Beste Compliance-Software für die KI-Verordnung: Start-ups und KMU (2026)

Kurz gesagt: Das eine beste Tool gibt es nicht; die richtige Wahl hängt davon ab, was Sie bereits nutzen. Brauchen Sie Einstufung, Risikoklasse und erste Dokumente zur KI-Verordnung ohne Vertriebsgespräch, beginnen Sie mit kostenlosen, auf die KI-VO zugeschnittenen Tools. Arbeiten Sie schon mit einer Security-Compliance-Suite wie Vanta oder OneTrust, nehmen Sie deren Modul zur KI-Verordnung dazu. Brauchen Sie vollständige Konformitäts-Workflows und haben Budget, sehen Sie sich Modulos an. Im deutschsprachigen Raum bündeln heyData und DataGuard die KI-Verordnung mit der DSGVO.

Offenlegung: Legalithm veröffentlicht diesen Leitfaden und ist eines der verglichenen Tools. Wir ordnen nach Einsatzzweck statt einen Gesamtsieger zu küren, nennen unsere eigenen Grenzen und haben jede Angabe zu Wettbewerbern am 9. Oktober 2026 auf den Seiten der Anbieter geprüft. Wo sich etwas nicht bestätigen ließ, sagen wir es.

Der erste Schritt: Ob die KI-Verordnung Ihr System als hochriskant einstuft, prüfen Sie in etwa fünf Minuten mit der kostenlosen Einschätzung nach der KI-Verordnung.

• Sie brauchen Antworten, bevor Sie Software brauchen? Nutzen Sie zuerst kostenlose Tools: die Einschätzung von Legalithm, den Compliance-Checker des AI Act Service Desk der Europäischen Kommission oder den Checker des Future of Life Institute auf artificialintelligenceact.eu.
• Sie machen schon SOC 2 oder ISO 27001? Vanta deckt Einstufung, KI-Inventar und Folgenabschätzungen nach der KI-VO in derselben Plattform ab, mit einem EU-Mandanten in Frankfurt auf Anfrage.
• Sie nutzen OneTrust schon für die DSGVO? Das Modul für KI-Governance erspart einen zweiten Anbieter und bietet mehrere EU-Hosting-Regionen.
• Sie brauchen Konformitäts-Workflows durchgehend (Grundrechte-Folgenabschätzung, Anhang IV, CE-Kennzeichnung)? Modulos hat die tiefste Abdeckung der KI-VO-Workflows, die wir gefunden haben.
• Deutschsprachiges KMU, das KI-VO und DSGVO aus einer Hand will? heyData und DataGuard.
• Ihr Hauptthema ist das Verhalten und die Verzerrung von Modellen? Holistic AI.

Die Fristen in Kürze: Verbotene Praktiken und KI-Kompetenz gelten seit dem 2. Februar 2025, GPAI-Pflichten seit dem 2. August 2025, die Transparenz nach Artikel 50 seit dem 2. August 2026. Nach dem Digital Omnibus (Verordnung (EU) 2026/1744) gelten eigenständige Hochrisiko-Systeme (Anhang III) ab dem 2. Dezember 2027 und Hochrisiko-KI in regulierten Produkten (Anhang I) ab dem 2. August 2028. Bußgelder nach Artikel 99 reichen bis 35 Mio. EUR oder 7 % des Umsatzes bei verbotenen Praktiken und bis 15 Mio. EUR oder 3 % bei den meisten anderen Verstößen; nach Artikel 99 Absatz 6 zahlen KMU den niedrigeren der beiden Beträge.

Auswahlkriterien: was "am besten für Start-ups" wirklich heißt

Eine Plattform, die für eine Bank mit 500 Modellen gebaut ist, ist nicht die Plattform für ein SaaS-Unternehmen mit 15 Leuten, das seine erste LLM-Funktion ausliefert. Fünf Kriterien trennen sie.

1. Tiefe zur KI-Verordnung. Die Kernpflichten der Verordnung, die Einstufung nach Anhang III, die technische Dokumentation nach Anhang IV, die Konformitätsbewertung und die menschliche Aufsicht, lassen sich nicht aus Ihrer Cloud-Infrastruktur ablesen. Ein Tool nach dem Nachweis-Modell von SOC 2 kann Kontrollen verfolgen, aber nicht sagen, ob Sie unter Anhang III fallen. Fragen Sie, für welche Pflichten der KI-VO das Tool ein Ergebnis liefert, nicht ob es "die KI-VO unterstützt".

