Sightadel
14 Tage testen

Lösungen · KI-Anbieter und -Anwender

Die KI läuft schon.
Jetzt fragt jemand, wer sie steuert.

Wer KI entwickelt, anbietet oder im Betrieb einsetzt, hat es mit drei Regelwerken zu tun: der KI-Verordnung der EU, dem Datenschutz und, wenn Kunden einen Nachweis verlangen, der ISO/IEC 42001. Sightadel klärt mit Ihnen Rolle und Risikoklasse je System, ordnet die Pflichten nach ihren Fristen und hält fest, was belegt ist.

14 Tage kostenlos testenBeratung anfragen

Ausgangslage

Wie es in der Praxis aussieht.

KI steckt heute in vielen Abläufen, oft ohne dass jemand den Überblick hat. Das eigene Produkt nutzt ein Sprachmodell, der Kundenservice einen Chatbot, die Personalabteilung eine Software, die Bewerbungen vorsortiert. Manche Systeme hat die Entwicklung gebaut, andere kamen mit einem Update der Standardsoftware. Wer welche Systeme verantwortet, mit welchen Daten sie arbeiten und wie sie geprüft wurden, steht selten an einer Stelle.

Die KI-Verordnung, Verordnung (EU) 2024/1689, knüpft genau daran an. Sie unterscheidet nach Rolle und Risiko. Anbieter entwickeln ein KI-System oder bringen es unter eigenem Namen auf den Markt und tragen die meisten Pflichten. Betreiber setzen ein System in eigener Verantwortung ein. Viele Unternehmen sind beides: Anbieter für das eigene Produkt, Betreiber für die Werkzeuge im Haus. Daneben gilt die DSGVO, sobald personenbezogene Daten im Spiel sind, und das ist beim Training wie im Betrieb häufig der Fall.

Gleichzeitig fragen Kunden nach. Einkauf und Informationssicherheit wollen wissen, woher Trainingsdaten stammen, wie Ergebnisse überwacht werden und wer eingreift, wenn ein System danebenliegt. Ein KI-Managementsystem nach ISO/IEC 42001 gibt darauf eine geordnete Antwort. Ob Sie es zertifizieren lassen, ist eine zweite Entscheidung. Die Ordnung dahinter brauchen Sie für die Verordnung ohnehin.

Warum jetzt

Typische Anlässe, das Thema anzugehen.

01

Fristen der KI-Verordnung

Verbote und die Pflicht zur KI-Kompetenz gelten seit Februar 2025, die Regeln für KI-Modelle mit allgemeinem Verwendungszweck seit August 2025, die Transparenzpflichten seit August 2026. Die Hochrisiko-Pflichten wurden 2026 verschoben, auf Dezember 2027 für eigenständige Systeme und auf August 2028 für KI in regulierten Produkten. Der Aufbau braucht Zeit, deshalb lohnt der Anfang jetzt.

02

Kunde verlangt einen Nachweis

Ein Unternehmenskunde schickt einen Fragebogen zur KI-Steuerung oder setzt ISO/IEC 42001 in die Ausschreibung. Wer Inventar, Risikobeurteilung und Zuständigkeiten belegt hat, beantwortet das in Tagen statt in Wochen.

03

Neues Produkt oder neuer Einsatzzweck

Eine neue Funktion bewertet Menschen, entscheidet über Zugang zu Leistungen oder wird in einem Medizin- oder Maschinenprodukt verbaut. Damit kann sich die Risikoklasse ändern. Die Einstufung sollte vor der Markteinführung stehen, nicht danach.

04

Anfrage der Datenschutzaufsicht

Eine betroffene Person fragt, warum ihre Daten im Training gelandet sind, oder widerspricht einer automatisierten Entscheidung. Dann zählen Rechtsgrundlage, Folgenabschätzung und Informationstexte, die vorher festgehalten wurden.

05

Finanzierung oder Verkauf

Investoren und Käufer prüfen inzwischen, ob ein KI-Produkt regulatorisch tragfähig ist. Eine nachvollziehbare Einstufung und ein gepflegter Nachweisstand verkürzen diese Prüfung.

06

KI-Werkzeuge breiten sich im Haus aus

Beschäftigte nutzen Assistenten für Texte, Code und Auswertungen, teils mit eigenen Konten. Die Leitung will wissen, was erlaubt ist, wer geschult ist und welche Daten das Haus verlassen.

Relevante Frameworks

Was gilt – und was es hier konkret verlangt.

In eigenen Worten zusammengefasst, keine Rechtsberatung. Maßgeblich ist der Originaltext in der geltenden Fassung.

