01
Operative Vorarbeit
KI befüllt definierte Assessment- und Workflow-Felder vor, entwirft Zuordnungen, Texte oder Report-Bausteine und legt Quellen, Begründung und Konfidenz offen.
EU AI Act 2024/1689 · Art. 72/73 (Monitoring & Incidents) · Art. 49/71 (EU-DB) · DSGVO
EU AI Act prüffähig steuern – von der KI-Registry bis zur Nachweisbasis
Eine dreistufige Kaskade leitet pro Use Case genau eine Risikoklasse ab – und diese Klasse bestimmt, welche Pflichten gelten und wann freigegeben werden darf.
Im Kern
Drei Gründe für Avalon AI Governance
01
Dreistufige Klassifizierung nach Art. 5, Annex III und gewichtetem Scoring über acht Dimensionen – nachvollziehbar, versioniert, prüfbar.
02
42-Punkte-Pflichtenkatalog als strukturierte Nachweislinie: je Pflicht Status, Verantwortliche, Fälligkeit, Evidenz und Begründung – mit Sign-off-Gates vor der produktiven Freigabe.
03
Ehrlicher Nachweis statt Pseudo-Siegel: Klassifizierung, Obligations-Status, Registry, Reviews, Attestierungen, Incident-Register, Exporte und Audit-Log bilden eine vollständige Belegkette.
KI-Arbeitsmodell
KI bereitet vor. Menschen führen.
Jedes Modul bleibt klassisch bedienbar. Wenn KI aktiviert ist, übernimmt sie operative Vorbereitung und Verdichtung: Vorbefüllungen, Zuordnungen, Zusammenfassungen und Review-Queues. Verantwortliche Rollen prüfen Qualität, treffen die Entscheidung und geben den Nachweis frei.
Was sich im Arbeitsalltag ändert
- Weniger manuelle Vorbefüllung, Kopieren und Konsolidieren.
- Schnellere Durchläufe, weil Fachrollen vorbefüllte Arbeitsentwürfe statt leere Masken sehen.
- Mehr Ressourcen für Steuerung, Qualitätssicherung und prüffähige Entscheidung.
02
Menschliche Qualitätssicherung
Fachrollen prüfen, korrigieren, bündeln oder verwerfen. Freigaben, Overrides und rechtlich relevante Entscheidungen bleiben menschlich.
03
Auditierbarer Nachweis
Input, Vorbefüllung oder Entwurf, Entscheidung, Begründung und Version werden protokolliert. Der Effizienzgewinn kommt ohne Kontrollverlust.
Interessentenperspektive
Für wen dieses Modul gebaut ist
Primär: Datenschutzbeauftragte(r) / KI-Verantwortliche(r), die EU-AI-Act-Governance und Nachweisfähigkeit vor dem 02.08.2026 belastbar aufbauen müssen. Sekundär: Compliance-Officer und CISO in regulierten Organisationen (Finanz, Versicherung, KRITIS, öffentlicher Sektor, Gesundheit).
EU AI Act · Art. 5
Was heute bremst
Schatten-KI
KI-Systeme verstreut über Fachbereiche, kein vollständiges Inventar
unbelegt
Risikoklasse ad hoc in Tabellen, ohne nachvollziehbare Ableitung
fragmentiert
Pflichten und Nachweise je System einzeln gepflegt, Frist 02.08.2026 rückt näher
Avalon-Kern
Eine dreistufige Kaskade leitet pro Use Case genau eine Risikoklasse ab – und diese Klasse bestimmt, welche Pflichten gelten und wann freigegeben werden darf.
einmal klassifizieren · pflichten folgen
Klassifizierungs-Kaskade
Eine Klasse bestimmt, welche Pflichten gelten
Wählen Sie einen Beispiel-Use-Case: Die dreistufige Kaskade leitet genau eine Risikoklasse ab – und aktiviert daraus den zutreffenden Ausschnitt aus dem 42-Punkte-Pflichtenkatalog.
