KI-Verordnung Tools 2026: Credo AI, Vanta, Saidot und 5 weitere im Vergleich

Die Durchsetzung der KI-Verordnung hat sich am 2. August 2026 verändert, doch das beste Tool ist nicht das mit der längsten Kontrollliste. Credo AI ist das stärkste Governance-System für den Gesamtbedarf, Vanta ist die sauberere Wahl für sicherheitsgetriebene Teams, die vorhandene Compliance-Nachweise wiederverwenden, und der offizielle EU-Checker ist der richtige kostenlose erste Schritt. Sechs der sieben kommerziellen Produkte hier verbergen ihre Abopreise weiterhin.

Die kurze Antwort: welches KI-Verordnung Tool sollten Sie wählen?

Wählen Sie Credo AI, wenn Sie eine einzige Governance-Ebene über Modelle, Anbieter, Richtlinien, Assessments, Nachweise und Laufzeitaufsicht hinweg benötigen. Es passt am besten zu einem Unternehmen mit mehreren Geschäftsbereichen oder einem gemischten KI-Bestand, in dem das schwierige Problem nicht das Ausfüllen einer Checkliste ist, sondern Verantwortlichkeiten und Nachweise kohärent zu halten, während sich Systeme verändern.

Wählen Sie Vanta, wenn Sicherheit oder Compliance den Beschaffungsprozess bereits steuert und Ihr Unternehmen Vanta für andere Rahmenwerke nutzt. Das Produkt für die KI-Verordnung enthält mehr als 150 Kontrollen und 16 Richtlinien, und sein stärkster Vorteil ist die Wiederverwendung von Nachweisen, nicht besonders tiefes Modelltesting.

Wählen Sie Saidot, wenn Sie einen EU-nativen Wissensgraphen und kollaborative Arbeitsabläufe rund um Systeme, Modelle, Agenten, Datensätze, Risiken, Kontrollen und Richtlinien wollen. Wählen Sie OneTrust, wenn KI-Governance neben einem etablierten Datenschutz-, Data-Governance- oder GRC-Programm stehen muss. Wählen Sie IBM watsonx.governance, wenn hybride Bereitstellung, messbare Modellbewertungen oder öffentlich einsehbare Nutzungspreise zählen. Wählen Sie Holistic AI, wenn technisches Testen und Richtliniendurchsetzung zur Laufzeit im Zentrum der Aufgabe stehen.

Beginnen Sie mit dem EU AI Act Compliance Checker, wenn Sie Ihre Rolle oder die möglicherweise geltenden Pflichten noch nicht kennen. Ergänzen Sie Trainual nur dann, wenn die fehlende Ebene Mitarbeiterschulung, zugewiesene Trainings, Bestätigungen und exportierbare Nachweise nach Artikel 4 sind. Trainual ist keine Plattform für KI-Inventar, Klassifizierung, Konformitätsbewertung oder Monitoring.

Die Entscheidung kippt an einer Frage: wo liegen Ihre Nachweise bereits? Liegen sie verstreut bei Modellteams und Geschäftsbereichen, geben Credo AI oder Saidot ihnen ein Governance-Zuhause. Liegen sie bereits in einem Sicherheitskontrollprogramm, ist Vanta der kürzere Weg. Liegen sie in OneTrust, halten Sie die KI-Aufzeichnungen neben den Datenschutz- und Risikoaufzeichnungen. Kommt der fehlende Nachweis aus dem Modellverhalten und nicht aus Dokumenten, vergleichen Sie IBM und Holistic AI. Können Sie nicht beantworten, welche Rolle gilt, kaufen Sie nichts, bevor Sie den offiziellen Checker genutzt haben.

Was hat sich am 2. August 2026 geändert?

Das Datum ist wichtig, aber nicht aus dem Grund, den viele alte Fristen-Grafiken nahelegen. Der 2. August 2026 war nicht der allgemeine Startpunkt für jede Hochrisiko-Pflicht. Es war der Start der Transparenzregeln nach Artikel 50 sowie der Durchsetzung für bereits geltende Bestimmungen, darunter verbotene Praktiken, Maßnahmen zur KI-Kompetenz und Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck.

Der offizielle Umsetzungszeitplan trennt inzwischen sechs Meilensteine:

• 2. Februar 2025: Begriffsbestimmungen, Regeln zu verbotenen Praktiken und Bestimmungen zur KI-Kompetenz begannen zu gelten.
• 2. August 2025: Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck begannen zu gelten, und die EU-Governance-Struktur musste eingerichtet werden.
• 2. August 2026: Die Transparenzregeln nach Artikel 50 begannen zu gelten, und die nationale oder EU-Durchsetzung für anwendbare Regeln setzte ein.
• 2. Dezember 2026: Die Übergangsfrist endet für bestimmte Systeme mit synthetischen Inhalten, die vor dem 2. August 2026 in Verkehr gebracht wurden, um Artikel 50 Absatz 2 zu erfüllen; zusätzliche Verbote beginnen ebenfalls.
• 2. Dezember 2027: Die Hochrisiko-Pflichten nach Anhang III beginnen nach dem geänderten Zeitplan.
• 2. August 2028: Die Pflichten beginnen für Hochrisiko-KI, die in Produkten nach Anhang I eingebettet ist.

Die letzten beiden Daten wurden durch die Verordnung (EU) 2026/1744 geändert, die Digital-Omnibus-Änderung vom Juli 2026. Eine Seite, die den 2. August 2026 weiterhin als pauschale Hochrisiko-Frist bezeichnet, ist veraltet.

Was Artikel 50 in der Praxis bedeutet

Artikel 50 ist die Transparenzebene. Anbieter von Systemen, die direkt mit Menschen interagieren, müssen diese in der Regel darüber informieren, dass sie es mit KI zu tun haben, sofern das nicht offensichtlich ist. Anbieter von Systemen, die synthetische Audio-, Bild-, Video- oder Textinhalte erzeugen, müssen erfasste Ausgaben maschinenlesbar und als KI-generiert oder manipuliert erkennbar machen, innerhalb der Grenzen und Ausnahmen der Bestimmung.

Betreiber haben eigene Offenlegungspflichten. Sie müssen Personen informieren, die Emotionserkennungs- oder biometrischen Kategorisierungssystemen ausgesetzt sind, und sie müssen erfasste Deepfakes sowie bestimmte KI-generierte Texte von öffentlichem Interesse klar kennzeichnen. Die Leitlinien der Kommission zu Artikel 50 stellen zudem klar, dass vor dem 2. August 2026 erstellte Inhalte nicht rückwirkend gekennzeichnet werden müssen.

Bei einem Support-Chatbot kann der Nachweis aus einem Hinweis vor der ersten Antwort, einer mit der eingesetzten Version verknüpften Produktanforderung und einem Testprotokoll bestehen, das die Darstellung in jeder unterstützten Oberfläche belegt. Bei einem Mediengenerator kann er eine maschinenlesbare Kennzeichnungsmethode, Release-Tests, Ausnahmebehandlung und eine Zuständigkeit für die Fehlerbehebung umfassen. Ein Richtlinien-PDF ohne Umsetzungsnachweis ist das schwächste Glied dieser Kette.

