Best EU AI Act compliance software 2026: A buyer's guide
Aktualisiert im Oktober 2026. EU-AI-Act-Compliance-Software gliedert sich in vier Kategorien: GRC-Automatisierung, Enterprise-KI-Governance, LLM-Observability und Runtime-Control-Planes. Auswahl, Bezugswege und Kosten für GDPR und AI Act zusammen, Herstellerangaben mit Stand Oktober 2026 und ein Bewertungsbogen.
Kurze Antwort
Wählen Sie nach der Aufgabe. GRC-Automatisierung (Vanta, Drata, Secureframe) führt GDPR- und AI-Act-Arbeit in einem Programm. Enterprise-KI-Governance (OneTrust, Credo AI, Holistic AI, IBM watsonx.governance) führt KI-Inventar und Folgenabschätzungen. LLM-Observability dient dem Engineering. Ein Runtime-Control-Plane hält risikoreiche Aktionen zur Freigabe an und zeichnet Evidenz auf. KLA, Herausgeber dieses Leitfadens, verkauft die letzte Kategorie.
Für Unternehmen
Nutzen Sie eine Enterprise-KI-Governance-Plattform (OneTrust, Credo AI, Holistic AI) als System of Record für Erfassung und Folgenabschätzungen und ergänzen Sie einen Runtime-Control-Plane (KLA), um menschliche Aufsicht in risikoreichen Prozessen durchzusetzen und nachzuweisen.
Für Start-ups
Wenn KI eines von SOC 2, ISO 27001 und GDPR ist, ist eine GRC-Plattform (Vanta, Drata) der günstigste Start. Bei einem risikoreichen oder agentischen Produkt priorisieren Sie einen Runtime-Control-Plane für auditfähige Nachweise zu Entscheidungen mit regulatorischem Risiko.
Für GDPR und EU AI Act zusammen
Kombinieren Sie ein Governance-System-of-Record mit einem Runtime-Control-Plane. Ein Audittrail automatisierter Entscheidungen und menschlicher Aufsicht dient Datenschutzbehörden (GDPR-Artikel 22 und 35) sowie Marktüberwachungsbehörden (AI-Act-Artikel 14 und 27).
Offenlegung: KLA gibt diesen Leitfaden heraus und verkauft KLA Control Plane, das zur Kategorie der Runtime-Control-Planes gehört. Andere Anbieter beschreiben wir anhand ihrer eigenen öffentlichen Produkt- und Preisseiten mit Stand Oktober 2026, und wir verlinken jede Quelle. Der Leitfaden ordnet Produkte nach ihrer Aufgabe und erstellt keine Rangliste.
„KI-Compliance-Software“ umfasst vier Arten von Produkten: GRC-Automatisierung, Enterprise-KI-Governance, LLM- und Agenten-Observability sowie Runtime-Control-Planes. Die Grenzen haben sich 2026 verschoben. Drata und Vanta kündigen Produkte für Agenten-Governance an, und OneTrust und Holistic AI beschreiben das Blockieren oder Eskalieren von Agentenaktionen zur Laufzeit. Nutzen Sie die Kategorien, um die Aufgabe festzulegen, und prüfen Sie jeden Anbieter an dieser Aufgabe.
Die Fristen sind geltendes Recht. Der Digital Omnibus zur KI wurde am 24. Juli 2026 als Verordnung (EU) 2026/1744 im Amtsblatt veröffentlicht und ist seit dem 27. Juli 2026 in Kraft. Eigenständige Hochrisiko-Systeme (Anhang III) müssen ab dem 2. Dezember 2027 konform sein, Hochrisiko-KI in regulierten Produkten (Anhang I) ab dem 2. August 2028. Die Transparenzpflichten nach Artikel 50 gelten seit dem 2. August 2026; die Übergangsfrist für die Kennzeichnung KI-generierter Inhalte endet am 2. Dezember 2026.
Auch die erste harmonisierte Norm ist da. Am 14. Oktober 2026 hat die Kommission EN 18286:2026, die Norm für Qualitätsmanagementsysteme, im Amtsblatt zitiert (Durchführungsbeschluss (EU) 2026/2274). Anbieter, die sie anwenden, erhalten eine Konformitätsvermutung für die abgedeckten Anforderungen aus Artikel 17.
Fazit
Benennen Sie zuerst Ihr System of Record – in der Regel eine KI-Governance-Plattform für Unternehmen oder eine GRC-Plattform, wenn KI Teil eines breiteren Programms ist. Entscheiden Sie dann, ob Ihre risikoreichsten Workflows zusätzlich einen Runtime-Control-Plane benötigen, um die eigentliche Entscheidung durchzusetzen und nachzuweisen. Die meisten regulierten Betreiber betreiben am Ende beides, denn ein Governance-Nachweis und ein fallbezogener Ausführungsnachweis sind zwei verschiedene Dinge.
Zuletzt aktualisiert: 20. Oktober 2026 · Version v3.0 · Keine Rechtsberatung.
