EU AI Act Cockpit: Pflichten automatisiert nachweisen
Zentrales KI-Register, unveränderlicher Audit-Trail, Human-in-the-Loop-Gate und Art.-50-Transparenzhinweise statt Excel. Demo-Referenzarchitektur.
- Branche
- Compliance · Mittelstand · KI-Betrieb
- Aufbau, geschätzt
- 5–7 Wochen
Auf einen Blick
- Es beginnt mit
- Plattform-Scan
- Die Maschine übernimmt
- 9 von 11 Schritten
- Beim Menschen bleibt
- Freigabe-Queue · Freigabe DSB
- Unterm Strich
- 100%Erklärbare Entscheidungen
Das Problem
Mal ehrlich: Compliance-Dokumentation pflegt niemand gern. Eine dieser Aufgaben, die existiert, weil eine Verordnung es verlangt — nicht weil sie irgendjemandem Spaß macht.
Und dann fragt eine Behörde: Welche KI nutzen Sie eigentlich, in welchem Workflow, mit welchem Datenfluss? Wer hat diese automatische Ablehnung freigegeben? Zeigt mir das Protokoll. In den meisten Mittelständlern folgt darauf hektisches Zusammensuchen aus Make-Szenarien, n8n-Workflows und drei verschiedenen Köpfen.
Der Hamburger Fall — 492.000 € Bußgeld im September 2025 — zeigt, wohin das führt: eine algorithmische Ablehnung, die niemand erklären konnte.
Die Pflichten sind regelbasiert, wiederkehrend und dokumentationsintensiv. Also genau das, was sich automatisieren lässt. Hier ist die Pipeline.
Der EU AI Act bindet ausdrücklich Nutzer von KI, nicht nur Entwickler — wer Make, n8n oder Zapier mit KI-Schritten betreibt, ist Deployer im Sinne der Verordnung. Die Pflichten laufen parallel zur DSGVO und summieren sich: Art. 4 (KI-Kompetenz, seit Februar 2025), Art. 50 (Transparenz, ab 2. August 2026), Art. 22 DSGVO (keine rein automatisierte Entscheidung mit erheblicher Wirkung ohne menschliche Prüfung — größenunabhängig) und Art. 86 AI Act (Recht auf Erklärung, ab August 2026).
In der Praxis weiß kein Mittelständler vollständig, welche KI-Bausteine wo laufen, wer welche automatisierte Entscheidung freigegeben hat, oder kann eine einzelne Ablehnung nachvollziehbar erklären. Die KI-Schritte verstecken sich in Dutzenden Szenarien über mehrere Plattformen, das einzige „Register" ist eine Excel-Liste, die niemand pflegt, und Audit-Trails entstehen — wenn überhaupt — als verstreute Log-Zeilen ohne Zusammenhang.
Aufsichtsbehörden greifen bereits durch, bevor die Hochrisiko-Pflichten überhaupt greifen: Der Hamburgische Datenschutzbeauftragte verhängte 492.000 € primär wegen verletzter Informations- und Transparenzpflichten bei einer algorithmischen Ablehnung. Wer hier nichts vorzuweisen hat, baut denselben Fall im eigenen Haus nach — und zahlt im Ernstfall AI-Act- und DSGVO-Bußgeld nebeneinander.
Der Ablauf, Schritt für Schritt
Scrollen Sie durch. Das Diagramm bleibt stehen und markiert den Schritt, bei dem Sie gerade sind.
- 01
Plattform-Scan
Make / n8n / Zapier
Ein Scan geht regelmäßig über die angebundenen Plattformen (Make, n8n, Zapier) und findet jeden Schritt, der ein KI-Modell aufruft.
- 02
KI-Register
Modell, Datenfluss, Risikoklasse
Jeder Fund landet im KI-Register: welcher Workflow welches Modell nutzt, mit welchem Datenfluss und in welcher Risikoklasse nach AI Act. Das Verzeichnis hält sich selbst aktuell.
- 03Verzweigung
Erhebliche Wirkung?
- 04Mensch entscheidet
Freigabe-Queue
ein Mensch entscheidet
Entscheidungen mit rechtlicher oder erheblicher Wirkung, etwa Ablehnungen, Bonität oder Bewerbungen, gehen in eine Freigabe-Queue. Ein Mensch entscheidet, der Workflow dokumentiert.
- 05
Läuft durch
ohne Freigabe
Alles ohne erhebliche Wirkung läuft ohne Freigabe weiter, wird aber genauso protokolliert.
- 06
Audit-Log
Input, Modell, Output, Override
Jeder KI-Schritt schreibt einen unveränderlichen Eintrag: Input, Modell, Output, Zeitstempel und, falls es einen gab, den Eingriff des Menschen. Erklärbarkeit wird so zum Datenbankeintrag.
- 07Verzweigung
Öffentlich sichtbar?
- 08
Art.-50-Hinweis
automatisch eingefügt
Chatbots, KI-Inhalte und synthetische Medien bekommen den Transparenzhinweis nach Art. 50 automatisch, statt dass ihn jemand von Hand pflegen muss.
