AI Act und ISO/IEC 42001: was heute gemessen wird und was in Vorbereitung ist.
Für eine Organisation, die KI nutzt oder integriert: Wir messen Ihre Abdeckung des AI Act, bewerten ISO/IEC 42001 und behandeln Ihre KI-Anbieter als Drittparteien. Das Register der KI-Systeme ist ein Modul in Vorbereitung, ohne Termin.
- AI Governance: in Vorbereitung, ohne Termin und ohne Versprechen
- Daten in der EU (OVH, Gravelines); Cloudflare (USA) auf dem Anfragepfad
Was der AI Act verlangt, kurz gefasst
Er regelt KI nach dem Risiko des Systems und der Rolle, die Sie einnehmen: Anbieter oder Betreiber.
Informative Zusammenfassung, keine Rechtsberatung. Die Fristen haben sich kürzlich geändert; maßgeblich ist die konsolidierte Fassung in EUR-Lex.
- Verbotene Praktiken
- Einige Verwendungen von KI sind verboten (Artikel 5), und Anbieter und Betreiber müssen Maßnahmen ergreifen, um die KI-Kompetenz ihres Personals zu fördern, ohne ein bestimmtes Niveau zu garantieren (Artikel 4).
- Hochrisikosysteme
- Die der Anhänge I und III unterliegen Anforderungen an Risikomanagement, Daten, technische Dokumentation, Ereignisprotokollierung und menschliche Aufsicht. Wer sie einsetzt, hat eigene Pflichten (Artikel 26).
- Transparenz und Modelle mit allgemeinem Verwendungszweck
- Es gibt Informationspflichten gegenüber den Nutzern (Artikel 50) und besondere Anforderungen an die Anbieter von Modellen mit allgemeinem Verwendungszweck.
- Rolle und Zeitplan
- Was für Sie gilt, hängt davon ab, ob Sie Anbieter oder Betreiber sind und welches Risiko das System birgt. Der Zeitplan für Hochrisikosysteme wurde durch die Verordnung (EU) 2026/1744 geändert; maßgeblich ist die konsolidierte Fassung in EUR-Lex.
Ein gestaffelter Zeitplan
Fristen nach der Verordnung (EU) 2024/1689 in der durch die Verordnung (EU) 2026/1744 geänderten Fassung. Prüfen Sie sie im konsolidierten Text, bevor Sie planen.
2. Feb. 2025
Kapitel I und II: Verbote und KI-Kompetenz
Artikel 5 (verbotene Praktiken) und Artikel 4 (KI-Kompetenz) gelten. Die Verordnung (EU) 2026/1744 hat Artikel 4 neu gefasst; er gilt in der neuen Fassung seit dem 27. Juli 2026: die Entwicklung der KI-Kompetenz fördern, ohne ein bestimmtes Niveau zu garantieren.
2. Aug. 2025
Sanktionen, KI-Modelle mit allgemeinem Verwendungszweck und Governance
Es gelten das Kapitel XII über Sanktionen (außer Artikel 101), die Pflichten der Anbieter von KI-Modellen mit allgemeinem Verwendungszweck (Kapitel V) und die Governance-Vorschriften; Verstöße gegen Artikel 5 können ab diesem Datum geahndet werden (Artikel 113 Buchstabe b).
2. Aug. 2026
Transparenzpflichten
Allgemeines Anwendungsdatum. Artikel 50 gilt: Informationspflichten gegenüber Personen, die mit einem KI-System interagieren oder KI-generierten oder -manipulierten Inhalten ausgesetzt sind. Für generative Systeme, die vor diesem Datum in Verkehr gebracht wurden, gilt eine Übergangsfrist bis zum 2. Dezember 2026 (Artikel 111 Absatz 4).
2. Dez. 2026
Neue verbotene Praktiken
Die durch die Verordnung (EU) 2026/1744 in Artikel 5 eingefügten Punkte gelten: Artikel 5 Absatz 1 Buchstaben ba und bb sowie Artikel 5 Absätze 1a und 1b. An diesem Tag endet auch die Frist für generative Systeme, die vor dem 2. August 2026 in Verkehr gebracht wurden, Artikel 50 Absatz 2 einzuhalten (Artikel 111 Absatz 4).