Zitierbare Antwort
Zitatobjekt
Primärquellen
- EUR-Lex: Verordnung (EU) 2024/1689 (KI-Verordnung)
- Europäische Kommission: Umsetzungszeitplan des AI Act
- Rat der EU: Pressemitteilung zum AI Omnibus
Aktualität:
Wie KLA Control Plane dies umsetzt
- Fähigkeit
- /platform/live-intercepts
- Technische Referenz
- /resources/evidence-room-sample
- Praktisches Artefakt
- EU-AI-Act-Software-Selector
Die Antwort in 30 Sekunden
| Kategorie | Primäre Aufgabe | Beispiele | Stärkste Eignung für den EU AI Act | Was Sie prüfen sollten | Wählen Sie sie, wenn |
|---|---|---|---|---|---|
| GRC-Automatisierung | KI-Compliance in einem Multi-Framework-Programm betreiben, das die GDPR bereits abdeckt | Vanta, Drata, Secureframe | Programmsteuerung, Inventare, Framework-übergreifende Evidenz (SOC 2, ISO 27001, ISO 42001, GDPR, AI Act) | Agenten-Governance ist neu: Vanta nennt eine Warteliste, Drata begrenzte Verfügbarkeit | KI ein Risikobereich unter vielen ist und Sie alle an einem Ort bündeln möchten |
| KI-Governance für Unternehmen | Ein KI-System of Record: Discovery, Klassifizierung, Folgenabschätzungen | OneTrust, Credo AI, Holistic AI, IBM watsonx.governance | Artikel 9 und 11, Folgenabschätzungen, funktionsübergreifende Governance | Welche Laufzeitumgebungen die Durchsetzung unterstützt und wie eine menschliche Freigabe aufgezeichnet wird | Sie strukturierte Governance über ein großes Portfolio an KI-Systemen benötigen |
| LLM-/Agenten-Observability | LLM-Anwendungen tracen, evaluieren und überwachen | LangSmith, Langfuse, Arize AI | Engineering-Logs, die Artikel 12 und Tests nach Artikel 15 unterstützen | Aufbewahrungsdauer, Exportformat und wer einen Trace ändern kann | das Engineering Modelle und Agenten debuggen und evaluieren muss |
| Runtime-Control-Plane | Jede risikoreiche Agentenaktion vor der Ausführung bewerten, zur menschlichen Freigabe anhalten und verifizierbare Evidenz aufzeichnen | KLA (Herausgeber dieses Leitfadens) | Aufsicht nach Artikel 14, Aufzeichnungen nach Artikel 12 mit Integritätsprüfung, Evidenz nach Anhang IV für gesteuerte Workflows | Unterstützte Agenten-Frameworks und Integrationswege | Agenten risikoreiche Aktionen ausführen und Sie einem Auditor zeigen müssen, wer was freigegeben hat |
GDPR und AI Act zusammen: Auswahl, Bezug und Kosten
GDPR und AI Act verlangen sich überschneidende Aufzeichnungen. Ein KI-System, das personenbezogene Daten nutzt, um Entscheidungen über Menschen zu treffen oder vorzubereiten, braucht oft eine Datenschutz-Folgenabschätzung (DSFA, GDPR Artikel 35). Ist das System hochriskant, braucht der Betreiber ab dem 2. Dezember 2027 unter Umständen auch eine Grundrechte-Folgenabschätzung (FRIA, AI Act Artikel 27). Nach Artikel 26 Absatz 9 nutzen Betreiber die Gebrauchsanweisung des Anbieters nach Artikel 13 für ihre DSFA, und nach Artikel 27 Absatz 4 ergänzt die FRIA eine DSFA, die bereits einen Teil ihrer Punkte abdeckt. Software für beide Gesetze sollte eine Systembeschreibung und eine Evidenzkette für beide Bewertungen führen.
Auswahl. (1) Halten Sie Ihre Rollen fest: Verantwortlicher oder Auftragsverarbeiter nach der GDPR, Anbieter oder Betreiber nach dem AI Act. (2) Markieren Sie die Pflichten aus der Tabelle unten, die für Sie gelten. (3) Lassen Sie sich von jedem Anbieter einen Datensatz zeigen, der einer Datenschutzbehörde und einer Marktüberwachungsbehörde dient, etwa eine geprüfte automatisierte Entscheidung mit Prüfer, angezeigten Informationen und Ergebnis. (4) Bewerten Sie die Antworten mit dem Bewertungsbogen.
Bezug. Alle Anbieter in diesem Leitfaden verkaufen direkt. Langfuse, LangSmith und Arize veröffentlichen Self-Service-Tarife; GRC-, Enterprise-KI-Governance- und Runtime-Control-Plattformen erstellen individuelle Angebote. Verlangen Sie vor der Unterschrift eine EU-Hosting-Region, einen Auftragsverarbeitungsvertrag nach GDPR Artikel 28, die Liste der Unterauftragsverarbeiter, den Mechanismus für Drittlandübermittlungen und einen vollständigen Export Ihrer Daten bei Vertragsende.
Kosten. Veröffentlichte Preise im Oktober 2026: Langfuse Cloud Hobby kostenlos, Core 29 USD, Pro 199 USD und Enterprise 2.499 USD im Monat, Self-Hosting kostenlos; LangSmith Developer kostenlos und Plus 39 USD pro Nutzer und Monat; Arize AX Free und AX Pro 50 USD im Monat. Der SAFR Production Sprint von KLA beginnt bei 5.000 EUR für vier Wochen; Production wird pro gesteuerter KI-Anwendung, Modell oder Prozess berechnet. Nutzung über das enthaltene Volumen hinaus wird gesondert abgerechnet. Fragen Sie bei Angebotsplattformen nach Preiseinheit, Preis im zweiten Jahr und Kosten des Exports bei Vertragsende.
GDPR-Änderungen sind noch ein Vorschlag. Der Digital-Omnibus-Vorschlag der Kommission vom 19. November 2025 (COM(2025) 837) würde Teile der GDPR ändern. Im Oktober 2026 wartete er im Europäischen Parlament auf eine Ausschussentscheidung (Verfahren 2025/0360(COD)). Kaufen Sie daher nach der geltenden GDPR. Der kostenlose DSFA- und FRIA-Generator führt beide Bewertungen in einem Durchgang mit gemeinsamem Risikoregister.