Was Artikel 4 für Mitarbeiterschulungen bedeutet

Artikel 4 verlangt von Anbietern und Betreibern Maßnahmen, die die KI-Kompetenz des Personals und anderer Personen fördern, die KI-Systeme in ihrem Auftrag nutzen. Nach der Digital-Omnibus-Änderung schreibt das Gesetz kein bestimmtes oder „ausreichendes" Niveau vor. Die aktuellen Fragen und Antworten der Kommission zur KI-Kompetenz besagen, dass kein Zertifikat erforderlich ist. Eine interne Aufzeichnung von Schulungen und weiteren Anleitungsinitiativen kann ein angemessener Nachweis sein.

Das macht einen generischen Jahreskurs nicht für jede Rolle ausreichend. Eine Recruiterin, die ein Ranking-System nutzt, braucht andere Anleitung als eine Entwicklerin, die ein Modell mit allgemeinem Verwendungszweck integriert, oder ein Marketer, der synthetische Medien veröffentlicht. Die nützliche Aufzeichnung verbindet Person, Rolle, relevantes System, zugewiesenes Material, Abschlussdatum und aktuelle Richtlinienversion. Deshalb taucht Trainual in diesem Leitfaden auf, und deshalb steht es hinter Produkten, die die Systeme selbst steuern können.

GPAI-Anbieter tragen eine eigene Nachweislast

Anbieter von KI-Modellen mit allgemeinem Verwendungszweck müssen technische Dokumentation vorhalten, nachgelagerten Anbietern relevante Informationen geben, eine Richtlinie zur Einhaltung des EU-Urheberrechts umsetzen und eine hinreichend detaillierte Zusammenfassung der Trainingsinhalte veröffentlichen. Modelle mit systemischem Risiko tragen zusätzliche Pflichten zu Bewertung, Risikominderung, Vorfallmeldung und Cybersicherheit. Die Kommission begann am 2. August 2026 mit der vollen Durchsetzung gegenüber GPAI-Anbietern, einschließlich der Möglichkeit, Geldbußen zu verhängen. Für Modelle, die vor dem 2. August 2025 in Verkehr gebracht wurden, gilt laut den GPAI-Leitlinien der Kommission eine Übergangsfrist bis zum 2. August 2027.

Die meisten Unternehmen, die die folgenden Tools kaufen, trainieren kein Frontier-Modell. Sie sind Betreiber, die Modelle Dritter in Produkten oder Geschäftsprozessen einsetzen. Ihre Aufgabe bleibt umfangreich: das System identifizieren, Zweck und Verantwortliche dokumentieren, die Rolle der Organisation bestimmen, das Risiko klassifizieren, die richtigen Kontrollen binden, Anbieternachweise einsammeln, betroffene Mitarbeitende schulen, Änderungen überwachen und eine Entscheidungsspur bewahren.

Die Bußgeldobergrenze ist hoch, aber sie ist kein Kaufkriterium

Nach Artikel 99 können verbotene Praktiken eine maximale Geldbuße von 35 Mio. EUR oder 7 % des weltweiten Jahresumsatzes eines Unternehmens nach sich ziehen, je nachdem, welcher Betrag höher ist. Bestimmte Betreiberpflichten und Verstöße gegen Artikel 50 können 15 Mio. EUR oder 3 % erreichen. Unrichtige, unvollständige oder irreführende Angaben gegenüber einer notifizierten Stelle oder Behörde können 7.5 Mio. EUR oder 1 % erreichen. Für KMU und Start-ups gilt der jeweils niedrigere Betrag oder Prozentsatz.

Die gesonderte Obergrenze nach Artikel 101 für vorsätzliche oder fahrlässige Verstöße von GPAI-Anbietern liegt bei 15 Mio. EUR oder 3 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.

Das sind Höchstwerte, keine automatischen Rechnungen. Kaufen Sie entlang Ihrer Systeme, Rollen, Nachweismengen und Prüfzyklen. Eine riesige Kontrollbibliothek hat wenig Wert, wenn niemand die Aufzeichnungen verantwortet oder zeigen kann, welche eingesetzte Version sie beschreiben.

KI-Verordnung Tools im Überblick

Preise und Zugangswege unten wurden am 3. August 2026 gegen die aktuellen Anbieterseiten geprüft. „Individuell" bedeutet, dass der Anbieter keinen Abobetrag veröffentlicht, nicht dass das Produkt zwangsläufig teuer ist.

Sechs der sieben kommerziellen Anbieter veröffentlichen keinen Abo-Einstiegsbetrag. IBM ist die Ausnahme. Diese Intransparenz verändert den sinnvollen Beschaffungsprozess: Erstellen Sie die Shortlist zuerst nach Nachweiseignung und zwingen Sie dann jeden Finalisten, dieselbe Inventargröße, Nutzerzahl, Integrationen, Implementierungsarbeit, Supportstufe und Vertragslaufzeit zu bepreisen.

Wie diese Tools ausgewählt wurden

Dies ist eine verglichene Liste, kein Anspruch auf einen Praxistest. Jedes Produkt wurde am 3. August 2026 gegen seine aktuellen Produkt- und Preisseiten geprüft. Rechtliche Daten und Pflichten wurden gegen aktuelle Quellen der Europäischen Kommission, des AI Act Service Desk und von EUR-Lex geprüft. Die Produkte wurden dann an sieben Käuferfragen gemessen:

1. Inventar: Kann es ein brauchbares Register aus Systemen, Modellen, Agenten, Datensätzen, Anbietern, Verantwortlichen, Zwecken und Versionen führen?
2. Klassifizierung: Hilft es, Akteursrolle, Risikokategorie, anwendbare Regeln und die Begründung jeder Schlussfolgerung zu bestimmen?
3. Kontroll- und Nachweiszuordnung: Kann es Pflichten mit Richtlinien, Kontrollen, Tests, Freigaben und Quellnachweisen verbinden, ohne Doppelarbeit?
4. Technische Absicherung: Kann es Modellverhalten bewerten oder Laufzeitsignale mit Governance-Maßnahmen verbinden?
5. Änderungsmanagement: Bewahrt es Verantwortlichkeiten, Prüfhistorie, Vorfälle, Ausnahmen und Nachweise, während sich ein System ändert?
6. Bereitstellungseignung: Unterstützt es die Cloud-, Modell- und GRC-Umgebung, in der der Käufer bereits arbeitet?
7. Kommerzielle Klarheit: Sind Stufennamen, Grenzen, Testbedingungen und Preise vor einem Vertriebsgespräch sichtbar?

