KI-Verordnung umsetzen

KI-Verordnung: sechs erste Schritte

Unabhängig von Branche und Größe beginnt die Umsetzung fast immer gleich. Diese Schritte schaffen die Grundlage – und lassen sich später in ein KI-Managementsystem nach ISO/IEC 42001 überführen.

1.      KI-Inventar aufbauen: Welche KI-Systeme sind im Einsatz – auch eingebettet in Office-Anwendungen, SaaS-Dienste und Fachverfahren?

2.      Rolle und Risikoklasse bestimmen: Sind Sie Anbieter oder Betreiber? Ist ein System verboten, hochriskant, transparenzpflichtig oder mit minimalem Risiko verbunden?

3.      KI-Kompetenz fördern: Schulen Sie Beschäftigte, die mit KI arbeiten, und dokumentieren Sie die Maßnahmen.

4.      Verantwortung regeln: Legen Sie KI-Richtlinie, Rollen und einen Freigabeprozess für neue KI-Anwendungen fest.

5.      Risiken und Folgen bewerten: Analysieren Sie KI-Risiken und führen Sie, wo erforderlich, Datenschutz- und Grundrechte-Folgenabschätzungen durch.

6.      Nachweise führen: Dokumentieren Sie Maßnahmen, Prüfungen und Vorfälle so, dass Sie sie gegenüber Aufsicht und Auditoren belegen können.

Ausblick:
ein AIMS-Modul für die HiScout GRC Suite

Unser Ziel ist es, die HiScout GRC Suite perspektivisch um ein Modul für KI-Managementsysteme nach ISO/IEC 42001 zu erweitern – integriert in die bestehende Plattform und ihre gemeinsame Datenbasis.

Im Mittelpunkt stehen aus heutiger Sicht das KI-Inventar, die Einstufung nach den Risikoklassen der KI-Verordnung, KI-spezifische Risiken, die Grundrechte-Folgenabschätzung im Zusammenspiel mit der DSFA sowie Anforderungskataloge für KI-Verordnung und ISO/IEC 42001.

Umfang und Zeitpunkt stehen noch nicht fest: Wir richten sie an den Anforderungen unserer Kunden sowie an der weiteren Entwicklung von Regulierung und Normung aus. Bringen Sie Ihre Anforderungen ein – wir freuen uns über Impulse aus der Praxis.

Warum HiScout für KI-Governance?

HiScout ist seit über 15 Jahren Partner für Integrierte Managementsysteme. Unsere Plattform wird von über 200 Unternehmen und Behörden eingesetzt – darunter zahlreiche KRITIS-Betreiber. Diese Erfahrung bringen wir in das Thema KI ein.

Das spricht für HiScout:

• Managementsysteme als Kern: HiScout bildet ISMS, BCM, Datenschutz und Audit bereits ab; ISO/IEC 42001 folgt derselben Managementsystem-Logik.
• Eine Datenbasis statt Zweitsystem: Das AIMS-Modul soll KI-Systeme dort führen, wo Anwendungen, Prozesse, Dienstleister, Risiken und Maßnahmen bereits gepflegt werden.
• Low-Code für bewegliche Regulierung: Auf unserer Low-Code-Plattform setzen wir neue Anforderungen schnell um – wichtig, solange sich Fristen und Normen noch entwickeln. Mit Auditmanagement und Geheimschutz sind zuletzt zwei neue Module auf derselben Plattform in kurzer Zeit entstanden.
• Bewährte dezentrale Erhebung: Der HiScout Questionnaire bindet Fachbereiche und externe Ansprechpartner per Fragebogen ein – eine Voraussetzung für ein vollständiges KI-Inventar.
• Tauglich für Behörden und KRITIS: Betrieb on-premise oder als SaaS in deutschen Rechenzentren, mandantenfähig und barrierefrei nach WCAG und BITV; Entwicklung und Support in Deutschland.

Erfahren Sie mehr über die Grundlagen in HiScout

FAQ – Häufig gestellte Fragen zur KI-Verordnung und zum KI-Managementsystem

Was regelt die KI-Verordnung?

Die KI-Verordnung – Verordnung (EU) 2024/1689, auch AI Act oder KI-VO – ist der EU-weite Rechtsrahmen für künstliche Intelligenz. Sie folgt einem risikobasierten Ansatz: Bestimmte KI-Praktiken sind verboten, für Hochrisiko-KI-Systeme gelten umfassende Anforderungen, für weitere Systeme vor allem Transparenzpflichten. In Deutschland übernimmt die Bundesnetzagentur die zentrale Rolle bei Aufsicht und Marktüberwachung; im Finanzsektor bleibt die BaFin zuständig.

Wer ist von der KI-Verordnung betroffen?

Die Verordnung betrifft Unternehmen und Behörden, die KI-Systeme anbieten oder einsetzen. Die meisten Organisationen sind Betreiber: Sie nutzen KI in eigener Verantwortung, etwa Chatbots, Assistenzsysteme oder KI-Funktionen in Fachverfahren. Welche Pflichten gelten, hängt von Rolle und Risikoklasse ab. Eine erste Orientierung bietet der KI-Compliance Kompass der Bundesnetzagentur.

