Compliance as Code für KI-Systeme
Shift-Left-Ansatz für die Compliance mit der KI-Verordnung — mit codebasiertem Policy-Enforcement, automatisiertem Scanning und versionierter Dokumentation.
Compliance as Code bedeutet, regulatorische Anforderungen als maschinenausführbare Richtlinien auszudrücken, die neben Ihrem Anwendungscode liegen. Für die EU-KI-Verordnung werden die Artikel 9 bis 15 in Compliance-Regeln, Richtlinienprüfungen und automatisierte Dokumentationsprüfungen übersetzt, die bei jedem Commit ausgeführt werden.
Dieser Ansatz beseitigt die Lücke zwischen rechtlichen Anforderungen und technischer Umsetzung. Statt Regulierungstext bei Quartalsaudits zu interpretieren, arbeitet Ihr Team mit konkreten, testbaren Regeln, die versioniert, peer-reviewed und kontinuierlich durchgesetzt werden.
Was Compliance as Code für die EU-KI-Verordnung bedeutet
Die EU-KI-Verordnung enthält über 100 Artikel mit technischen Pflichten — von Risikomanagementsystemen (Artikel 9) über Anforderungen an die Protokollierung (Artikel 12) bis hin zu Mechanismen zur menschlichen Aufsicht (Artikel 14). Traditionelle Compliance-Ansätze behandeln diese als in Tabellen verwaltete Checklisten. Compliance as Code behandelt sie als ausführbare Spezifikationen.
Traditionelle Compliance
- xRechtsabteilung interpretiert die Verordnung und erstellt Checklisten
- xEntwickler überprüfen Checklistenpunkte manuell gegen den Code
- xQuartalsaudits erkennen Verstöße Monate nach ihrer Einführung
- xDokumentation lebt in separaten Systemen und driftet vom Code ab
- xKein Versionsverlauf des Compliance-Status über die Zeit
Compliance as Code
- +Regulierungsanforderungen als Compliance-Regeln und Richtlinienprüfungen kodiert
- +Automatisiertes Scanning prüft Compliance bei jedem Commit
- +Verstöße werden in der PR-Phase vor dem Merge erkannt
- +Dokumentation aus Code-Analyse generiert, bleibt synchron
- +Vollständige Git-Historie der Compliance-Regeln und Scan-Ergebnisse
Die drei Säulen des KI-Act Compliance as Code
1. Code-Scanregeln
Statische Analyseregeln, die Compliance-Verstöße direkt in Ihrem Quellcode in über 10 Programmiersprachen erkennen.
Regeln erkennen KI-spezifische Muster: Modellinferenz ohne Protokollierung, Trainingspipelines ohne Datenqualitätsprüfungen, Entscheidungspunkte ohne Hooks zur menschlichen Aufsicht.
Jede Regel ordnet sich einem bestimmten Artikel der EU-KI-Verordnung und einer Anforderung zu. Befunde enthalten die Artikelreferenz, den Verpflichtungstext und einen Korrekturvorschlag.
Python, TypeScript, JavaScript, Go, Rust, C++, C#, Swift, Kotlin, R und Julia. Dieselben Compliance-Regeln, sprachspezifische Muster.
Regeln behandeln snake_case, camelCase, PascalCase und häufige Schreibfehler bei KI-bezogenen Begriffen, um falsche Negativergebnisse zu reduzieren.
2. Dokumentenrichtlinien
Open Policy Agent-Richtlinien, die Compliance-Dokumente in 8 EU-Sprachen gegen die Anforderungen der EU-KI-Verordnung validieren.
Richtlinien prüfen, ob die technische Dokumentation alle 9 Pflichtabschnitte mit dem erforderlichen Detailgrad enthält.
Vorhandene Dokumentation gegen alle anwendbaren Anforderungen vergleichen. Eine priorisierte Liste fehlender Inhalte erstellen.
Richtlinien validieren Dokumente auf Englisch, Deutsch, Französisch, Spanisch, Niederländisch, Italienisch, Polnisch und Portugiesisch.
Zusätzliche Richtlinien für Allzweck-KI-Systeme, die Transparenzpflichten und Modelldokumentation abdecken.
3. Versionierte Dokumentation
Compliance-Dokumentation, die in Ihrem Repository lebt, zusammen mit Ihrem Code versioniert und durch automatisierte Richtlinien validiert wird.
Risikobewertungen, Daten-Governance-Richtlinien und Systembeschreibungen als strukturierte Dokumente in Ihrem Repository gespeichert.