EU AI ActPflicht

Gilt für Anbieter und Betreiber von KI-Systemen in der EU, unabhängig von der Unternehmensgröße. Wie viel daraus folgt, hängt von Rolle und Risikoklasse ab. KI-Kompetenz und das Prüfen der verbotenen Praktiken betreffen alle. Transparenzpflichten greifen etwa bei Chatbots und künstlich erzeugten Inhalten. Für Hochrisiko-Systeme kommen Risikomanagement, technische Dokumentation, menschliche Aufsicht und bei Anbietern eine Konformitätsbewertung hinzu. Ein Zertifikat für die Verordnung als Ganzes gibt es nicht.

Zum Framework →
DSGVOPflicht

Sobald Trainingsdaten, Eingaben oder Ergebnisse Personen betreffen, gilt die DSGVO. Für das Training brauchen Sie eine tragfähige Rechtsgrundlage und klare Informationen an die Betroffenen. Neue Verarbeitungen mit hohem Risiko verlangen eine Datenschutz-Folgenabschätzung. Wo ein System allein über Menschen entscheidet, setzt Art. 22 enge Grenzen und verlangt Eingriffsmöglichkeiten für die Betroffenen.

Zum Framework →
ISO/IEC 42001Häufig verlangt

Die Norm beschreibt ein Managementsystem für KI und ist aufgebaut wie ISO/IEC 27001. Sie ist freiwillig, wird aber von Unternehmenskunden zunehmend nachgefragt. Inventar, Zuständigkeiten, Risikobeurteilung und Folgenabschätzung bilden das organisatorische Fundament für viele Pflichten der Verordnung. Konformitätsbewertung und Registrierung ersetzt sie nicht.

Zum Framework →
ISO/IEC 27001Sinnvoll

Wer KI als Dienst anbietet, wird nach Informationssicherheit gefragt, oft vor der KI selbst. Ein ISMS liefert Zugriffssteuerung, Protokollierung, Lieferantenbewertung und Vorfallbehandlung. Diese Nachweise tragen auch in die Anforderungen an Robustheit und Cybersicherheit.

Zum Framework →

Empfohlene Reihenfolge

Womit Sie anfangen – und was danach kommt.

  1. 1

    KI-Inventar anlegen

    Erfassen Sie jedes System mit Zweck, Verantwortlichem, Datenquellen und Anbieter. Dazu gehören auch eingebettete Funktionen in Standardsoftware und Cloud-Diensten. Ohne vollständige Liste lässt sich nichts einstufen.

  2. 2

    Rolle und Risikoklasse bestimmen

    Je System klären Sie, ob Sie Anbieter oder Betreiber sind, schließen die verbotenen Praktiken aus und halten die Risikoklasse mit Begründung fest. Grenzfälle lassen Sie rechtlich prüfen. Die Entscheidung bleibt bei Ihnen.

  3. 3

    Geltende Pflichten zuerst

    KI-Kompetenz der Beschäftigten, Transparenzhinweise und eine KI-Richtlinie der Leitung gelten bereits. Sie lassen sich in wenigen Wochen umsetzen und belegen. Parallel prüfen Sie die Verarbeitungen im Verarbeitungsverzeichnis und die nötigen Folgenabschätzungen.

  4. 4

    Managementsystem aufbauen

    Risikobeurteilung, Folgenabschätzung, Lebenszyklus und Datenqualität werden als wiederholbare Verfahren festgelegt. Die Maßnahmen aus Anhang A der ISO/IEC 42001 gehen Sie geführt durch und begründen ihre Anwendbarkeit. Ein bestehendes ISMS nutzen Sie mit.

  5. 5

    Hochrisiko-Systeme vorbereiten

    Nur wenn betroffen: technische Dokumentation, Protokollierung, menschliche Aufsicht und Daten-Governance aufbereiten. Anbieter planen die Konformitätsbewertung so, dass sie vor den verschobenen Fristen abgeschlossen ist.

  6. 6

    Pflegen und wieder vorlegen

    Neue Modelle, neue Datenquellen und neue Einsatzzwecke ändern die Einstufung. Inventar und Bewertungen werden bei jeder Änderung und in festen Abständen überprüft. Schulungen wiederholen sich.

Datenschutz bei KI

Die Fragen, an denen KI-Projekte im Datenschutz hängen bleiben

Die KI-Verordnung ersetzt die DSGVO nicht. Beide gelten nebeneinander. Vier Punkte sollten vor dem Einsatz geklärt und festgehalten sein.