Das Ranking belohnt Breite nur dann, wenn das Produkt auch einen glaubwürdigen Arbeitsablauf offenlegt. Ein kostenloses Scoping-Tool kann eine Enterprise-Plattform schlagen, wenn ein Unternehmen noch kein einziges System klassifiziert hat. Eine Schulungsplattform kann für Artikel-4-Nachweise wertvoll und zugleich das falsche Werkzeug für Systemgovernance sein. Produkte flogen heraus, wenn ihr aktuelles öffentliches Material keinen klaren Anwendungsfall jenseits generischer Compliance-Sprache stützte.

1. Credo AI: insgesamt am besten für komplexe KI-Portfolios

Credo AI ist insgesamt die stärkste Wahl, wenn ein Unternehmen viele KI-Systeme, Anbieter und Teams unter einem Betriebsmodell steuern muss.

Die Plattform kombiniert KI-Discovery und Registry, Risikomanagement, Richtlinienzuordnung, Nachweis-Workflows, Reporting und Laufzeitüberwachung. Das benannte Policy-Paket zur KI-Verordnung deckt Risikoklassifizierung, Konformitätsbewertungen, Governance-Workflows, automatisierte Nachweise und Audit-Trails ab. Credo AI gibt außerdem an, dass sein Ökosystem mehr als 30 Hyperscaler-, Systemintegrator- und Enterprise-Plattform-Partner umfasst.

Der konkrete Anwendungsfall ist ein Unternehmen mit Kundenservice-Modellen, HR-Tools, internen Copilots, Anbieter-APIs und experimentellen Agenten, die verschiedenen Gruppen gehören. Credo gibt der Governance einen Ort für Richtlinien und jedem Verantwortlichen einen abgegrenzten Weg, Nachweise zu liefern. Das ist nützlicher, als jedes Team die Verordnung eigenständig auslegen zu lassen.

Die größte Hürde ist die kommerzielle Transparenz. Credo veröffentlicht keine Stufennamen, Abobeträge, enthaltene Inventargröße oder Self-Service-Testversion. Eine Demo kann die Produkteignung belegen, der Kauf braucht aber weiterhin ein sorgfältig normalisiertes Angebot. Kleinere Unternehmen mit einem Dutzend einfacher Einsätze kaufen womöglich mehr Governance-Maschinerie, als sie betreiben können.

Am besten für: Konzerne und regulierte Scale-ups mit verteilter KI-Verantwortung und gemischtem Modellbestand
Herausragend: Ein benanntes Policy-Paket zur KI-Verordnung in einem breiten Governance-System von Richtlinie bis Nachweis
Preise: Individuelle Preise per Bestellformular; keine öffentlichen Stufennamen oder Abobeträge (Stand 3. August 2026)
Kostenlose Testversion: Keine öffentliche Self-Service-Testversion; Demo oder Erstgespräch anfragen

Ein praxistauglicher Credo-AI-Pilot

Die Top-Empfehlung sollte eine vollständige Nachweiskette belegen, nicht nur ein hübsches Dashboard erzeugen.

1. 1

   Wählen Sie drei ungleiche Systeme

   Nehmen Sie eine kundenseitige generative Funktion, einen internen Entscheidungsunterstützungs-Workflow und ein KI-Tool eines Drittanbieters. Erfassen Sie Zweck, Verantwortliche, Anbieter, Modell, Nutzer, Region, Datenklassen und eingesetzte Version für jedes davon.

2. 2

   Rolle und Risiko klassifizieren

   Führen Sie den Workflow zur KI-Verordnung für alle drei aus. Lassen Sie sich zeigen, welche Quelle hinter jeder Frage steht, wie ein Prüfer eine Antwort überschreibt und wie die Plattform die Begründung der finalen Klassifizierung bewahrt.

3. 3

   Kontrollen an vorhandene Nachweise binden

   Ordnen Sie fünf Pflichten Nachweisen zu, die Sie bereits besitzen, etwa eine Anbieterbewertung, ein Model Card, eine Sicherheitskontrolle, ein Schulungsprotokoll oder einen Release-Test. Messen Sie, wie viel davon ohne Dateikopien wiederverwendbar ist.

4. 4

   Ändern Sie ein System

   Tauschen Sie die Modellversion oder fügen Sie einen neuen Anwendungsfall hinzu. Prüfen Sie, welche Assessments sich wieder öffnen, wer eine Aufgabe erhält, welche Historie sichtbar bleibt und ob veraltete Nachweise klar markiert werden.

5. 5

   Exportieren Sie die Entscheidungsspur

   Erzeugen Sie die Aufzeichnung, die eine Rechtsabteilung, ein Auditor oder eine Behörde erhalten würde. Sie sollte Verantwortliche, Quellen, Daten, Freigaben, Ausnahmen, Nachweise und Versionshistorie zeigen, ohne dass eine Live-Produktführung nötig ist.

Fazit: Credo AI gewinnt, wenn Governance-Komplexität das Problem ist. Lassen Sie es aus, wenn Sie nur wenige Systeme einordnen oder eine einfache Schulungsdokumentation führen wollen.

2. Vanta: am besten für sicherheitsgetriebene Nachweiswiederverwendung

Vanta ist die sauberste Wahl für ein sicherheitsgetriebenes Unternehmen, das Richtlinien, Kontrollen, Anbieter und Auditnachweise bereits in Vanta verwaltet.

Das Vanta-Produkt zur KI-Verordnung enthält mehr als 150 Kontrollen und 16 Richtlinien, dazu geführte Workflows, risikoorientierte Vorlagen, adaptives Scoping, Framework-Zuordnung, automatisierte Aufgaben, Nachweiserhebung und Vorfall- oder Modellüberwachung. Der Kernvorteil: Eine Identitätskontrolle, eine Anbieterprüfung, eine Richtlinie oder ein Zugriffsprotokoll existiert womöglich schon für ein anderes Rahmenwerk und lässt sich verknüpfen statt neu aufbauen.

Stellen Sie sich ein SaaS-Unternehmen vor, das SOC 2 und ISO-Arbeit in Vanta abgeschlossen und dann KI-Funktionen über Modellanbieter Dritter ergänzt hat. Die Sicherheitsabteilung verantwortet bereits Anbieternachweise und technische Kontrollen. Vanta erlaubt dieser Gruppe, einen vertrauten Betriebsrhythmus auf KI-Governance auszudehnen, ohne am ersten Tag ein separates Kontrollsystem einzuführen.

Genau diese Stärke definiert die Grenze. Vanta ist in erster Linie kein tiefes Modelltest-Labor. Ein Unternehmen mit Bedarf an spezialisierten Bias-, Robustheits-, Adversarial- oder Drift-Tests sollte die genauen Integrationen und den Nachweisweg prüfen und dann Holistic AI oder IBM vergleichen. Vanta veröffentlicht zudem vier Paketnamen, aber für keines einen Betrag.

