Die KI-Verordnung der EU und KIFF Cloud

1. Was diese Seite ist

Eine Zuordnung zwischen bestimmten Funktionen von KIFF Cloud und bestimmten Artikeln der KI-Verordnung. Jeder Abschnitt zu einer Funktion nennt, was KIFF Cloud heute bietet, und dazu, was wir nicht bieten, damit die Zuordnung nicht als Garantie dafür gelesen werden kann, dass der Kunde die Verordnung einhält.

Wo diese Seite auf die KI-Verordnung verweist, ist der maßgebliche Text der, den die Europäische Union auf EUR-Lex veröffentlicht. Wo sie davon abweicht, gilt EUR-Lex.

2. Für wen diese Seite ist

Für Anbieter und Betreiber von Hochrisiko-KI-Systemen im Sinne von Artikel 6 und Anhang III der KI-Verordnung, zu deren Pflichten eine nachvollziehbare Protokollierung (Artikel 12) und eine wirksame menschliche Aufsicht (Artikel 14) gehören. KIFF Cloud ist dafür gebaut, genau bei diesen beiden Pflichten zu helfen; die übrigen Pflichten aus der KI-Verordnung bleiben in der Verantwortung des Kunden.

3. Artikel 12, Protokollierung

Artikel 12 der KI-Verordnung verlangt, dass Hochrisiko-KI-Systeme die automatische Aufzeichnung von Ereignissen („Protokollierung“) während des Lebenszyklus des Systems ermöglichen, und zwar so, dass sich Situationen erkennen lassen, die zu einem Risiko führen, dass Vorgänge rückverfolgbar sind und dass die Beobachtung nach dem Inverkehrbringen möglich ist.

Was KIFF Cloud bietet

• Automatische Aufzeichnung von Ereignissen für jede geregelte Aktion, event_ingested, state_changed, decision_recorded, action_validated, action_executed, approval_required, approval_granted, approval_denied, action_blocked.
• Zuordnung je Eintrag: jedes Ereignis trägt die Kennung des Akteurs, den Zeitstempel und die Trace-ID, die es mit seiner Ursachenkette verbinden.
• Eine Audit-Kette, an die nur angehängt wird, auf der Ebene des Frameworks; die Wiedergabe ist deterministisch.
• Zusammenfassende Hashes, an denen Manipulationen erkennbar sind, veröffentlicht in einem öffentlichen, nachprüfbaren Pfad (wenn für die Bereitstellung der Modus mit nachprüfbarem Pfad gewählt wurde).
• Signierte Belege für jede geregelte Aktion, die als Nachweis auch außerhalb der eigenen Datenbank von KIFF Cloud verwendbar sind.

Was KIFF Cloud nicht bietet

• Entscheidungen darüber, was protokolliert wird. Die Domänenkonfiguration und die Aktionsverträge des Kunden bestimmen, welche Ereignisse ausgegeben werden.
• Aufbewahrungsfristen. Standardmäßig wird so lange aufbewahrt, wie der Mandant des Kunden besteht; die Richtlinie des Kunden bestimmt, ob das die Anforderung aus Artikel 26 Absatz 6 erfüllt, „der Zweckbestimmung angemessen“ zu sein (mindestens sechs Monate).
• Automatisierte Meldungen an Aufsichtsbehörden nach Artikel 73. Für jede Meldung nach außen ist der Kunde verantwortlich.
• Eine Feststellung, ob das System des Kunden nach Anhang III als Hochrisiko-KI-System gilt. Diese Einstufung nimmt der Kunde vor.

4. Artikel 14, Menschliche Aufsicht

Artikel 14 der KI-Verordnung verlangt, dass Hochrisiko-KI-Systeme „so konzipiert und entwickelt“ werden, „dass sie während der Dauer ihrer Verwendung … von natürlichen Personen wirksam beaufsichtigt werden können“. Dazu gehört, dass eine benannte Aufsichtsperson die Ausgaben deuten, in den Betrieb eingreifen und den Betrieb bei Bedarf anhalten kann.