- 09
DSFA-/FRIA-Entwurf
aus Vorlage
Für betroffene Systeme erzeugt eine Vorlage Entwürfe für DSFA (Art. 35 DSGVO) und FRIA (Art. 27 AI Act), mit wiederverwendbaren Inhalten.
- 10Mensch entscheidet
Freigabe DSB
Datenschutzbeauftragte/r
Die Entwürfe sind Entwürfe: Freigeben muss sie die oder der Datenschutzbeauftragte. Das Cockpit ersetzt keine Rechtsberatung.
- 11
Fristen-Cockpit
Status je KI-System
Das Cockpit zeigt offene Pflichten, anstehende Stichtage und den Status je KI-System, damit keine Frist im Posteingang untergeht.
Was sich ändert
Möglicher Aufbau, kein fertiges Produkt
Die Zahlen sind modellierte Zielwerte für einen möglichen Aufbau, abgeleitet aus Branchenwerten und eigenen Tests. Sie stammen nicht aus einem Kundenprojekt, echte Werte hängen von Ihrem Betrieb ab. Wir verkaufen diesen Aufbau nicht als fertiges Produkt: Wir messen, wo Ihr Engpass liegt, und bauen dann mit Ihrem Team. Für zertifizierungspflichtige Systeme (etwa KIS, gematik, DATEV-zertifiziert) arbeiten wir mit spezialisierten Partnern.
Vorher vs. Nachher
| Aspekt | Vorher | Nachher |
|---|---|---|
| Überblick über eingesetzte KI | Vorher: Excel-Liste, die niemand pflegt | Nachher: Selbst-aktualisierendes KI-Register |
| Automatisierte Ablehnungen | Vorher: Laufen ungeprüft durch | Nachher: Human-in-the-Loop-Gate + Protokoll |
| Erklärbarkeit einer Entscheidung | Vorher: Niemand kann die Gründe nennen | Nachher: Audit-Trail-Eintrag in Sekunden |
| Art.-50-Transparenzhinweis | Vorher: Vergessen oder von Hand gepflegt | Nachher: Automatisch injiziert |
| DSFA / FRIA | Vorher: Copy-Paste aus alten Dokumenten | Nachher: Template-Entwurf, DSB gibt frei |
| Reaktion auf Behördenanfrage | Vorher: Tagelanges Zusammensuchen | Nachher: Export aus dem Register auf Knopfdruck |
Technik
Technologie-Stack
Integrationen
Systeme, an die dieser Aufbau anschließen kann
- n8n (self-hosted)Orchestrierung
- Zentrale Workflow-Engine: Scan, Register, Audit-Trail, Freigabe-Gates und Dashboard
- Make / ZapierKI-Inventarisierung
- Werden per Webhook/API gescannt, um versteckte KI-Schritte ins Register zu holen
- PostgreSQLAudit-Log
- Unveränderliches Protokoll aller KI-Schritte und Freigaben, GoBD-fest archivierbar
- Claude / GPT (EU-Endpoint)Dokumenten-Entwurf
- Erzeugt DSFA-/FRIA-Entwürfe und Erklärtexte über AVV-fähige EU-Endpoints
- Slack / Microsoft TeamsFreigabe-Workflow
- Human-in-the-Loop-Benachrichtigungen mit Ein-Klick-Freigabe für DSB und Fachbereich
- S3-kompatibler SpeicherArchivierung
- Revisionssichere Ablage von DSFA/FRIA, Protokollen und Transparenz-Nachweisen
Sicherheit & Compliance
Worauf der Aufbau achtet
- Datensouveränität durch Self-Hosting
- Der gesamte Workflow läuft self-hosted (n8n) im eigenen Rechenzentrum oder EU-Hosting. Sensible Compliance-Metadaten verlassen nie das Haus — kein Datenabfluss in externe Clouds.
- Unveränderlicher Audit-Trail
- Jeder KI-Schritt und jede Freigabe wird mit Zeitstempel, Akteur und Inhalt manipulationssicher protokolliert. Auditierbar gegenüber Aufsichtsbehörden, belegbar bei späteren Streitigkeiten.
- DSGVO & AI Act parallel gedacht
- Human-in-the-Loop (Art. 22 DSGVO / Art. 14 AI Act), Transparenz (Art. 50), Erklärbarkeit (Art. 86) und DSFA/FRIA sind als getrennte, kombinierbare Bausteine umgesetzt — weil Konformität mit einem Regelwerk das andere nicht ersetzt.
- EU-Endpoints für KI-Aufrufe
- Modell-Aufrufe laufen wahlweise über lokale Open-Source-Modelle oder AVV-fähige EU-Endpoints kommerzieller LLMs — passend zum Datenschutz-Niveau des jeweiligen Use Cases.
Häufige Fragen
Wie sähe das bei Ihnen aus?
Dieser Ablauf ist eine Demo. Ob er sich bei Ihnen lohnt, hängt davon ab, wo es bei Ihnen hakt. Wie man das herausfindet, zeigt die Methode. Einen eigenen Ablauf einordnen können Sie im Selbst-Check, kostenlos und ohne Gespräch.