2. Dez. 2027
Hochrisiko nach Anhang III
Kapitel III Abschnitte 1 bis 3 gelten für Hochrisiko-Systeme nach Artikel 6 Absatz 2 und Anhang III, einschließlich der Pflichten der Betreiber (Artikel 26) und der Grundrechte-Folgenabschätzung (Artikel 27) (Artikel 113 Buchstabe c Ziffer i).
2. Aug. 2028
Hochrisiko nach Anhang I
Kapitel III Abschnitte 1 bis 3 gelten für Hochrisiko-Systeme nach Artikel 6 Absatz 1 und Anhang I, also Sicherheitsbauteile regulierter Produkte oder regulierte Produkte selbst (Artikel 113 Buchstabe c Ziffer ii).
2. Aug. 2030
Behörden
Anbieter und Betreiber von Hochrisiko-KI-Systemen, die zur Verwendung durch Behörden bestimmt sind, müssen bis zu diesem Datum die Vorgaben erfüllen, auch wenn das System bereits auf dem Markt war (Artikel 111 Absatz 2).
HodeiAI: die KI der Plattform, mit ihren Grenzen beschrieben
Ein Beispiel dafür, wie eine KI innerhalb eines Produkts gesteuert wird, keine Konformitätserklärung.
- Modell
- Mistral AI, Unterauftragsverarbeiter von Hodeitek.
- Vorherige Pseudonymisierung
- HodeiAI und der virtuelle CISO pseudonymisieren die erkannten personenbezogenen Daten vor dem Senden; die Zuordnung existiert nur im Arbeitsspeicher. Die Risikoanalyse der Lieferantenscans pseudonymisiert nicht: Sie sendet die Domain des Lieferanten und die Befunde.
- Schalter für Administratoren
- Ein Administrator Ihrer Organisation kann HodeiAI deaktivieren; deaktiviert, erfolgt kein Aufruf des Modells.
- Handelt nie ohne Bestätigung
- HodeiAI schlägt vor; eine Person mit Schreibrolle gibt einmalig frei, für 15 Minuten und gebunden an den Hash des Vorschlags.
Von jeder Pflicht zu einer Fähigkeit von HodeiShield
Mit Phase im Zyklus. Hier sieht man gut, was heute existiert und was nicht.
Direkt: Die Plattform erledigt es. Teilweise: Sie liefert Nachweise oder einen Teil, den Rest übernehmen Sie. Nicht abgedeckt: liegt außerhalb von HodeiShield.
- Pflicht:
Ihre Abdeckung des AI Act messen
Verordnung (EU) 2024/1689
Was HodeiShield leistet:Der AI Act steht unter den 17 Rahmenwerken als an den kanonischen Kontrollen gemessene Abdeckung.
Docs · Compliance (öffnet sich in einem neuen Tab)PhaseSENSEPREDICTUmfangTeilweise - Pflicht:
KI-Governance als Managementsystem systematisieren
ISO/IEC 42001
Was HodeiShield leistet:Bewertung von ISO/IEC 42001 Kontrolle für Kontrolle mit Nachweisen samt verantwortlicher Person und Gültigkeit. Die Norm hilft, die Governance zu organisieren; sie ist nicht gleichbedeutend mit der Einhaltung des AI Act.
Docs · Compliance (öffnet sich in einem neuen Tab)PhaseSENSEPREDICTUmfangDirekt - Pflicht:
KI-Anbieter als Drittparteien behandeln
Art. 25 und 26
Was HodeiShield leistet:Ein Anbieter von KI-Modellen oder -Diensten kommt wie jeder Lieferant in den Graphen: Fragebogen, periodischer externer Scan, CVE und Konzentration.
Docs · Risiko-Engine (öffnet sich in einem neuen Tab)PhaseSENSEPREDICTUmfangTeilweise - Pflicht:
Maßnahmen zur KI-Kompetenz und ihr Nachweis
Art. 4 (KI-Kompetenz)
Was HodeiShield leistet:Richtlinienbibliothek und Nachweis-Engine mit verantwortlicher Person, Gültigkeit und Status.
Docs · Compliance (öffnet sich in einem neuen Tab)PhaseSENSEUmfangTeilweise - Pflicht:
Inventar der KI-Systeme und ihre Einstufung nach Risiko
Art. 6 und Anhang III
Was HodeiShield leistet:Das Register der KI-Systeme gehört zum Modul AI Governance, das in Vorbereitung ist, ohne Termin. Heute existiert es in der Plattform nicht.