| Pflicht | GDPR | EU AI Act | Was die Software führen sollte |
|---|---|---|---|
| Folgenabschätzung | DSFA bei Verarbeitung mit hohem Risiko (Art. 35) | FRIA für bestimmte Betreiber von Anhang-III-Systemen ab 2. Dez. 2027 (Art. 27); die FRIA ergänzt eine bestehende DSFA (Art. 27 Abs. 4) | Eine Systembeschreibung, Risikoliste und Verantwortlichenliste für beide Bewertungen |
| Entscheidungen über Menschen | Rechte bei ausschließlich automatisierten Entscheidungen mit rechtlicher oder ähnlicher Wirkung, einschließlich menschlichen Eingreifens (Art. 22) | Menschliche Aufsicht bei Hochrisiko-Systemen (Art. 14); Betreiber benennen kompetente Aufsichtspersonen (Art. 26 Abs. 2) | Jeder geprüfte Fall: Prüfer, angezeigte Informationen, Entscheidung, Zeitpunkt |
| Aufzeichnungen | Verzeichnis von Verarbeitungstätigkeiten (Art. 30) | Automatische Protokolle (Art. 12); Betreiber bewahren Protokolle mindestens sechs Monate auf (Art. 26 Abs. 6) | Ein Verarbeitungsverzeichnis plus Protokolle je Ausführung mit Aufbewahrungsregel |
| Information der Betroffenen | Informationen an betroffene Personen (Art. 13–14) | Transparenz nach Artikel 50 seit 2. Aug. 2026; Betreiber von Anhang-III-Systemen informieren die betroffenen Personen (Art. 26 Abs. 11) | Versionen der Hinweise und wann sie jeweils angezeigt wurden |
| Informationen des Anbieters | Verantwortlicher stützt sich auf den Auftragsverarbeitungsvertrag (Art. 28) | Betreiber nutzen die Gebrauchsanweisung des Anbieters (Art. 13) für ihre DSFA (Art. 26 Abs. 9) | Anbieterdokumentation gespeichert bei DSFA und FRIA |
Was jeder Anbieter über sich sagt (Stand Oktober 2026)
Jede Zeile fasst die eigene öffentliche Seite des Anbieters zusammen. Herstellerseiten ändern sich oft und beschreiben Funktionen in den Worten des Anbieters; prüfen Sie Verfügbarkeit und Umfang in einer Demo. KLA ist der Herausgeber dieses Leitfadens.
In einem Käufergespräch bat uns ein Beratungsunternehmen, das viele Agenten in einem gehosteten Low-Code-Agentenbaukasten erstellt, um Freigaben und Kontrollen der Tool-Nutzung für Agenten, die in der Cloud eines anderen Anbieters laufen. Die Designfrage war, wo der Kontrollpunkt sitzt. Inline-Kontrolle setzt voraus, dass jeder Tool-Aufruf vor der Ausführung durch den Kontrollpunkt läuft. Das nachträgliche Auslesen des Audit-Logs der Agentenplattform erlaubt nur Erkennung. Fragen Sie jeden Anbieter, welche der beiden Varianten er für Ihre Agentenplattform bietet.
| Anbieter | Kategorie | Was die Seite des Anbieters beschreibt | Angegebene Verfügbarkeit | Quelle |
|---|---|---|---|---|
| Vanta | GRC-Automatisierung | ISO-42001-Vorlagen und zugeordnete Kontrollen, wiederverwendbar für den EU AI Act. Ein KI-Governance-Produkt, das Agenten, Modelle, Prompts und Daten erfasst, EU-AI-Act-Anwendungsfälle bestätigt und bei Aktivität außerhalb genehmigter Grenzen warnt. | KI-Governance: Warteliste | AI governance, ISO 42001 |
| Drata | GRC-Automatisierung | ISO-42001-Framework. AI Agent Governance erkennt Agenten, prüft Befehle und Tool-Aufrufe gegen Richtlinien, blockiert Verstöße vor der Ausführung und protokolliert jede Entscheidung manipulationssicher, zugeordnet zu ISO 42001, EU AI Act und AIUC-1. | Agenten-Governance: begrenzte Verfügbarkeit | Agent governance, ISO 42001 |
| Secureframe | GRC-Automatisierung | Unterstützte Frameworks umfassen ISO 42001, NIST AI RMF und den EU AI Act, mit Kontrollzuordnung, automatisierten Tests und Framework-übergreifender Evidenz. | Nicht angegeben | Framework offering |
| OneTrust | Enterprise-KI-Governance | Inventar von KI-Systemen, Agenten, Modellen, Datensätzen und Lieferanten. Vorlagen für EU AI Act, NIST AI RMF und ISO 42001. Laufzeitüberwachung für Amazon Bedrock und Microsoft Foundry. Guardrail-Durchsetzung, die blockieren, erlauben, schwärzen, eskalieren oder umleiten kann. | Nicht angegeben | AI governance |
| Credo AI | Enterprise-KI-Governance | AI Registry für Systeme, Agenten, Lieferanten und Modelle. Policy Packs für EU AI Act, NIST AI RMF und ISO 42001. Überwachung über angebundene Observability-Werkzeuge. | Agent Governor: Research Preview | credo.ai |
| Holistic AI | Enterprise-KI-Governance | Discovery und Inventar. Kontrollen zugeordnet zu EU AI Act, NIST AI RMF und ISO/IEC 42001. Tests auf Bias, Halluzination und Prompt Injection. Agenten, die nicht konforme Agentenaktionen blockieren oder pausieren. | Nicht angegeben | holisticai.com |
| IBM watsonx.governance | Enterprise-KI-Governance | Lebenszyklus-Governance, Risikomanagement, Erkennung von Schatten-KI und Richtliniendurchsetzung. Führt den EU AI Act unter den unterstützten Frameworks. | Testversion 14 Tage | watsonx.governance |
| LangSmith | Observability | Tracing und Evaluation für LLM-Anwendungen und Agenten. Cloud in den USA oder der EU, hybrid oder Self-Hosting mit Enterprise. | Developer kostenlos; Plus 39 USD pro Nutzer und Monat | Pricing |
| Langfuse | Observability | Open-Source-Tracing und -Evaluation. Cloud-Regionen in den USA, der EU und Japan. | Self-Hosting kostenlos; Cloud von kostenlos bis 2.499 USD im Monat | Pricing |
| Arize AI | Observability | Phoenix (Open Source) und Arize AX: Tracing, Evaluationen, Monitore und Warteschlangen für menschliche Annotation. | AX Free; AX Pro 50 USD im Monat | Pricing |
| KLA (Herausgeber) | Runtime-Control-Plane | Bewertet jede vorgeschlagene Agentenaktion als allow, warn, require_approval oder block; leitet Freigaben an Decision Desk; exportiert ein Sealed Evidence Bundle mit unabhängigem Verifikationslauf. | SAFR Production Sprint ab 5.000 EUR | Preise |
Welche Schicht brauchen Sie wirklich?
