Glossarbegriff
EU AI Act
Auch: KI-Verordnung, Verordnung 2024/1689, AI Act
Verordnung (EU) 2024/1689 zur Festlegung harmonisierter Vorschriften für künstliche Intelligenz. Weltweit erstes umfassendes KI-Gesetz. Vier Risikoklassen: verboten, Hochrisiko, begrenztes Risiko, minimales Risiko. Geltung schrittweise ab Februar 2025 bis August 2028.
Der EU AI Act trat am 1. August 2024 in Kraft. Verbote nach Art. 5 sind seit 2. Februar 2025 wirksam (Social Scoring, manipulative KI, biometrische Echtzeit-Fernidentifizierung im öffentlichen Raum, Emotionserkennung am Arbeitsplatz). GPAI-Pflichten ab 2. August 2025. Transparenzpflichten nach Art. 50 ab 2. August 2026. Hochrisiko-Systeme nach Anhang III ab 2. Dezember 2027, nach Anhang I (regulierte Produkte) ab 2. August 2028. Die beiden Hochrisiko-Termine wurden im Juli 2026 durch den Digital Omnibus (Verordnung (EU) 2026/1744) verschoben, ursprünglich galten 2. August 2026 und 2. August 2027.
Pflichten für Anbieter von Hochrisiko-Systemen (Art. 9-22): Risikomanagement, Data Governance, technische Dokumentation, Logging, Transparenz, menschliche Aufsicht, Robustheit/Cybersicherheit, Qualitätsmanagement, Konformitätsbewertung, CE-Kennzeichnung, EU-Datenbank-Registrierung. Pflichten für Betreiber (Art. 26): Anleitung befolgen, menschliche Aufsicht, geeignete Eingangsdaten, Logging-Aufbewahrung mindestens 6 Monate, Information der Betroffenen.
In der Praxis
Bußgelder: bis zu 35 Mio EUR oder 7 Prozent Jahresumsatz bei verbotenen Praktiken, bis zu 15 Mio oder 3 Prozent bei Anbieter-/Betreiber-Verstößen, bis zu 7,5 Mio oder 1 Prozent bei falscher Information an Aufsicht.
Verwandte Begriffe
AI Act Risikoklassen
Vier-stufige Klassifikation nach EU AI Act: verboten (Art. 5), Hochrisiko (Anhang I/III), begrenztes Risiko (Art. 50 Transparenzpflichten), minimales Risiko (freiwillige Codes). Klassifizierung ist die erste Pflicht, sie muss dokumentiert und nachvollziehbar sein.
GPAI / Foundation Models
Allzweck-KI-Modelle nach Art. 51-56 EU AI Act. Pflichten ab August 2025: technische Dokumentation, Info für Downstream-Anbieter, Urheberrechts-Policy, Trainingsdaten-Zusammenfassung. Bei systemischem Risiko zusätzlich Modell-Evaluation, adversariales Testing, Vorfalls-Tracking.
Entscheidungsinfrastruktur
Die zweckgebaute Software- und Prozessschicht, mit der Unternehmen eine einzelne komplexe Entscheidung strukturiert, nachweisbar und auditierbar durchziehen. Keine Recherche-, keine Procurement- und keine Chat-Schicht, sondern die dazwischen.
AI Act Konformitätsbewertung
Verfahren zur Feststellung, dass ein Hochrisiko-KI-System die Anforderungen des EU AI Act erfüllt, bevor es in Verkehr gebracht oder in Betrieb genommen wird. Pflicht für alle Anhang-III-Hochrisiko-Systeme ab 2. Dezember 2027 (verschoben vom ursprünglichen 2. August 2026 durch den Digital Omnibus, Verordnung (EU) 2026/1744).
BaFin DORA-Aufsichtsmitteilung
Veröffentlichungen der BaFin zur Auslegung und Erwartung der DORA-Anwendung in Deutschland. Stand 2025/2026 ergehen die wichtigsten Hinweise als Aufsichtsmitteilungen, Merkblätter und Fachartikel im BaFin-Journal, nicht als klassisches Rundschreiben.
BAIT
Rundschreiben der BaFin, das die Anforderungen an die IT-Aufstellung von Kreditinstituten konkretisiert. Präzisiert MaRisk AT 7.2 für IT-Strategie, Informationssicherheit, Benutzerberechtigungen, Projektmanagement, Anwendungsentwicklung und IT-Outsourcing.
BCM
Disziplin zur Aufrechterhaltung kritischer Geschäftsprozesse bei Störungen. Standards: ISO 22301, BSI-Standard 200-4. Im Finanzsektor durch BAIT/VAIT und DORA Art. 11 verpflichtend.
BSI C5
Prüfkatalog des BSI für Cloud-Dienste, der eine Mindest-Sicherheitsbasis und Transparenzpflichten definiert. Wird über ein C5-Testat durch unabhängige Wirtschaftsprüfer nachgewiesen. De-facto-Standard für Cloud-Beschaffung im deutschen Markt.