2. Self-Service. Können Sie sich registrieren und heute eine brauchbare Antwort bekommen, oder brauchen Sie eine Demo und ein Angebot? Von den kostenpflichtigen Plattformen unten bietet keine auf ihren öffentlichen Seiten eine sofortige Registrierung ohne Vertrieb; kostenlose Tools sind die Ausnahme.

3. Ein Preis, den Sie rechtfertigen können. Wenige Anbieter veröffentlichen Preise. Wo wir einen nennen, sagen wir, ob er vom Anbieter stammt oder von Dritten wie Vendr oder Bewertungsportalen. Werte von Dritten sind Anhaltspunkte, keine Angebote.

4. EU-Hosting. Mehrere US-Anbieter bieten inzwischen Datenhaltung in der EU, meist auf Anfrage. Fragen Sie, wo Ihre Daten gespeichert und wo sie verarbeitet werden, und ob die EU-Region der Standard ist.

5. Zeit bis zum Nutzen. Können Sie an einem Nachmittag beantworten: Gilt die Verordnung für uns? Welche Risikoklasse haben wir? Welche Dokumente schulden wir?

Software für die KI-Verordnung im Vergleich (Oktober 2026)

Legalithm (unser Tool): erst kostenlose Antworten, später bezahlter Betrieb

Legalithm ist für Unternehmen gebaut, die die Antworten zur KI-Verordnung brauchen, bevor sie eine Plattform rechtfertigen können. Die kostenlosen Tools brauchen kein Konto: der Anwendbarkeits-Check, die Risikoeinschätzung, der Bußgeldrechner mit der niedrigeren Obergrenze für KMU, der Anhang-IV-Generator, der Generator für die Grundrechte-Folgenabschätzung und der Generator für Hinweise nach Artikel 50. Sie bleiben kostenlos. Bezahlte Pläne decken den gehosteten Betrieb ab, also die laufend aktuelle und signierte Compliance-Akte eines Produkts, ab 1.500 EUR pro Produkt und Jahr; die Abrechnung ist noch nicht live, beide bezahlten Wege beginnen deshalb mit einem Gespräch.

Stärken: für die KI-Verordnung gebaut statt nachgerüstet; Antworten in Minuten ohne Vertriebsgespräch; Anwendungsdaten in Frankfurt gespeichert. Grenzen: ein junges Unternehmen; keine Zertifizierung nach SOC 2, ISO 27001 oder ISO 42001 (Sicherheitsseite); deckt KI-VO, CRA und EAA ab, nicht SOC 2, DORA oder NIS2. Am besten für: Start-ups und KMU in der EU, die ihre Pflichten kennen und erste Dokumente erstellen müssen, bevor sie Budget binden.

Vanta: am besten, wenn Sie Security-Compliance schon darüber abwickeln

Vanta hat die Abdeckung der KI-Verordnung im Oktober 2024 gestartet: Rollen- und Risikoeinstufung, ein Inventar der KI-Anwendungsfälle, an der Verordnung ausgerichtete Folgenabschätzungen, Transparenznachweise und Vorlagen. Der EU-Mandant läuft auf Anfrage in Frankfurt, und ein EU-Team betreut Kunden in mehreren europäischen Sprachen. Für die CE-Kennzeichnung verweist Vanta auf Spezialisten, statt einen Konformitäts-Workflow anzubieten. Am besten für: Teams, die Vanta schon für SOC 2, ISO 27001 oder ISO 42001 nutzen und die KI-VO im selben Dashboard wollen. Wo die Lücke spürbar wird, steht in die beste Vanta-Alternative für die KI-Verordnung.

OneTrust: am besten, wenn Sie es schon für Datenschutz nutzen

Die KI-Governance von OneTrust, allgemein verfügbar seit Dezember 2023, ergänzt die Datenschutzplattform um ein KI-Inventar für Modelle, Agenten und Datensätze, Risikostufen nach der KI-VO, Modelldokumentation und Kontrollen im Betrieb. Sie bietet die größte Auswahl an Hosting-Regionen in dieser Liste, darunter Frankfurt, Paris und Zürich. Der Vertrieb läuft über Angebote nach Nutzerzahl und Größe des Inventars. Am besten für: Unternehmen, die auf OneTrust standardisiert sind. Den direkten Vergleich mit spezialisierten Tools finden Sie in die beste OneTrust-Alternative für die KI-Verordnung.