Beispiel-Use-Case wählen
Dreistufige Kaskade
Art. 5 — Verbotsprüfung
Annex III — Hochrisiko▸ Hochrisiko
Scoring — Standard 50
Abgeleitete KlasseHochrisiko
42-Punkte-Pflichtenkatalog26 / 42 Pflichten aktiv
Obligations-Status · Nachweis vorbereitet
Beispieldaten · Illustration
Belegt: EU AI Act 2024/1689 — Art. 5 (3), Provider Art. 8 ff. (14), Deployer Art. 26 (8), Transparenz Art. 50 (7), minimal (6), übergreifend (4) = 42 Pflichten. Avalon unterstützt die Erfüllung; die Konformitätsverantwortung verbleibt beim Kunden.
Kernbausteine
Was dieses Modul für Sie leistet
Eine dreistufige Kaskade leitet pro Use Case genau eine Risikoklasse ab – und diese Klasse bestimmt, welche Pflichten gelten und wann freigegeben werden darf.
Avalon-Kern
einmal klassifizieren · pflichten folgen
01
KI-Systeme klassifizieren
Dreistufige Klassifizierung nach EU AI Act – mit nachvollziehbaren Kriterien und Bewertungslogik.
02
Pflichten ableiten
Pflichten werden risikoklassenbasiert aus dem 42-Punkte-Katalog aktiviert; Verantwortliche, Fristen, Evidenzen und Status werden im Workflow gepflegt und bestätigt.
03
Nachweise führen
Klassifizierung, Obligations-Status, Registry, Reviews, Attestierungen, Incident-Register, Exporte und Audit-Log bilden eine prüffähige Belegkette.
Typischer Ablauf
Vom KI-System zur prüffähigen Nachweisbasis
Prozesslogik
Jeder Schritt zeigt, welche Vorarbeit entsteht, wer prüft und welcher Nachweis daraus wird.
VorarbeitQualitätsprüfungNachweis
- 01Schritt
1. KI-System und Use Case aufnehmen
Was passiert in diesem Schritt
Erfassen Sie System-Stammdaten und Use Case in der Registry und verknüpfen Sie ihn mit den betroffenen Prozessen. Aus dem Prozessinventar werden Schutzbedarf, Business Impact und Verantwortliche als Bewertungskontext übernommen beziehungsweise vorbefüllt.
- 02Schritt
2. Risikostufe klassifizieren
Was passiert in diesem Schritt
Durchlaufen Sie die dreistufige Kaskade: Art.-5-Verbotsprüfung, Annex-III-Hochrisikoprüfung und gewichtetes Scoring. Ein Art.-5-Treffer verlangt einen Pro-Punkt-Sign-Off und sperrt den Use Case als verboten.
- 03Schritt
3. Pflichten ableiten und nachweisen
Was passiert in diesem Schritt
Die Klassifizierung aktiviert die zutreffenden Pflichten aus dem 42-Punkte-Katalog. Je Pflicht hinterlegen Sie Verantwortliche, Fristen, Nachweise, Status und Kommentar; Sign-off-Gates bilden die verbindliche Sperrlogik vor der produktiven Freigabe.
- 04Schritt
4. Mehrstufig genehmigen
Was passiert in diesem Schritt
Der Genehmigungs-Workflow bindet IT Security, Datenschutz, Compliance und Management ein und speichert Snapshots je Entscheidung. Review-Templates, Submit, Entscheidung und Begründung führen die Prüfkette in einer Oberfläche zusammen.
- 05Schritt
5. Attestieren und überwachen
Was passiert in diesem Schritt
Attestierungen über sieben Themenbereiche, KPI-Monitoring und das Art.-73-Vorfallsregister sorgen dafür, dass genehmigte Use Cases dauerhaft kontrolliert bleiben und Re-Assessments bei wesentlichen Änderungen ausgelöst werden.
- 06Schritt
6. Nachweise exportieren
Was passiert in diesem Schritt
AI-Register-Export, Management-Sicht, Compliance-Sicht, Attestierungsstatus und Audit-Log bilden den prüffähigen Stand gegenüber Gremien, interner Revision und Aufsichtsvorbereitung. CSV/JSON-Registerdaten unterstützen die strukturierte Weiterverarbeitung; PDF-Reports dienen der Management-Kommunikation.
