AI Act für Compliance-Verantwortliche: den Rechtsakt in bestehende Systeme einordnen
Aktualisiert: 2026-09
Wer bereits Datenschutz oder ein Informationssicherheits-Managementsystem verantwortet, muss für den AI Act nicht bei null anfangen. Verzeichnisse, Risikobewertung und Nachweisführung existieren bereits. Neu sind die Klassifizierungslogik nach Artikel 6, die Rollenunterscheidung zwischen Anbieter und Betreiber sowie eigenständige Transparenzpflichten.
Compliance-Verantwortliche stehen beim AI Act vor einem Einordnungsproblem, nicht vor einem Wissensproblem. Vieles klingt vertraut: Risikobewertung, Dokumentation, technische und organisatorische Massnahmen. Das verleitet zu einer der beiden falschen Schlussfolgerungen — entweder alles sei mit der bestehenden DSGVO-Struktur bereits abgedeckt, oder es müsse ein völlig neues System aufgebaut werden.
Beides ist unzutreffend und beides kostet. Die erste Annahme führt zu Lücken bei Klassifizierung und Transparenz, die zweite zu Doppelstrukturen, die im Alltag niemand pflegt. Die eigentliche Arbeit besteht darin, sauber zu trennen: Was lässt sich anschliessen, und was ist tatsächlich neu.
So geht’s
- 01
Rolle je System bestimmen
Anbieter oder Betreiber — daran hängen unterschiedliche Pflichtenkataloge. Bei zugekaufter Software mit KI-Funktion ist die Antwort seltener eindeutig, als sie zunächst wirkt, etwa bei erheblicher Anpassung oder eigenem Branding.
- 02
An das bestehende Verzeichnis andocken
Ein Verzeichnis von Verarbeitungstätigkeiten ist der natürliche Ort für die KI-Systemliste. Zwei getrennte Register bedeuten doppelte Pflege und garantieren, dass eines davon veraltet.
- 03
Nach Artikel 6 klassifizieren
Die Risikoeinstufung des AI Act ist nicht die Risikobewertung der DSGVO. Sie fragt nach Einsatzzweck und Anhang-III-Bereichen, nicht nach dem Risiko für die Rechte betroffener Personen. Beide Bewertungen sind nötig.
- 04
Transparenzpflichten separat prüfen
Kennzeichnungspflichten nach Artikel 50 gelten unabhängig von der Risikoklasse. Ein System ausserhalb der Hochrisiko-Kategorie kann trotzdem eine Offenlegungspflicht auslösen — ein häufig übersehener Punkt.
- 05
Die KI-Kompetenz-Pflicht in bestehende Schulungszyklen legen
Artikel 4 lässt sich in vorhandene Schulungsstrukturen integrieren. Wichtig ist der Rollenbezug: Der Nachweis muss zeigen, dass die Tiefe zur jeweiligen Aufgabe passt.
Warum es hier passt
Der Kurs richtet sich an Personen mit bestehender Compliance-Erfahrung und geht deshalb nicht bei der Frage los, was ein KI-System ist, sondern bei der Abgrenzung zu dem, was Sie bereits betreiben.
Die DACH-Ausrichtung ist hier besonders relevant: Für Schweizer Verantwortliche stellt sich zusätzlich die Frage nach dem Zusammenspiel von revDSG, DSGVO und AI Act — eine Konstellation, die international ausgerichtete Kurse selten behandeln.
Häufige Fragen
Deckt unser bestehendes ISMS den AI Act mit ab?
Teilweise. Ein ISMS liefert Struktur für Nachweisführung, Zuständigkeiten und Massnahmenverfolgung — alles anschlussfähig. Was es nicht liefert, ist die Klassifizierungslogik nach Artikel 6 und die Rollenunterscheidung zwischen Anbieter und Betreiber.
Brauchen wir eine eigene Rolle für KI-Governance?
Nicht zwingend. In kleineren Organisationen liegt die Aufgabe sinnvoll beim Datenschutz- oder Qualitätsverantwortlichen. Entscheidend ist, dass sie ausdrücklich zugewiesen ist und nicht implizit bei allen und damit bei niemandem liegt.
Wie gehen wir mit zugekaufter Software um?
Als Betreiber treffen Sie eigene Pflichten, unabhängig davon, was der Hersteller zusichert. Lassen Sie sich die Einstufung und die Konformitätsangaben schriftlich geben und legen Sie diese zu Ihrer Dokumentation.
Was, wenn ein System schwer einzuordnen ist?
Dokumentieren Sie die Abwägung mitsamt den geprüften Alternativen. Eine nachvollziehbar begründete Einordnung ist im Prüffall deutlich mehr wert als eine unbegründet richtige.
Innopulse Academy
Der Kurs richtet sich an Personen mit bestehender Compliance-Erfahrung und geht deshalb nicht bei der Frage los, was ein KI-System ist, sondern bei der Abgrenzung zu dem, was Sie bereits betreiben.
Die DACH-Ausrichtung ist hier besonders relevant: Für Schweizer Verantwortliche stellt sich zusätzlich die Frage nach dem Zusammenspiel von revDSG, DSGVO und AI Act — eine Konstellation, die international ausgerichtete Kurse selten behandeln.