Modulos: die tiefsten Konformitäts-Workflows

Modulos aus Zürich deckt die meisten Workflow-Schritte der KI-Verordnung ab, die wir bestätigen konnten: einen Entscheidungsbaum zu Anhang III, Vorlagen für die Grundrechte-Folgenabschätzung, Dokumentation nach Anhang IV, Konformitätsbewertung, CE-Kennzeichnung und Marktbeobachtung, dazu ISO 42001 und eine monetäre Risikobewertung. Im Januar 2025 kündigte Modulos einen kostenlosen Starter-Plan an (ein Nutzer, ein Projekt, auf Anfrage); prüfen Sie, ob er noch angeboten wird. Am besten für: Mittelständler mit Hochrisiko-Systemen und Budget für Governance.

Holistic AI: am besten für Modellverhalten und Bias

Die Stärke von Holistic AI ist technisch: Bias- und Algorithmen-Audits, Risikoeinstufung und Reifegradanalysen sowie das Monitoring von KI-Agenten, wofür Gartner das Unternehmen als repräsentativen Anbieter nennt. Der Vertrieb läuft über Demos, Preise und Hosting sind nicht veröffentlicht. Am besten für: Organisationen, deren Hauptrisiko das Verhalten der Modelle ist, nicht der Papierkram.

heyData und DataGuard: KI-VO plus DSGVO im DACH-Raum

heyData (Berlin) bietet ein KI-Inventar, eine geführte Risikoeinstufung, die Rollenbestimmung zwischen Anbieter, Betreiber, Einführer und Händler sowie eine Schulung zur KI-Kompetenz nach Artikel 4, das breiteste für Start-ups relevante Angebot zur KI-VO, das wir bei deutschen Anbietern gefunden haben. DataGuard (München) hat ein eigenes Modul zur KI-Verordnung mit Risikoeinstufung und verbindet die Software mit Beratung; eine Drittbewertung sieht es eher ab etwa zehn Beschäftigten. Beide arbeiten mit Angeboten, und keiner nennt auf seinen Seiten die Erstellung einer Grundrechte-Folgenabschätzung oder der Dokumentation nach Anhang IV.

Saidot und Credo AI: Governance-Plattformen

Saidot (Helsinki) ist eine reine Plattform für KI-Governance mit KI-Inventar, einer Vorlage zur Einstufung nach der KI-VO und einer Richtlinienbibliothek. Credo AI bietet ein KI-Register mit Risikoeinstufung und Richtlinienpakete zur KI-VO, vertrieben über Cloud-Marktplätze. Beide veröffentlichen keine Preise.

Öffentliche Checker

Der Compliance-Checker des AI Act Service Desk der Europäischen Kommission (Beta) zeigt voraussichtliche Pflichten je Rolle. Der EU AI Act Compliance Checker auf artificialintelligenceact.eu wird vom Future of Life Institute betrieben, das nach eigener Angabe nicht mit der EU verbunden ist. Beide eignen sich zur Orientierung; keiner erstellt oder pflegt Ihre Dokumentation.

Werkzeuge für Entwickler

Wer die Einstufung im eigenen Code oder KI-Agenten will, findet Open-Source-Optionen unter MIT-Lizenz: die CLI und den MCP-Server von Legalithm (siehe Entwickler-Tools) und den aktiv gepflegten MCP-Server zur KI-Verordnung von Lexbeam.

Was wir weggelassen haben

Secfix und Drata sind starke Plattformen für Security-Compliance, behandeln die KI-Verordnung auf ihren eigenen Seiten aber nur über ISO/IEC 42001, ohne Einstufung oder Dokumentation nach der Verordnung. ISO 42001 hilft, eine Zertifizierung zeigt aber für sich allein keine Konformität mit der KI-VO. Trustible richtet sich an regulierte Konzerne in den USA.