Rechtsgrundlage für Trainingsdaten

Daten, die für einen anderen Zweck erhoben wurden, dürfen nicht ohne Weiteres in ein Training fließen. Ob berechtigtes Interesse, Einwilligung oder Vertrag trägt, hängt vom Einzelfall ab. Halten Sie Abwägung und Ergebnis je Datenquelle fest. Bei Gesundheits- oder anderen besonderen Daten sind die Hürden deutlich höher.

Datenschutz-Folgenabschätzung

Neue Technologien mit voraussichtlich hohem Risiko für Betroffene verlangen eine Folgenabschätzung vor dem Start. Bei KI-Systemen, die Menschen bewerten oder große Datenmengen auswerten, ist das die Regel. Die Folgenabschätzung nach ISO/IEC 42001 und die Grundrechte-Folgenabschätzung nach der Verordnung greifen ineinander.

Automatisierte Entscheidungen

Entscheidet ein System ohne menschliche Prüfung über eine Person, mit rechtlicher oder ähnlich erheblicher Wirkung, gilt Art. 22 DSGVO. Dann braucht es eine Ausnahme, Schutzmaßnahmen und das Recht, einen Menschen einzuschalten. Eine Freigabe, die nur abnickt, gilt nicht als menschliche Prüfung.

Transparenz gegenüber Betroffenen

Betroffene erfahren, dass ihre Daten in ein KI-System fließen, zu welchem Zweck und mit welcher Logik, soweit das verlangt ist. Datenschutzhinweise und die Transparenzhinweise nach der KI-Verordnung sollten zusammenpassen und nicht von zwei Abteilungen getrennt geschrieben werden.

So hilft Sightadel

Die Funktionen, die hier den Unterschied machen.

Geführte Assessments

Die Prüfpunkte der Verordnung sind nach Anbieter- und Betreiberpflichten getrennt. Sie beantworten je System nur, was für Ihre Rolle und Risikoklasse gilt, mit Erklärung und passendem Nachweis.

Mehr erfahren →

Eigene Frameworks

Interne KI-Richtlinien, Freigabekriterien für neue Modelle oder Anforderungen eines Großkunden bilden Sie als eigenes Regelwerk ab und verknüpfen sie mit denselben Nachweisen.

Mehr erfahren →

Nachweis-Archiv

Modellkarten, Testberichte, Datenblätter und Schulungsnachweise liegen mit Datum und Version an einer Stelle. Ein Nachweis kann gleichzeitig der Verordnung, der ISO/IEC 42001 und der DSGVO dienen.

Mehr erfahren →

Lieferantenrisiko

Anbieter von Modellen, Rechenleistung und Datensätzen werden mit Vertrag, Auftragsverarbeitung und Bewertung geführt. Sie sehen, welches Ihrer Systeme von welchem Lieferanten abhängt.

Mehr erfahren →

Trust Center

Unternehmenskunden sehen auf einer eigenen Seite, wie Sie KI steuern, und fordern Unterlagen dort an. Das ersetzt viele Fragebögen, die sonst einzeln beantwortet werden.

Mehr erfahren →

KI-Vorlagen

Entwürfe für KI-Richtlinie, Inventar, Folgenabschätzung und Transparenzhinweise aus der Beratungspraxis. Die Einstufung und die Bewertung der Risiken treffen Sie selbst.

Mehr erfahren →

Aufwand und Dauer

Ehrlich geschätzt.

Unternehmen, das KI nur einsetzt6–10 Wochen
Inventar, Einstufung, Schulung, KI-Richtlinie und Transparenzhinweise. Sofern kein Einsatz in einen Hochrisiko-Bereich fällt, bleibt es bei diesen Grundpflichten und dem Datenschutz.
Anbieter ohne Hochrisiko-System2–4 Monate
Zusätzlich Transparenz im Produkt, Datenschutz für Trainingsdaten, Lieferantenbewertung und eine Antwort auf Kundenfragebögen. Eine Zertifizierung nach ISO/IEC 42001 dauert meist vier bis acht Monate.
Anbieter eines Hochrisiko-Systems9–15 Monate
Risikomanagement, technische Dokumentation, Daten-Governance, Qualitätsmanagement und Konformitätsbewertung. Die Dauer hängt stark davon ab, wie viel davon in der Entwicklung bereits festgehalten wird.

Die Spannen sind Erfahrungswerte, keine Zusage. Wer bereits ein ISMS nach ISO/IEC 27001 betreibt, kommt deutlich schneller voran, weil Leitung, Risikoprozess und internes Audit schon stehen.