Ordnen Sie das Symptom der Kategorie zu, bevor Sie Funktionen vergleichen.
“Wir verwalten SOC 2, ISO 27001 und GDPR, und KI ist das nächste Framework.”
“Wir haben Dutzende KI-Systeme und keinen einzigen Ort, um sie zu inventarisieren, zu klassifizieren und zu bewerten.”
“Unsere Entwickler müssen Prompts, Latenz und Modellverhalten debuggen.”
“Wir lassen einen Agenten Aktionen ausführen, die einen Menschen im Entscheidungsprozess erfordern, und das müssen wir einer Aufsichtsbehörde nachweisen.”
“Mehr als eines der obigen Punkte trifft zu.”
Was der EU AI Act tatsächlich verlangt
Risikomanagementsystem (Artikel 9): laufende Identifikation und Minderung von Risiken.
- Risikomanagementsystem (Artikel 9): laufende Identifikation und Minderung von Risiken.
- Daten-Governance (Artikel 10): Qualität, Eignung und Kontrolle der verwendeten Daten.
- Technische Dokumentation (Artikel 11 + Anhang IV): vollständige technische Unterlagen zum KI-System.
- Protokollierung und Record-Keeping (Artikel 12): automatische Logs über Systemvorgänge.
- Transparenz (Artikel 13): klare Informationen für Betreiber und Deployers.
- Menschliche Aufsicht (Artikel 14): Mechanismen für wirksame menschliche Intervention.
- Genauigkeit, Robustheit, Cybersicherheit (Artikel 15): Anforderungen an Leistung und Sicherheit.
- Post-Market-Monitoring (Artikel 72): laufende Überwachung nach Inverkehrbringen oder Einsatz.
Tool-Kategorien, die Käufer tatsächlich vergleichen
GRC-Automatisierungsplattformen
Beispiele: Vanta, Drata, Secureframe
Stärken
- Multi-Framework-Compliance über SOC 2, ISO 27001, GDPR und EU AI Act hinweg.
- Automatisierte Evidenzsammlung aus Cloud-Infrastruktur und Business-Systemen.
- Richtlinien-, Dokumentations- und Reporting-Workflows für Compliance-Teams.
- Lieferantenfragebögen, Trust Reports und Kontrolltracking im großen Maßstab.
- Konsolidierte Sicht auf das Compliance-Programm und bestehende Lücken.
Einschränkungen
- Workflow-spezifische Kontrollen direkt an einzelnen Hochrisiko-KI-Aktionen.
- Evidenz, die primär aus realen Agentenausführungen statt aus Programmartifacts stammt.
- Human-Approval-Queues, die nativ in jeden relevanten Entscheidungspfad eingebettet sind.
- Unabhängig verifizierbare Evidence Bundles für regulatorische Audits.
Am besten geeignet für: Organisationen, die mehrere Frameworks parallel steuern und den EU AI Act als Erweiterung eines größeren Compliance-Programms behandeln möchten. Besonders passend, wenn KI ein Baustein des Produkts und nicht das gesamte Produkt ist.
EU-AI-Act-Abdeckung: Stark bei Dokumentation, Inventarisierung, Program Management und Kontrolltracking. Bei runtime-spezifischer Governance für einzelne KI-Entscheidungen je nach Produkt unterschiedlich tief.
KI-Governance-Plattformen
Beispiele: OneTrust, Credo AI, Holistic AI, IBM watsonx.governance
Stärken
- Inventarisierung und Katalogisierung von KI-Systemen.
- Impact Assessments, Bias-Prüfungen und Risikobewertung.
- Responsible-AI-Policies und strukturierte Governance-Workflows.
- Koordination zwischen Fachbereichen, Recht, Compliance und Engineering.
- Hohe Portfolio-Transparenz bei vielen KI-Systemen gleichzeitig.
Einschränkungen
- Durchsetzung von Richtlinien direkt im Ausführungspfad eines Agenten.
- Human-Approval-Queues für konkrete Geschäftsaktionen in Echtzeit.
- Auditorentaugliche Evidence Bundles aus realen Entscheidungen.
- Feingranulare Kontrolle über Overrides, Review-SLAs und ausführungsspezifische Nachweise.
Am besten geeignet für: Unternehmen, die ein KI-Governance-Programm aufbauen, viele Systeme inventarisieren und Risikoanalysen standardisieren müssen.
EU-AI-Act-Abdeckung: Sehr hilfreich für Artikel 9, 10 und Dokumentations-Governance. Schwächer, wenn die tatsächliche Ausführung menschlicher Aufsicht nach Artikel 14 nachgewiesen werden muss.
LLM-Observability-Plattformen
Beispiele: LangSmith, Langfuse, Arize AI
Stärken
- Tracing, Debugging und Analyse von LLM-Anwendungen.
- Prompt-Versionierung, Experimente und Evaluations-Workflows.
- Performance-, Latenz- und Kosten-Monitoring.
- Datensatz- und Instrumentierungsfunktionen für Engineering-Teams.
- Sehr nützlich für technische Qualität, Zuverlässigkeit und Betrieb.
Einschränkungen
- Sie ist nicht darauf ausgelegt, Compliance-Evidenz zu erzeugen: Die Logs sind für Entwickler gedacht, nicht für Auditoren.
