01
Workshop und Inventar
Wir klären Ziele, Prozesse, Werkzeuge, Lieferanten, Daten und Zuständigkeiten. Auch KI-Funktionen in Geschäftsanwendungen und Stellen mit automatischer Ausführung von Entscheidungen werden erfasst.
AI-Act-Audit
KI-Verordnung: Audit
Wir prüfen, wo Ihr Unternehmen KI nutzt, welche Daten in die Werkzeuge gelangen und wer für Entscheidungen verantwortlich ist. Anforderungen der KI-Verordnung verbinden wir mit der Prüfung von Unterlagen, Zugriffen und menschlicher Aufsicht. Sie erhalten ein Systemregister, einen Lückenbericht und Maßnahmen für Fachbereiche, IT und Compliance.
Kunden
Unternehmen und Institutionen, die stabile IT benötigen.
Vom Einsatz zu den Pflichten
Das Audit richtet sich an Unternehmen, die fertige Werkzeuge nutzen, eigene Lösungen entwickeln oder Dienste mit KI-Funktionen einkaufen. Wir prüfen Vertrieb, HR, Finanzen, Marketing, Kundenservice, Dokumentenanalyse, Reporting, IT und Cybersicherheit. Dasselbe Modell kann Texte zusammenfassen oder Entscheidungen über Menschen unterstützen; der Produktname allein bestimmt nicht das Risiko. Geschützte Daten, finanzielle Entscheidungen und Auswirkungen auf Personen stehen besonders im Fokus. Das Audit von Virtline ist eine beratende und technische Prüfung, keine Zertifizierung und kein Ersatz für eine erforderliche Konformitätsbewertung.
Ergänzende Leistungen
Das AI-Act-Audit ermittelt Anforderungen und Lücken. Diese Leistungen helfen gesondert, einen Prozess zu bewerten oder vereinbarte Verbesserungen umzusetzen.
Audit von KI-Prozessen
Einsatzfälle, Daten und Abläufe vor der Auswahl einer Automatisierung bewerten. Geschäftlicher Nutzen ersetzt keine Prüfung rechtlicher Anforderungen.Wissensbasen mit RAG
Antworten auf Basis von Unternehmensunterlagen: Wissensquellen, Indexberechtigungen, Datentrennung und Antwortqualität.Lokale KI-Modelle
Lokale Modelle und Kontrolle über Datenflüsse. Ein Betrieb ohne Cloud bedeutet nicht automatisch geringes Risiko oder eine Ausnahme vom AI Act.Automatisierung mit n8n
Kontrolle von Klassifizierung, Weiterleitung, Antworterstellung und Folgeaktionen, die ein Modell innerhalb eines Ablaufs ausführt.ISO 27001 · TÜV NORD Polska
TÜV NORD Polska hat das Informationssicherheitsmanagementsystem von Virtline nach PN-EN ISO/IEC 27001:2023-08 zertifiziert. Das veröffentlichte Zertifikat nennt Geltungsbereich und Gültigkeit.
Zertifikat von Virtline ansehenAnwendungsfristen des AI Act
Stand 25. September 2026 hängen die Fristen vom System und der Rolle des Unternehmens ab. Die Daten beruhen auf dem AI Act und der verabschiedeten Änderung 2026/1744. Im Audit prüfen wir auch Ausnahmen und Übergangsregeln für bestehende Systeme; es gibt keine pauschale Frist für das Unternehmen.