Was Sie lizenzieren · typisch Professional

Ein KI-Anbieter startet typischerweise mit Datenschutz, ISO/IEC 42001 und der KI-Verordnung in der Edition Professional. Sie umfasst zehn Nutzer, zehn Assets und 25 Lieferanten, das reicht für Entwicklung, Produkt, Datenschutz und Leitung. ISO/IEC 42001 und die KI-Verordnung bieten wir auf Anfrage an. Wer nur KI einsetzt, beginnt oft mit Datenschutz und der Verordnung.

Lizenz je Framework, Mindestlaufzeit ein Jahr, monatlich oder jährlich zahlbar. Alle Preise, Rabatte und einen Rechner finden Sie auf der Preisseite. Kosten einer Zertifizierungs- oder Prüfstelle kommen getrennt hinzu.

Preise und Kostenrechner14 Tage testen

Fragen und Antworten

Fragen zu KI-Anbieter und -Anwender

Mehr im FAQ oder direkt über unser Kontaktformular.

Sind wir Anbieter oder Betreiber?

Das hängt vom einzelnen System ab. Wer ein KI-System entwickelt oder unter eigenem Namen auf den Markt bringt, ist Anbieter. Wer ein fremdes System in eigener Verantwortung nutzt, ist Betreiber. Viele Unternehmen sind beides. In Sightadel halten Sie die Rolle je System fest. Die abschließende Einordnung ist eine Rechtsfrage für Ihre Beratung.

Unser Produkt baut auf einem fremden Sprachmodell auf. Was gilt für uns?

Für das Modell selbst trägt dessen Anbieter die Pflichten für Modelle mit allgemeinem Verwendungszweck. Für Ihr System, das das Modell nutzt, sind Sie in der Regel selbst Anbieter. Sie brauchen dann Unterlagen des Modellanbieters, um Ihre eigenen Pflichten zu erfüllen. Führen Sie ihn in Sightadel als Lieferanten mit Bewertung.

Welche Fristen gelten jetzt?

Verbote und KI-Kompetenz seit Februar 2025, Regeln für KI-Modelle mit allgemeinem Verwendungszweck seit August 2025, Transparenzpflichten seit August 2026. Die Hochrisiko-Pflichten wurden 2026 verschoben: auf Dezember 2027 für eigenständige Systeme, auf August 2028 für KI in regulierten Produkten.

Brauchen wir ISO/IEC 42001, um die Verordnung zu erfüllen?

Nein. Die Norm ist freiwillig. Sie liefert aber das organisatorische Fundament, das die Verordnung voraussetzt: Inventar, Zuständigkeiten, Risikobeurteilung, Folgenabschätzung. Gesetzliche Schritte wie Konformitätsbewertung, Registrierung und bestimmte Transparenzpflichten prüfen Sie gesondert.

Dürfen wir Kundendaten für das Training verwenden?

Nicht ohne Prüfung. Sie brauchen eine Rechtsgrundlage für genau diesen Zweck, eine Information der Betroffenen und häufig eine Datenschutz-Folgenabschätzung. Vertragliche Zusagen an Kunden können das zusätzlich ausschließen. Sightadel führt durch die Fragen und hält das Ergebnis fest, die rechtliche Bewertung liegt bei Ihrem Datenschutzbeauftragten oder Ihrer Beratung.

Wer prüft uns, und zertifiziert Sightadel?

Sightadel zertifiziert nicht. Eine Zertifizierung nach ISO/IEC 42001 vergibt eine akkreditierte Stelle. Bei Hochrisiko-Systemen läuft die Konformitätsbewertung je nach System intern oder über eine notifizierte Stelle. Prüfer wählen Sie aus unserem unabhängigen Partnernetz oder selbst. Für Audits fließt keine Provision, weder an uns noch an die Partner.

Füllt die KI in Sightadel die Einstufung für uns aus?

Nein, mit Absicht. Sie liefert Entwürfe aus Vorlagen und hilft beim Formulieren. Rolle, Risikoklasse und Restrisiken entscheiden Sie selbst, denn diese Entscheidungen müssen Sie gegenüber Behörden und Kunden vertreten können. Für schwierige Fälle können Sie Beratung als Paket in der App dazubuchen.

Wo liegen unsere Unterlagen?

Sightadel wird in Deutschland entwickelt und betrieben. Mit jedem Kunden schließen wir einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Trainingsdaten und Modelle gehören nicht in Sightadel, sondern nur die Dokumentation dazu.

Fachlich geprüft am 8. Oktober 2026 · Keine Rechtsberatung. Maßgeblich sind Norm bzw. Gesetz in der geltenden Fassung.

Fangen Sie mit einer Norm an.

14 Tage, voller Zugriff, keine Zahlungsdaten. Was Sie anlegen, bleibt im bezahlten Plan erhalten.

14 Tage kostenlos testenMit uns sprechen