EU KI-Gesetz Cybersicherheit: Compliance-Checkliste (2026)

Das Gesetz der EU über künstliche Intelligenz ist das weltweit erste umfassende Gesetz für KI. Seit September 2026 sind seine allgemeinen Bestimmungen und Transparenzregeln bereits in Kraft, und das Vereinfachungspaket „KI-Omnibus“ von 2026 hat die Compliance-Frist für die meisten Hochrisikosysteme auf den 2. Dezember 2027 verschoben. Für jede Organisation, die KI-Systeme entwickelt, einsetzt oder deren KI-Ergebnisse in der EU genutzt werden, ist diese verlängerte Frist ein Grund, sich jetzt vorzubereiten, und kein Grund zum Abwarten. Das Gesetz legt verbindliche Pflichten fest, wobei Strafen für die Nichteinhaltung bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes betragen können.

Dies ist nicht nur eine weitere Compliance-Hürde; es ist eine grundlegende Veränderung in der Art und Weise, wie wir intelligente Systeme entwickeln und sichern. Für praktizierende KI- und Cybersicherheitsexperten ist das Verständnis dieser neuen Regeln nicht optional. Dieser Leitfaden bietet eine praktische, umsetzbare Checkliste für die Navigation durch die Cybersicherheitsanforderungen des EU-KI-Gesetzes, wobei der Schwerpunkt auf dem liegt, was ab September 2026 am wichtigsten ist.

Wie wir diese Anforderungen bewertet haben

ZEKAI überprüft alle Compliance-Frameworks und Tools unabhängig. Unsere Empfehlungen basieren auf dem offiziellen Text der Verordnung (EU) 2024/1689, den zugehörigen Leitlinien der Europäischen Kommission und unserer Analyse von Tools, die zur Erfüllung dieser Verpflichtungen beitragen können. Wir akzeptieren keine Zahlungen für redaktionelle Platzierungen. Unser Ziel ist es, einen klaren, umsetzbaren Weg zur Compliance auf der Grundlage überprüfbarer Fakten aufzuzeigen.

Was ist das EU-KI-Gesetz? Ein Cybersicherheits-fokussierter Überblick

Das KI-Gesetz verfolgt einen risikobasierten Ansatz und unterteilt KI-Systeme in vier Kategorien. Zu verstehen, in welche Kategorie Ihr System fällt, ist der erste und wichtigste Schritt.

• Unannehmbares Risiko: Diese Systeme sind grundsätzlich verboten. Dazu gehören KI für das Social Scoring durch Behörden, die biometrische Fernidentifizierung in Echtzeit im öffentlichen Raum (mit engen Ausnahmen) und manipulative KI, die Schwachstellen ausnutzt.
• Hochrisiko: Dies ist die am stärksten regulierte Kategorie und der Schwerpunkt dieses Leitfadens. Diese Systeme sind nicht verboten, müssen aber strenge Anforderungen erfüllen, bevor und nachdem sie auf den Markt gebracht werden. Sie fallen im Allgemeinen in zwei Gruppen:
• KI-Systeme, die als Sicherheitskomponenten in Produkten verwendet werden, die unter bestehende EU-Sicherheitsvorschriften fallen (z. B. Medizinprodukte, Autos, Spielzeug).
• KI-Systeme, die in acht spezifischen Bereichen gemäß Anhang III verwendet werden, einschließlich der Verwaltung kritischer Infrastrukturen, Bildung, Beschäftigung, Zugang zu wesentlichen Diensten, Strafverfolgung und Justizverwaltung.
• Begrenztes Risiko: Diese Systeme unterliegen Transparenzpflichten. Zum Beispiel müssen Benutzer informiert werden, wenn sie mit einem Chatbot interagieren oder wenn Inhalte KI-generiert sind (ein „Deepfake“).
• Minimales oder kein Risiko: Die überwiegende Mehrheit der KI-Systeme, wie z. B. KI-gestützte Videospiele oder Spamfilter, fällt in diese Kategorie und unterliegt keinen neuen rechtlichen Verpflichtungen.