Technische Dokumentation nach Anhang IV aus Code-Analyseergebnissen generiert. Spiegelt stets den aktuellen Stand Ihrer Codebasis wider.
Die Git-Historie bietet einen vollständigen Prüfpfad der Compliance-Dokumentationsänderungen, wer sie vorgenommen hat und wann.
Automatisierte Prüfungen erkennen, wenn die Dokumentation nicht mehr mit der Codebasis übereinstimmt, und markieren veraltete Abschnitte zur Aktualisierung.
Regulierungsartikel auf Code abbilden
Jeder EU-KI-Verordnungsartikel mit technischen Pflichten kann in spezifische, testbare Anforderungen zerlegt werden. So werden Schlüsselartikel in Compliance-as-Code-Prüfungen übersetzt:
Article 9: Risikomanagementsystem
Einrichten, Implementieren, Dokumentieren und Pflegen eines Risikomanagementsystems
Überprüfen, ob Risikobewertungsfunktionen vorhanden, dokumentiert sind und strukturierte Ausgaben erzeugen. Auf Code zur Erkennung und Minderung von Verzerrungen prüfen.
Validieren, ob das Risikomanagement-Methodologiedokument Identifikation, Analyse, Schätzung und Bewertung von Risiken abdeckt.
Article 10: Daten und Daten-Governance
Trainings-, Validierungs- und Testdaten müssen Daten-Governance-Praktiken unterliegen
Datenladen ohne Validierungsschritte, Trainingspipelines ohne Qualitätsprüfungen und undokumentierte Datenvorverarbeitung erkennen.
Auf Daten-Governance-Richtlinie prüfen, die Erfassung, Aufbereitung, Kennzeichnung, Qualitätskriterien und Bias-Untersuchung abdeckt.
Article 12: Protokollierung
Automatische Aufzeichnung von Ereignissen (Logs) während der gesamten Lebensdauer des KI-Systems
KI-Operationen ohne strukturiertes Logging, fehlende Ereignis-Zeitstempel, fehlende Korrelations-IDs und nicht protokollierte Entscheidungsausgaben markieren.
Validieren, ob die Logging-Richtlinie beschreibt, welche Ereignisse erfasst werden, Aufbewahrungsfristen und Zugriffskontrollen.
Article 13: Transparenz
Gestaltung für ausreichende Transparenz, damit Betreiber die Systemausgabe interpretieren können
KI-Ausgaben ohne Konfidenzwerte oder Erklärungen erkennen. Auf fehlende nutzerseitige Dokumentation der KI-Fähigkeiten und -Grenzen prüfen.
Überprüfen, ob die Gebrauchsanweisung Verwendungszweck, Genauigkeitsniveau, bekannte Einschränkungen und Interaktion mit Menschen abdeckt.
Article 14: Menschliche Aufsicht
Gestaltung zur Ermöglichung wirksamer Aufsicht durch natürliche Personen
Vollständig autonome Entscheidungspfade ohne menschliche Eingriffspunkte, fehlende Override-Mechanismen und fehlende Eskalationslogik identifizieren.
Auf Menschliche-Aufsicht-Plan prüfen, der abdeckt, wann und wie menschliche Operatoren eingreifen, übersteuern oder das System anhalten können.
Erste Schritte
Bestimmen Sie, ob Ihr System hohes Risiko (Anhang III), begrenztes Risiko oder minimales Risiko hat. Dies bestimmt, welche Compliance-Regeln gelten.
Scannen Sie Ihre Codebasis und Dokumentation gegen die anwendbaren EU-KI-Verordnungsanforderungen, um einen Baseline-Compliance-Score zu ermitteln.
Compliance-Scanning als Pipeline-Schritt hinzufügen. Im Advisory-Modus (nur melden) beginnen, dann auf Blocking-Modus umschalten.
Zuerst auf kritische Befunde konzentrieren (verbotene Praktiken, fehlende menschliche Aufsicht), dann hochprioritäre (Risikomanagement, Protokollierung).
Sobald Ihr Score Ihren Schwellenwert erfüllt, Anhang-IV-Dokumentation und Konformitätserklärung aus Scan-Ergebnissen generieren.
Verwandte Leitfäden
So hilft Scanara
Scanara automatisiert die EU AI Act Compliance vom Code bis zum Dossier. Verbinden Sie Ihre GitHub-Repos und erhalten Sie Compliance-Berichte in Minuten.