Am besten für: Unternehmen, die Sicherheits- und Compliance-Rahmenwerke bereits in Vanta betreiben
Herausragend: Mehr als 150 Kontrollen zur KI-Verordnung und 16 Richtlinien mit Nachweiswiederverwendung über Rahmenwerke hinweg
Preise: Essentials, Plus, Professional und Enterprise; alle mit personalisierten Preisen ohne öffentlichen Betrag
Kostenlose Testversion: Keine öffentliche Self-Service-Testversion; eine kostenlose Demo ist verfügbar

Fazit: Vanta schlägt einen separaten KI-Governance-Kauf, wenn Ihr bestehendes Vanta-Programm bereits die meisten Menschen und Nachweise enthält. Die Wahl kippt zu Credo AI oder Saidot, wenn KI-Beziehungen und Richtlinienentscheidungen die Arbeit dominieren statt der Wiederverwendung von Sicherheitskontrollen.

3. Saidot: beste EU-native kollaborative Governance

Saidot passt am besten zu einer EU-basierten oder EU-fokussierten Organisation, die einen vernetzten Governance-Graphen und einen kollaborativen Weg vom Systemkontext zu Richtlinien- und Kontrollarbeit will.

Die Saidot-Plattform verbindet Systeme, Modelle, Agenten, Datensätze, Risiken, Kontrollen und Richtlinien über einen Wissensgraphen, sodass gemeinsame Fakten über Datensätze hinweg vererbt werden. Die Bibliothek listet derzeit mehr als 260 Risiken, 620 Kontrollen, 110 Richtlinien und 100 weit verbreitete KI-Modelle und -Produkte. Integrierte Anbindungen umfassen Azure AI Foundry und Amazon Bedrock, dazu eine REST-API, Webhooks und MCP-Server für andere Umgebungen.

Ein nützliches Szenario ist eine Finanzdienstleistungsgruppe, die denselben Modellanbieter in mehreren Anwendungen nutzt. Ein Anbieter- oder Modellfakt sollte zu den betroffenen Systemen fließen, während lokaler Zweck, Nutzer, Daten und Kontrollen unterschiedlich bleiben. Der Graph-Ansatz ist genau für diese Beziehung gebaut, in der eine Tabellenkalkulation doppelte Datensätze und widersprüchliche Antworten erzeugt.

Saidots System Classification Assistant zur KI-Verordnung ist vielversprechend, muss aber richtig etikettiert werden: Er ist in Release 8.14.0 vom 9. Juli 2026 als Preview gekennzeichnet. Er führt durch einen strukturierten Fragebogen, füllt bekannte Systeminformationen vor und trennt Pflichten auf Organisationsebene von Pflichten auf Systemebene. Käufer sollten testen, wie sich der Preview-Status auf Support, Exportstabilität und Vertragszusagen auswirkt, bevor sie ihn zum Rückgrat der Klassifizierung machen.

Am besten für: EU-fokussierte Organisationen, die gemeinsamen Governance-Kontext über vernetzte KI-Assets brauchen
Herausragend: Vererbung über einen Wissensgraphen, gestützt auf 260+ Risiken, 620+ Kontrollen und 110+ Richtlinien
Preise: Abopreise sind nicht öffentlich sichtbar; für ein aktuelles Angebot Saidot kontaktieren
Kostenlose Testversion: Ja; Self-Service-Onboarding oder ein begleiteter Pilot werden angeboten

Die Testversion ist die Gelegenheit, Vererbung zu prüfen. Legen Sie zwei Systeme mit demselben Modell an, ändern Sie einen gemeinsamen Anbieterfakt und sehen Sie nach, was sich automatisch aktualisiert, was eine Prüfung erfordert und was isoliert bleibt. Wenn Prüfer nicht verstehen, warum eine Pflicht erschienen ist, fügt der Graph Komplexität hinzu, statt sie zu entfernen.

Fazit: Saidot ist die schärfere EU-native Option für vernetzte Datensätze und kollaborative Kontrollarbeit. Lassen Sie es aus, wenn Sie öffentliche Preise, einen vollständig allgemein verfügbaren Klassifizierungsassistenten oder die tiefste Laufzeit-Testsuite brauchen.

4. OneTrust: am besten für bestehende Datenschutz- und GRC-Landschaften

OneTrust ist die sinnvolle Wahl, wenn KI-Governance eine weitere gesteuerte Domäne in einem etablierten OneTrust-Programm für Datenschutz, Daten oder Risiko werden soll.

Die OneTrust-Lösung zur KI-Verordnung registriert KI-Systeme, führt Inventar und Verantwortlichkeiten, verknüpft Risiken mit Systemen, automatisiert Workflows und Nachweise und verbindet Laufzeitereignisse mit Governance-Maßnahmen und Beobachtung nach dem Inverkehrbringen. Das AI-Governance-Paket unterstützt außerdem Einstufung, Freigaben, Attestierungen, Bewertungs-Gates, Dokumentation, Reporting und kontinuierliches Monitoring für die KI-Verordnung, NIST und ISO/IEC 42001.

Der beste Fall ist ein multinationales Unternehmen, dessen Datenschutz-Folgenabschätzungen, Anbieterdaten, Richtlinien und Risikoverantwortliche bereits in OneTrust liegen. Ein KI-Anwendungsfall berührt oft dieselben personenbezogenen Daten, Auftragsverarbeiter, Übermittlungen und fachlichen Verantwortlichen. Diese Datensätze verbunden zu halten, kann parallele Fragebögen reduzieren und eine klarere Verantwortungslandkarte bewahren.

Der schlechte Fall ist ein kleines Produktunternehmen, das OneTrust nur für KI kauft. Der Wert der Plattform entsteht aus der umgebenden Landschaft. Die öffentliche Preisseite besagt, dass AI Governance nach Admin-Nutzern und KI-Inventar abgerechnet wird, veröffentlicht aber keinen Betrag und keine Self-Service-Testversion. Käufer müssen zudem fragen, welche technischen Bewertungen nativ sind und welche über Integrationen oder hochgeladene Nachweise kommen.

Am besten für: Organisationen, die OneTrust bereits für Datenschutz, Data Governance, Drittparteirisiko oder GRC nutzen
Herausragend: KI-Datensätze können neben bestehenden Datenschutz-, Risiko-, Verantwortungs- und Nachweis-Workflows stehen
Preise: Individuell, basierend auf Admin-Nutzern und KI-Inventar; kein öffentlicher Abobetrag
Kostenlose Testversion: Keine öffentliche Self-Service-Testversion; Preis oder Demo anfragen

Fazit: Wählen Sie OneTrust, wenn der KI-Datensatz Verantwortliche und Nachweise aus einem bestehenden OneTrust-Programm erben soll. Wählen Sie eine dedizierte KI-Governance-Plattform, wenn KI-Engineering, Modellbeziehungen und technische Bewertung das Betriebsmodell bestimmen sollen.