Was KIFF Cloud bietet

• Genehmigungspflicht je Aktion. Jeder ActionContract legt seine Genehmigungspflicht fest (Required, OptionalIfHigh oder None). Vorgeschriebene Genehmigungen halten die Ausführung an, bis ein benannter Mensch den Vorschlag geprüft hat.
• Oberfläche zur Prüfung von Genehmigungen. Das Dashboard und die API zeigen offene Genehmigungen mit dem vollständigen ursächlichen Zusammenhang: den auslösenden Ereignissen, dem aktuellen Zustand, der vorgeschlagenen Aktion mit ihren Parametern und der Regel, die das Zurückhalten ausgelöst hat.
• Zuordnung zum Prüfer. Jeder Eintrag approval_granted oder approval_denied trägt die Kennung des Prüfers, den Zeitstempel und ein Freitextfeld für die Begründung.
• Eine Ablehnung ist endgültig. Eine abgelehnte Genehmigung blockiert jede spätere Ausführung desselben Vorschlags im selben Kontext. Der Kunde kann eine Aufsichtsentscheidung nicht versehentlich umgehen, indem er es erneut versucht.
• Felder im Beleg. Der Beleg einer Aktion, die eine Genehmigung brauchte, hält fest, wer geprüft hat, und macht die Aufsicht damit für nachgelagerte Prüfer und Aufsichtsbehörden sichtbar.

Was KIFF Cloud nicht bietet

• Die Schulung des menschlichen Prüfers. Artikel 26 Absatz 2 verlangt, dass die mit der Aufsicht betrauten Personen über „die erforderliche Kompetenz, Ausbildung und Befugnis“ verfügen; für diese Kompetenz sorgt der Kunde.
• Die Festlegung, welche Aktionen Aufsicht brauchen. Die Domänenkonfiguration des Kunden legt die Genehmigungspflichten fest; KIFF Cloud setzt durch, was die Konfiguration festlegt.
• Organisatorische Regeln. Artikel 14 Absätze 2 und 3 legen der Organisation des Betreibers Aufsichtspflichten auf; KIFF Cloud kann diese Pflichten nicht ersetzen.
• Einen „Stopp-Knopf“ auf der Ebene des KI-Systems. KIFF Cloud arbeitet auf der Ebene der Aktion; um das gesamte System anzuhalten, braucht es die eigenen Kontrollen des Kunden.

5. Weitere relevante Artikel

Über die Artikel 12 und 14 hinaus berührt KIFF Cloud mehrere andere Pflichten weniger stark. Jede Anmerkung unten nennt den Artikel und die Grenze unseres Beitrags.

Artikel 9, Risikomanagement

Das Feld risk_score des Belegs ist für mandantenübergreifende Erfahrungswerte reserviert. In v0.1 ist es null, weil dieser Datenbestand noch nicht aufgebaut ist. Kunden können sich heute nicht auf dieses Feld stützen.

Artikel 10, Daten und Daten-Governance

Nicht abgedeckt. Für die Trainings-, Validierungs- und Testdaten des Kunden ist der Kunde verantwortlich.

Artikel 13, Transparenz gegenüber Betreibern

Das Format des Belegs gibt nachgelagerten Empfängern einen strukturierten Entscheidungsnachweis, den sie lesen und prüfen können; manchen Betreibern genügt das je nach ihrem Fall als Nachweis der Transparenz gegenüber Endnutzern.

Artikel 15, Genauigkeit, Robustheit, Cybersicherheit

Wie es um die Cybersicherheit von KIFF Cloud selbst steht, ist unter /security dokumentiert. Für Genauigkeit und Robustheit des KI-Systems des Kunden ist der Kunde verantwortlich; KIFF Cloud ist eine Governance-Schicht, kein Modell.