Funktionsumfang
Was das AI-Governance-Modul fachlich abdeckt
01
Intake Wizard, Stammdaten und CMDB-Asset-Bindung
Neue KI-Systeme und Use Cases starten über einen geführten Intake: Systemtyp, Rolle nach EU AI Act, Einsatzbereich, Lebenszyklus, betroffene Prozesse und Asset-Bezug. Die Produktpräsentation sieht die CMDB-Bindung als Produktions-Gate vor: Der Use-Case Owner bestätigt das passende Configuration Item, bevor ein Use Case produktiv geführt wird. ISO 42001 und NIST AI RMF sind als ergänzende Mapping-Sichten anschlussfähig.
02
KI-Registry mit Prozessverknüpfung
Erfassen Sie jedes KI-System (Systemtyp, AI-Act-Rolle als Provider/Deployer/Distributor/Importer, Deployment, Lebenszyklus) und jeden Use Case zentral. Jeder Use Case wird mit einem oder mehreren Prozessen aus dem Prozessinventar verknüpft – daraus werden Schutzbedarf, Business Impact, betroffene Abteilungen, Asset-Abhängigkeiten und Prozesseigner als Bewertungskontext aus den zuständigen Modulen bereitgestellt. Sie modellieren einmal statt in jedem Modul erneut.
03
Dreistufige Kaskaden-Klassifizierung
Stufe 1: Ja/Nein-Fragen zu den verbotenen Praktiken nach Art. 5 – ein Treffer sperrt den Use Case als unannehmbares Risiko. Stufe 2: Annex-III-Hochrisikoprüfung. Stufe 3: gewichtetes Scoring, Schwelle standardmäßig 50, pro Mandant konfigurierbar. Jedes Ergebnis ist versioniert und an die Methodik gebunden.
04
42-Punkte-Pflichtenkatalog mit Status und Evidenz
Die Klassifizierung aktiviert die zutreffenden Pflichten aus einem produktiv vorbefüllten Katalog von 42 (3 unannehmbar nach Art. 5, 14 Provider nach Art. 8–22, 8 Deployer nach Art. 26, 7 Transparenz nach Art. 50, 6 minimal, 4 übergreifend). Jede Pflicht trägt Status, Verantwortlichen, Fälligkeit, Nachweis und Kommentar. Sign-off-Gates machen offene Pflichtnachweise vor einer produktiven Freigabe sichtbar und verbindlich adressierbar.
05
Konfigurierbarer Genehmigungs-Workflow
IT-Security-Review, Datenschutz-Review, Compliance-Review und Management-Freigabe sind als mehrstufige Review-Kette abgebildet. Review-Templates, Submit, Entscheidung, Snapshots und Begründungen führen die fachlichen Prüfungen in einer nachvollziehbaren Oberfläche zusammen.
06
Attestierungszyklen für kontinuierliche Überwachung
Periodische Attestierungszyklen (standardmäßig 6 bzw. 12 Monate) unterstützen Art. 72 Post-Market-Monitoring und ISO 42001: Zweck/Scope, Daten, Performance/Abweichungen, Vorfälle, Maßnahmen, Regulatorik und menschliche Aufsicht werden als wiederkehrende Prüffragen geführt – inklusive Terminlogik, Verantwortlichen und Nachweisen.
07
Vorfalls-Register nach Art. 73
Das AI-spezifische Vorfallsregister dokumentiert Fehlentscheidungen, Bias, Sicherheitsvorfälle und Performance-Einbrüche mit Schweregrad, Meldepflicht-Tracking, Root-Cause-Analyse, Maßnahmen und Status. Die formelle Meldung bleibt immer eine explizite menschliche Entscheidung.
08
Garantiert: KI ohne Entscheidungsgewalt
Verbindlich gesetzt: Die KI darf Risikoklasse, Freigabe und Workflow-Status nie selbst setzen. Die Einstufung eines Art.-5-Verstoßes, der Wechsel in den Status „verboten“ und jede Freigabe sind ausschließlich expliziten Nutzerentscheidungen vorbehalten. So bleibt die KI Co-Pilot, nicht Autopilot.