5. IBM watsonx.governance: am besten für hybride Stacks und transparente Abrechnung

IBM watsonx.governance ist hier die stärkste Option für eine große hybride Umgebung, die Modellbewertung, Governance-Datensätze und einen öffentlich einsehbaren Einstieg braucht.

IBM positioniert watsonx.governance als anbieterübergreifende Governance-Ebene mit vernetztem Governance Graph, Richtlinien- und Kontrollzuordnung, kontinuierlichem Audit-Reporting, Inventar und Risikokontext. Das integrierte Compliance-Ökosystem umfasst mehr als 200 Rahmenwerke. Das Add-on Compliance Accelerators enthält Credo AI Policy Packs, ausgerichtet auf die KI-Verordnung, ISO/IEC 42001 und NIST AI RMF.

Die praktische Passung ist ein Konzern, der Modelle über Clouds und interne Infrastruktur betreibt, in dem Risikoverantwortliche nachvollziehbare Datensätze und Entwickler messbare Bewertungen brauchen. IBM veröffentlicht sowohl begrenzte kostenlose Kapazität als auch Nutzungseinheiten, was einen Proof of Concept leichter kalkulierbar macht als bei den sechs individuell bepreisten Alternativen.

Kommerziell einfach ist das Produkt nicht. Die aktuelle Preisseite mischt Modellmanagement-Nutzung, GRC-Komponenten, Observability-Beispiele, AWS SaaS und Software-Bereitstellung. Käufer müssen erst bestimmen, welche Komponenten die eigene Aufgabe lösen, bevor sie eine Zahl als Plattformpreis behandeln.

Am besten für: Hybride, anbieterübergreifende Konzerne, die Governance plus messbare Modellbewertung brauchen
Herausragend: Öffentliche Preise für Lite, Nutzung, GRC und Observability neben Unterstützung für 200+ Rahmenwerke
Preise: Lite ist kostenlos; Essentials-Bewertungseinheiten beginnen bei USD 0.64; GRC- und Bereitstellungskomponenten sind separat
Kostenlose Testversion: Ja; eine Lite-Stufe und ein aktueller Weg zur kostenlosen Testversion sind verfügbar

IBM-Preise, übersetzt in Kaufeinheiten

Die Lite-Stufe von IBM umfasst rund 100 Modellbewertungen, 100 globale Erklärungen, 50,000 lokale Erklärungen, ein Inventar, drei Anwendungsfälle und drei benutzerdefinierte Attribute pro Anwendungsfall. Das reicht, um den Workflow zu prüfen, nicht um ein skaliertes Governance-Programm abzubilden.

Unter Essentials model management nennt IBM USD 0.64 pro Modell- oder Template-Bewertung, USD 0.64 pro globaler Erklärung, USD 0.64 pro 500 lokalen Erklärungen oder USD 0.64 pro 200 Agent-Message-Bewertungen. Die Observability-Beispiele der Seite reichen von USD 1.28 pro Monat für ein monatlich bewertetes Modell über USD 161.28 pro Monat für vier Modelle bei 30 Bewertungen monatlich bis USD 5,529.60 pro Monat für acht Modelle bei 360 Bewertungen monatlich. Nicht die Modellanzahl allein, sondern die Bewertungsfrequenz treibt den Sprung.

Für GRC nennt Essentials USD 795 pro Instanz, USD 2,650 pro Lösung mit maximal einer und USD 53 pro gleichzeitigem Nutzer mit maximal 25. Standard nennt USD 3,710 pro Instanz, USD 2,650 pro Lösung mit maximal fünf und USD 53 pro gleichzeitigem Nutzer mit maximal 200. IBM nennt außerdem einen AWS-SaaS-Betrag von USD 38,160 inklusive einer Governance-Console- oder Model-Risk-Governance-Instanz, 12,000 Modellbewertungen pro Jahr, fünf KI-Anwendungsfällen und 25 gleichzeitigen Nutzern, ohne dass die Seite daneben eine Abrechnungsperiode ausweist. Die Software-Bereitstellung wird pro virtuellem Prozessorkern bepreist, ohne öffentlichen VPC-Betrag.

Fazit: IBM gewinnt bei hybrider Breite und einsehbaren Einstiegspreisen. Wählen Sie Holistic AI, wenn Laufzeittests und Durchsetzung das fokussierte Zentrum des Kaufs sein sollen, oder eine leichtere Plattform, wenn das IBM-Komponentenmodell das Problem übersteigt.

6. Holistic AI: am besten für technisches Testen und Durchsetzung zur Laufzeit

Holistic AI passt am besten, wenn das Compliance-Programm technische Tests und Richtliniendurchsetzung zur Laufzeit braucht, nicht nur Inventare und Fragebögen.

Die Holistic-AI-Plattform umfasst automatisierte Discovery, ein Live-Inventar, Risikotests, Monitoring, Richtliniendurchsetzung und Auditnachweise. Sie veröffentlicht mehr als 40 spezialisierte Tests zu Bias, Sicherheit, Security, Performance, Drift, Degradation und Adversarial-Bedrohungen. Ihre Risikoscores und regulatorischen Vorlagen bilden die KI-Verordnung, NIST AI RMF und ISO 42001 ab.

Der scharfe Anwendungsfall ist ein Unternehmen, das eine KI-Entscheidung oder generierte Ausgabe direkt an Kunden ausliefert. Governance muss nicht nur wissen, dass eine Richtlinie existiert, sondern ob ein System in der Produktion einen Schwellenwert überschritten hat. Die Durchsetzungsebene von Holistic AI protokolliert Richtlinie, Eingabe- und Ausgabekontext, Maßnahme und Ergebnis, was einen technischen Eingriff mit dem späteren Auditnachweis verbinden kann.

Die Kaufhürde ist vertraut: Holistic AI veröffentlicht keine Stufennamen, Abobeträge, enthaltene Testvolumina oder Self-Service-Testversion. Mehr als 40 Tests sind eine nützliche Abdeckung, aber die Demo muss zeigen, welche Tests für Ihre Modalität und Architektur funktionieren, wie Schwellenwerte validiert werden und was passiert, wenn eine Regel eine Ausgabe blockiert oder verändert. Eine Laufzeitkontrolle mit schlechtem Fallback-Design kann zum Verfügbarkeitsproblem des Produkts werden.

Am besten für: Kundenseitige oder regulierte KI-Systeme, die spezialisierte Tests und Richtliniendurchsetzung zur Laufzeit brauchen
Herausragend: 40+ Tests plus protokollierte Laufzeitmaßnahmen, verbunden mit Governance-Nachweisen
Preise: Individuell; keine öffentlichen Stufennamen oder Abobeträge
Kostenlose Testversion: Keine öffentliche Self-Service-Testversion; Demo anfragen

Fazit: Holistic AI verdient einen Platz auf der Shortlist, wenn technische Absicherung der Nachweisengpass ist. Schwerer zu rechtfertigen ist es, wenn die Hauptlücke bei Verantwortlichkeiten, Basisklassifizierung, Richtlinienbestätigung oder der Wiederverwendung klassischer Sicherheitskontrollen liegt.