Ab wann gelten die Pflichten?

Die KI-Verordnung gilt gestaffelt (Stand: Oktober 2026):

• seit 2. Februar 2025: Verbote bestimmter KI-Praktiken und Maßnahmen zur KI-Kompetenz der Beschäftigten
• seit 2. August 2025: Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck
• seit 2. August 2026: Transparenzpflichten, etwa der Hinweis auf Chatbots und die Kennzeichnung KI-erzeugter Inhalte
• ab 2. Dezember 2026: weitere Verbote nach Art. 5 sowie die maschinenlesbare Kennzeichnung auch für generative KI-Systeme, die schon vor August 2026 auf dem Markt waren
• ab 2. Dezember 2027: Anforderungen an Hochrisiko-KI-Systeme nach Anhang III, etwa als Sicherheitsbauteil kritischer Infrastruktur, im Personalwesen, in der Bildung, bei der Kreditwürdigkeitsprüfung oder beim Zugang zu öffentlichen Leistungen
• ab 2. August 2028: Hochrisiko-KI in Produkten nach Anhang I, etwa in Medizinprodukten

Die Hochrisiko-Fristen hat die EU mit dem Digital-Omnibus zur KI (Verordnung (EU) 2026/1744) verschoben und einzelne Pflichten angepasst. Die Hochrisiko-Anforderungen bleiben im Kern bestehen.

Welche Pflichten haben Betreiber von Hochrisiko-KI?

Sobald die Hochrisiko-Fristen greifen, müssen Betreiber solche Systeme gemäß Betriebsanleitung einsetzen, die menschliche Aufsicht kompetenten Personen übertragen, den Betrieb überwachen, automatisch erzeugte Protokolle mindestens sechs Monate aufbewahren sowie Beschäftigte und betroffene Personen informieren (Art. 26 KI-VO). Öffentliche Stellen registrieren ihren Einsatz zusätzlich in der EU-Datenbank. Eine Grundrechte-Folgenabschätzung vor dem Einsatz ist für öffentliche Stellen, private Erbringer öffentlicher Dienste sowie für KI zur Kreditwürdigkeitsprüfung oder zur Risikobewertung und Preisbildung in der Lebens- und Krankenversicherung vorgeschrieben – ausgenommen KI in kritischer Infrastruktur (Art. 27 KI-VO).

Was ist ein KI-Managementsystem (AIMS)
nach ISO/IEC 42001?

ISO/IEC 42001 ist die internationale Norm für KI-Managementsysteme (Artificial Intelligence Management System, AIMS), veröffentlicht im Dezember 2023. Sie beschreibt, wie Organisationen Verantwortlichkeiten, Richtlinien, Risiken und Kontrollen für KI über den gesamten Lebenszyklus steuern. Die Norm ist freiwillig und zertifizierbar und folgt derselben Grundstruktur wie ISO/IEC 27001 und ISO 9001. Eine Zertifizierung ersetzt nicht die Pflichten aus der KI-Verordnung, hilft aber, sie strukturiert umzusetzen.

Wie hängen KI-Verordnung, ISO 27001 und DSGVO zusammen?

Die KI-Verordnung gilt neben der DSGVO und bestehenden Sicherheitsvorgaben. KI-Systeme sind Teil Ihrer IT-Landschaft und damit Gegenstand des ISMS. Verarbeiten sie personenbezogene Daten, ist häufig eine Datenschutz-Folgenabschätzung nötig; die Grundrechte-Folgenabschätzung nach der KI-Verordnung darf auf diese verweisen oder Teile daraus übernehmen. Wer diese Themen auf einer Plattform führt, vermeidet Doppelarbeit.

Brauche ich eine Software für die KI-Verordnung
oder genügt Excel?

Für eine erste Bestandsaufnahme kann Excel genügen. Sobald jedoch viele KI-Anwendungen, mehrere Fachbereiche, Risikobewertungen, Folgenabschätzungen und Nachweise zusammenkommen, wird eine Tabelle fehleranfällig und unübersichtlich. Eine GRC-Plattform verknüpft KI-Systeme mit Prozessen, Risiken und Maßnahmen und hält Nachweise revisionssicher fest.

Bietet HiScout bereits ein Modul für die KI-Verordnung an?

Ein eigenes AIMS-Modul gibt es noch nicht. Wir möchten die HiScout GRC Suite perspektivisch um ein solches Modul erweitern. Grundlage sollen die bewährten Module HiScout ISM und HiScout Datenschutz mit ihrer gemeinsamen Datenbasis sein. Sprechen Sie uns an – wir freuen uns über Ihre Anforderungen.

Stand der rechtlichen Angaben: Oktober 2026. Diese Seite informiert allgemein und ersetzt keine Rechtsberatung.