09
Eigenständiges Rollenmodell mit Seat-Limits
AI Governance ist eigenständig lizenzierbar und bringt ein autarkes Sechs-Rollen-Modell mit, strikt von den ISMS-Rollen getrennt: AI Governance Administrator, AI Compliance Officer, AI Use Case Owner, AI Reviewer, AI DPO und AI Viewer – jeweils mit definierten Seat-Limits und einer granularen Berechtigungsmatrix. Owner sehen nur ihre eigenen Use Cases; die DPO-Rolle prüft DSGVO-Konformität und DSFA-Bedarf separat.
10
Nachweisbasis und Register-Export
Klassifizierung, Obligations-Status, Registry, Review-Snapshots, Attestierungen, Incident-Daten, Register-Export sowie Management- und Compliance-Sichten bilden die prüffähige Grundlage. CSV/JSON-Registerdaten unterstützen Art.-49/71-relevante Dokumentation; Audit-Log und Snapshots halten die Entscheidungskette zusammen.
Typische Szenarien
Wann AI Governance im Avalon-Einsatz ist
Konsolidiertes KI-Inventar vor dem 02.08.2026 aufbauen
Sie wissen nicht abschließend, welche KI-Systeme im Haus im Einsatz sind. Avalon strukturiert das Inventar aus System- und Use-Case-Registry, verknüpft jeden Use Case mit den betroffenen Prozessen und bereitet Klassifizierungsfelder mit Pflicht-Review vor, sodass Sie rechtzeitig vor der Hochrisiko-Frist eine konsolidierte, prüffähige Übersicht haben.
Hochrisiko-KI prüffähig führen
Sie betreiben ein Hochrisiko-KI-System und müssen die Pflichten nach Art. 8–22 und Art. 26 belastbar nachweisen. Avalon aktiviert die zutreffenden Pflichten aus dem 42-Punkte-Katalog und führt Status, Verantwortliche, Nachweise, Kommentare, Sign-Off und Review-Snapshots je Pflicht zusammen.
Nachweise dauerhaft fortführen
Nach der Erstklassifizierung stellt sich die Frage, ob Systeme kontrolliert bleiben. Avalon verbindet Registry, Klassifizierung, Obligations, Attestierungszyklen, Art.-73-Vorfallsregister, Management-Sicht, Exporte und Audit-Log zu einer laufenden Nachweisführung.
Verbindungen
Wie dieses Modul mit Avalon zusammenspielt
KI-Systeme sind Risiko-, Compliance- und Sicherheitsobjekte zugleich – Avalon verzahnt die Sichtweisen.
Prozessmanagement
Kernintegration: Jeder AI Use Case wird mit Prozessen aus dem Prozessinventar verknüpft. PNA-Schutzbedarf, BIA-Impact, Abteilungszuordnung, Asset-Abhängigkeiten und Prozesseigner werden als Bewertungskontext für die Datensensitivitäts- und Auswirkungs-Dimensionen der Klassifizierung bereitgestellt. Wesentliche Prozessänderungen können ein Re-Assessment auslösen.
ISMS
Jedes KI-System lässt sich im Informationsverbund als schützenswertes Objekt führen. Dadurch können Schutzbedarf, Business-Impact-Analyse und Notfallplanung als Kontext für die AI-Governance-Bewertung genutzt werden; die konkrete Einbindung wird je Mandant und Betriebsmodell festgelegt. Schutzbedarfsergebnisse werden als Kontext angezeigt, ersetzen aber nicht die fachliche Klassifizierungsbewertung.
Compliance & TPRM
Compliance: Der EU AI Act lässt sich als Rechtsquelle in der Compliance-Longlist führen; AI-Act-Pflichten lassen sich in den Compliance-Kontrollplan übernehmen und dort gemeinsam mit den übrigen regulatorischen Anforderungen nachverfolgen. TPRM: Externe KI-Dienste werden als Drittparteien-Services geführt, mit erweiterten KI-spezifischen Due-Diligence-Fragen (Art. 11 Technische Doku, Art. 12 Logging, Model/System Cards). Diese Punkte sind über das gemeinsame Datenmodell modulübergreifend verbunden.
