Der EU AI Act und eure Agenten

Fassung 1, Stand 16. September 2026

Diese Seite ordnet die Funktionen von regelt.ai den Pflichten aus der Verordnung (EU) 2024/1689 sowie der DSGVO zu. Sie beantwortet die zentrale Frage eures Einkaufs: Was genau leistet regelt.ai für unsere rechtlichen Pflichten, und wo machen wir das prüfbar? Dieser Text ist keine Rechtsberatung und keine Zertifizierung.

Eure Rolle in der Verordnung

Setzt ihr KI im eigenen Betrieb ein, seid ihr Betreiber. Die Hersteller der Modelle, etwa OpenAI oder Anthropic, sind die Anbieter. regelt.ai ist weder das eine noch das andere: Wir liefern eine Steuerungsschicht, die eure Regeln auf die KI-Nutzung anwendet und den Nachweis führt.

Die meisten strengen Pflichten treffen Betreiber nur bei Hochrisiko-Systemen nach Anhang III, etwa bei Bewerbungen, Kreditvergabe oder dem Zugang zu wesentlichen Diensten. Für das Beantworten von E-Mails oder die Terminvergabe gilt das im Alltag nicht. Die Artikel 4 und 50 betreffen euch jedoch immer. Die rechtliche Einstufung nimmt euch niemand ab, auch wir nicht.

Artikel 4: KI-Kompetenz

Betreiber stellen sicher, dass ihr Personal über ausreichende KI-Kompetenz verfügt.

• Lesbare Regelsätze: Regeln werden nicht programmiert, sondern als einfache Sätze formuliert, etwa „Angebote über 5.000 Euro nur mit Freigabe“. Jedes Teammitglied versteht ohne IT-Wissen, was die AI darf.
• Merkblätter als Kontext: Hintergrundwissen wie Preislisten oder die Tonalität eurer Marke liegt in strukturierten Merkblättern. Jede Datei trägt Fassung, Urheber, Datum und einen Prüftakt, damit nichts unbemerkt veraltet.
• Entscheidungen im Klartext: Hält regelt eine Aktion an oder lässt sie durch, kommt die Begründung als Satz zurück, etwa „Mails an neue Empfänger gehen vorher an Thomas“. Entschieden hat die Regel, nicht die AI. Das Team lernt die Logik im Alltag mit.

Artikel 14 und 26 Absatz 2: Menschliche Aufsicht

Menschen können eingreifen, und die Aufsicht liegt bei Personen mit passender Befugnis.

• Anhalten vor der Ausführung: Eine Regel hält eine Aktion an, bevor sie geschieht, etwa das Versenden einer E-Mail. Der Entwurf wartet, bis ein Mensch entscheidet.
• Prüfung im Kern: Wer entscheiden darf, ist über Rollen hinterlegt. Das System prüft die Rechte im Kern, nicht nur in der Oberfläche.
• Klare Weisungswege: Freigaben gehen an die zuständige Rolle und, wenn dort niemand erreichbar ist, an ihre Vertretung. Eine Ablehnung kann direkt eine Aufgabe für ein Teammitglied erzeugen.
• Lockern nur per Klick: Regeln lassen sich nie über den Chat lockern, sondern nur per Klick in der Console.

Artikel 26 Absatz 5: Überwachung und Aussetzen

Betreiber überwachen den Betrieb und setzen die Nutzung bei Risiken aus.

• Aussetzen: Zugänge lassen sich sofort sperren, Bausteine stilllegen, ohne sie zu entfernen.
• Zeitfenster: Für Bausteine lassen sich Betriebszeiten festlegen. Außerhalb dieser Fenster starten keine automatischen Routinen.
• Kostenkontrolle: Ein Monatsdeckel begrenzt, was automatische Routinen kosten dürfen.
• Widerruf: Angelegte Entwürfe, Termine und Mails im Papierkorb lassen sich 24 Stunden lang zurücknehmen.

Artikel 12 und 26 Absatz 6: Aufzeichnung und Aufbewahrung

Ereignisse werden automatisch aufgezeichnet und mindestens sechs Monate aufbewahrt.

• Lückenloses Protokoll: Jede geprüfte Aktion steht im Protokoll, auch die verweigerte, mit Zeit, Rolle, Baustein, Folge und der Regel in ihrer damals gültigen Fassung.
• Hash-Kette: Alle Einträge sind kryptografisch miteinander verkettet. Wer einen Eintrag nachträglich ändert, bricht die Kette an dieser Stelle, und das fällt bei der Prüfung auf.
• Aufbewahrung ohne Frist: Das Protokoll bleibt ohne Frist gespeichert und lässt sich jederzeit als CSV oder im offenen JSON-Format exportieren.

Artikel 50 Absatz 4: KI-erzeugte Texte

Wer KI-erzeugte Texte zu Angelegenheiten von öffentlichem Interesse veröffentlicht, legt das offen. Das entfällt, wenn ein Mensch den Text prüft und die redaktionelle Verantwortung trägt.

• Prüfung durch einen Menschen: Die Freigabe in regelt.ai ist genau diese Prüfung: Ein benannter Mensch sieht den Entwurf und entscheidet.
• Belegte Verantwortung: Freigaben stehen mit Person, Zeit und Regel im Protokoll. Die Verantwortung ist damit belegt statt nur behauptet.

Artikel 50 Absatz 1: Offenlegung gegenüber Menschen

Diese Kennzeichnung leistet regelt.ai nicht. Die öffentliche, prüfbare Kennzeichnung übernimmt wirklich.ai.

Und die DSGVO

• Rechenschaft, Artikel 5 Absatz 2: Prüfbares Protokoll mit Hash-Kette.
• Löschung, Artikel 17: Inhalte liegen außerhalb der Kette. Löschungen werden protokolliert, ohne den Nachweis zu unterbrechen.
• Übertragbarkeit, Artikel 20: Vollständiger Export als JSON, einem offenen Format.
• Einzelentscheidungen, Artikel 22: Die Regel hält an, befugte Personen entscheiden.
• Auftragsverarbeitung, Artikel 28: Digitale AVV mit Fassung und Annahmedatum.
• Sicherheit, Artikel 32: Zugangsdaten mit AES-256-GCM verschlüsselt, Schlüssel nur gehasht gespeichert, Hosting in Deutschland.

Euer Nachweis auf Knopfdruck

Aus diesen Daten erzeugt die Console ein PDF für euren Betrieb: mit euren geltenden Regeln, den Rollen, die entscheiden, den Freigaben der letzten sechs Monate in Zahlen und der Prüfsumme eures Protokolls. Ein fertiges Dokument für Einkauf, Prüfer oder eure Rechtsberatung.