Industries We Serve
Applying responsible AI principles across diverse and critical sectors to drive innovation and create lasting value.
Finanzwesen
Kreditscoring und Versicherungstarifierung fallen unter Anhang III — und die BaFin prüft KI bereits heute als IKT-Asset.
Energie & Versorgung
Sicherheitsbauteile im Netz- und Versorgungsbetrieb sind in Anhang III genannt — zusätzlich zu einer bereits bestehenden NIS2-Pflicht.
Gesundheitswesen
Zwei verschiedene Regelungsregime und zwei verschiedene Fristen — entschieden danach, ob die KI Teil eines regulierten Produkts ist.
Technologie & SaaS
Die frühesten bereits geltenden Pflichten aller hier genannten Branchen — Transparenz- und GPAI-Pflichten sind jetzt durchsetzbar, nicht erst 2027.
Immobilien
Mieterprüfung und Finanzierungs-Vorprüfungen fallen über den Zugang zu wesentlichen privaten Dienstleistungen unter Anhang III.
Finanzwesen
Kreditscoring und Versicherungstarifierung fallen unter Anhang III — und die BaFin prüft KI bereits heute als IKT-Asset.
Was in den Anwendungsbereich fällt und wie es eingestuft wird
- Die Bonitätsbewertung und das Kreditscoring natürlicher Personen sind in Anhang III Nummer 5 Buchstabe b genannt. Risikobewertung und Tarifierung in der Lebens- und Krankenversicherung stehen daneben.
- Betrugserkennung, Transaktionsüberwachung zur Geldwäscheprävention und internes Modellrisiko liegen in den meisten Ausgestaltungen außerhalb von Anhang III und werden stattdessen über MaRisk und DORA erfasst.
- Artikel 6 Absatz 3 lässt zu, dass ein in Anhang III gelistetes System nicht in die Hochrisiko-Kategorie fällt, wenn es das Ergebnis einer Entscheidung nicht wesentlich beeinflusst. Ob das zutrifft, ist eine Feststellung je System — dokumentiert, nicht unterstellt.
Die geltenden Fristen
- 18 Dez. 2025 DORA — BaFin-Merkblatt zu IKT-Risiken beim Einsatz von KI bei Finanzunternehmen (gilt bereits)
- 29 Juli 2026 KI-MIG — Anwendbar geworden, nach Verkündung im Bundesgesetzblatt am 28. Juli 2026 (gilt bereits)
- 2 Dez. 2027 EU AI Act — Hochrisiko-Pflichten für eigenständige Systeme nach Anhang III
Was eine Aufsichtsbehörde sehen will
- Eine Konformitätsakte je Hochrisiko-System: Risikomanagement, Daten-Governance, technische Dokumentation, Protokollierung und die tatsächlich vorhandene menschliche Aufsicht.
- Für die BaFin nach DORA: jedes KI-System im IKT-Asset-Verzeichnis geführt, mit Überwachung über den gesamten Lebenszyklus — von der Datenbeschaffung bis zur Außerbetriebnahme — und im Informationsregister abgebildet.
- Nachweise, dass die Artefakte nach DSGVO, DORA und EU AI Act getrennt vorliegen. Eine Datenschutz-Folgenabschätzung nach Artikel 35 ist keine Konformitätsakte, und keines der beiden ersetzt das andere.
Was Alleina dafür bereitstellt
Zwei Fallstricke, die in dieser Branche am häufigsten auftreten. Eine wesentliche Änderung setzt die Konformitätsfrist neu in Gang, sodass ein System, das sich auf die Übergangsbehandlung bereits in Verkehr gebrachter Modelle stützt, diese durch ein gewöhnliches Nachtrainieren verlieren kann. Und wenn die Konformitätsdokumentation eines Drittanbieters unvollständig ist, entfallen die Pflichten des einsetzenden Instituts nicht — Dokumentation weiterzureichen reicht die Haftung nicht mit weiter.
Energie & Versorgung
Sicherheitsbauteile im Netz- und Versorgungsbetrieb sind in Anhang III genannt — zusätzlich zu einer bereits bestehenden NIS2-Pflicht.
Was in den Anwendungsbereich fällt und wie es eingestuft wird
- Anhang III Nummer 2 nennt KI, die als Sicherheitsbauteil bei der Verwaltung und dem Betrieb kritischer digitaler Infrastruktur sowie der Versorgung mit Wasser, Gas, Wärme und Strom eingesetzt wird.
