loskan.io
@

EU AI Act: Codes of Practice (Verhaltenskodizes)

DefinitionBranchenleitlinien zur Umsetzung von GPAI-Pflichten.

EU AI Act: Codes of Practice (Verhaltenskodizes) sind freiwillige, von der Industrie (oft gemeinsam mit Behörden und Expert:innen) entwickelte Leitlinien, die zeigen, wie Anbieter von General-Purpose-AI (GPAI) – z. B. Generative KI (Generative AI) und Large Language Model (LLM) – die Pflichten des EU AI Act praktisch umsetzen können. Sie dienen als „Best-Practice“-Rahmen für Governance, Transparenz, Risiko- und Sicherheitsmaßnahmen.

Im Kontext von GPAI (z. B. ChatGPT-ähnlichen Modellen) ist der EU AI Act technisch und organisatorisch anspruchsvoll: Es geht nicht nur um ein einzelnes Produkt, sondern um Basismodelle, die in vielen Anwendungen landen. Codes of Practice sollen hier eine Brücke schlagen zwischen Gesetzestext und operativer Umsetzung – ähnlich wie Branchenstandards, nur mit direktem Bezug zu den gesetzlichen Anforderungen.

Was bedeutet das konkret?

Ein Code of Practice beschreibt typischerweise konkrete Maßnahmen, Prozesse und Nachweise, die ein GPAI-Anbieter etablieren kann, um EU-AI-Act-Pflichten zu erfüllen oder nachvollziehbar zu adressieren. Das kann z. B. Vorgaben enthalten zu:

Wie funktioniert die Umsetzung in der Praxis?

Für Unternehmen, die GPAI entwickeln oder bereitstellen, lassen sich Codes of Practice meist als Checkliste und Operating Model nutzen. Typische Schritte sind:

  • 1) Scope festlegen: Gilt der Code für ein Basismodell, mehrere Modellvarianten oder auch für Fine-Tunes? (siehe Fine-Tuning).
  • 2) Controls ableiten: Aus Leitlinien werden konkrete Kontrollen (z. B. Security Reviews, Eval-Gates, Release-Freigaben).
  • 3) Nachweise erzeugen: Dokumentation, Tests und Protokolle (z. B. Evals, Red-Team-Berichte, Change-Logs) werden standardisiert abgelegt.
  • 4) Betrieb absichern: Monitoring, Incident Handling, Updates und Post-Market-Prozesse (siehe EU AI Act: Post-Market Monitoring).
  • 5) Kommunikation: Klare Informationen für Downstream-Provider und Kunden (z. B. Model Cards, Nutzungsgrenzen).

Warum sind Codes of Practice wichtig?

Sie reduzieren Interpretationsspielräume und beschleunigen Compliance-Programme: Statt jedes Detail selbst zu „erfinden“, können Organisationen auf anerkannte Best Practices zurückgreifen. Das ist besonders relevant für dynamische Systeme wie AI Agents (KI-Agenten), Tool-Use/Function Calling / Tool Use oder RAG-Setups (siehe RAG (Retrieval-Augmented Generation)), bei denen Risiken aus Modell, Daten, Tools und Workflows zusammenspielen.

Beispiele (typische Inhalte)

Wichtig: Codes of Practice sind keine automatische „Freikarte“. Sie sind ein praxisnaher Weg, Pflichten konsistent umzusetzen und nachzuweisen – die rechtliche Verantwortung bleibt jedoch beim jeweiligen Anbieter/Betreiber im Sinne des EU AI Act.

  • 6–12 Monate

    schnellere Umsetzung

    Ein praxistauglicher Verhaltenskodex kann KMU helfen, GPAI-bezogene Governance, Dokumentation und interne Freigaben deutlich schneller aufzusetzen als ohne gemeinsame Branchenleitlinien.

  • 20–30%

    weniger Compliance-Aufwand

    Standardisierte Codes of Practice senken typischerweise den Abstimmungs- und Interpretationsaufwand zwischen Fachbereich, IT und Recht, was besonders für kleinere Teams relevant ist.

  • 3 von 4

    mehr Planungssicherheit

    Für viele B2B-Unternehmen erhöhen gemeinsame Branchenstandards die Sicherheit bei Beschaffung, Risikobewertung und Vertragsgestaltung rund um GPAI-Systeme.

  • GPAI-Einkauf mit Verhaltenskodex im Lieferantencheck absichern

    Ein mittelständisches Softwarehaus nutzt die Codes of Practice als Checkliste, um GPAI-Anbieter vor Vertragsabschluss zu bewerten. So werden Dokumentationspflichten, Transparenzangaben und Prozesse für den Umgang mit Risiken früh geprüft und direkt in Einkaufs- und Freigabeprozesse übernommen.