- Es gibt keine Human-Approval-Workflows und keine Compliance-Dokumentationsexporte.
- Es gibt keine Integritätsverifikation, auf die sich ein externer Prüfer verlassen kann.
Am besten geeignet für: Engineering-Teams, die LLM-Anwendungen entwickeln, testen und betreiben. Stark für technische Qualität, aber keine vollständige Compliance-Schicht.
EU-AI-Act-Abdeckung: Kann Artikel 12 über Logging unterstützen, aber diese Logs sind typischerweise für Debugging und Betrieb gedacht, nicht für die direkte Übergabe an Auditoren.
Runtime-Governance-Control-Planes
Beispiele: KLA (Herausgeber dieses Leitfadens)
Stärken
- Durchsetzung von Richtlinien genau zum Zeitpunkt der Entscheidung.
- Human-Approval-Queues mit Eskalation, SLA und Override.
- Evidence-Erfassung aus realen KI-Ausführungen.
- Verifizierbare Evidence Packs mit Manifest, Checksums und auditfähiger Übergabe.
- Workflow-Level-Kontrollen für besonders sensible Aktionen.
Einschränkungen
- Sie ist kein Multi-Framework-GRC-Tool und kein unternehmensweiter Governance-Orchestrator.
- Sie ist keine Observability-Suite für die Entwicklungszeit und übernimmt weder Modelltraining noch Experimente.
- Sie ist die Schicht für die Entscheidung, nicht für das Programm darum herum.
Am besten geeignet für: Organisationen, die KI-Agenten bei Entscheidungen mit hohem Impact einsetzen und pro Workflow nachweisen müssen, wie Governance konkret angewendet wurde.
EU-AI-Act-Abdeckung: Besonders relevant für Artikel 14 (menschliche Aufsicht), Artikel 12 (nutzbare Aufzeichnungen) und Evidence-Erzeugung mit Bezug zu Anhang IV.
Welche Pflicht deckt jede Schicht ab?
| Pflicht | Was sie verlangt | Primär hilfreiche Schicht |
|---|---|---|
| Risikomanagement (Art. 9) | Laufende Identifikation und Minderung von Risiken | Governance-Plattform |
| Daten-Governance (Art. 10) | Qualitätsstandards für Trainings- und Validierungsdaten | Governance-Plattform |
| Technische Dokumentation (Art. 11 + Anhang IV) | Umfassende Systemdokumentation | Governance-Plattform + Runtime-Evidenz |
| Record-Keeping (Art. 12) | Automatische Protokollierung von Systemvorgängen | Runtime-Control-Plane (auditorentauglich) / Observability (Developer-Logs) |
| Transparenz gegenüber Betreibern (Art. 13) | Klare Informationen für Betreiber | Governance-Plattform |
| Menschliche Aufsicht (Art. 14) | Mechanismen für menschliche Überwachung und Intervention | Runtime-Control-Plane |
| Genauigkeit, Robustheit, Cybersicherheit (Art. 15) | Standards für Leistung und Sicherheit | Observability + Governance-Plattform |
| Qualitätsmanagementsystem (Art. 17) | Ein dokumentiertes QMS für Anbieter | GRC-/Governance-Plattform |
| Post-Market-Monitoring (Art. 72) | Laufende Überwachung nach dem Einsatz | Runtime-Control-Plane + Governance-Plattform |
| Meldung von Vorfällen (Art. 73) | Meldung schwerwiegender Vorfälle | Governance-Plattform + Runtime-Evidenz |
So bewerten Sie Anbieter
Rolle und Geltungsbereich
Machen Sie sich klar, ob Sie für einen Anbieter, einen Betreiber oder beide einkaufen und ob dieses Tool Ihr System of Record oder eine spezialisierte Schicht ist.
Darauf achten
- Klarheit über die Verantwortlichkeiten von Anbieter und Betreiber.
- Unterstützung Ihres Governance-Betriebsmodells über Recht, Compliance und Engineering hinweg.
- Eine realistische Antwort darauf, ob dieses Tool Ihr primäres System of Record oder eine spezialisierte Schicht ist.
- Eine klare Vorstellung davon, wo ein weiteres Tool es in einem Hochrisiko-Stack ergänzen soll.
Fragen
- Welche EU-AI-Act-Pflichten unterstützen Sie für Anbieter, Betreiber oder beide?
- Sind Sie das System of Record, die Runtime-Control-Schicht oder eine Ergänzung zu einer anderen Plattform?
- Wo erwarten Sie, dass Sie ein weiteres Tool in einem Hochrisiko-Stack ergänzt?
Runtime-Tiefe
Die meisten Anbieter werben inzwischen mit „Runtime-Governance“. Die eigentliche Frage ist, ob das Guardrails und Monitoring bedeutet oder echte Befugnis über eine Geschäftsaktion.
Darauf achten
- Richtliniendurchsetzung zum Ausführungszeitpunkt.
- Die Fähigkeit, eine Aktion vor ihrem Abschluss zu stoppen, umzuleiten oder eine Freigabe zu verlangen.
- Integration in den Entscheidungspfad, nicht nur ein nachgelagerter Monitoring-Feed.
- Eine klare Unterscheidung zwischen Runtime-Posture, nachgelagerter Prüfung und Inline-Freigaben.
Fragen
- Was passiert im Produkt, wenn eine Hochrisiko-Aktion bis zur Prüfung blockiert werden muss?
- Unterstützen Sie benannte Freigebende, Eskalationspfade und die Erfassung von Overrides für Geschäftsaktionen?
- Welche Kontrollen sind inline, und welche sind nachträgliches Monitoring oder Review?
Evidenz und Audit-Bereitschaft
Auditoren brauchen Evidenz, keine Dashboards. Die Qualität der Evidenz ist enorm wichtig.
Darauf achten
- Evidenz, die an eine konkrete KI-Ausführung gebunden ist.
- Klares Mapping zu den Dokumentationspflichten nach Anhang IV.
