Wie unsere EU-AI-Act-Einstufung funktioniert

Einstufungen werden von einer Regel-Engine erzeugt, die ein System auf eine strukturierte Lesart des EU AI Act abbildet, nicht von einem Sprachmodell. Gleiche Eingaben ergeben immer dasselbe Ergebnis, ein Urteil ändert also weder Formulierung noch Schlussfolgerung zwischen zwei Durchläufen.

Es gibt keinen LLM-Aufruf, keinen Netzwerkaufruf und keinen Zufall im Einstufungspfad, und das wird durch einen automatisierten Test erzwungen, nicht nur durch eine Richtlinie. Web-App, API, CLI und Entwickler-Tools nutzen dieselbe Engine, Ergebnisse weichen also nie voneinander ab.

Jedes Ergebnis verweist auf seinen genauen Artikel. Jede Pflicht und jede Risikostufe verlinkt direkt in die Verordnung (EU) 2024/1689 auf EUR-Lex, damit ein Compliance-Verantwortlicher oder dessen Anwalt ein Ergebnis am Gesetz selbst überprüfen kann.

Der Regel-Korpus ist versioniert. Jede Änderung wird datiert und in einem öffentlichen Änderungsprotokoll veröffentlicht, und jede Einstufung trägt die Version der Engine, die sie erzeugt hat.

Wenn sich die Regeln ändern, werden bestehende Systeme automatisch neu eingestuft. Eine Änderung, die eine Risikostufe anhebt, wird vor der Veröffentlichung zur menschlichen Prüfung zurückgehalten, und jede veröffentlichte Änderung erzeugt eine datierte, verständliche Mitteilung darüber, was sich geändert hat und warum.

Weil die Einstufung deterministischer Code ist und kein Sprachmodell, werden Ihr Systeminventar, sein Zweck und seine Datenkategorien niemals an OpenAI, Anthropic oder einen anderen KI-Dienst gesendet, weder zum Training noch zur Inferenz. Kein Modell sieht jemals Ihre Compliance-Daten.

Der Einstufungspfad führt überhaupt keinen externen Aufruf durch, Sie müssen sich also nicht auf unser Wort verlassen. Dieselbe Engine steckt in unserem Kommandozeilen-Tool und MCP-Server (auf npm veröffentlicht) und liefert byte-identische Ergebnisse offline, auf Ihrem eigenen Rechner, auf Wunsch air-gapped. Sie können jedes Ergebnis selbst reproduzieren.

Ihre Compliance-Daten werden in der EU (Frankfurt) gespeichert. Nichts im Einstufungspfad gibt sie an einen KI-Dienst Dritter weiter, die heikle Frage — wer sonst Ihre Compliance-Lage sieht — hat also eine einfache Antwort: kein Modell und niemand außerhalb der Engine, die sie einstuft.