EU AI Act Compliance:
Warum viele Herausforderungen organisatorischer Natur sind

Die größten Herausforderungen rund um EU AI Act Compliance

Um die strukturellen Herausforderungen einordnen zu können, lohnt sich zunächst ein Blick auf die Anforderungen des EU AI Act. Abhängig von der Risikoeinordnung des Systems und der Rolle des Unternehmens formuliert die Verordnung konkrete Vorgaben hinsichtlich Dokumentation, Transparenz und Datenqualität.

Insbesondere bei Hochrisiko-Systemen stellt der EU AI Act umfangreiche Anforderungen an Transparenz, Überprüfbarkeit und Dokumentation. Dabei unterscheiden sich die Pflichten je nachdem, ob ein Unternehmen ein KI-System betreibt oder selbst als Anbieter auftritt.

Für Anbieter von Hochrisiko-KI-Systemen definiert Anhang IV der Verordnung umfangreiche Anforderungen an die technischen Unterlagen. Dazu gehören unter anderem Belege zum Verwendungszweck des Systems, zu den verwendeten Daten, zu Leistungs- und Testergebnissen sowie zu Risikomanagementmaßnahmen. Unternehmen können dabei auch dann als Anbieter im Sinne der KI-VO gelten, wenn sie bestimmte KI-Systeme für den eigenen Gebrauch entwickeln und einsetzen, beispielsweise für die Bewerberauswahl oder die Kreditwürdigkeitsprüfung.

Auch Unternehmen, die KI-Systeme lediglich als Betreiber verwenden, benötigen viele dieser Informationen zur Erfüllung ihrer Governance-, Risiko- und Compliance-Anforderungen. In der Praxis stellt sich dabei häufig die Frage, wo die relevanten Daten und Nachweise verfügbar sind, wie ihre Aktualität sichergestellt wird und welche Rolle oder Organisationseinheit für deren Pflege verantwortlich ist.

Artikel 10 des EU AI Act formuliert darüber hinaus Anforderungen an die Qualität und Governance von Trainings-, Validierungs- und Testdaten. Herkunft, Relevanz und Eignung der verwendeten Datensätze müssen transparent und belegbar sein.

Viele Unternehmen stellen bei genauerer Betrachtung fest, dass genau diese Inhalte nicht strukturiert und zentral vorliegen. Das ist häufig keine technische Schwäche, sondern eine organisatorische.

Warum Transparenz und Nachvollziehbarkeit in der Praxis häufig schwierig sind

Verantwortlichkeiten sind oft nicht eindeutig definiert

Mit zunehmender Unternehmensgröße wird die Zuordnung von Zuständigkeiten anspruchsvoller. Für wichtige Datenbestände können Fach-, Technik-, Prozess- und Governance-Verantwortliche gleichzeitig zuständig sein. Das führt zu Überschneidungen und damit zu Unklarheiten.

Wenn Rollen unklar sind, entstehen Schwierigkeiten bei Freigaben, Dokumentationen, Abstimmungen, Qualitätssicherung und Eskalationsprozessen. Für Compliance-Nachweise ist das besonders kritisch: Wer kann im Zweifelsfall belegen, wer für einen in ein KI-Modell eingeflossenen Datensatz verantwortlich ist?

Dokumentation und Kontext als organisatorische Daueraufgabe

Viele Unternehmen verfügen über umfangreiche Dokumentationen. Die eigentliche Aufgabe liegt häufig darin, aktuelles Wissen bereitzuhalten, Zusammenhänge verständlich darzustellen, Informationen auffindbar zu machen und Versionen konsistent zu halten.

Je stärker Daten und KI-Anwendungen miteinander verknüpft werden, desto größer wird dieser Aufwand. Und je konkreter regulatorische Belegpflichten werden, desto deutlicher wird, wie weit viele Organisationen noch von einer strukturierten Umsetzung entfernt sind.

Hinzu kommt, dass viele Daten technisch verfügbar sind, der notwendige Kontext jedoch fehlt: Bedeutung, Herkunft, Nutzung, Ownership, Abhängigkeiten und Richtlinienbezug.

Ohne diesen Kontext wird Governance deutlich schwieriger und die Erfüllung von Anforderungen wie jenen aus Artikel 10 des EU AI Act zu Datenqualität und Herkunftsnachweis kaum möglich.