Regulatorik im Detail
Welche Rahmenwerke das AI-Governance-Modul abbildet
- EU AI Act 2024/1689
- Art. 72/73 (Monitoring & Incidents)
- Art. 49/71 (EU-DB)
- DSGVO
- EU AI Act (Verordnung 2024/1689)
- Strukturierte Abbildung der relevanten Pflichten: dreistufige Klassifizierung nach Art. 5 (verbotene Praktiken), Annex III (Hochrisikobereiche) und Art. 50 (Transparenz); der 42-Punkte-Pflichtenkatalog enthält Provider-Pflichten (Art. 8–22, u. a. Art. 9 Risikomanagement, Art. 10 Data Governance, Art. 14 menschliche Aufsicht, Art. 15 Robustheit) und Deployer-Pflichten (Art. 26/27). Nach Art. 113 gilt der AI Act grundsätzlich ab 02.08.2026; Kapitel I/II einschließlich Art. 5 gelten bereits seit 02.02.2025, Art. 6(1) und entsprechende Pflichten ab 02.08.2027. Avalon unterstützt die fristgerechte Vorbereitung; die Konformitätsverantwortung verbleibt beim Kunden.
- EU AI Act Art. 72/73 (Monitoring & Incidents)
- Die kontinuierliche Überwachung nach Art. 72 wird über Attestierungszyklen, KPI-Monitoring und Re-Assessment-Trigger geführt. Das Vorfallsregister nach Art. 73 dokumentiert Schweregrad, Meldepflicht-Tracking, Root Cause und Maßnahmen; die formelle Behördenmeldung bleibt eine Entscheidung Ihrer Organisation. Art. 74 bleibt regulatorischer Kontext der Marktüberwachung, nicht eigener Modulfunktionsumfang.
- EU AI Act Art. 49/71 (EU-Datenbankregistrierung)
- Der AI-Register-Export als CSV/JSON liefert die Datenbasis für die Registrierung von Hochrisiko-Systemen in der EU-Datenbank. Eine direkte EU-Datenbank-Integration ist nicht Bestandteil; der Export erfolgt als Download.
- DSGVO
- Die AI-DPO-Rolle, Transparenzpflichten (Art. 13/14) und DSFA-Bezüge (Art. 35) sind in Rollen-, Review- und Obligation-Logik berücksichtigt. Die DSGVO-Einordnung bleibt eine fachliche Prüfung durch Ihre Organisation, wird aber im selben Review- und Nachweisraum dokumentiert.
Avalon unterstützt die Umsetzung dieser Rahmenwerke. Die Konformität bleibt in der Verantwortung Ihrer Organisation.
KI-PlattformEntscheidungshoheit: Mensch entscheidetStatus: Live
KI mit Kontrolle: vorbefüllen ja, entscheiden nie
In AI Governance unterstützt KI vor allem dort, wo Teams sonst viel operative Vorarbeit leisten: Der Use-Case Owner beschreibt das System, Avalon bereitet Stammdaten, Klassifizierungsantworten, Art.-5-/Annex-III-Prüfpunkte, Scoring-Hinweise, Pflicht-Relevanz und Attestierungsentwürfe mit Confidence, Quellenbeleg und Begründung vor. Übernommen wird nichts automatisch: Klassifizierung, Freigabe, Workflow-Status und Art.-5-Sign-Off bleiben menschliche Entscheidungen. GPAI-Provider-Pflichten (Art. 51–56) werden bewusst getrennt betrachtet; Avalon fokussiert die prüffähige Governance Ihrer AI-Systeme und Use Cases.
Optionaler KI-Baustein
AI-Act-Klassifizierung beginnt mit einem vollständigen Arbeitsentwurf
KI unterstützt die Aufnahme und Vorprüfung von AI-Systemen. Art.-5-Prüfung, Annex-III-Einordnung, Scoring, Pflichten und Attestierungen werden vorbereitet, aber nicht final entschieden.