7. EU AI Act Compliance Checker: bester kostenloser erster Schritt

Der EU AI Act Compliance Checker ist der richtige Startpunkt für Käufer, die die Rolle der Organisation, die Systemkategorie oder die wahrscheinlichen Pflichten noch nicht benennen können.

Der Checker der Europäischen Kommission und des AI Act Service Desk stellt strukturierte Fragen, um Anbietern, Betreibern und anderen Akteuren zu helfen, möglicherweise geltende Regeln zu identifizieren. Er ist kostenlos und vor jedem Beschaffungsprozess verfügbar, was ihm in einem Markt, in dem sechs kommerzielle Anbieter ihre Einstiegspreise verbergen, ungewöhnlichen Wert verleiht.

Nutzen Sie ihn für eine erste Aufzeichnung zu jedem wesentlich verschiedenen System. Ein Unternehmen, das eine KI-Funktion anbietet, ein Recruiting-Tool eines Dritten einsetzt und einen internen Copilot nutzt, kann in verschiedenen Kontexten verschiedene Rollen einnehmen. Ein einziges unternehmensweites Etikett ist zu grob.

Der Checker ist ausdrücklich eine Beta und rein informativ. Sein Ergebnis ist keine Rechtsberatung und stellt keine Bewertung Ihrer Situation oder Pflichten durch die Kommission dar. Er betreibt außerdem kein Systeminventar, sammelt keine laufenden Nachweise, testet kein Modell, weist keine Kontrollen zu und überwacht keine Änderungen. Speichern Sie die Fragen und Eingaben, die zum Ergebnis geführt haben, und leiten Sie Unsicherheiten an qualifizierte Rechtsberatung weiter.

Am besten für: Kostenloses erstes Scoping vor der Wahl von Beratung, Kontrollen oder Software
Herausragend: Offizieller Fragepfad, gebunden an die Rollen Anbieter, Betreiber und weitere Akteure
Preise: Kostenlos
Kostenlose Testversion: Nicht zutreffend; der Beta-Checker ist ohne kostenpflichtige Stufe verfügbar

Fazit: Jeder unsichere Käufer sollte den offiziellen Checker nutzen, bevor er für Software zahlt. Kein reifes KI-Programm sollte seine Antwort mit dem Governance-System verwechseln, das danach folgt.

8. Trainual: beste unterstützende Ebene für Nachweise zur KI-Kompetenz

Trainual ist eine Dokumentations- und Schulungsplattform, die zugewiesene Anleitungen, Abschlüsse, Bestätigungen und Reporting für Artikel 4 bewahren kann, aber sie ist keine Governance-Software für die KI-Verordnung.

Die nützliche Passung ist eng und konkret. Artikel 4 verlangt von Anbietern und Betreibern, die KI-Kompetenz des Personals und anderer Personen zu fördern, die KI in ihrem Auftrag betreiben. Die Kommission sagt, dass kein Zertifikat erforderlich ist und eine interne Aufzeichnung von Schulungen oder Anleitungen angemessen sein kann. Die aktuellen Trainual-Pakete bieten Dokumentation, Gruppenzuweisungen, Fälligkeitstermine, Tests, Tracking, Reporting, Versionshistorie, Bestätigungen und exportierbare CSV- oder PDF-Berichte.

Beispielsweise kann eine Marketinggruppe, die generative Medien nutzt, systemspezifische Offenlegungshinweise erhalten, eine kurze Prüfung absolvieren, die aktuelle Richtlinie bestätigen und eine datierte Aufzeichnung hinterlassen. Eine Recruiting-Gruppe kann anderes Material erhalten, gebunden an die Systeme und Entscheidungen, die sie berührt. Der nützliche Nachweis ist kein generisches Abzeichen. Er ist die Verbindung von Rolle, Material, Version, Abschluss und Nachverfolgung.

Trainual veröffentlicht keine Funktionen für KI-Systeminventar, Rollen- oder Risikoklassifizierung, Konformitätsbewertung, Modellbewertung oder Laufzeitmonitoring. Es gehört neben Credo AI, Vanta, Saidot, OneTrust, IBM oder Holistic AI, wenn Schulungsnachweise schwach sind. Es sollte sie nicht ersetzen.

Am besten für: Organisationen, die zugewiesene, versionierte und exportierbare Nachweise zur KI-Kompetenz brauchen
Herausragend: Rollenbasierter Schulungsbetrieb und Bestätigungsnachweise in einem dedizierten Dokumentationssystem
Preise: Core, Pro, Premium und Enterprise nutzen individuelle Abopreise; eine einmalige Implementierungsgebühr von USD 1,000 wird ausgewiesen
Kostenlose Testversion: Keine öffentliche Self-Service-Testversion auf der aktuellen Preisseite; Demo anfragen

Trainual-Stufen ohne Vertriebsnebel

Core enthält KI-gestützte Dokumentation, Gruppenschulungen, Fälligkeitstermine, Tests, Tracking, Reporting, 2 GB Videospeicher und 30 Tage Versionshistorie. Pro ergänzt individuelle Pfade, Pflicht-Ansichtskontrollen, Abschluss-Erinnerungen, 300 E-Signaturen pro Jahr, 15 GB Videospeicher und 90 Tage Historie.

Premium ergänzt unbegrenzte E-Signaturen, unbegrenzten Videospeicher und unbegrenzte Versionshistorie, SSO, eigene Marke und Domain, 15 GB SCORM-Speicher und Vorlagen für Schulungspfade. Enterprise ergänzt API- und Integrationsunterstützung, Zugang zur SOC-2-Dokumentation, erweiterte Migrations- und Rollout-Hilfe, dedizierten Customer Success, Quartalsreviews und Priority Support.

Der Stufenwechsel für Nachweise zur KI-Verordnung dreht sich um Kontrolle, nicht um Prestige. Core kann Gruppenzuweisung und Reporting abdecken. Pro wird relevant, wenn individuelle Pfade, Pflicht-Ansichtsnachweise, Erinnerungen oder E-Signaturen zählen. Premium ist der Schritt für SSO und unbegrenzte Bestätigungen oder Historie. Enterprise ist für Integration, Rollout und Assurance-Bedarf. Da der Abobetrag nicht öffentlich ist, verlangen Sie im Angebot eine Trennung von Abo, USD 1,000 Implementierung, Inhaltsmigration und Autorenarbeit.

Fazit: Trainual verdient diesen letzten Platz, weil Artikel-4-Nachweise eine lebendige Pflicht sind und seine Schulungsmechanik relevant ist. Es bleibt eine unterstützende Ebene. Es ohne diese Warnung neben vollwertige KI-Governance-Plattformen zu stellen, würde Käufer in die Irre führen.

Wer sollte was wählen

Die schnellste Entscheidung beginnt bei der fehlenden Nachweisebene, nicht bei der höchsten Geldbuße oder der längsten Funktionsliste.