Die Höchststrafe für die Verletzung der Regeln des EU-KI-Gesetzes bezüglich verbotener KI-Praktiken kann bis zu 35 Millionen Euro oder 7 % des gesamten weltweiten Jahresumsatzes eines Unternehmens betragen, je nachdem, welcher Betrag höher ist.

Kernanforderungen an die Cybersicherheit für Hochrisiko-KI (Artikel 15)

Für Cybersicherheitsexperten ist Artikel 15 des KI-Gesetzes der wichtigste Abschnitt. Er schreibt vor, dass Hochrisiko-KI-Systeme so konzipiert und entwickelt werden müssen, dass sie über ihren gesamten Lebenszyklus hinweg ein angemessenes Maß an „Genauigkeit, Robustheit und Cybersicherheit“ erreichen. Dies ist keine vage Empfehlung, sondern eine Reihe konkreter technischer und organisatorischer Verpflichtungen.

Hier sind die wichtigsten Säulen von Artikel 15:

• Genauigkeit: Anbieter müssen die Genauigkeitsstufen des Systems und die spezifischen Metriken zur Messung in der Gebrauchsanweisung definieren und deklarieren. Dies ermöglicht es Benutzern und Regulierungsbehörden, die Leistung anhand eines klaren Benchmarks zu überprüfen.
• Robustheit: Systeme müssen widerstandsfähig gegenüber Fehlern, Störungen oder Inkonsistenzen sein. Dies umfasst technische Redundanzen, wie z. B. Backup- oder Ausfallsicherungspläne, und die Bewältigung von Risiken aus Interaktionen mit Menschen oder anderen Systemen. Bei Systemen, die nach der Bereitstellung lernen, müssen Anbieter das Risiko voreingenommener Feedbackschleifen mindern.
• Cybersicherheit: Systeme müssen widerstandsfähig gegen Versuche unbefugter Dritter sein, Schwachstellen auszunutzen. Die technischen Lösungen müssen den Risiken angemessen sein und spezifische KI-Schwachstellen wie Data Poisoning, Model Poisoning und Adversarial Attacks gezielt adressieren.

Diese Anforderungen gelten für das KI-System als Ganzes, nicht nur für das zugrunde liegende Modell. Das bedeutet, dass die gesamte Infrastruktur, Datenpipelines und APIs, die mit dem System verbunden sind, in den Geltungsbereich fallen.

Eine praktische Cybersicherheits-Compliance-Checkliste

Compliance ist keine einmalige Aufgabe, sondern ein kontinuierlicher Prozess. Hier ist eine Schritt-für-Schritt-Checkliste, die Ihre Bemühungen leiten soll.

1. Klassifizieren Sie Ihr KI-System: Bestimmen Sie zunächst, ob ein von Ihnen bereitgestelltes oder eingesetztes KI-System gemäß den Kriterien in Artikel 6 und den Anhängen I und III in die Kategorie „Hochrisiko“ fällt. Die Europäische Kommission hat Leitlinien mit praktischen Beispielen veröffentlicht, um bei dieser Klassifizierung zu helfen.
2. Etablieren Sie ein Risikomanagementsystem (Artikel 9): Implementieren und dokumentieren Sie ein Risikomanagementsystem, das den gesamten Lebenszyklus des KI-Systems begleitet. Dieser Prozess muss vorhersehbare Risiken für Gesundheit, Sicherheit und Grundrechte identifizieren, abschätzen und bewerten und anschließend Maßnahmen zu deren Bewältigung ergreifen.
3. Stellen Sie Daten-Governance sicher (Artikel 10): Für alle Daten, die zum Trainieren, Validieren und Testen des Hochrisikosystems verwendet werden, müssen Sie sicherstellen, dass sie relevant, repräsentativ und so fehlerfrei und vollständig wie möglich sind. Dies beinhaltet die Untersuchung und Minderung möglicher Verzerrungen in den Datensätzen.
4. Implementieren Sie Robustheit & Cybersicherheit (Artikel 15):
5. Führen Sie eine Sicherheitsrisikobewertung für das gesamte KI-System durch.
6. Implementieren Sie technische Maßnahmen, um die Widerstandsfähigkeit gegen Adversarial Attacks, Data Poisoning und andere KI-spezifische Schwachstellen zu gewährleisten.
7. Entwickeln Sie Ausfallsicherungspläne und technische Redundanzen zur Bewältigung von Fehlern und Störungen.
8. Implementieren Sie bei lernenden Systemen Maßnahmen zur Adressierung und Minderung von Feedbackschleifen.
9. Ermöglichen Sie menschliche Aufsicht (Artikel 14): Gestalten Sie das System so, dass eine effektive menschliche Aufsicht möglich ist. Dies beinhaltet die Bereitstellung klarer Schnittstellen, die es dem menschlichen Aufseher ermöglichen, die Fähigkeiten und Grenzen des Systems zu verstehen und zu entscheiden, wann eingegriffen oder die Ausgabe des Systems verworfen werden soll.
10. Pflegen Sie technische Dokumentation & Protokolle (Artikel 11, 12, 19): Bevor Sie das System auf den Markt bringen, erstellen Sie eine detaillierte technische Dokumentation, die die Compliance nachweist. Das System muss auch in der Lage sein, Ereignisse („Logs“) während des Betriebs automatisch aufzuzeichnen, um ein gewisses Maß an Nachvollziehbarkeit der Systemfunktion zu gewährleisten.
11. Führen Sie eine Konformitätsbewertung durch & registrieren Sie sich: Für die meisten Hochrisikosysteme müssen Anbieter eine Selbstbewertung durchführen, um die Compliance zu zertifizieren. Sobald die Konformität erklärt wurde, müssen Sie das System in der öffentlichen EU-Datenbank registrieren, die von der Kommission verwaltet wird.