Wo KI im Prozess eingreift
- AI-System und Use Case werden aus Beschreibung und verknüpften Prozessen strukturiert.
- Art. 5, Annex III, Scoring-Dimensionen und Pflichten starten mit prüfbaren Entwürfen.
- Risikoklasse, Verbotsprüfung, Freigabe und Incident-Bewertung bleiben menschlich kontrolliert.
Assessment-VorbefüllungVORSCHLAG
Schutzbedarfs-Assessment
Vorbefüllt
Methode: CIA · Maximumprinzip · VVT-0091
IHRE ENTSCHEIDUNG
On-Premise · kein Datenabfluss · EU-AI-Act-konform
Ohne KI
- Use-Case Owner und Kontrollfunktionen füllen Registry, Klassifizierung und Pflichten manuell.
- Avalon berechnet Risikostufe und Pflichtenkatalog aus bestätigten Antworten.
- Freigaben, Art.-5-Sign-Offs und Management-Snapshots bleiben vollständig prüffähig.
Mit KI
- KI befüllt Systemdaten, Use-Case-Kontext, Klassifizierungsantworten und Pflichtenentwürfe vor.
- Prozess-, PNA-, BIA-, TPRM- und Datenschutzkontext fließt als Quelle in den Review.
- Fachrollen prüfen Schritt für Schritt und beschleunigen so Inventar, Re-Assessments und Attestierungen.
- Human-in-the-Loop: Vorbefüllungen und Arbeitsentwürfe werden auf Schritt-Ebene bestätigt, editiert oder verworfen; der Art.-5-Sign-Off bleibt pro Punkt gesetzlich verpflichtend.
- Technisch ohne Entscheidungsgewalt: Die KI kann Risikoklasse, Freigabe und Workflow-Status nicht selbst setzen – das bleibt der expliziten Nutzerentscheidung vorbehalten.
- On-Premise & Audit-Trail: die KI läuft auf lokalen Modellen ohne Übergabe an Cloud-KI-Anbieter, jede Änderung steht im Audit-Log; Methodik-Änderungen lösen eine erneute Überprüfung der betroffenen Einstufungen aus.
Häufige Fragen zur AI Governance
Über eine dreistufige Kaskade: zuerst Art.-5-Verbotsprüfung, danach Annex-III-Hochrisikoprüfung und anschließend ein gewichtetes Scoring für begrenztes oder minimales Risiko. Die Klassifizierung ist methodikgebunden, versioniert und mit Begründung pro Kriterium nachvollziehbar.
Je nach Risikoklasse werden Pflichten aus einem 42-Punkte-Katalog zugeordnet: Art. 5, Provider-Pflichten nach Art. 8 ff., Deployer-Pflichten nach Art. 26, Transparenzpflichten nach Art. 50 sowie Minimal- und Best-Practice-Pflichten. Klassifizierung, Review-Workflow, Attestierungen, Incidents, Exporte und Sign-off-Gates laufen in derselben Nachweislogik zusammen.
Eine standardisierte Systembeschreibung mit Versionsstand, Zweck, Datenhandling, Limitationen, KPIs, Verantwortlichkeiten und Self-Assessment. Sie schafft interne Transparenz und Nachweisfähigkeit, ist aber kein externes Zertifikat und ersetzt keine EU-AI-Act-Konformitätsbewertung durch Ihre Organisation.
Ja. Die Klassifizierungs- und Pflichtenlogik ist erweiterbar – etwa für ISO/IEC 42001 oder organisationseigene KI-Richtlinien.
Module
Welches Modul passt zu Ihrem nächsten Schritt?
Wir zeigen Ihnen Avalon entlang Ihrer aktuellen Fragestellung – konkret, in Ihrem Kontext, ohne Standard-Sales-Demo.
- On-Premise
- Human-in-the-Loop
- EU-AI-Act-Governance
On-Premise · KI-Inferenz auf Ihrer Appliance