Wenn Sie keine belastbare Systemliste haben, beginnen Sie beim Anwendungsbereich. Führen Sie wesentlich verschiedene Systeme durch den offiziellen Checker und legen Sie dann eine Mindestaufzeichnung an mit Verantwortlichem, Zweck, Rolle, Nutzern, Region, Daten, Anbieter, Modell, Version und erster Risikobegründung. Unterschreiben Sie keinen Enterprise-Vertrag, um diese grundlegende Inventararbeit zu vermeiden.

Wenn das Inventar existiert, die Governance aber fragmentiert ist, wählen Sie eine Programmebene. Credo AI ist der Standard für eine komplexe, verteilte Landschaft. Saidot ist die stärkere Alternative, wenn Graphbeziehungen, EU-Kontext und kollaborative Vererbung zum Betriebsmodell passen. Vanta gewinnt, wenn Sicherheitskontrollen und Nachweise bereits in Vanta liegen. OneTrust gewinnt, wenn Datenschutz-, Daten-, Anbieter- und GRC-Beziehungen bereits in OneTrust liegen.

Wenn Dokumente existieren, das eingesetzte Verhalten aber unsicher ist, wählen Sie eine technische Ebene. IBM passt zu einem hybriden, anbieterübergreifenden Unternehmen, das öffentliche Einstiegseinheiten und breiten Governance-Kontext will. Holistic AI passt zu einem Team, das spezialisierte technische Tests und Laufzeitdurchsetzung priorisiert. Lassen Sie beide eine fehlgeschlagene Bewertung durch Triage, Ausnahme, Behebung, Release-Entscheidung und exportierbaren Nachweis verfolgen.

Wenn die Systeme gesteuert sind, aber Mitarbeiteranleitung nicht belegbar ist, ergänzen Sie Trainual. Die Plattform sollte rollenspezifische Materialien und Abschlussnachweise tragen, während das Governance-System die Quelle für Systemumfang und Pflichtenkontext bleibt.

Für ein kleineres Unternehmen kann der praktische Stack aus dem offiziellen Checker, einem disziplinierten Inventar, Rechtsberatung für unsichere Klassifizierungen, ausgewählten Kontrollen im bestehenden Sicherheitssystem und Trainual bestehen, sofern Schulungsnachweise verstreut sind. Für ein wachsendes Produktunternehmen können Credo AI oder Saidot das Zentrum werden, mit technischen Tests und Schulungsnachweisen ringsum. Für einen großen hybriden Konzern können IBM oder Holistic AI die technische Ebene liefern, während OneTrust oder ein bestehendes GRC-System die breitere organisatorische Beweislage bewahrt.

Wenn Sie das System noch entwerfen, statt Governance-Software zu kaufen, erklärt das Playbook für Guardrails und Blast Radius bei produktiven KI-Agenten, wie man Berechtigungen und Fehlerwirkung begrenzt. Enthält das Inventar Agenten, bietet der Vergleich der KI-Agenten-Plattformen einen eigenen Weg durch die Bereitstellungsebene. Keiner von beiden ersetzt die hier beschriebene rechtliche und Governance-Arbeit.

Die Tools, die Sie meiden sollten

Die falsche Passung zu vermeiden, zählt mehr, als einen universellen Sieger zu finden. Diese Produkte sind in ihrer Spur glaubwürdig, aber jedes wird zum Fehlkauf, sobald es darüber hinaus gedehnt wird.

Meiden Sie den offiziellen Checker als Compliance-System

Der EU AI Act Compliance Checker ist kostenlos, offiziell und wertvoll für das erste Scoping. Er ist auch eine Beta, deren Ergebnis informativ und keine Bewertung der Kommission ist. Er kann keine Kontrollen verantworten, keine Nachweise sammeln, keinen Einsatz überwachen und kein Inventar aktuell halten. Nutzen Sie ihn am Anfang, nicht als die Akte, die Sie als vollständiges Programm vorlegen.

Meiden Sie Trainual als KI-Governance-Plattform

Trainual kann Richtlinien dokumentieren und belegen, dass benannte Personen zugewiesenes Material abgeschlossen haben. Es kann das gesteuerte System nicht klassifizieren, keine Konformitätsbewertung durchführen, kein Modellverhalten bewerten und keine Laufzeitereignisse überwachen. Kaufen Sie es für die Lücke bei Kompetenznachweisen, niemals weil sich ein Schulungsprotokoll wie vollständige Abdeckung der KI-Verordnung anfühlt.

Meiden Sie Vanta, wenn spezialisiertes Modelltesting der Hauptbedarf ist

Vantas Vorteil ist die Wiederverwendung von Kontrollen und Nachweisen, besonders für bestehende Vanta-Kunden. Ist die offene Frage Bias, Adversarial-Resilienz, Drift oder ein Laufzeiteingriff, testen Sie den exakten Workflow vor dem Kauf. Holistic AI oder IBM passen womöglich besser zu diesem Schwerpunkt.

Meiden Sie IBM, wenn Sie eine einfache kommerzielle Einheit brauchen

IBM veröffentlicht mehr Preisinformationen als die anderen Enterprise-Produkte, was zu begrüßen ist. Es trennt aber auch Lite-Kapazität, Nutzungsbewertung, GRC, Observability, AWS SaaS und Software-Bereitstellung. Wer ein einziges planbares Paket für ein kleines Inventar will, investiert womöglich zu viel Aufwand in die Zusammenstellung der richtigen Komponenten.

Meiden Sie Credo AI, Saidot oder OneTrust für ein reines Häkchen-Projekt

Diese Systeme schaffen Wert über Beziehungen, Verantwortung, Workflow und wiederholte Nachweise. Will die Führung einen Fragebogen einmalig ausgefüllt sehen, wird die Einführung diesen Bruch offenlegen. Klären Sie zuerst das Mandat. Governance-Software kann die Autorität, Personalzeit und Produktänderungsprozesse nicht liefern, die die Organisation nicht finanzieren wollte.

Meiden Sie außerdem jeden Anbieter und jeden Leitfaden, der den 2. August 2026 weiterhin als pauschalen Start der Hochrisiko-Pflichten nach Anhang III darstellt, ohne die Verordnung (EU) 2026/1744 abzubilden. Die aktuellen Daten sind der 2. Dezember 2027 für Anhang III und der 2. August 2028 für Hochrisiko-Systeme, die in regulierten Produkten nach Anhang I eingebettet sind.

Ein 30-Tage-Beschaffungsprozess, der Nachweise erzeugt

Der Beschaffungsprozess sollte Ihnen bessere Aufzeichnungen hinterlassen, selbst wenn Sie nichts kaufen.