- Strukturierte Formate, mit denen Auditoren arbeiten können.
- Vollständigkeit des Evidence-Pakets.
Fragen
- Können Sie mir einen Beispiel-Evidence-Export zeigen, der an eine einzelne Ausführung gebunden ist?
- Wie mappt er auf die Anforderungen nach Anhang IV?
- In welchem Format erhält ein Auditor die Nachweise tatsächlich?
Unabhängige Verifizierbarkeit
Das ist der schärfste Differenzierungsfaktor: Kann ein Auditor der Evidenz vertrauen, oder muss er Ihnen vertrauen?
Darauf achten
- Kryptografische Integritätsverifikation.
- Manipulationssichere Speicherung.
- Unabhängige Verifikationsmechanismen.
- Chain-of-Custody-Dokumentation.
Fragen
- Wie kann ein Auditor prüfen, dass die Evidenz nicht verändert wurde?
- Ist die Speicherung manipulationssicher und mit Chain-of-Custody-Dokumentation versehen?
- Kann die Verifikation erfolgen, ohne sich in Ihre Plattform einzuloggen?
Betrieb nach dem Go-live
Wie sich ein Produkt verhält, sobald es live ist – unter SLA-Druck, bei Richtlinienänderungen und mehrjähriger Aufbewahrung –, ist der Punkt, an dem viele Tools still und leise scheitern.
Darauf achten
- Approval-Workflows, die elegant degradieren, wenn ein Reviewer ein SLA verpasst.
- Ein definierter Prozess für Post-Market-Monitoring, Vorfälle und Richtlinienänderungen.
- Mehrjährige Aufbewahrung und Export von Evidenz.
- Dokumentation von Aufsichtshandlungen und Overrides.
Fragen
- Wie verhalten sich Approval-Workflows, wenn ein Reviewer ein SLA verpasst?
- Wie gehen Sie mit Post-Market-Monitoring, Vorfällen und Richtlinienänderungen um?
- Wie sieht die Aufbewahrung von Evidenz über mehrere Jahre aus?
Bewertungsbogen
Kopieren Sie diese Tabelle in eine Tabellenkalkulation, fügen Sie eine Spalte pro Anbieter hinzu und füllen Sie sie aus Demos und Unterlagen. Notieren Sie Quelle und Prüfdatum, denn Herstellerseiten und Verfügbarkeit ändern sich. Bewerten Sie jede Zeile mit 0 (nicht gezeigt), 1 (in Unterlagen beschrieben) oder 2 (an Ihren Daten funktionierend gezeigt).
| Kriterium | Anzufordernde Evidenz | Quelle und Prüfdatum | Bewertung (0–2) |
|---|---|---|---|
| Rollenpassung | Welche Rollen nach AI Act (Anbieter, Betreiber) und GDPR (Verantwortlicher, Auftragsverarbeiter) das Produkt unterstützt | ||
| DSFA und FRIA | Beide Bewertungen aus einer Systembeschreibung (GDPR Art. 35, AI Act Art. 27) | ||
| Menschliche Aufsicht | Eine aufgezeichnete Freigabe einer folgenreichen Aktion: Prüfer, angezeigte Informationen, Entscheidung, Zeitpunkt | ||
| Laufzeitkontrolle | Eine Live-Demo einer Aktion, die vor der Ausführung angehalten oder blockiert wird, und was der Agent zurückerhält | ||
| Aufzeichnungen und Aufbewahrung | Protokollschema, Aufbewahrungseinstellung und Export einer Ausführung (AI Act Art. 12, 19, 26 Abs. 6) | ||
| Integrität der Evidenz | Wie ein externer Prüfer ohne Anmeldung im Produkt feststellt, dass ein Export unverändert ist | ||
| Normenzuordnung | Für Anbieter: QMS-Vorlagen zugeordnet zu den Abschnitten von EN 18286:2026 | ||
| Datenschutzbedingungen | Vertrag nach GDPR Art. 28, Liste der Unterauftragsverarbeiter, EU-Hosting-Region, Übermittlungsmechanismus | ||
| Kosten | Preiseinheit, Preis im ersten und zweiten Jahr, Mehrverbrauch, Export bei Vertragsende | ||
| Verfügbarkeit | Ob jede bewertete Funktion allgemein verfügbar ist, in einer Vorschau oder auf einer Warteliste |
Empfehlungen nach Anwendungsfall
Breites GRC-Programm mit EU-AI-Act-Abdeckung
Vanta, Drata oder OneTrust
Stärken
- Effizienz über mehrere Frameworks hinweg
- Etabliertes Vendor-Ökosystem
- Starke Programm- und Reporting-Schicht
Lücken
- Runtime-Governance je nach spezifischem KI-Workflow unterschiedlich tief
- Evidenz oft näher an Konfiguration und Programm als an der konkreten Entscheidungs-Ausführung
KI-Governance-Struktur auf Portfolio-Ebene
Credo AI oder Holistic AI
Stärken
- Spezialisierte KI-Governance-Frameworks
- Bewährte Assessment-Methoden
- Struktur für Policies und Rollen
Lücken
- Weniger tiefe Runtime-Kontrollen für einzelne Geschäftsaktionen
- Evidenz eher aus Assessments als aus realen Ausführungen
Observability und technische Qualität von LLM-Anwendungen
LangSmith, Langfuse oder Arize AI
Stärken
- Sehr gute Developer Experience
- Starkes Debugging und Instrumentation
- Gute Sicht auf Performance und Kosten
Lücken
- Keine vollständige Compliance-Evidence-Schicht
- Fehlende umfassende Business-Governance-Workflows
Decision Governance und auditfähige Evidence
KLA
Stärken
- Runtime-Governance
- Kontrollen zum Entscheidungszeitpunkt
- Verifizierbare Evidence-Exporte
Lücken
- Fokussierter auf KI als auf Multi-Framework-GRC
- Benötigt Integration in den Ausführungspfad von KI-Agenten
Bedarf an breiter Enterprise-Governance und Runtime-Nachweis
OneTrust oder Vanta plus KLA
Stärken
- Governance-System-of-Record plus Nachweise auf Workflow-Ebene
- Bessere Abstimmung von Richtlinie, Aufsicht und Produktionsausführung
- Belastbarere Position für Hochrisiko-Workflows
Lücken
- Höherer Koordinationsaufwand bei der Implementierung
- Sie müssen festlegen, welches Werkzeug welche Kontrolle verantwortet
Ein realistischer Compliance-Stack
Multi-Framework-GRC
Kategorie: GRC-Plattform
Beispiel: Vanta oder OneTrust
KI-Inventar und Assessments
Kategorie: KI-Governance-Plattform
Beispiel: Credo AI
LLM-Entwicklung und Debugging
Kategorie: Observability-Plattform
Beispiel: LangSmith
Runtime-Governance und Evidence
Kategorie: Control Plane
Beispiel: KLA
Praktischer Zeitplan bis zu den neuen Fristen
Jetzt (Oktober 2026)
- KI-Inventar und Klassifizierung abschließen.