- Last- und Bedarfsprognosen, vorausschauende Instandhaltung und Handelsoptimierung liegen nicht automatisch außerhalb davon. Ob ein Modell ein Sicherheitsbauteil ist, hängt davon ab, was ausfällt, wenn es falsch liegt — eine Frage der Abgrenzung, keine feststehende Ausnahme.
- Deutsche Energieversorger tragen zusätzlich Pflichten nach dem EnWG, die am Prozess und nicht am Modell ansetzen — darunter Transparenz bei Preisänderungen und die Bilanzkreisverantwortung.
Die geltenden Fristen
- 6 Dez. 2025 NIS2 / BSIG — Geltungsbeginn des deutschen Umsetzungsgesetzes, ohne Übergangsfrist (gilt bereits)
- 29 Juli 2026 KI-MIG — Anwendbar geworden, nach Verkündung im Bundesgesetzblatt am 28. Juli 2026 (gilt bereits)
- 2 Dez. 2027 EU AI Act — Hochrisiko-Pflichten für eigenständige Systeme nach Anhang III
Was eine Aufsichtsbehörde sehen will
- Eine belastbare Aufzeichnung darüber, welche Modelle als Sicherheitsbauteile bewertet wurden und welche nicht — mit Begründung und Datum.
- Für Betreiber im Anwendungsbereich von NIS2: Risikomanagementmaßnahmen für die Cybersicherheit und der gestaffelte Meldefahrplan für Vorfälle, mit abgeschlossener BSI-Registrierung.
- Der Zusammenhang zwischen beiden: Ein KI-Vorfall in einem Leitsystem ist häufig nach NIS2 meldepflichtig, bevor überhaupt eine Pflicht aus dem EU AI Act greift.
Was Alleina dafür bereitstellt
Gesundheitswesen
Zwei verschiedene Regelungsregime und zwei verschiedene Fristen — entschieden danach, ob die KI Teil eines regulierten Produkts ist.
Was in den Anwendungsbereich fällt und wie es eingestuft wird
- KI, die Teil eines nach MDR oder IVDR regulierten Produkts ist, wird über Anhang I erfasst; ihre Konformität läuft über den bestehenden Produktsicherheitsweg und dessen benannte Stelle, nicht daneben.
- Eigenständige Gesundheits-KI, die kein Medizinprodukt ist — Triage, Anspruchsprüfung und Zugang zu wesentlichen Gesundheitsleistungen —, wird stattdessen über Anhang III erfasst, zum früheren Termin.
- Dieselbe klinische Idee kann je nach Zweckbestimmung auf der einen oder der anderen Seite landen — das ist die Einstufungsfrage, keine Formalie.
Die geltenden Fristen
- 25 Mai 2018 GDPR — Geltungsbeginn in der gesamten EU (gilt bereits)
- 29 Juli 2026 KI-MIG — Anwendbar geworden, nach Verkündung im Bundesgesetzblatt am 28. Juli 2026 (gilt bereits)
- 2 Aug. 2028 EU AI Act — Hochrisiko-Pflichten für Systeme nach Anhang I, die in regulierte Produkte eingebettet sind
Was eine Aufsichtsbehörde sehen will
- Bei Produkten nach Anhang I: Nachweise aus dem EU AI Act, eingebettet in die bestehende technische Dokumentation und das Qualitätsmanagementsystem, statt als paralleler Satz abgelegt.
- Bei Systemen nach Anhang III: eine eigenständige Konformitätsakte sowie eine Grundrechte-Folgenabschätzung, wenn der Betreiber eine öffentliche Stelle oder ein Anbieter wesentlicher Dienste ist.
- Die Verarbeitung besonderer Kategorien personenbezogener Daten nach Artikel 9 DSGVO, unabhängig von beidem dokumentiert.
Was Alleina dafür bereitstellt
Die beiden Termine sind der 2. Dezember 2027 für eigenständige Systeme nach Anhang III und der 2. August 2028 für KI, die in ein Produkt nach Anhang I eingebettet ist. Ein Portfolio mit beidem trägt beide.
Technologie & SaaS
Die frühesten bereits geltenden Pflichten aller hier genannten Branchen — Transparenz- und GPAI-Pflichten sind jetzt durchsetzbar, nicht erst 2027.
Was in den Anwendungsbereich fällt und wie es eingestuft wird
- Ein Softwareunternehmen, das eine auf einem Modell aufbauende Funktion ausliefert, ist häufig Anbieter und nicht nur Betreiber — und die Anbieterpflichten sind der schwerere Satz.
