Der EU AI Act ist die weltweit erste umfassende KI-Verordnung, und es handelt sich nicht nur um ein Problem für das Compliance-Team. Wenn Sie in einem Sicherheitsteam für KI-Systeme verantwortlich sind, die europäische Nutzer bedienen, führt das Gesetz spezifische Verpflichtungen ein, die direkt in Ihren Zuständigkeitsbereich fallen.
Was der EU AI Act tatsächlich verlangt
Das Gesetz verfolgt einen risikobasierten Ansatz und kategorisiert KI-Systeme in vier Stufen:
Unannehmbares Risiko — vollständig verboten. Social Scoring durch Regierungen, biometrische Echtzeit-Fernidentifizierung im öffentlichen Raum (mit eng gefassten Ausnahmen).
Hohes Risiko — streng reguliert. KI, die in kritischer Infrastruktur, bei Beschäftigungsentscheidungen, Kreditwürdigkeitsprüfungen, Strafverfolgung, Bildung und wesentlichen Dienstleistungen eingesetzt wird. Diese Systeme unterliegen obligatorischen Anforderungen an Risikomanagement, Data Governance, Transparenz, menschliche Aufsicht und Sicherheit.
Begrenztes Risiko — Transparenzpflichten. Chatbots, Deepfakes und Emotionserkennungssysteme müssen die KI-Beteiligung offenlegen.
Minimales Risiko — keine zusätzlichen Verpflichtungen. Spamfilter, KI in Videospielen und ähnliche risikoarme Anwendungen.
Die sicherheitsrelevanten Anforderungen
Artikel 9: Risikomanagement
Hochrisikosysteme müssen über ein Risikomanagementsystem verfügen, das formale Bedrohungsmodellierung, dokumentierte Risikobewertungen einschließlich adversarialer Bedrohungen, Nachweise von Sicherheitstests und kontinuierliche Risikoüberwachung umfasst.
Artikel 10: Data Governance
Trainings-, Validierungs- und Testdatensätze müssen Qualitätskriterien erfüllen. Zu den Sicherheitsaspekten gehören die Integrität der Datenpipeline, Zugriffskontrollen auf Trainingsdatensätze, Datenherkunft sowie Bias- und Poisoning-Erkennung.
Artikel 15: Genauigkeit, Robustheit und Cybersicherheit
Dies ist der zentrale Artikel für Sicherheitsteams. Hochrisiko-KI-Systeme müssen „ein angemessenes Maß an Genauigkeit, Robustheit und Cybersicherheit” erreichen und „widerstandsfähig gegenüber Versuchen nicht autorisierter Dritter sein, ihre Nutzung, Ausgaben oder Leistung durch Ausnutzung von Systemschwachstellen zu verändern”.
In praktischer Hinsicht: adversariale Robustheitstests, KI-spezifische Sicherheitsbewertung, Resilienzmaßnahmen gegen Data Poisoning und Modellextraktion sowie kontinuierliche Überwachung.
Artikel 61: Marktüberwachung nach dem Inverkehrbringen
Anbieter müssen Systeme zur Marktüberwachung nach dem Inverkehrbringen einrichten — kontinuierliche Überwachung auf adversariale Aktivitäten, Vorfallserkennung, regelmäßige Sicherheitsneubewertung und Dokumentation von Ereignissen und Reaktionen.
Zeitplan
- Februar 2025 — Verbote für KI-Systeme mit unannehmbarem Risiko treten in Kraft
- August 2025 — Verpflichtungen für KI-Modelle für allgemeine Zwecke treten in Kraft
- August 2026 — Vollständige Verpflichtungen für Hochrisiko-KI-Systeme treten in Kraft
Was Sicherheitsteams jetzt tun sollten
1. Klassifizieren Sie Ihre KI-Systeme
Arbeiten Sie mit Rechts- und Compliance-Teams zusammen, um jedes KI-System anhand der Kategorien des Gesetzes zu klassifizieren. Vergessen Sie nicht KI-Systeme, die von Dritten bezogen werden.
2. Führen Sie KI-spezifische Sicherheitsbewertungen durch
Herkömmliche Penetrationstests decken keine KI-Angriffsflächen ab. Sie benötigen adversariale Tests, die Evasion Attacks, Prompt Injection, Data Poisoning, Model Extraction und Membership Inference abdecken. Hierfür sind AI Red Team Services konzipiert.
3. Bauen Sie KI-Sicherheitsüberwachung auf
Artikel 61 erfordert Marktüberwachung nach dem Inverkehrbringen. Ihr SOC muss anomale Anfragemuster, adversariale Eingabeverteilungen, Verschlechterung der Modellleistung und ungewöhnliche Ausgaben erkennen. AI Blue Team Capabilities sind speziell hierfür entwickelt.
4. Dokumentieren Sie alles
Der EU AI Act ist dokumentationsintensiv. Führen Sie Risikomanagement-Aufzeichnungen, Testergebnisse, Überwachungskonfigurationen, Incident-Response-Aufzeichnungen und Nachweise für Abhilfemaßnahmen.
5. Investieren Sie in Schulungen
Das Gesetz erwartet kompetentes Personal, das KI-Systeme beaufsichtigt. Ihr Sicherheitsteam benötigt Schulungen zu KI-spezifischen Bedrohungen und Testmethoden.
Der Plattformvorteil
Die manuelle Verwaltung der EU AI Act-Compliance wird im großen Maßstab unüberschaubar. Die LittleData.ai-Plattform bietet automatisierte Risikoklassifizierung, artikel-für-artikel Compliance-Tracking, Gap-Analyse, Dokumentationserstellung, 56 Schulungsmaterialien und Zeitplanverfolgung.
Warten Sie nicht
Der EU AI Act stellt die bedeutendste KI-Regulierung weltweit dar. Organisationen, die jetzt mit dem Aufbau von KI-Sicherheitskapazitäten beginnen, werden bereit sein, wenn die Fristen eintreten. Diejenigen, die warten, werden feststellen, dass August 2026 schneller kommt als erwartet.
Benötigen Sie Hilfe? Nehmen Sie Kontakt auf, um Ihre KI-Systeme und Compliance-Anforderungen zu besprechen. Oder erkunden Sie die LittleData.ai-Plattform für automatisiertes Compliance-Tracking.