Inkrafttreten und erste Pflichten
Der AI Act trat am 1. August 2024 in Kraft. Die ursprünglichen Verbote und Regeln zur KI-Kompetenz gelten seit 2. Februar 2025. Regeln für KI-Modelle mit allgemeinem Verwendungszweck (GPAI) gelten seit 2. August 2025; für zuvor vermarktete Modelle gilt ein Übergang bis 2. August 2027.Änderungen und Rahmen ab 2026
Der geänderte Artikel 4 verlangt seit 27. Juli 2026 Maßnahmen zur Unterstützung der KI-Kompetenzentwicklung. Der wesentliche Rahmen und Transparenzregeln gelten seit 2. August 2026, mit Ausnahmen.Neue Verbote und Kennzeichnung
Ab 2. Dezember 2026 gelten neue Verbote für bestimmte intime Inhalte ohne Einwilligung und Darstellungen sexuellen Kindesmissbrauchs. Dann endet auch die besondere Frist nach Artikel 50 Absatz 2 für Systeme, die vor 2. August 2026 auf den Markt kamen.Hochrisikosysteme
Der veröffentlichte Zeitplan der Europäischen Kommission nennt den 2. Dezember 2027 für Hochrisikosysteme aus Anhang III und den 2. August 2028 für Systeme in regulierten Produkten aus Anhang I. Rechtsgrundlage, Ausnahmen und Übergangsregeln werden für das jeweilige System geklärt.Auditablauf
Wir verbinden Gespräche mit Verantwortlichen, Dokumentenanalyse und eine vereinbarte technische Prüfung. Umfang der Stichprobe und nicht verfügbare Daten werden im Bericht benannt.
02
Rollen und Einordnung
Wir prüfen die Anwendbarkeit des AI Act, die Rolle des Unternehmens, den Verwendungszweck, Risiken und maßgebliche Termine. Rechtliche Pflichten trennen wir von Sicherheitsempfehlungen und Fragen, die rechtlich geklärt werden müssen.
03
Unterlagen und Schutz
Wir prüfen Richtlinien, Verträge, Anweisungen, Freigaben und KI-Kompetenzen. Zugriffe, Daten, menschliche Aufsicht, Monitoring und Entscheidungsprotokolle werden zusammen mit vereinbarten Fehler- und Missbrauchsszenarien betrachtet.
04
Bericht und Maßnahmen
Wir erläutern Ergebnisse, Empfehlungen, Zuständigkeiten und Prioritäten. Gemeinsam legen wir fest, wie Verbesserungen geprüft, Unterlagen aktualisiert und bei Bedarf gesonderte Umsetzungshilfe vereinbart werden.
Praktischer Umfang
Ihre Ergebnisse
Der Bericht trennt Feststellungen, fehlende Informationen, Unternehmensentscheidungen und Empfehlungen. Er erklärt nicht pauschal alle Systeme für regelkonform.
Modelle, Chatbots, Agenten, SaaS-Anwendungen, APIs, Integrationen und lokale Instanzen mit Prozessverantwortlichen. Wir erfassen Lieferanten, Nutzer, betroffene Personen, Trainings- und Kontextdaten, Datenflüsse, Protokolle und Aufbewahrungsfristen.
Begründete Einordnung der Einsatzfälle, Verbote und Pflichten mit Terminen und offenen Fragen. Wir unterscheiden Anbieter und Betreiber sowie, soweit relevant, Produkthersteller, Bevollmächtigte, Einführer und Händler.
Empfehlungen für KI-Nutzung, Anweisungen, Freigabe neuer Werkzeuge, Eskalation von Risiken, Kompetenzentwicklung, KI-Hinweise und Inhaltskennzeichnung. Wir benennen, wer auf welcher Grundlage entscheidet, wo dies dokumentiert wird und wie Einspruch, manuelle Korrektur oder ein Prozessstopp möglich sind.
Lücken, Prioritäten, Zuständigkeiten und Prüfkriterien für Zugriffe, Aufbewahrung, Protokolle, Tests, Monitoring, Lieferanten, Backup und Kontinuität. Der Plan benennt Unterlagen für Geschäftsführung, IT, Compliance, Rechtsberatung und Prüfende.
Rechtsquellen zum AI Act
Amtliche Texte der Verordnung und ihrer Änderung in EUR-Lex.
Quelle
Verordnung (EU) 2024/1689 — AI Act
Amtlicher Text der europäischen KI-Verordnung in EUR-Lex.