Tag 1 bis 5: die Stichprobe festlegen

Wählen Sie fünf wesentlich verschiedene Systeme, nicht fünf Kopien desselben Chatbots. Nehmen Sie ein kundenseitiges System, einen folgenreichen internen Workflow, ein Drittanbieter-Tool, einen Anwendungsfall mit generativen Inhalten und, falls vorhanden, einen Agenten oder eine Automatisierung auf. Erfassen Sie die Mindestfakten und führen Sie jedes durch eine erste Rollen- und Anwendungsbereichsanalyse.

Tag 6 bis 10: die Nachweiskette definieren

Wählen Sie für jedes Stichprobensystem zwei anwendbare oder plausibel anwendbare Pflichten. Benennen Sie Quelle, Verantwortlichen, Kontrolle, Umsetzungsnachweis, Freigabe, aktuelle Version, Prüfzyklus und Laufzeitsignal. Markieren Sie unsichere rechtliche Schlussfolgerungen für die Rechtsberatung. Daraus wird das gemeinsame Demo-Skript.

Tag 11 bis 20: Finalisten in Ihrem Szenario arbeiten lassen

Akzeptieren Sie keine vorgefertigte Idealzustands-Demo. Lassen Sie den Anbieter die fünf Datensätze importieren oder anlegen, eine vorhandene Kontrolle wiederverwenden, eine strittige Klassifizierung weiterleiten, veraltete Nachweise verfallen lassen, eine Ausnahme dokumentieren, auf eine geänderte Modellversion reagieren und die Historie exportieren. Binden Sie Recht, Sicherheit, Produkt, Engineering, Einkauf und einen fachlichen Verantwortlichen im jeweils relevanten Teil ein, nicht in jedes Meeting.

Tag 21 bis 25: dieselbe Einheit bepreisen

Fordern Sie von jedem Finalisten dieselbe Inventargröße, Prüfer- und Beitragendenzahl, Rahmenwerke, Umgebungen, Integrationen, Nachweishistorie, Support, Implementierung und Vertragslaufzeit an. Fragen Sie, welche Grenzen die nächste Preisstufe auslösen. Modellieren Sie bei nutzungsbasierter Bewertung die erwartete Zahl an Systemen, Tests und Bewertungsfrequenz, statt ein Beispiel mit geringem Volumen zu akzeptieren.

Tag 26 bis 30: Verantwortung vor der Unterschrift klären

Benennen Sie Executive Sponsor, Verantwortlichen für Systemdatensätze, rechtlichen Prüfer, Kontrollverantwortliche, Verantwortlichen für technische Tests, Eskalationsweg für Vorfälle und den Quartalsreview-Prozess. Legen Sie fest, welche Plattform die Quelle für Systeme, Richtlinien, Schulungen und Laufzeitnachweise ist. Ein Produkt, das zu einer weiteren unverbundenen Datenbank wird, ist vor dem Start gescheitert.

Fragen zur KI-Verordnung, die Käufer immer wieder stellen

Was ist die KI-Verordnung der EU?

Die KI-Verordnung der EU ist ein risikobasierter Rechtsrahmen für künstliche Intelligenz. Die Pflichten hängen von der Rolle des Akteurs, dem System oder Modell, seiner Verwendung und Risikokategorie sowie davon ab, wo es in Verkehr gebracht, in Betrieb genommen oder genutzt wird. Sie erfasst öffentliche und private Akteure innerhalb und außerhalb der EU, wenn diese Markt- oder Nutzungsbedingungen sie mit der EU verbinden.

Was hat sich 2026 an der KI-Verordnung geändert?

Die Transparenzregeln nach Artikel 50 und die Durchsetzung bereits geltender Bestimmungen begannen am 2. August 2026. Die Verordnung (EU) 2026/1744 verschob außerdem die Hochrisiko-Pflichten nach Anhang III auf den 2. Dezember 2027 und die Hochrisiko-Pflichten für in Anhang-I-Produkte eingebettete Systeme auf den 2. August 2028. Ältere Seiten, die eine allgemeine Hochrisiko-Frist im August 2026 zeigen, sind überholt.

Gilt die KI-Verordnung auch für US-Unternehmen?

Sie kann gelten. Der Rahmen erfasst Akteure, die ein KI-System oder ein Modell mit allgemeinem Verwendungszweck auf dem EU-Markt in Verkehr bringen, ein KI-System in der EU in Betrieb nehmen oder eines in der EU nutzen. Ein Hauptsitz in den USA nimmt für sich genommen den EU-Bezug nicht weg. Bestimmen Sie Rolle und Systemkontext und holen Sie für unsichere Fälle Rechtsberatung ein.

Was ist das Hauptziel der KI-Verordnung?

Der Rahmen soll Gesundheit, Sicherheit und Grundrechte schützen und zugleich harmonisierte Regeln für das Inverkehrbringen und die Nutzung von KI in der EU schaffen. Er wendet unterschiedliche Pflichten auf verbotene Praktiken, Hochrisiko-Systeme, Transparenzfälle und KI mit allgemeinem Verwendungszweck an, statt jede Nutzung gleich zu regulieren.

Wie hoch sind die maximalen Bußgelder nach der KI-Verordnung?

Artikel 99 setzt Obergrenzen von 35 Mio. EUR oder 7 % für verbotene Praktiken, 15 Mio. EUR oder 3 % für bestimmte Betreiberpflichten und Verstöße gegen Artikel 50 sowie 7.5 Mio. EUR oder 1 % für unrichtige, unvollständige oder irreführende Angaben, mit der im Gesetz beschriebenen Umsatzregel. KMU und Start-ups trifft der jeweils niedrigere Betrag oder Prozentsatz. Artikel 101 begrenzt bestimmte Bußgelder für GPAI-Anbieter gesondert auf 15 Mio. EUR oder 3 %.

Gibt es ein offizielles Compliance-Tool zur KI-Verordnung?

Ja. Der AI Act Service Desk bietet einen kostenlosen Compliance Checker an. Er ist eine laufende Beta zur informativen Orientierung, keine Rechtsberatung und keine offizielle Bewertung der Kommission, und er ersetzt weder ein Inventar noch einen Nachweis-Workflow, technisches Testen oder eine Monitoring-Plattform.

Welches Compliance-Tool zur KI-Verordnung ist das beste?

Credo AI ist insgesamt die stärkste Wahl für komplexe, verteilte KI-Governance. Vanta ist besser für ein bestehendes Vanta-Sicherheitsprogramm, Saidot für EU-native vernetzte Governance, OneTrust für eine bestehende Datenschutz- oder GRC-Landschaft, IBM für hybride Governance und öffentliche Abrechnung und Holistic AI für technisches Testen und Laufzeitdurchsetzung. Beginnen Sie mit dem offiziellen Checker, wenn der Anwendungsbereich unklar ist, und nutzen Sie Trainual nur für die unterstützende Ebene der Kompetenznachweise.

Holen Sie sich die KI-Tool-Landkarte für Unternehmer und machen Sie aus einer langen Shortlist einen praktischen Stack für Ihr Unternehmen.