit | |
| Zutritt mit Gesichtserkennung | Facility | Betreiber | Biometrische Identifizierung | |
| Leistungsbewertung im Außendienst | Vertrieb | Betreiber | Bewertung von Beschäftigten | |
| Sicherheitsassistent im Produkt | Entwicklung | Anbieter | Bestandteil eines regulierten Produkts |
Je eingestuftem System wird bewertet, welche Anforderung erfüllt ist und woran sich das belegen lässt. Der Stand lässt sich je System und insgesamt auswerten.
| Anforderung | AI-System | Ist | Soll | Schwere |
|---|---|---|---|---|
| Protokollierung der Ergebnisse | Bewerbervorauswahl | 1 | 4 | |
| Nachweis der Datenqualität | Bonitätsbewertung | 1 | 4 | |
| Menschliche Aufsicht geregelt | Zutritt mit Gesichtserkennung | 2 | 4 | |
| Technische Dokumentation vollständig | Sicherheitsassistent | 2 | 4 | |
| Hinweis auf AI-Einsatz | Kundenchat im Serviceportal | 3 | 4 |
Für jede Lücke legen Sie eine Maßnahme mit Verantwortlichem und Frist an. Der Fortschritt fließt in dieselbe Auswertung zurück, in der die Lücke sichtbar wurde.
AI-Governance ist kein separates Thema. Jedes System ist mit denselben Objekten verknüpft wie Informationssicherheit, Datenschutz und Risikomanagement.
| AI-System | Asset im ISMS | Verarbeitung im DSMS | Risiko im Register | Kontrolle im IKS |
|---|---|---|---|---|
| Bewerbervorauswahl im Recruiting | ||||
| Bonitätsbewertung im Vertrieb | ||||
| Zutritt mit Gesichtserkennung | ||||
| Kundenchat im Serviceportal | ||||
| Textgenerator im Marketing | ||||
| Prognose der Ersatzteilnachfrage |
| AI-System | Offener Punkt | Verantwortlich |
|---|---|---|
| Zutritt mit Gesichtserkennung | Kein eigenes Risiko im Register hinterlegt | Risikomanagement |
| Textgenerator im Marketing | Verarbeitungstätigkeit noch nicht eingetragen | Datenschutz |
Am Ende steht der Bericht AI-Systeme: was eingesetzt wird, wie es eingestuft ist, welche Anforderungen erfüllt sind und was noch in Umsetzung ist. Dieselbe Grundlage dient für Audit und Kundenanfrage.
| Nachweis | AI-System | Stand | Verantwortlich | Status |
|---|---|---|---|---|
| Inventar aller AI-Systeme | alle | 14.09.2026 | IT-Governance | |
| Einstufung mit Begründung | 38 von 45 | 14.09.2026 | IT-Governance | |
| AI-Richtlinie mit Freigabe | alle | 06.03.2026 | Geschäftsführung | |
| Nachweis der Datenqualität | Bonitätsbewertung | geplant 03/2027 | Finanzen | |
| Protokollierungskonzept | Bewerbervorauswahl | in Überarbeitung | Personal | |
| Schulungsnachweise AI-Kompetenz | alle | geplant 12/2026 | Personal |
AI-Richtlinie, Ressourcen, Entscheidung über den Einsatz von Hochrisiko-Systemen.
Inventar, Einstufung, Bewertung der Anforderungen, Berichterstattung.
Verknüpfung mit Verarbeitungsverzeichnis und ISMS, gemeinsame Risikosicht.
Auskunft über eingesetzte AI-Funktionen, Umsetzung im Tagesgeschäft, Schulung.
CRISAM® betrachtet AI nicht isoliert, sondern als festen Bestandteil Ihrer Unternehmens-Governance. Risiken, Kontrollen, Maßnahmen und Compliance-Anforderungen werden im Kontext der gesamten GRC-Plattform abgebildet.
Vollständiger Überblick über eingesetzte AI-Funktionen in Anwendungen, IT-Systemen und Cloud-Services, mit Klassifizierung, Status, Risikoeinstufung und Verantwortlichkeiten.
Direkte Verknüpfung mit dem Informationssicherheits-Managementsystem und dem Datenschutzmanagement, für ein integriertes Governance-Setup statt dreier getrennter Ablagen.
