EU AI Act & KI-MIG umsetzen

Mit dem KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG) ist die Aufsicht über den AI Act in Deutschland geregelt. Die Bundesnetzagentur prüft jetzt, ob Unternehmen ihre Pflichten erfüllen. Wir bringen Ihre KI-Nutzung in ein prüffähiges Managementsystem.

KI-InventarAlle eingesetzten und selbst entwickelten KI-Systeme erfassen, auch KI in eingekauften Tools.

RisikoklassifizierungEinstufung nach AI Act: verbotene Praktiken, Hochrisiko, Transparenzpflichten, minimales Risiko. Rolle als Anbieter oder Betreiber klären.

KI-Kompetenz nach Art. 4Schulungskonzept und Nachweise für alle, die KI-Systeme bedienen oder beaufsichtigen.

Governance und KI-BeauftragterRollen, Freigabeprozess und Richtlinien. Auf Wunsch stellen wir den externen KI-Beauftragten mit Jahresaufgabenkalender. Mehr zur KI-Governance

Managementsystem nach ISO/IEC 42001Zertifizierbares AIMS, verzahnt mit ISMS und Datenschutz. Die Nachweise zählen auch für den AI Act.

Lieferanten und VerträgeKI-Anbieter bewerten, Vertragsklauseln und Transparenzangaben prüfen.

Das gilt heute

Seit 02.02.2025Verbotene KI-Praktiken und Pflicht zur KI-Kompetenz (Art. 4)

Seit 02.08.2025Pflichten für KI-Modelle mit allgemeinem Verwendungszweck

Seit 29.07.2026KI-MIG in Kraft, Bundesnetzagentur als zentrale Marktüberwachung

SektoraufsichtBaFin für Finanzdienstleistungen, Fachbehörden für regulierte Produkte

BußgelderBis 35 Mio. € oder 7 % des weltweiten Jahresumsatzes

Die Fristen für Hochrisiko-Systeme werden auf EU-Ebene derzeit angepasst. Die Plattform zeigt Ihnen den jeweils gültigen Stand je KI-System.

In der Plattform: KI-Register, Risikoklassifizierung per Fragenkatalog, Schulungsnachweise nach Art. 4, ISO-42001-Dokumentenbibliothek mit 20 Dokumenten in Deutsch und Englisch.

Der AI Act verlangt nicht nur einzelne Maßnahmen, sondern klare Verantwortung. Die Geschäftsleitung muss nachweisen können, dass der Einsatz von KI gesteuert und überwacht wird. Wir bauen diese Struktur mit Ihnen auf und bilden sie in der Plattform ab.

Organisation

KI-Strategie und KI-Richtlinie mit Freigabe durch die Geschäftsleitung
Rollenmodell mit RACI-Matrix: Geschäftsleitung, KI-Beauftragter, Fachbereiche, IT, Datenschutz, Informationssicherheit
KI-Gremium für Grundsatzentscheidungen und Eskalationen
Klare Rollenzuordnung als Anbieter oder Betreiber je KI-System

Prozesse

Freigabeprozess für neue KI-Anwendungen vom Antrag bis zur Inbetriebnahme
Risiko- und Folgenabschätzung, bei Bedarf Grundrechte-Folgenabschätzung (Art. 27) und DSFA
Menschliche Aufsicht nach Art. 14 und Betreiberpflichten nach Art. 26
Transparenzpflichten nach Art. 50, zum Beispiel für Chatbots und KI-generierte Inhalte

Kontrolle und Nachweis

Überwachung im Betrieb und Aufbewahrung der Protokolle
Umgang mit KI-Vorfällen und Meldewegen
Jahresaufgabenkalender für den KI-Beauftragten
Interne Audits und Bericht an die Geschäftsleitung, integriert in ISMS und ISO/IEC 42001

In der Plattform: Rollenmatrix, Freigabe-Workflow für KI-Anwendungen, Richtlinienvorlagen, Maßnahmenverfolgung und Governance-Bericht für die Geschäftsleitung.

KI-Risikoanalyse Informationssicherheit

Eigenes Risikomodell: Risiken des KI-Einsatzes erkennen, bewerten und auditfähig steuern

Klassische Risikoanalysen im ISMS erfassen KI-Szenarien nur unzureichend. Prompt Injection, manipulierte Agenten-Werkzeuge, Datenabfluss über Copilots oder Modelldrift in der Produktion fehlen in herkömmlichen Gefährdungskatalogen. Unser Modell schließt diese Lücke.

ANutzung generativer KI durch MitarbeitendeBEigene KI-Anwendungen (LLM, RAG, Agenten)CKI-Lieferkette und DrittanbieterDKI als AngriffswerkzeugEGovernance und BetriebFKI in der Produktion (OT-Security)GAgentische KI und KI-AssistentenHDatenschutz im KI-LebenszyklusIEingebettete KI in SaaSJAuthentizität und IdentitätKKI in SicherheitsprozessenLRecht, Governance, AbhängigkeitMKI-Lebenszyklus und Nachweisfähigkeit

Geprüfte Wissensbasis

76 Musterrisiken, 58 Bedrohungen, 67 Schwachstellen und 70 Maßnahmen, gestützt auf 42 nachgewiesene Quellen. Ihre Zeit fließt in die Bewertung Ihrer Situation, nicht in die Sammlung von Grundlagen.

Methodik

Risikokette nach ISO 31000 und ISO/IEC 27005: Wert, Bedrohung, Schwachstelle, Risiko. Abgeglichen mit OWASP Top 10 für LLM- und agentische Anwendungen, MITRE ATLAS, NIST AI RMF sowie Leitlinien von BSI, NCSC-UK und ENISA.

Ergebnisse

Lebendes Risikoregister mit Live-Restrisiko, Maßnahmen-Matrix mit Bezug auf ISO/IEC 27001, ISO/IEC 42001 und IEC 62443, Heatmaps, Ergebnisbericht und Management-Präsentation, direkt nutzbar für ISMS, AIMS und NIS2.

Pakete: BASIS – KI-Quick-Check (6 Risikobereiche, 3–4 Beratertage) · STANDARD (12 Risikobereiche, 8–10 Beratertage) · PREMIUM inkl. OT (alle 13 Risikobereiche, 15–20 Beratertage). Dauer in der Regel 4 bis 8 Wochen.

EU AI Act und KI-MIG: rechtssicher mit KI arbeiten