Eine praktische Empfehlung

1. Erst die Antworten holen. Nutzen Sie den Anwendbarkeits-Check und die Einschätzung oder einen der öffentlichen Checker. Kostenlos, und Minuten statt Wochen.
2. Sind Sie nach Anhang III hochriskant, entwerfen Sie die Dokumentation nach Anhang IV und planen Sie die Konformitätsarbeit. Sie haben bis zum 2. Dezember 2027 Zeit, aber die Dokumentation dauert länger, als Teams erwarten.
3. Nutzen Sie bereits eine Compliance-Suite, prüfen Sie, ob deren Modul zur KI-VO die Dokumente liefert, die Sie schulden, und nicht nur Kontrollen zum Abhaken.
4. Kaufen Sie eine Plattform, wenn Sie laufenden Betrieb brauchen, nicht vorher.

Einen Durchgang für kleinere Unternehmen bietet der Leitfaden zur KI-Verordnung für Start-ups und KMU. Die vollständige Anbieter-Matrix steht in Software und Tools für die KI-Verordnung im Vergleich 2026.

Häufig gestellte Fragen

Gibt es kostenlose Software für die KI-Verordnung?

Ja. Der Checker des AI Act Service Desk der Europäischen Kommission und der Checker des Future of Life Institute sind zur Orientierung kostenlos. Die Tools von Legalithm, darunter Anwendbarkeits-Check, Risikoeinschätzung, Bußgeldrechner sowie die Generatoren für Anhang IV und die Grundrechte-Folgenabschätzung, sind ohne Konto kostenlos und bleiben es. Modulos kündigte 2025 einen kostenlosen Starter-Plan auf Anfrage an.

Was ist die günstigste Software für die KI-Verordnung für ein Start-up?

Kostenlose Tools kosten nichts. Bei den bezahlten Plattformen veröffentlicht fast kein Anbieter Preise. Drittquellen nennen für heyData etwa ab 89 EUR im Monat und für DataGuard etwa 200 bis 2.000 EUR im Monat; der Median-Vertrag von Vanta liegt laut Vendr bei etwa 20.000 USD im Jahr. Der veröffentlichte Einstiegspreis von Legalithm für gehosteten Betrieb ist 1.500 EUR pro Produkt und Jahr.

Brauchen Start-ups und KMU wirklich Software für die KI-Verordnung, oder reichen Tabellen?

Eine Tabelle kann Pflichten verfolgen, sobald Sie sie kennen. Sie kann Ihnen nicht sagen, welche Risikoklasse Sie haben, und keine Dokumentation nach Anhang IV entwerfen. Beginnen Sie mit einer kostenlosen Einschätzung und entscheiden Sie dann, ob die folgende Arbeit eine Plattform rechtfertigt.

Wann gelten die Pflichten der KI-Verordnung für mein Unternehmen?

Verbotene Praktiken und KI-Kompetenz seit dem 2. Februar 2025, GPAI-Pflichten seit dem 2. August 2025 und die Transparenz nach Artikel 50 seit dem 2. August 2026. Nach dem Digital Omnibus gelten eigenständige Hochrisiko-Systeme (Anhang III) ab dem 2. Dezember 2027 und eingebettete Hochrisiko-Systeme (Anhang I) ab dem 2. August 2028. Hat Ihr Produkt einen Chatbot oder erzeugt es Inhalte, gilt Artikel 50 bereits. Der Omnibus-Tracker hält den Zeitplan aktuell.

Reichen Vanta oder OneTrust für die KI-Verordnung?

Beide decken inzwischen Einstufung, Inventar und Folgenabschätzungen nach der KI-VO ab, und beide bieten EU-Hosting. Keiner führt laut seinen öffentlichen Seiten den vollständigen Konformitäts-Workflow, von der technischen Dokumentation nach Anhang IV bis zur CE-Kennzeichnung, den ein Anbieter von Hochrisiko-KI braucht. Nutzen Sie eines davon schon, beginnen Sie dort und prüfen Sie, was es liefert; nutzen Sie keines, brauchen Sie es für den Anfang nicht.

Macht eine Zertifizierung nach ISO 42001 uns konform mit der KI-Verordnung?

Nein. ISO/IEC 42001 ist eine Managementsystem-Norm, die die Arbeit an der KI-VO unterstützt, aber sie stuft Ihre Systeme nicht ein, erstellt nicht die technische Dokumentation, die die Verordnung verlangt, und ist keine harmonisierte Norm nach der Verordnung.

Unsicher, wo Sie stehen? Machen Sie die kostenlose Einschätzung nach der KI-Verordnung: In wenigen Minuten kennen Sie Ihre Risikoklasse, Ihr Risiko und die Dokumente, die Sie schulden.