CRISAM® unterstützt sowohl Organisationen, die AI-Systeme entwickeln, als auch jene, die AI einsetzen. Viele Unternehmen sind beides zugleich.
Die Dokumentation zur Erfüllung regulatorischer Anforderungen ist strukturiert, revisionssicher und auditfähig. Management- und Compliance-Reports unterstützen Audits und regulatorische Nachweise.
Der EU AI Act ist geltendes Recht und legt je nach Risikoklasse und Rolle bestimmte Pflichten fest. ISO/IEC 42001:2023 ist eine freiwillige Norm und legt fest, wie ein Managementsystem für künstliche Intelligenz aufgebaut, betrieben und verbessert wird. Die Norm ersetzt die Verordnung nicht, liefert aber die Struktur, in der sich deren Anforderungen ordnen lassen.
| Kriterium | EU AI Act | ISO/IEC 42001 |
|---|---|---|
| Art | Verordnung (EU) 2024/1689, unmittelbar geltendes Recht | ISO/IEC 42001:2023, erste Ausgabe, veröffentlicht am 18. Dezember 2023, freiwillige Norm |
| Gegenstand | Pflichten je AI-System, abhängig von Risikoklasse und Rolle | Anforderungen an ein Managementsystem für künstliche Intelligenz |
| Verbindlichkeit | Pflicht, mit behördlicher Durchsetzung | Freiwillig, zertifizierbar wie andere Managementsystemnormen |
| Blickrichtung | Vom einzelnen System aus: einstufen, Pflichten erfüllen, belegen | Von der Organisation aus: Politik, Rollen, Prozesse, Verbesserung |
| Ergebnis | Nachweisfähigkeit gegenüber Behörden und Geschäftspartnern | Zertifikat über das Managementsystem |
| Zeitliche Bindung | Termine stehen fest, gestaffelt bis 2. August 2028 | Kein gesetzlicher Termin, der Anlass kommt aus dem Markt |
| Abbildung in CRISAM® | AI-Systeme, Einstufung, Anforderungen je System, Bericht AI-Systeme | Die Struktur eines Managementsystems ist dieselbe wie bei ISMS und Datenschutz und im selben Modell abbildbar |
Die Pflichten aus dem EU AI Act treffen Sie unabhängig davon, ob Sie nach ISO/IEC 42001 zertifiziert sind. Umgekehrt gibt die Norm den Anforderungen der Verordnung einen organisatorischen Rahmen: Politik, Rollen, Risikobeurteilung, interne Prüfung. Wer bereits ein ISMS nach ISO/IEC 27001 betreibt, kennt diese Struktur. Eine Übersicht aller Regelwerke, die CRISAM® abdeckt, finden Sie unter Normen und Standards.
Der erste Schritt hängt davon ab, wo Sie heute stehen.
Dann beginnen Sie mit dem Inventar. Erfasst werden AI-Funktionen in Anwendungen, IT-Systemen und Cloud-Services, samt Rolle, Zweck und Verantwortlichem. Ohne diesen Überblick bleibt jede Einstufung unvollständig.
Dann steht die Begründung im Mittelpunkt. Je System wird festgehalten, welche Risikoklasse gilt und warum. Das Dashboard zeigt Klassifizierung, Status, Risikoeinstufung und Verantwortlichkeiten an einer Stelle.
Dann ergänzen Sie die AI-Governance, ohne ein weiteres System einzuführen. AI-Systeme werden mit den vorhandenen Assets, Verarbeitungstätigkeiten und Risiken verknüpft, statt daneben gepflegt zu werden.
Sie benötigen dafür die CRISAM® GRC Plattform und das CRISAM® DPMS Modul. In der Demo besprechen wir Ihre Ausgangslage und zeigen, was davon bei Ihnen bereits vorhanden ist.
Der EU AI Act ist die Verordnung (EU) 2024/1689 über künstliche Intelligenz. Sie stuft AI-Systeme nach Risiko ein: unannehmbares Risiko und damit verboten, hohes Risiko mit umfangreichen Pflichten, Transparenzrisiko mit Hinweispflichten, minimales Risiko ohne besondere Anforderungen. Die Verordnung gilt unmittelbar in allen EU-Mitgliedstaaten und unterscheidet zwischen Anbietern und Betreibern.