Tools zur Automatisierung und Verwaltung der Compliance

Kein einzelnes Tool kann Compliance garantieren, aber moderne Sicherheitsplattformen können entscheidende Funktionen zur Erfüllung der technischen Anforderungen des KI-Gesetzes bereitstellen. Der Schlüssel liegt darin, Tools zu nutzen, die Transparenz, Überwachung und Schutz über das gesamte KI-System und seine Umgebung hinweg bieten.

Tabelle seitlich wischen →

Über das KI-Gesetz hinaus: NIST AI RMF & OWASP LLM Top 10

Die Einhaltung des KI-Gesetzes geschieht nicht im luftleeren Raum. Zwei weitere Frameworks sind für jeden Cybersicherheitsexperten, der mit KI arbeitet, von entscheidender Bedeutung:

• NIST AI Risk Management Framework (AI RMF): Dieses freiwillige Framework des U.S. National Institute of Standards and Technology bietet einen strukturierten Prozess zur Steuerung, Abbildung, Messung und Verwaltung von KI-Risiken. Während das EU-KI-Gesetz ein verbindliches Gesetz und das NIST AI RMF eine freiwillige Leitlinie ist, sind ihre Ziele aufeinander abgestimmt. Die Verwendung des AI RMF kann eine praktische, operative Blaupause für die Implementierung des Risikomanagementsystems gemäß Artikel 9 des KI-Gesetzes bieten.
• OWASP Top 10 for Large Language Models: Dieses Projekt des Open Web Application Security Project listet die kritischsten Sicherheitslücken in Anwendungen auf, die LLMs verwenden. Es umfasst KI-spezifische Risiken wie Prompt Injection, Training Data Poisoning und Sensitive Information Disclosure. Die Ausrichtung Ihrer Sicherheitstests an den OWASP LLM Top 10 ist eine konkrete Möglichkeit, die in Artikel 15 des KI-Gesetzes genannten KI-spezifischen Cybersicherheitsbedrohungen zu adressieren.

Die Integration dieser Frameworks in Ihre Compliance-Strategie bietet einen umfassenden, mehrschichtigen Ansatz, der rechtliche Anforderungen erfüllt und tatsächlich vertrauenswürdige KI-Systeme aufbaut. Während Sie sich auf die neue Ära der KI-Regulierung vorbereiten, denken Sie daran, dass das Ziel nicht nur darin besteht, ein Kästchen anzukreuzen, sondern eine nachhaltige Kultur der KI-Sicherheit und -Governance aufzubauen. Für weitere Ressourcen besuchen Sie unser Zentrum für KI- und Cybersicherheitsexperten.