Die Verordnung (EU) 2024/1689 ist in allgemeiner Anwendung. Das meiste, was sie verlangt, ist Ingenieursarbeit — Hinweispflichten, Aufsicht, Protokolle, Dokumentation und Belege, dass das System funktioniert. Wir bauen das standardmäßig ein.
Diese Seite beschreibt, wie wir bauen. Sie ist kein Rechtsgutachten zu Ihren Pflichten und sagt bewusst genau, wobei wir helfen können und was zu Ihrer Rechtsabteilung gehört.
Der Großteil der Verordnung, samt Transparenzpflichten.
Transparenz, Aufsicht, Protokolle, Daten, Dokumentation, Genauigkeit.
Alle liegen am Tag des Produktivstarts vor.
Wir sind Entwickler. Die Einstufung gehört zu Ihrer Rechtsabteilung.
Die Verordnung (EU) 2024/1689 tritt in Kraft; die Pflichten greifen gestaffelt über drei Jahre.
Verbotene Praktiken gelten, und Anbieter wie Betreiber müssen für ausreichende KI-Kompetenz ihrer Mitarbeitenden sorgen.
Pflichten für Allzweck-KI-Modelle, Aufsichtsstrukturen und Sanktionen beginnen zu greifen.
Der Großteil der Verordnung gilt, einschließlich der Transparenzpflichten aus Artikel 50, die auch gewöhnliche Chatbots erfassen.
Jetzt in KraftHochrisiko-Pflichten für KI in regulierten Produkten sowie die Frist für Allzweckmodelle, die vor August 2025 in Verkehr gebracht wurden.
Die Verordnung skaliert mit dem Risiko. Zu wissen, auf welcher Sprosse Sie stehen, macht aus einem Programm eine Checkliste — gelegentlich auch umgekehrt.
Social scoring, untargeted scraping for facial recognition, emotion inference at work or school.
Systems that materially influence employment, credit, education, essential services or law enforcement — plus AI embedded in regulated products.
Chatbots, assistants and generated content. Tell people they are dealing with an AI system, and mark synthetic output.
Spam filtering, search ranking, forecasting, most internal tooling. Good practice still applies; the Regulation does not add to it.
Nearly everything we are asked to build sits in the bottom two tiers.
Which is worth knowing before anyone sells you a compliance programme. The work is real, but it is transparency, oversight and documentation — not certification.
Die meisten Unternehmen nutzen KI-Systeme, statt sie in Verkehr zu bringen. Betreiberpflichten sind leichter als Anbieterpflichten, aber real: bestimmungsgemäße Nutzung, Mensch in der Schleife wo gefordert, Protokolle aufbewahren und dafür sorgen, dass die Bedienenden dazu befähigt sind.
Wer seinen Namen auf ein System setzt, dessen Zweckbestimmung ändert oder ein Hochrisiko-System wesentlich verändert, übernimmt die Anbieterpflichten. Das ist die mit Abstand häufigste Überraschung in der Verordnung.
Dasselbe Modell ist in einem Kontext unreguliert und in einem anderen hochriskant. Die Einstufung folgt dem, worüber das System entscheidet und über wen — nicht der API dahinter.
Eingeplant kostet nichts davon viel. Alles davon kostet viel in der Woche, in der ein Kunde einen Fragebogen schickt und die Antworten aus der Erinnerung rekonstruiert werden müssen.
Jeder Assistent, den wir ausliefern, weist in der Oberfläche selbst darauf hin — nicht auf einer Richtlinienseite. Erzeugte Inhalte werden als solche gekennzeichnet.
Konfidenzschwellen leiten unsichere Fälle in eine Prüfliste, und jede automatische Aktion hat eine Person, die sie rückgängig machen kann. Aufsicht ist eine Maske, die jemand benutzt, keine Vertragsklausel.
Eingaben, herangezogene Quellen, Entscheidung und Prüfende werden mit Aufbewahrungsregeln protokolliert. Wenn eine Behörde oder ein Kunde nach dem Warum fragt, existiert die Antwort.
Woher Trainings- oder Recherchedaten stammen, was sie enthalten, was ausgeschlossen wurde und warum — dokumentiert während des Baus, weil eine spätere Rekonstruktion Raterei ist.
Zweck, Architektur, Modellwahl, bekannte Grenzen und Testergebnisse, laufend geschrieben und mit dem System übergeben.
Ein Testset aus Ihren echten Fällen, vor dem Start vereinbart und bei jeder Änderung erneut ausgeführt — damit Aussagen zur Genauigkeit belegt sind.
Unsicher, in welche Kategorie Ihr Anwendungsfall fällt?
Bringen Sie ihn ins Erstgespräch mit. Wir sagen Ihnen, was wir denken — und was Ihre Rechtsabteilung sehen will.
Jeder dieser Punkte geht mit dem System heraus, nicht danach. Wenn Ihr Datenschutzbeauftragter die Akte verlangt, ist sie bereits geschrieben.
Etwas, das hier fehlt? Fragen Sie uns direkt oder schreiben Sie an hello@befzy.com.
Wenn Ihr Unternehmen ein KI-System auf dem EU-Markt bereitstellt oder in der EU einsetzt, gilt er sehr wahrscheinlich in irgendeiner Rolle — die meisten Unternehmen sind Betreiber, nicht Anbieter. Er erfasst auch Anbieter außerhalb der EU, deren Ergebnisse innerhalb genutzt werden. Enorm unterschiedlich ist dagegen, wie viel er verlangt: das hängt an der Risikoklasse Ihres konkreten Einsatzes.
Meist nicht. Kundenassistenten, Dokumentenverarbeitung und interne Automatisierung fallen in der Regel nicht unter die Hochrisiko-Anhänge und tragen vor allem Transparenzpflichten. Das Risiko steigt, wenn ein System Entscheidungen über Beschäftigung, Kredit, Bildung, wesentliche Dienste oder Strafverfolgung wesentlich beeinflusst. Wir klassifizieren den konkreten Fall in der Erstanalyse, statt aus der Kategorie zu raten.
Dass die Artefakte, die die Verordnung verlangt, existieren, wenn das System live geht — statt unter Druck rekonstruiert zu werden: der Hinweis in der Oberfläche, der Aufsichtspfad, die Protokolle, die Datenquellen, die technische Akte und die Evaluationsergebnisse. Eingeplant kostet nichts davon viel. Nachgerüstet kostet alles davon viel.
Nein. Wir sind Entwickler, und diese Seite beschreibt, wie wir bauen — sie ist kein Rechtsgutachten zu Ihren Pflichten. Einstufung und Freigabe gehören zu Ihrer Rechtsabteilung oder Ihrem Datenschutzbeauftragten. Was wir leisten können: dafür sorgen, dass die technischen Nachweise, nach denen dort gefragt wird, bereits vorliegen.
Sie überschneiden sich, statt zu konkurrieren. Die DSGVO regelt die personenbezogenen Daten, die durch das System fließen; der AI Act regelt das System selbst. In der Praxis bedienen dieselben Entwurfsentscheidungen beides — Datensparsamkeit, Löschfristen, Rechte, Protokolle und ein Mensch in der Schleife. Deshalb behandeln wir es als ein Architekturproblem und nicht als zwei Compliance-Projekte.
A free 20-minute call, no strings attached. We will tell you where the leverage is — and where it is not.