Ja. Die Verordnung (EU) 2026/1744 vom 8. Juli 2026, die Digital-Omnibus-Verordnung zur AI, ändert unter anderem die Verordnung (EU) 2024/1689 und ist am 27. Juli 2026 in Kraft getreten. Die Pflichten für eigenständige Hochrisiko-AI-Systeme nach Anhang III gelten dadurch ab 2. Dezember 2027, für Hochrisiko-AI in regulierten Produkten nach Anhang I ab 2. August 2028.
Seit 2. Februar 2025 gelten Begriffsbestimmungen, AI-Kompetenz und die verbotenen Praktiken. Seit 2. August 2025 gelten die Pflichten für AI-Modelle mit allgemeinem Verwendungszweck sowie die Governance-Vorgaben. Seit 2. August 2026 greifen die Transparenzpflichten nach Artikel 50 und die Durchsetzung durch die Behörden. Am 2. Dezember 2026 kommen neue Verbote und das Ende der Übergangsfrist für Anbieter synthetischer Inhalte hinzu. Die Hochrisiko-Pflichten folgen am 2. Dezember 2027 und am 2. August 2028.
Der EU AI Act unterscheidet vier Klassen. Unannehmbares Risiko: Praktiken, die eine klare Bedrohung für Sicherheit, Lebensgrundlagen und Rechte darstellen. Sie sind verboten. Hohes Risiko: Systeme, die ernste Risiken für Gesundheit, Sicherheit oder Grundrechte bergen, etwa biometrische Identifizierung, Bewerberauswahl und Kreditwürdigkeitsprüfung. Transparenzrisiko: Systeme, bei denen Menschen wissen müssen, dass sie mit einer Maschine zu tun haben. Minimales Risiko: die große Mehrheit der Systeme, ohne besondere Anforderungen.
Die Europäische Kommission nennt sieben Bereiche: angemessene Systeme zur Risikobewertung und Risikominderung, hochwertige Trainingsdaten zur Vermeidung diskriminierender Ergebnisse, Protokollierung zur Nachvollziehbarkeit der Ergebnisse, ausführliche Dokumentation zur Beurteilung der Konformität, klare Informationen für die Betreiber, angemessene menschliche Aufsicht sowie ein hohes Maß an Robustheit, Cybersicherheit und Genauigkeit.
Die Verordnung unterscheidet zwischen denen, die ein AI-System entwickeln und in Verkehr bringen, und denen, die es einsetzen. Beide Rollen tragen Pflichten, aber nicht dieselben. Viele Unternehmen sind beides: Betreiber für zugekaufte Systeme, Anbieter für das, was sie selbst in ihr Produkt einbauen. CRISAM® deckt Anbieter- und Betreiberpflichten ab.
Der EU AI Act ist geltendes Recht und legt je nach Risikoklasse und Rolle bestimmte Pflichten fest. ISO/IEC 42001:2023 ist eine freiwillige Norm und legt fest, wie ein Managementsystem für künstliche Intelligenz aufgebaut, betrieben und verbessert wird. Die Norm ersetzt die Verordnung nicht, liefert aber die Struktur, in der sich deren Anforderungen ordnen lassen.
Mit einem Inventar, das neben selbst entwickelten Systemen auch zugekaufte AI-Funktionen erfasst. CRISAM® dokumentiert AI-Systeme zentral und gibt einen vollständigen Überblick über eingesetzte AI-Funktionen in Anwendungen, IT-Systemen und Cloud-Services. Das Dashboard Übersicht AI-Systeme zeigt alle erfassten Systeme mit Klassifizierung, Status, Risikoeinstufung und Verantwortlichkeiten.
Die regulatorischen Angaben auf dieser Seite stammen aus den folgenden Quellen.
Die Angaben geben den Stand der genannten Quellen zum oben angeführten Prüfstand wieder.
In der Demo gehen wir Ihren Fall durch: Inventar der AI-Systeme, Einstufung mit Begründung, Anforderungen je System und den abschließenden Bericht.
Bleiben wir in Kontakt
Telefon
Newsletter
Sie sehen gerade einen Platzhalterinhalt von Facebook. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie müssen den Inhalt von reCAPTCHA laden, um das Formular abzuschicken. Bitte beachten Sie, dass dabei Daten mit Drittanbietern ausgetauscht werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Hubspot Embedded Content. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von HubSpot. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Hubspot Meetings. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Instagram. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von X. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr Informationen
