L-09 · EU AI Act
KI-Security Beratung: KI sicher und regelkonform einsetzen
KI-Security umfasst die Regeln und technischen Maßnahmen, mit denen ein Unternehmen KI-Werkzeuge nutzt, ohne Daten preiszugeben oder gegen den EU AI Act (Verordnung (EU) 2024/1689) zu verstoßen. SecTec schafft den Überblick, ordnet Ihre Anwendungen ein und schreibt Regeln, die im Alltag halten.
Technik und Recht
Zwei Risiken, eine Ordnung.
Das erste Risiko ist technisch: Mitarbeitende geben Kundendaten in frei verfügbare Chatbots ein, KI-Werkzeuge laufen ohne Freigabe (Schatten-KI), Anwendungen lassen sich über manipulierte Eingaben steuern (Prompt Injection).
Das zweite ist rechtlich: Der EU AI Act verbietet bestimmte Praktiken, verlangt Transparenz und für Hochrisiko-Systeme umfangreiche Pflichten. Dazu kommt die DSGVO, sobald personenbezogene Daten im Spiel sind. Wir bringen beides in eine Ordnung, die an Ihr bestehendes ISMS anschließt.
Leistungsumfang
Was wir mit Ihnen klären und umsetzen.
KI-Inventar
Welche KI-Werkzeuge im Einsatz sind, wer sie nutzt und mit welchen Daten
Überblick
Einordnung nach AI Act
Verbotene Praktik, Hochrisiko, Transparenzpflicht oder keine besonderen Pflichten
Art. 5, 6, 50
KI-Richtlinie
Freigegebene Werkzeuge, verbotene Daten, Prüfung der Ergebnisse, Verantwortliche
Richtlinie
Technische Absicherung
Firmenzugänge statt privater Konten, Rechte, Protokollierung, Schutz vor Datenabfluss
Technik
KI-Kompetenz
Maßnahmen und Schulung für den sicheren Umgang mit KI
Art. 4
Datenschutz
Rechtsgrundlage, Auftragsverarbeitung und Folgenabschätzung, wo nötig
DSGVO
Ablauf
Klein anfangen, sauber ordnen.
Inventar.
Erfassen, welche KI wo genutzt wird, auch ohne offizielle Freigabe.
Einordnen.
Jede Anwendung nach AI Act und DSGVO bewerten.
Regeln.
KI-Richtlinie und technische Maßnahmen festlegen.
Befähigen.
Team schulen und die Regeln regelmäßig an neue Werkzeuge anpassen.
EU AI Act: die Fristen nach dem Digital-Omnibus
- Art. 5
- Art. 4
- Art. 113
- Art. 50
| Ab wann | Was gilt | Fundstelle |
|---|---|---|
| seit 02.02.2025 | Verbotene Praktiken, Maßnahmen zur KI-Kompetenz | Art. 5, Art. 4 |
| seit 02.08.2025 | Pflichten für KI-Modelle mit allgemeinem Verwendungszweck, Sanktionen | Art. 113 lit. b |
| seit 02.08.2026 | Verordnung weitgehend anwendbar, Transparenzpflichten | Art. 50 |
| ab 02.12.2026 | zwei weitere Verbote: intime Deepfakes ohne Zustimmung und Missbrauchsdarstellungen | Art. 5, Art. 113 lit. a |
| ab 02.12.2027 | Hochrisiko-Pflichten für Systeme nach Anhang III, etwa Bewerberauswahl oder Bonitätsprüfung | Art. 113 lit. c |
| ab 02.08.2028 | Hochrisiko-Pflichten für KI in Produkten nach Anhang I | Art. 113 lit. c |
Stand: Verordnung (EU) 2024/1689 in der Fassung der Verordnung (EU) 2026/1744 (Digital-Omnibus).
Was der AI Act für die meisten Unternehmen bedeutet
- Art. 4
- Art. 50
Die meisten Unternehmen sind Betreiber, nicht Anbieter: Sie setzen KI-Werkzeuge ein, die andere entwickelt haben.
Für sie zählen vor allem drei Punkte. Erstens Maßnahmen zur KI-Kompetenz der Beschäftigten (Art. 4). Zweitens Transparenz: Deepfakes sind als künstlich erzeugt offenzulegen, ebenso KI-Texte zu Themen von öffentlichem Interesse ohne redaktionelle Prüfung (Art. 50 Abs. 4). Drittens die Prüfung, ob ein Einsatz in eine Hochrisiko-Kategorie fällt, etwa in der Personalauswahl. Wie Sie das organisieren, beschreibt der Ratgeber KI-Governance aufbauen.
Weiterlesen
Ratgeber und verwandte Leistungen.
KI-Sicherheit im Unternehmen
Risiken und Schutzmaßnahmen im Überblick
Ratgeber
Risikoklassen des AI Act
Welche Pflichten für welche KI gelten
Ratgeber
Schatten-KI
KI-Nutzung ohne Freigabe erkennen und ordnen
Ratgeber
Datenschutz Beratung
Datenschutz-Management und externe Datenschutzbeauftragte
Leistung · L-04
Security Awareness Schulung
Mitarbeitende erkennen Risiken, statt sie zu verursachen
Leistung · L-05
ISO 27001 Beratung
Managementsystem für Informationssicherheit aufbauen und zur Zertifizierung führen
Leistung · L-02
Häufige Fragen zur KI-Security
Betrifft der EU AI Act auch kleine Unternehmen?
Ja, sobald sie KI einsetzen. Welche Pflichten gelten, hängt davon ab, wie die KI genutzt wird. Für die meisten Unternehmen geht es um KI-Kompetenz und Transparenz, nicht um Hochrisiko-Pflichten.
Müssen wir KI-Schulungen nachweisen?
Art. 4 der KI-Verordnung verlangt Maßnahmen zur Förderung der KI-Kompetenz. Seit dem Digital-Omnibus 2026 ist kein bestimmtes Niveau mehr geschuldet und keine Nachweispflicht vorgeschrieben. Eine dokumentierte Basisschulung ist trotzdem der einfachste Beleg.
Ab wann gelten die Hochrisiko-Pflichten?
Für Systeme nach Anhang III, etwa in der Personalauswahl oder bei der Bonitätsprüfung, ab 2. Dezember 2027. Für KI in Produkten nach Anhang I ab 2. August 2028 (Art. 113 lit. c in der Fassung der Verordnung (EU) 2026/1744).
Dürfen Mitarbeitende ChatGPT und ähnliche Werkzeuge nutzen?
Ja, mit klaren Regeln: freigegebene Werkzeuge mit Firmenzugang und Vertrag, keine personenbezogenen oder vertraulichen Daten in Werkzeuge ohne Freigabe, Ergebnisse prüfen, bevor sie verwendet werden. Das hält eine KI-Richtlinie fest.
Was droht bei Verstößen gegen den AI Act?
Bei verbotenen Praktiken bis 35 Mio. Euro oder 7 % des weltweiten Jahresumsatzes, bei vielen anderen Pflichten bis 15 Mio. Euro oder 3 %. Für KMU gilt jeweils der niedrigere Betrag (Art. 99). Für Art. 4 gibt es keinen eigenen Bußgeldtatbestand.
KI sicher einführen.
Wir sagen Ihnen, wo Sie stehen und was der EU AI Act für Sie bedeutet.
- Telefon
- +43 1 3058463
- kontakt@sectec.at