- Rollen festhalten: Anbieter oder Betreiber nach dem AI Act, Verantwortlicher oder Auftragsverarbeiter nach der GDPR.
- Transparenz nach Artikel 50 prüfen, die seit dem 2. August 2026 gilt.
Bis zum 2. Dezember 2026
- Maschinenlesbare Kennzeichnung KI-generierter Inhalte vor Ende der Übergangsfrist abschließen.
- Systeme gegen die neuen Verbote nach Artikel 5 prüfen, die ab diesem Datum gelten.
Im Lauf von 2027, bis zum 2. Dezember 2027 (Anhang III)
- Technische Dokumentation, Aufsichtsverfahren, die FRIA wo erforderlich und Evidenzexporte fertigstellen.
- Anbieter: das QMS an EN 18286:2026 ausrichten.
- Eine Audit-Probe mit echten Workflow-Stichproben und aufbewahrter Evidenz durchführen.
Bis zum 2. August 2028 (Produkte nach Anhang I)
- AI-Act-Evidenz mit der sektoralen Konformitätsbewertung des Produkts abstimmen.
- Aufbewahrung, Export und Beobachtung nach dem Inverkehrbringen (Artikel 72) prüfen.
Die Entscheidung in einem Satz
Kein einzelnes Produkt deckt Governance-Strategie, Evidenz aus umgebenden Systemen, Developer-Observability und Laufzeitkontrolle auf Workflow-Ebene ab. Benennen Sie zuerst Ihr System of Record und entscheiden Sie dann, ob Ihre risikoreichsten Workflows zusätzlich einen Runtime-Control-Plane brauchen. Fragen Sie jeden Anbieter nach drei Dingen: wie tief seine Laufzeitkontrolle reicht, wie portabel und verifizierbar seine Evidenz ist und welche Funktionen heute allgemein verfügbar sind.
Unsere eigene Kategorie, klar benannt: KLA ist eine Laufzeitschicht neben Ihrer GRC- oder KI-Governance-Plattform. Es bewertet jede vorgeschlagene Agentenaktion im Ausführungspfad gegen Richtlinien, leitet Aktionen mit hohem Einsatz zur menschlichen Freigabe und versiegelt die Evidenz, damit ein Auditor sie prüfen kann.
Wenn Sie ein System of Record auswählen, beginnen Sie mit einer Governance-Plattform. Wenn Sie auswählen, wie Sie risikoreiche KI-Aktionen steuern und aufzeichnen, buchen Sie eine Demo oder lesen Sie die Preise.
Häufige Fragen
- Was ist die beste EU-AI-Act-Compliance-Software?
- Kein Produkt ist für jeden Käufer das beste. Die Software gliedert sich in vier Kategorien (GRC-Automatisierung, Enterprise-KI-Governance, LLM-Observability und Runtime-Control-Planes), und viele regulierte Teams betreiben zwei davon: ein Governance-System of Record und eine Möglichkeit, das Verhalten ihrer risikoreichsten KI in der Produktion zu steuern und aufzuzeichnen. Bewerten Sie Kandidaten mit dem Bewertungsbogen auf dieser Seite.
- Wie wähle ich Compliance-Software für GDPR und EU AI Act zusammen aus?
- Beginnen Sie mit Ihren Rollen: Verantwortlicher oder Auftragsverarbeiter nach der GDPR, Anbieter oder Betreiber nach dem AI Act. Listen Sie die Pflichten auf, die beide Gesetze Ihnen auferlegen: Folgenabschätzungen (DSFA und FRIA), menschliche Prüfung automatisierter Entscheidungen (GDPR Artikel 22, AI Act Artikel 14), Aufzeichnungen (GDPR Artikel 30, AI Act Artikel 12 und 26 Absatz 6) und Informationspflichten. Lassen Sie sich dann von jedem Anbieter einen Datensatz zeigen, der beiden Behörden dient, und prüfen Sie den Auftragsverarbeitungsvertrag nach GDPR Artikel 28.
- Wo kann ich Compliance-Software für gleichzeitige GDPR- und EU-AI-Act-Readiness kaufen?
- Direkt beim Anbieter. Observability-Werkzeuge wie Langfuse, LangSmith und Arize veröffentlichen Self-Service-Preise. GRC-, Enterprise-KI-Governance- und Runtime-Control-Plattformen verkaufen über ein individuelles Angebot. Verlangen Sie vor der Unterschrift eine EU-Hosting-Region, einen Auftragsverarbeitungsvertrag nach GDPR Artikel 28, die Liste der Unterauftragsverarbeiter und einen vollständigen Export Ihrer Daten bei Vertragsende.
- Was kostet Compliance-Software für GDPR und den EU AI Act?
