Es gibt eine verbreitete Vorstellung davon, wann Compliance ins Spiel kommt: am Ende. Das System ist gebaut, es funktioniert, und dann kommt jemand mit einer Checkliste und prüft, ob alles regelkonform ist. Findet sich eine Lücke, wird sie geschlossen.
Diese Reihenfolge funktioniert bei der DSGVO schon schlecht. Beim EU AI Act funktioniert sie gar nicht. Und der Grund ist kein juristischer, sondern ein bautechnischer.
Warum manche Anforderungen keine Features sind
Eine Checkliste suggeriert, dass Compliance aus einer Liste von Punkten besteht, die man einzeln abhakt. Manche Punkte sind tatsächlich so — ein Cookie-Banner, ein Datenschutz-Text. Die kann man am Ende anbauen.
Andere sind keine Punkte, sondern Eigenschaften des gesamten Systems. Ein Audit-Log, das nachvollziehbar macht, wer wann was mit welcher KI-Beteiligung entschieden hat, ist kein Feld, das man hinzufügt. Es ist eine Entscheidung darüber, wie jede Aktion im System überhaupt verarbeitet wird. Wer das nachträglich einbauen will, rührt nicht an einer Ecke — er rührt an jeder Stelle, an der jemals etwas entschieden wird.
Dasselbe gilt für Human-in-the-Loop. Der EU AI Act verlangt an bestimmten Stellen, dass ein Mensch eine KI-Entscheidung bestätigt, bevor sie wirksam wird. Das ist kein Knopf. Es ist eine Aussage darüber, wie der Kontrollfluss durch das System läuft — wo er anhält, wer freigibt, was passiert, wenn niemand freigibt. Ein System, das ohne diesen Halt gebaut wurde, hat die Stelle nicht. Man fügt sie nicht hinzu. Man baut den Fluss neu.
Warum ist der Nachbau teurer als der Erstbau?
Wer Compliance von Anfang an mitdenkt, zahlt einen Aufpreis. Das Audit-Log-Schema kostet Entwurfszeit. Die Freigabe-Punkte kosten Architekturaufwand. Das ist real, und es fühlt sich nach Verzögerung an, weil es im Demo nichts hinzufügt, das man zeigen könnte.
Wer Compliance ans Ende schiebt, zahlt denselben Aufpreis — plus den Preis dafür, ein fertiges System aufzureißen. Plus das Risiko, dass die Änderung tief genug greift, um neue Fehler einzubauen. Plus die Zeit unter Termindruck, weil der Auditprüftermin oder der Marktstart jetzt feststeht. Der Erstbau ist Architekturarbeit in Ruhe. Der Nachbau ist Architekturarbeit unter Stress, an einem System, das man dabei nicht kaputtmachen darf.
Die Mathematik ist eindeutig, und sie überrascht trotzdem immer wieder.
Was bedeutet „by design” konkret?
Compliance by Design bedeutet, dass vier Anforderungen schon in der Architektur-Skizze sichtbar sein müssen, bevor die erste Zeile entsteht — KI-Kennzeichnung, Human-in-the-Loop, Audit-Logs und Löschkonzepte. Es ist kein Slogan, wenn man es ernst nimmt:
- KI-Kennzeichnung und Transparenz gehören in die Pipeline, an der KI-erzeugte Inhalte entstehen — nicht in eine Anzeige-Schicht darüber. Was gekennzeichnet werden muss, muss an der Quelle markiert sein, sonst geht die Information unterwegs verloren.
- Human-in-the-Loop gehört in den Kontrollfluss. Die Frage „wo hält das System an und wartet auf einen Menschen” wird beim Entwurf beantwortet, nicht beim Testen.
- Audit-Logs in Prüfqualität gehören in das Datenmodell. Welche Aktion, welcher Akteur, welche KI-Beteiligung, welcher Zeitpunkt — diese Felder entstehen mit der Tabelle, nicht danach.
- Rechtsgrundlage, Löschkonzepte, Auskunftsrechte gehören in die Datenarchitektur. Wer Daten so ablegt, dass eine Löschanfrage sie nicht vollständig erreicht, hat ein Architekturproblem, kein Rechtsproblem.
Keine dieser Anforderungen ist exotisch. Alle vier sind bekannt, lange bevor das System gebaut wird. Der einzige Fehler, den man machen kann, ist, sie als später zu behandeln.
Der Satz für die Planung
Compliance gehört in dieselbe Diskussion wie die Datenbank-Wahl und der Service-Schnitt — nicht in eine spätere. Sie ist eine Eigenschaft, die das System hat oder nicht hat, und Eigenschaften baut man ein, während man baut.
Ein regelkonformes System entsteht nicht dadurch, dass man am Ende eine Prüfung besteht. Es entsteht dadurch, dass die Prüfung nichts findet, weil es nichts zu finden gibt. Das ist günstiger, ruhiger und am Ende auch das einzige, was bei einem ernsthaften Audit trägt.
Häufige Fragen
- Lässt sich EU-AI-Act-Compliance nachträglich in ein System einbauen?
- Nur teuer. Audit-Logs und Human-in-the-Loop sind keine einzelnen Features, sondern Eigenschaften des gesamten Systems. Wer sie nachrüstet, baut den Kontrollfluss neu — unter Termindruck, an einem laufenden System, mit dem Risiko neuer Fehler.
- Was bedeutet Compliance by Design konkret?
- Compliance by Design bedeutet, dass KI-Kennzeichnung, Human-in-the-Loop, Audit-Logs in Prüfqualität und Löschkonzepte schon in der Architektur-Skizze sichtbar sind, bevor die erste Codezeile entsteht — nicht als späterer Prüfpunkt.
- Warum ist der nachträgliche Einbau von Compliance teurer als der Erstbau?
- Der Erstbau ist Architekturarbeit in Ruhe. Der Nachbau zahlt denselben Aufwand plus das Aufreißen eines fertigen Systems, plus das Risiko neuer Fehler, plus Zeitdruck durch einen feststehenden Prüf- oder Markttermin.