Quelle öffnenQuelle
Verordnung (EU) 2026/1744 — geänderte AI-Act-Fristen
Amtlicher Digital-Omnibus-on-AI-Rechtsakt vom 8. Juli 2026, der unter anderem die Anwendungsfristen für Hochrisiko-KI-Systeme ändert.
Quelle öffnenFragen zum AI-Act-Audit
Entfallen Pflichten bei fertigen KI-Werkzeugen?
+
Nicht automatisch. Ein Unternehmen, das ein System in eigener Verantwortung nutzt, kann Betreiber sein. Anbieter ist unter anderem, wer ein System oder Modell entwickelt oder entwickeln lässt und unter eigenem Namen auf den Markt bringt oder ein System in Betrieb nimmt. Wir bestimmen Rollen anhand der tatsächlichen Tätigkeiten; Beschäftigte und betroffene Personen erfassen wir separat. Pflichten eines GPAI-Modellanbieters gehen nicht automatisch auf jeden Chatbot-Nutzer über. Bei GPAI prüfen wir Dokumentation, Transparenz, Urheberrecht und gegebenenfalls Anforderungen an Modelle mit systemischem Risiko gesondert.
Bedeutet hohes Risiko ein Verbot der KI-Nutzung?
+
Nein. Verboten sind unter anderem schädliche Manipulation und bestimmte Formen sozialer Bewertung unter den Voraussetzungen des Artikels 5; eine Unternehmensrichtlinie oder menschliche Freigabe macht sie nicht zulässig. Hohes Risiko bedeutet besondere Anforderungen, abhängig vom Einsatz und Geltungsbeginn. Transparenz prüfen wir separat, etwa Hinweise auf KI-Interaktionen oder die Kennzeichnung bestimmter Inhalte. Geringeres Risiko beseitigt keine Datenschutzpflichten. Maßgeblich ist der konkrete Einsatz, nicht allein Modell, Branche oder Offline-Betrieb.
Was prüfen Sie bei RAG, Offline-KI und Automatisierung?
+
Wissensquellen, Indexberechtigungen, Datentrennung, Zugriffe, Aufbewahrung, Protokolle, API-Integrationen und Antwortqualität. Die Prüfung umfasst vereinbarte Lösungen, auch n8n, Open WebUI, Microsoft 365 und Agenten. Wir betrachten das Einschleusen fremder Anweisungen, Offenlegung personenbezogener Daten oder von Geschäftsgeheimnissen, verzerrte Ergebnisse, Ersatzverfahren und Prozessstopps. Bei HR, Scoring und Alarmanalyse prüfen wir auch Entscheidungsaufsicht, manuelle Korrektur und Kontrolle der Reaktionen. Lokale Modelle und RAG gewährleisten für sich allein keine Sicherheit.
Setzen Sie Empfehlungen um und bestätigen Konformität?
+
Richtlinien, Zugriffe, Protokollierung, Monitoring, Lieferantenanforderungen und die Freigabe neuer Einsatzfälle können gesondert vereinbart werden. Weder Audit noch Umsetzung garantieren Konformität. Ihr Unternehmen bleibt für Entscheidungen verantwortlich; erforderliche Rechtsprüfungen oder formale Konformitätsbewertungen werden separat bestimmt. Gemeinsame Arbeiten zu DSGVO, NIS2, DORA und ISO 27001 stimmen wir ab, ohne diese Anforderungen mit dem AI Act gleichzusetzen. Das Zertifikat von Virtline betrifft das eigene Managementsystem, nicht die geprüfte KI.
Auditumfang gemeinsam klären
Beschreiben Sie, wofür Sie KI einsetzen, ob Sie ein eigenes System entwickeln, welche Daten es verarbeitet und wer die Ergebnisse nutzt. Nennen Sie kritische Prozesse, RAG oder lokale Modelle. Senden Sie keine Passwörter oder vertraulichen Eingabedaten.
KI-Einsatz besprechen