AI Act und Shadow AI: Wissen Sie, welche KI Ihr Unternehmen nutzt?

Bevor Unternehmen über AI Act Compliance sprechen können, müssen sie eine wesentlich einfachere Frage beantworten:

Welche KI setzen wir eigentlich ein?

Das klingt selbstverständlich. In der Praxis ist es das häufig nicht. Mitarbeiter nutzen ChatGPT, Claude, Gemini oder Perplexity. Microsoft Copilot und andere KI-Funktionen werden über bestehende Softwarelizenzen verfügbar. Fachbereiche testen spezialisierte Anwendungen oder Dienstleister setzen KI innerhalb ausgelagerter Prozesse ein.

So entsteht Shadow AI: KI-Nutzung,
die zentral nicht oder nur teilweise bekannt ist.

AI Act: Was Unternehmen beachten müssen

Der EU AI Act ist seit dem 2. August 2026 grundsätzlich anwendbar. Das bedeutet nicht, dass sämtliche Anforderungen seit diesem Stichtag gleichzeitig greifen.

Mit der Verordnung (EU) 2026/1744 wurden insbesondere Teile der Anforderungen an Hochrisiko-KI zeitlich verschoben. Für Hochrisiko-KI nach Artikel 6 Absatz 2 und Anhang III gelten die betreffenden Regelungen ab dem 2. Dezember 2027, für bestimmte produktbezogene Hochrisiko-KI nach Artikel 6 Absatz 1 und Anhang I ab dem 2. August 2028.

Für Unternehmen ist das dennoch kein Grund abzuwarten.

Anforderungen aus Datenschutz, Informationssicherheit, NIS2, Risikomanagement und internen Kontrollen bestehen unabhängig von einzelnen Übergangsfristen.

Vor allem aber lässt sich eine regulatorische Bewertung erst durchführen, wenn der konkrete KI-Anwendungsfall bekannt ist.

Das KI-Inventar als Ausgangspunkt

Ein belastbares KI-Inventar erfasst nicht nur den Namen eines Tools. Für jeden relevanten Use Case sollten unter anderem geklärt werden:

Damit entsteht die Grundlage für Risikobewertung, Klassifizierung, Freigabe und Kontrolle.

Shadow AI ist mehr als ChatGPT im Browser

Nicht jede unbekannte KI-Nutzung entsteht dadurch, dass ein Mitarbeiter eigenmächtig ein neues Tool verwendet. KI wird zunehmend Bestandteil bestehender Softwareprodukte. Das bedeutet: Ein Unternehmen kann neue KI-Funktionen erhalten, obwohl kein klassisches KI-Projekt gestartet wurde.

Deshalb sollte KI nicht nur bei Neuanschaffungen geprüft werden. Auch Änderungen bestehender Produkte, neue Lizenzfunktionen und externe Dienstleister gehören in die Betrachtung.

Erst danach lässt sich entscheiden, welche Governance und welche Kontrollen angemessen sind.

Von der Bestandsaufnahme zum AI Act Assessment

Ein pragmatischer Einstieg besteht deshalb nicht aus einem umfangreichen Regelwerk. Er beginnt nach unserer Auffassung zum Beispiel mit mindestens den folgenden Aspekten:

compliance-net unterstützt dabei mit KI-Governance Standortbestimmung, KI-Inventar und EU AI Act Assessment.

Wissen Sie, welche KI Ihr Unternehmen heute bereits nutzt?

Ein KI-Governance Quick Check schafft die notwendige Ausgangsbasis, bevor Richtlinien, Kontrollen oder Managementsysteme aufgebaut werden.