PhaseAußerhalb des ZyklusUmfangNicht abgedeckt - Pflicht:
Technische Dokumentation, Ereignisprotokollierung und Folgenabschätzung
Art. 11, 12 und 27
Was HodeiShield leistet:Außerhalb von HodeiShield.
PhaseAußerhalb des ZyklusUmfangNicht abgedeckt - Pflicht:
Menschliche Aufsicht über die KI
Art. 14 und 26
Was HodeiShield leistet:Wird in HodeiAI angewandt: Es schlägt vor, und eine Person gibt frei. Für Ihre eigenen KI-Systeme liegt die Aufsicht bei Ihnen.
Docs · HodeiAI (öffnet sich in einem neuen Tab)PhaseACTUmfangNicht abgedeckt
Was HodeiShield beim AI Act nicht leistet
Mehr Grenzen als auf den übrigen Seiten, weil das Modul noch nicht existiert.
Es gibt kein Register der KI-Systeme
AI Governance ist in Vorbereitung. Wir nennen keinen Termin und stellen es nicht als verfügbar dar.
Stuft Ihre Systeme nicht nach Risiko ein und bewertet keine Konformität
Diese Einstufung, die technische Dokumentation und die Konformitätsbewertung liegen bei Ihnen.
Die Abdeckung des AI Act ist an den kanonischen Kontrollen gemessen
Sie wird über die kanonischen Kontrollen ausgewiesen, ohne zu behaupten, dass jede Anforderung der Verordnung erfasst ist.
ISO/IEC 42001 ist nicht der AI Act
Sie hilft, die KI-Governance zu systematisieren, ersetzt aber nicht die Pflichten der Verordnung.
Fragen zum AI Act
Mit dem, was heute existiert, und dem, was nicht.
Hat HodeiShield ein Register der KI-Systeme?
Noch nicht. Das Modul AI Governance, das dieses Register enthalten würde, ist in Vorbereitung und hat keinen Termin. Heute können Sie die Abdeckung des AI Act messen und ISO/IEC 42001 bewerten.
Bin ich Anbieter oder Betreiber?
Das hängt davon ab, wie Sie KI einsetzen. Wer ein System entwickelt oder in Verkehr bringt, ist Anbieter; wer es unter seiner Verantwortung verwendet, ist Betreiber. Ihre Rechtsberatung konkretisiert das.
Welche KI nutzt HodeiShield?
HodeiAI nutzt Mistral AI. Vor dem Versand pseudonymisieren HodeiAI und der virtuelle CISO erkannte personenbezogene Daten; die Risikoanalyse der Lieferantenscans pseudonymisiert nicht. Ein Administrator kann HodeiAI deaktivieren.
Sorgt ISO/IEC 42001 dafür, dass ich den AI Act einhalte?
Nicht allein. Sie ist ein Managementsystem-Standard, der hilft, die KI-Governance zu organisieren. Die Pflichten der Verordnung müssen trotzdem erfüllt werden.
Wann gilt der AI Act?
Gestaffelt, nach der Verordnung (EU) 2024/1689 in der durch die Verordnung (EU) 2026/1744 geänderten Fassung: die Artikel 4 und 5 seit dem 2. Februar 2025 (Artikel 4 in der neuen Fassung seit dem 27. Juli 2026), die Sanktionen und die Pflichten für KI-Modelle mit allgemeinem Verwendungszweck seit dem 2. August 2025, das allgemeine Datum mit Artikel 50 am 2. August 2026 (mit Übergang bis zum 2. Dezember 2026 für bereits in Verkehr gebrachte generative Systeme, Artikel 111 Absatz 4), die neuen Punkte des Artikels 5 am 2. Dezember 2026, das Hochrisiko nach Anhang III am 2. Dezember 2027 und das nach Anhang I am 2. August 2028. Bestätigen Sie den konsolidierten Text in EUR-Lex.
Verwandte Lösungen
Eine Sitzung zur Abdeckung der Rahmenwerke
Vorerst ist die Demo eine Sitzung zur Abdeckung: was vom AI Act und von ISO/IEC 42001 gemessen wird, mit welchen Nachweisen und was in Vorbereitung bleibt.
Unverbindlich und ohne Terminversprechen.