- Die Transparenzpflicht nach Artikel 50 gilt jetzt: Offenlegung, dass eine Person mit einem KI-System interagiert, und Kennzeichnung KI-erzeugter Inhalte. Pflichten für KI-Modelle mit allgemeinem Verwendungszweck gelten seit August 2025.
- Funktionen für Recruiting und Personalwesen sind in Anhang III Nummer 4 genannt, was sie zum Termin 2027 in die Hochrisiko-Kategorie einordnet und nicht zum bereits geltenden Termin.
Die geltenden Fristen
- 29 Juli 2026 KI-MIG — Anwendbar geworden, nach Verkündung im Bundesgesetzblatt am 28. Juli 2026 (gilt bereits)
- 2 Aug. 2026 EU AI Act — Allgemeine Geltung, einschließlich der Transparenzpflichten nach Artikel 50 (gilt bereits)
- 2 Dez. 2026 Digital Omnibus on AI — Neue Verbote in Artikel 5 für KI, die nicht einvernehmliche intime Bildaufnahmen oder Darstellungen sexuellen Kindesmissbrauchs erzeugt
Was eine Aufsichtsbehörde sehen will
- Offenlegung und Inhaltskennzeichnung im Produkt umgesetzt und nachgewiesen — nicht in einer Richtlinie beschrieben.
- Für Modelle mit allgemeinem Verwendungszweck: technische Dokumentation, eine Zusammenfassung der Trainingsdaten und eine Urheberrechtsrichtlinie.
- Ein Verzeichnis, das je System zwischen der Rolle als Anbieter und als Betreiber unterscheidet, weil sich die Pflichten unterscheiden und eine Organisation regelmäßig beides ist.
Was Alleina dafür bereitstellt
Dies ist die Branche, in der die Verschiebung am wenigsten ändert. Transparenzpflichten, Verbote und Pflichten für Modelle mit allgemeinem Verwendungszweck blieben vom Omnibus unberührt und sind heute durchsetzbar.
Immobilien
Mieterprüfung und Finanzierungs-Vorprüfungen fallen über den Zugang zu wesentlichen privaten Dienstleistungen unter Anhang III.
Was in den Anwendungsbereich fällt und wie es eingestuft wird
- Anhang III Nummer 5 nennt KI, die zur Bewertung der Kreditwürdigkeit oder zur Feststellung des Anspruchs auf wesentliche private Dienstleistungen eingesetzt wird. In der Immobilienwirtschaft sind das Mieterprüfung, Bonitäts-Scoring und Vorprüfungen für Hypotheken oder Finanzierungen.
- Automatisierte Bewertungsmodelle, die der Preisfindung dienen und nicht einer Entscheidung über eine namentlich bestimmte Person, sind eine andere Frage — sie werden abgegrenzt, nicht pauschal ein- oder ausgeschlossen.
- In Deutschland untersagt das AGG diskriminierende Auswahl bei der Vermietung bereits heute — unabhängig von allem, was der EU AI Act hinzufügt.
Die geltenden Fristen
- 25 Mai 2018 GDPR — Geltungsbeginn in der gesamten EU (gilt bereits)
- 29 Juli 2026 KI-MIG — Anwendbar geworden, nach Verkündung im Bundesgesetzblatt am 28. Juli 2026 (gilt bereits)
- 2 Dez. 2027 EU AI Act — Hochrisiko-Pflichten für eigenständige Systeme nach Anhang III
Was eine Aufsichtsbehörde sehen will
- Wo eine Auswahlentscheidung automatisiert erfolgt: die Position nach Artikel 22 DSGVO dokumentiert — Rechtsgrundlage, aussagekräftige Informationen über die Logik und der Weg zum menschlichen Eingreifen. Das gilt jetzt, nicht erst ab 2027.
- Fairness-Prüfungen über geschützte Merkmale hinweg, mit Datum aufbewahrt — genau das, wonach auch eine AGG-Beanstandung fragt.
- Eine Aufzeichnung der menschlichen Prüfung, die zeigt, dass eine Person ein Ergebnis ändern konnte und geändert hat — statt bloß abzunicken.
Was Alleina dafür bereitstellt
Die Arbeit am EU AI Act erweitert hier Maßnahmen, die ein Vermietungs- oder Finanzierungsunternehmen nach DSGVO und AGG ohnehin schon betreiben soll. Ein völlig neues Programm ist es selten.
Allgemeine Informationen zu den genannten Rechtsakten, keine Rechtsberatung und kein Ersatz für Ihre eigene rechtliche Beobachtung. Ob ein bestimmtes System in den Anwendungsbereich fällt, hängt von den Umständen des Einzelfalls ab.