  • Marketing-Content mit klaren KI-Regeln rechtssicher skalieren

    Eine KMU-Marketingabteilung setzt einen internen Leitfaden auf Basis der Verhaltenskodizes auf, um generative KI für Text-, Bild- und Kampagnenerstellung kontrolliert einzusetzen. Dadurch wissen Teams genau, welche Modelle genutzt werden dürfen, wie Inhalte gekennzeichnet werden und welche Nachweise für Compliance dokumentiert werden müssen.

  • Kundenservice-Chatbots nach Branchenleitlinien steuern und dokumentieren

    Ein Dienstleistungsunternehmen richtet seinen KI-gestützten Support an den Codes of Practice aus, um Verantwortlichkeiten, Eskalationswege und Transparenz gegenüber Kunden sauber festzulegen. Das hilft besonders KMU, Chatbot-Lösungen schneller einzuführen, ohne Compliance-Anforderungen erst mühsam selbst interpretieren zu müssen.

Häufig gestellte Fragen

Was sind Codes of Practice im EU AI Act?

Codes of Practice im EU AI Act sind freiwillige Verhaltenskodizes, die vor allem Anbietern von General-Purpose-AI zeigen, wie sie gesetzliche Pflichten praktisch umsetzen können. Sie konkretisieren Themen wie Transparenz, Governance, Risikomanagement und Sicherheit und dienen als Best-Practice-Rahmen, bis formale Standards oder Leitlinien weiter ausgereift sind.

Sind die Codes of Practice für GPAI-Anbieter verpflichtend?

Die Codes of Practice selbst sind grundsätzlich freiwillig, können aber in der Praxis sehr wichtig werden, um Compliance mit dem EU AI Act nachvollziehbar zu belegen. Wer sich daran orientiert, kann zeigen, dass Prozesse für Dokumentation, Sicherheit und Transparenz strukturiert umgesetzt werden.

Wir nutzen KI im Unternehmen, sind aber kein Tech-Konzern – hilft mir das Thema EU AI Act trotzdem weiter?

Ja, gerade dann. Auch wenn du kein eigener GPAI-Anbieter bist, betrifft dich der EU AI Act oft indirekt über eingesetzte Tools, Datenschutz, interne Prozesse und die Auswahl deiner KI-Lösungen. In meiner KI-Beratung & Hilfestellung prüfen wir gemeinsam, wo für dein Unternehmen wirklich Handlungsbedarf besteht – ohne Panik und ohne unnötigen Overhead.

Muss ich für EU-AI-Act-Themen sofort eine große Compliance-Struktur aufbauen?

Nein, in den meisten kleinen und mittleren Unternehmen ist zuerst Klarheit wichtiger als Bürokratie. Mit dem Tech-Gutachten analysiere ich in kurzer Zeit deine bestehende Tool- und KI-Landschaft, identifiziere Risiken, Lücken und unnötige Komplexität und leite daraus konkrete nächste Schritte ab.

Ich habe Sorge, dass KI-Compliance am Ende nur Zeit kostet und nichts bringt – lohnt sich das überhaupt?

Ja, wenn man es pragmatisch angeht. Saubere Prozesse rund um KI, Dokumentation und Verantwortlichkeiten reduzieren nicht nur regulatorische Risiken, sondern schaffen auch bessere Entscheidungen bei Tool-Auswahl, Sicherheit und interner Nutzung. Mit meinem PUR-Framework prüfen wir, was sich wirklich lohnt und was nur Hype ist.

Uns fehlt intern das technische Wissen, um Anforderungen rund um KI-Governance sauber umzusetzen – was dann?

Genau dafür gibt es meine Tech-Partnerschaft als externer CTO. Ich unterstütze dich laufend bei Tech-Entscheidungen, Tool-Audits, KI-Fragen und Prioritäten, ohne dass du direkt eine eigene IT-Leitung einstellen musst. So bekommst du technisches Sparring und eine klare Richtung statt Stückwerk.

Kannst du nicht nur beraten, sondern KI- und Tool-Prozesse auch direkt umsetzen?

Ja. Mit der Tech-Umsetzung auf Basis von OrbitOS setze ich funktionierende Systeme auf, integriere Prozesse, migriere Daten, baue Automationen und schule dein Team. Das ist besonders wertvoll, wenn du KI nicht nur verstehen, sondern sauber, sicher und alltagstauglich im Unternehmen verankern willst.