Compliant by Design: KI und Regulierung von Anfang an zusammendenken
Wer regulatorische Anforderungen erst nach dem Build adressiert, zahlt doppelt. Vier Prinzipien, mit denen KI-Systeme von Anfang an compliance-fähig entstehen.
„Erst bauen wir das System, dann kümmern wir uns um Compliance.“ Dieser Satz fällt in KI-Projekten regelmäßig - und er ist nachvollziehbar. Regulierung wirkt wie ein Thema, das warten kann, bis das System steht. In der Praxis führt diese Reihenfolge aber fast immer zum selben Ergebnis: Das System ist fertig, darf aber nicht produktiv gehen. Und der Umbau, der dann folgt, kostet mehr als die richtige Architektur von Anfang an gekostet hätte.
Die Alternative hat einen Namen: Compliant by Design. Die Idee ist nicht neu - Privacy by Design hat denselben Gedanken für den Datenschutz etabliert. Neu ist, wie dringlich sie für KI-Systeme geworden ist. Mit dem EU AI Act, dessen Hochrisiko-Pflichten seit August 2026 greifen, und NIS2 im Rücken ist die Frage nicht mehr, ob ein KI-System regulatorische Anforderungen erfüllen muss - sondern nur noch, wann sie eingebaut werden.
Warum „Compliance am Ende“ doppelt kostet
Der klassische Ablauf sieht so aus: Ein Team baut einen KI-Agenten, der Pilot überzeugt, die Fachabteilung will ausrollen. Dann meldet sich die Compliance-Abteilung - oft, weil sie erst jetzt vom Projekt erfährt. Es folgen Fragen nach Nachvollziehbarkeit, menschlicher Aufsicht und Dokumentation. Und weil das System darauf nicht ausgelegt ist, beginnt die Nachrüstung.
Die Kosten entstehen dabei zweimal: einmal für den Umbau selbst, und einmal für die Monate, in denen das System nicht produktiv arbeiten darf. Bei regulierten Unternehmen kommt ein dritter Posten dazu - das Risiko, dass die Aufsicht den Betrieb ohne ausreichende Nachweise gar nicht erst gestattet.
Vier Prinzipien für compliance-fähige KI-Architektur
1. Regulierung als Architektur-Input behandeln
Anforderungen aus EU AI Act, NIS2 oder branchenspezifischer Aufsicht sind keine Prüfschritte am Projektende - sie sind Architektur-Anforderungen, genauso wie Performance oder Skalierbarkeit. Konkret heißt das: Vor dem ersten Sprint gehört eine Klassifizierung auf den Tisch. Ist das geplante System ein Hochrisiko-Fall nach Anhang III? Fällt der Prozess unter NIS2-Meldepflichten? Die Antworten bestimmen, welche Bausteine die Architektur von Anfang an braucht - und ersparen später die Grundsatzdiskussion.
2. Audit-Trail als Standard, nicht als Feature
Jede Entscheidung, die ein Agent trifft oder vorbereitet, sollte nachvollziehbar sein: Welche Daten lagen vor, welche Regeln oder Modelle kamen zum Einsatz, was war das Ergebnis? Audit-Trails nachträglich einzubauen ist möglich, aber teuer - und die Lücke bleibt: Entscheidungen aus der Zeit vor der Nachrüstung sind unwiederbringlich undokumentiert. Wer den Audit-Trail von Tag eins an mitführt, hat dagegen bei jeder Prüfung belastbares Material.
3. Den Menschen im Prozess verankern
Menschliche Aufsicht ist im EU AI Act für Hochrisiko-Systeme verpflichtend - aber sie ist auch jenseits der Pflicht ein Qualitätsmerkmal. Die entscheidende Design-Frage lautet nicht, ob ein Mensch eingebunden wird, sondern wo: An welchen Stellen entscheidet der Agent allein, wo empfiehlt er nur, und bei welchen Konstellationen übergibt er den Fall vollständig? Diese Eskalationspfade gehören ins Systemdesign, nicht in eine nachgelagerte Arbeitsanweisung.
4. Nachweise automatisieren
Compliance-Dokumentation, die manuell in Tabellen gepflegt wird, veraltet schneller, als Prüfer fragen können. Tragfähiger ist der umgekehrte Weg: Das System erzeugt seine Nachweise selbst - aus Logs, Konfigurationsständen und Testergebnissen. Was automatisch entsteht, ist aktuell, vollständig und reproduzierbar. Und es macht aus der jährlichen Dokumentations-Hauruck-Aktion einen Nebeneffekt des laufenden Betriebs.
Compliance als Skalierungsvoraussetzung
Der vielleicht wichtigste Perspektivwechsel: Compliant by Design ist kein Bremser, sondern eine Voraussetzung dafür, dass KI-Systeme über den Piloten hinauskommen. Unternehmen, die Governance früh aufsetzen, berichten selten, dass sie dadurch langsamer geworden sind - eher das Gegenteil: Der zweite und dritte Agent entstehen schneller, weil die Grundsatzfragen beantwortet und die Bausteine wiederverwendbar sind.
Ganz ohne Aufwand ist der Ansatz nicht zu haben. Die vier Prinzipien kosten am Anfang Zeit, die sich erst später auszahlt - und sie erfordern, dass Compliance-, Fach- und Entwicklungsseite früher miteinander reden, als es vielen Organisationen vertraut ist. Aber genau diese Investition entscheidet oft darüber, ob ein KI-Projekt ein Dauerpilot bleibt oder produktiv wird.
Sie planen ein KI-System in einem regulierten Umfeld - oder haben eines, das den Schritt in die Produktion noch nicht geschafft hat? Ein strukturiertes Assessment zeigt, welche regulatorischen Anforderungen konkret gelten und wie sie sich in die Architektur übersetzen lassen.