Wie KI-Governance für Unternehmen Sie auf den EU AI Act vorbereitet

Diverses Team in einem modernen Glaskonferenzraum zusammenarbeiten

Ab dem 2. Dezember 2027 treten besondere Anforderungen hinsichtlich Daten-Governance Rückverfolgbarkeit, Risikomanagementsystemen, Transparenz, menschlicher Aufsicht und Cybersicherheitskontrollen für „Hochrisiko-KI-Systeme“ gemäß Anhang III des EU AI Act in Kraft. Für Hochrisiko-KI-Systeme in Produkten, die unter Anhang I fallen, gelten die Verpflichtungen ab dem 2. August 2028.

Diese Termine wurden im Juli 2026 verschoben, als die EU den digitalen Omnibus zur KI-Regulierung (EU 2026/1744) verabschiedete und damit die Fristen für die Einhaltung der Vorschriften für Hochrisiko-KI-Systeme verlängerte.

Der EU AI Act setzt den Standard für eine nachhaltige, langfristige KI-Governance für Unternehmen – unabhängig davon, ob Ihr Unternehmen seinen Hauptsitz in der EU hat oder KI-Systeme auf dem EU-Markt anbietet.

Um ihren Verpflichtungen nachzukommen, müssen Unternehmen die operativen Fähigkeiten aufbauen, die zur Identifizierung, Nachverfolgung und Steuerung von jedem KI-Modell, jedem KI-Agenten und jedem Workflow im gesamten Geschäftsbetrieb erforderlich sind. Auch mit dieser Verlängerung sind die Fristen knapp und die Sanktionen bei Nichteinhaltung erheblich: bis zu 15 Millionen EUR oder 3 % des weltweiten Jahresumsatzes.

Um die Anforderungen an Hochrisiko-KI-Systeme zu erfüllen, müssen Unternehmen genau wissen, wo KI-Tools eingesetzt werden, wer für sie verantwortlich ist und wie sie während ihres gesamten Lebenszyklus kontrolliert werden. Dies trägt nicht nur zur Einhaltung des EU AI Act bei, sondern ist auch ein notwendiger Bestandteil einer effektiven und sicheren Skalierung der KI-Implementierung im gesamten Unternehmen.

Der Einsatz von KI ohne entsprechende Governance kann für alle – vom CEO bis zum Chief Technology Officer – ein Risiko darstellen.

KI-Governance für Unternehmen muss von Anfang an integriert sein

Wenn Unternehmen die Implementierung von KI überstürzen, geschieht dies möglicherweise ohne angemessene Schutzvorrichtungen oder einen etablierten Ansatz für die zentrale Governance von KI-Tools. Dies kann die Transparenz hinsichtlich der eingesetzten Tools, der Daten, auf die zugegriffen wird, und der Verantwortlichkeit für Systeme beeinträchtigen.

Laut einer Gartner®-Umfrage unter 302 Führungskräften im Bereich Cybersicherheit, die von März bis Mai 2025 durchgeführt wurde, „vermuten oder belegen 69 % der Unternehmen, dass Mitarbeiter verbotene öffentlich zugängliche Generative-KI verwenden.“¹

Der Einsatz von Schatten-KI kann zu uneinheitlichen Kontrollen sowie zunehmenden betrieblichen und regulatorischen Risiken führen. Sie können nur steuern, was Sie sehen.

Die verlängerten Fristen des EU AI Act für Hochrisiko-KI-Systeme geben Unternehmen die Möglichkeit, ihre KI-Governance zu verbessern, bevor ihre KI-Landschaft komplexer wird und solche Systeme schwieriger zu verwalten sind. Andernfalls könnte eine kostspielige nachträgliche Implementierung von Governance-Protokollen erforderlich werden.

Governance sollte auf zentrale Risikobereiche ausgerichtet sein

Führungskräfte müssen ihre Maßnahmen darauf konzentrieren, Hochrisiko-KI-Systeme unter Kontrolle zu bringen. Der EU AI Act stuft nicht jedes KI-System als Hochrisikosystem ein. Artikel 6 legt zusammen mit den Anhängen I und III fest, welche Anwendungsfälle in die Kategorie „Hochrisiko“ fallen.

Unternehmen müssen die Vorgaben des Gesetzes in operative Fähigkeiten zur Kontrolle der von ihnen in Hochrisikobereichen bereitgestellten Systeme umsetzen. Kapitel 3 des Gesetzes legt diese Anforderungen fest. Dazu gehören:

AI Control Tower schafft Abhilfe

Der ServiceNow AI Control Tower kann zur Umsetzung unternehmensweiter Aufsicht beitragen, indem KI-Systeme über ihren gesamten Lebenszyklus hinweg erkannt, überwacht und gesteuert werden. Er wurde speziell für AI Centres of Excellence, Chief AI Officers, Chief Information Security Officers und Chief Privacy Officers entwickelt.

Der AI Control Tower stärkt die Compliance durch fünf zentrale Funktionen:

1. Erkennen: Pflege eines Bestands von KI-Assets in einer Configuration Management Database, die Transparenz über KI-Modelle schafft und dazu beiträgt, das Risiko von Schatten-KI zu reduzieren.

2. Beobachten: Kontinuierliche Erfassung von Entscheidungen, Eingaben und Ausgaben der KI in Audit-Trails mit integriertem Compliance-Reporting zur Einhaltung laufender regulatorischer Anforderungen.

3. Steuern: Kontinuierliche Erkennung von KI-Risiken mit automatisierten Workflows zur Risikominderung, die Kontrollen automatisch Frameworks wie dem EU AI Act zuordnen.

4. Absichern: Integration mit den Datenmanagement-Tools von ServiceNow, um die Datenintegrität aufrechtzuerhalten, potenzielle Verzerrungen zu erkennen und sicherzustellen, dass sensible Informationen nur autorisierten Benutzern zugänglich sind.

5. Messen: Automatisierte Dashboards zur Compliance-Überwachung, die Echtzeitwarnungen zu Incidents, Systemausfällen und Verstößen gegen Compliance-Anforderungen ausgeben, sowie exportierbare Nachweispakete für Audits und Berichte.

Mit den kommenden Fristen des EU AI Act für Hochrisiko-KI-Systeme sind diejenigen Führungskräfte am besten auf die Einhaltung der Vorschriften vorbereitet, die bereits jedes eingesetzte KI-System inventarisiert, jedem System einen verantwortlichen Eigentümer zugewiesen und eine kontinuierliche Überwachung anhand der Hochrisikoanforderungen des Gesetzes eingerichtet haben. Dies ist die Grundlage für eine KI-Einführung, die den Mehrwert steigert, ohne das Risiko zu erhöhen.

Erfahren Sie, wie ServiceNow Ihnen dabei helfen kann, KI zu kontrollieren und zu steuern, um Wachstum zu fördern.

¹ Gartner Press Release, Gartner Identifies Critical GenAI Blind Spots That CIOs Must Urgently Address (Gartner identifiziert kritische blinde Flecken bei generativer KI, die CIOs dringend beseitigen müssen), 19. November 2025. GARTNER ist eine Marke von Gartner, Inc. und/oder den Tochterunternehmen des Unternehmens.