Artikel 17, Qualitätsmanagement

Nicht abgedeckt. Für das Qualitätsmanagementsystem des Kunden ist der Kunde verantwortlich.

Artikel 26, Pflichten der Betreiber

Viele Pflichten der Betreiber verlangen Nachweise über Überwachung und Aufsicht. Die Audit-Kette und die Belege von KIFF Cloud sind dafür gebaut, dieser Nachweis zu sein.

6. Was nicht auf dieser Liste steht

KIFF Cloud ist eine Governance-Schicht für Aktionen, die KI-Systeme ausführen. Es deckt keine Pflichten ab, die sich aus dem Modell selbst ergeben (Herkunft der Trainingsdaten, Tests auf Verzerrungen, Modelldokumentation), aus den organisatorischen Regeln des Betreibers (Abläufe zur Meldung von Vorfällen, Registrierung des Betreibers) oder aus einer Infrastruktur zur Beobachtung nach dem Inverkehrbringen, die über protokollierte Ereignisse hinausgeht.

Wenn deine Konformitätsbewertung Pflichten ergibt, die hier nicht abgedeckt sind, ist KIFF Cloud dafür nicht das richtige Werkzeug. Das sagen wir in einem Verkaufsgespräch, statt etwas anderes anzudeuten.

7. Der Beleg als Nachweis

Ein einzelner KIFF-Beleg sammelt für eine geregelte Aktion:

• die Ursachenkette: die Ereignisse, den Zustand, die Entscheidung und die Validierung der Aktion, die zum Ergebnis geführt haben (Nachweis der Protokollierung nach Artikel 12);
• die Zuordnung zum Prüfer, wenn eine menschliche Genehmigung nötig war (Nachweis der Aufsicht nach Artikel 14);
• die Version der Richtlinie, unter der entschieden wurde (Rückverfolgbarkeit über den Lebenszyklus nach Artikel 12 Absatz 2 Buchstabe b);
• eine kryptografische Bestätigung über die Kette, die unabhängig von der Datenbank der Cloud überprüfbar ist (Integrität nach Artikel 15).

Prüft eine Aufsichtsbehörde eine einzelne Aktion, wird ihr ein Beleg vorgelegt; prüft sie ein System über die Zeit, die Menge seiner Belege. Die stabile JSON-Form des Belegs soll diesen Austausch mechanisch machen, statt ihn zu einer Erörterung werden zu lassen.

8. Grenzen

Wir sind keine notifizierte Stelle, keine akkreditierte Konformitätsbewertungsstelle und kein Bevollmächtigter im Sinne der KI-Verordnung. Wir zertifizieren keine Systeme von Kunden. Die Konformitätsbewertung nach Artikel 43 der KI-Verordnung bleibt in der Verantwortung des Kunden. Die Rolle von KIFF Cloud ist es, Nachweise zu liefern, auf die sich die Konformitätsbewertung des Kunden stützen kann.

Wenn das nachgeordnete Recht zur KI-Verordnung (delegierte Rechtsakte, Durchführungsrechtsakte, harmonisierte Normen) aktualisiert wird, kann diese Zuordnung hinterherhinken. Wir aktualisieren diese Seite, wenn sich der Text der Vorschriften und die einschlägigen Leitlinien der Kommission weiterentwickeln.

9. Versionen

Diese Zuordnung hat Versionen. v0.1 gibt den konsolidierten Text der KI-Verordnung wieder, der im ABl. L vom 12. Juli 2024 veröffentlicht wurde, und die Leitlinien der Kommission, die zum Datum im Kopf der Seite vorlagen.

10. Kontakt

Fragen zur Compliance: legal@kiff.dev. Fragen zum Datenschutz: privacy@kiff.dev. Meldungen zur Sicherheit: security@kiff.dev.

Dokumentversion: v0.1.
Zuletzt aktualisiert: 24. Mai 2026.