- Veröffentlichte Preise im Oktober 2026: Langfuse Cloud von kostenlos bis 2.499 USD im Monat und kostenlos im Self-Hosting; LangSmith Plus 39 USD pro Nutzer und Monat; Arize AX Pro 50 USD im Monat. KLA beginnt mit einem vierwöchigen SAFR Production Sprint ab 5.000 EUR. GRC- und KI-Governance-Plattformen nennen Preise pro Vertrag; fragen Sie nach der Preiseinheit (Nutzer, Frameworks, KI-Systeme oder Agenten) und nach dem Preis im zweiten Jahr.
- Wann gilt die Hochrisiko-Frist des EU AI Act?
- Die Verordnung (EU) 2026/1744, der Digital Omnibus zur KI, wurde am 24. Juli 2026 im Amtsblatt veröffentlicht und ist seit dem 27. Juli 2026 in Kraft. Sie verschiebt eigenständige Hochrisiko-Pflichten nach Anhang III, die FRIA nach Artikel 27 und die Registrierung nach Artikel 49 auf den 2. Dezember 2027 und Hochrisiko-KI in Produkten nach Anhang I auf den 2. August 2028. Die Transparenzpflichten nach Artikel 50 gelten seit dem 2. August 2026; die Übergangsfrist für die Kennzeichnung KI-generierter Inhalte endet am 2. Dezember 2026.
- Ändert EN 18286, was ich kaufen sollte?
- Am 14. Oktober 2026 hat die Kommission die Fundstelle von EN 18286:2026, der Norm für Qualitätsmanagementsysteme nach dem AI Act, im Amtsblatt veröffentlicht (Durchführungsbeschluss (EU) 2026/2274). Anbieter, die sie anwenden, erhalten nach Artikel 40 eine Konformitätsvermutung für die abgedeckten Anforderungen aus Artikel 17. Als Anbieter sollten Sie fragen, ob die QMS-Vorlagen eines Herstellers auf die Abschnitte von EN 18286 abgebildet sind.
- Hat KLA ein kommerzielles Interesse an diesem Leitfaden?
- Ja. KLA gibt diesen Leitfaden heraus und verkauft KLA Control Plane, einen Runtime-Control-Plane. Die anderen Anbieter beschreiben wir anhand ihrer eigenen öffentlichen Seiten mit Stand Oktober 2026. Der Leitfaden erstellt keine Rangliste.
Verwandte Links
Anforderungen an Auditsoftware für KI-Agenten und Einkaufsleitfaden
/blog/ai-agent-audit-software-requirements-vendor-categories
Bußgelder und Sanktionen nach Artikel 99
/blog/eu-ai-act-fines-article-99
Interaktiv: Welche Softwarekategorie benötigen Sie?
/tools/eu-ai-act-software-selector
KLA für EU-AI-Act-Compliance-Software
/eu-ai-act-compliance-software
KLA vs Vanta (GRC)
/compare/vanta
KLA vs OneTrust (KI-Governance)
/compare/onetrust
KLA vs LangSmith (Observability)
/compare/langsmith
Kostenloses Tool: FRIA-Generator
/tools/fria-generator
Kostenloses Tool: DPIA- und FRIA-Generator (GDPR und AI Act)
/tools/dpia-fria-generator
Kostenloses Tool: Hochrisiko-KI-Klassifizierer
/tools/risk-classifier
Kostenloses Tool: ISO-42001-Erklärung zur Anwendbarkeit
/tools/iso-42001-soa
Kostenloses Tool: AMLR-Readiness-Check 2027
/tools/amlr-readiness
Kostenloses Tool: DORA-Register nach Artikel 30
/tools/dora-article-30
Control Mapping
/control-mapping
Checkliste für Nachweispakete
/resources/evidence-pack-checklist
Vierwöchigen Governance-Piloten starten
/book-demo
Quellen
EUR-Lex: Verordnung (EU) 2024/1689 (KI-Verordnung)
https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32024R1689
EUR-Lex: Verordnung (EU) 2026/1744 (Digital Omnibus zur KI)
https://eur-lex.europa.eu/eli/reg/2026/1744/oj/deu
EUR-Lex: Durchführungsbeschluss (EU) 2026/2274 (Fundstelle EN 18286:2026)
https://eur-lex.europa.eu/eli/dec_impl/2026/2274/oj
EUR-Lex: Verordnung (EU) 2016/679 (DSGVO)
https://eur-lex.europa.eu/eli/reg/2016/679/oj/deu
Europäisches Parlament, Legislative Observatory: Digital Omnibus 2025/0360(COD)
https://oeil.europarl.europa.eu/oeil/en/procedure-file?reference=2025/0360(COD)
BSI: EN 18286:2026 harmonized (14 October 2026)
https://www.bsigroup.com/en-GB/insights-and-media/media-centre/press-releases/2026/october/en-18286-2026-harmonized-a-significant-milestone-for-ai-act-compliance/
European Commission: AI Act
https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai
Vanta: AI governance
https://www.vanta.com/products/ai-governance
Vanta: ISO 42001
https://www.vanta.com/products/iso-42001
Drata: AI agent governance
https://drata.com/products/agent-governance
Secureframe: framework offering
https://support.secureframe.com/en/articles/15111107-secureframe-framework-offering
OneTrust: AI governance
https://www.onetrust.com/solutions/ai-governance/
Credo AI
https://www.credo.ai/
Holistic AI
https://www.holisticai.com/
IBM watsonx.governance
https://www.ibm.com/products/watsonx-governance
LangSmith pricing
https://www.langchain.com/pricing
Langfuse pricing
https://langfuse.com/pricing
Arize AI pricing
https://arize.com/pricing/
KLA-Dokumentation
https://kla.digital/docs
KLA-Sicherheit
https://kla.digital/security
KLA-Preise
https://kla.digital/pricing
Execution lineage sample export (sanitized)
https://kla.digital/downloads/evidence-room-sample.pdf