Seit dem 2. August gilt der EU AI Act. Mein System war seit 14 Monaten bereit.
Ich hätte das nicht geplant.
Anfang 2025 habe ich angefangen, Guard-Regeln in mein KI-System einzubauen. Nicht wegen GDPR, nicht wegen dem AI Act, nicht wegen einem Juristen, der mir gesagt hat, ich müsse das. Sondern weil mein System sonst nicht verlässlich läuft.
Ein KI-Agent, der unkontrolliert personenbezogene Daten in Logs schreibt, ist kein Compliance-Problem. Er ist ein Qualitätsproblem. Einer, der Outputs produziert ohne Nachvollziehbarkeit, ist kein Transparenzproblem. Er ist ein Vertrauensproblem.
So habe ich angefangen. Heute sind es 177 Guard-Regeln, 26 Hooks, 96% Enforcement-Rate.
Und dann kommt der 2. August 2026 und der AI Act zieht an.
Was Artikel 50 konkret verlangt
Artikel 50 des EU AI Act ist der Transparenzartikel. Er trat am 2. August 2026 in Kraft und regelt drei Dinge:
Erstens: KI-generierte Inhalte müssen maschinenlesbar gekennzeichnet sein. Bilder, Videos, Audio, Text.
Zweitens: Chatbots, die mit echten Menschen interagieren, müssen sich als KI identifizieren. Keine Ausnahme für "digitale Assistenten".
Drittens: Deepfakes müssen explizit als solche gekennzeichnet werden.
Wer dagegen verstößt, riskiert Bußgelder bis 15 Millionen EUR oder 3% des weltweiten Jahresumsatzes.
Das klingt nach Pflicht. In der Praxis ist es eine Architekturfrage.
Warum die meisten Unternehmen jetzt ein Problem haben
Das typische Bild in mittelständischen Unternehmen: KI wurde eingeführt, aber nicht dokumentiert. Mitarbeiter nutzen ChatGPT, Copilot, Gemini für Texte, E-Mails, Präsentationen. Outputs landen beim Kunden, ohne Kennzeichnung, ohne Inventar, ohne Governance.
Jetzt sollen sie rückwirkend Systeme bauen, die sie nicht geplant haben.
Das ist schwierig. Nicht weil Compliance schwierig ist, sondern weil nachträgliche Governance immer schwieriger ist als eingebaute Governance.
Das ist der Unterschied zwischen einem Sicherheitsgurt, der nach dem Unfall angeschraubt wird, und einem, der bei Konstruktion eingebaut wurde.
Wie mein Guard-System entstanden ist
Mein System heißt GRIP. Guards, Routing, Intelligence, Process. Das G steht für Guards.
Ein Guard ist ein automatischer Check, der VOR einer Aktion ausgeführt wird. In meinem Fall: Hooks in Claude Code, die bei jedem Tool-Aufruf feuern.
Hier ein konkretes Beispiel. Der PII-Guard:
#!/bin/bash
# pii_output_scanner.sh
# Scannt Outputs auf personenbezogene Daten vor dem Schreiben
INPUT=$(cat)
# IBAN-Pattern
if echo "$INPUT" | grep -qE '[A-Z]{2}[0-9]{2}[A-Z0-9]{4}[0-9]{7}([A-Z0-9]?){0,16}'; then
echo "GUARD_BLOCK: IBAN in Output erkannt. Ausgabe blockiert." >&2
exit 1
fi
# E-Mail-Pattern mit Domaincheck
if echo "$INPUT" | grep -qP '\b[A-Za-z0-9._%+-]+@[A-Za-z0-9.-]+\.[A-Z|a-z]{2,}\b'; then
echo "GUARD_WARN: E-Mail-Adresse im Output. Prüfe ob erlaubt." >&2
fi
echo "$INPUT"
exit 0
Der Hook ist in settings.json registriert und feuert bei jedem Write-Tool-Aufruf. Er kann blockieren oder warnen. Das Ergebnis: Kein Agent schreibt unbemerkt personenbezogene Daten in Dateien.
Das ist kein Compliance-Feature. Das ist ein Qualitätsfeature, das zufällig Compliance produziert.
Transparenz-Badges: Wie KI-generierte Outputs gekennzeichnet werden
Artikel 50 verlangt, dass KI-generierte Inhalte erkennbar sind. Bei mir läuft das so:
Jeder Post, jeder Artikel, jede Präsentation, die ein Agent produziert, bekommt automatisch einen Vibe-Footer. Ein standardisiertes Metadaten-Block am Ende der Datei:
---
generated_by: claude-sonnet-4-6
generated_at: 2026-08-16T09:14:22Z
reviewed_by: human
published: false
ai_disclosure: true
---
Das ist maschinenlesbar. Es ist versioniert. Es ist nachvollziehbar.
Dieser Footer kommt nicht aus einer Compliance-Checkliste. Er kommt aus meinem crystallization-loop: Agenten lernen aus Fehlern, schreiben Learnings, und Learnings werden zu Guard-Regeln. Ein Agent hatte einmal einen Output ohne Quellenangabe produziert. Das Learning: Immer Metadaten anhängen. Die Regel wurde kristallisiert. Seither feuert der Hook automatisch.
219 solcher Regeln sind in meinem System kristallisiert. Alle aus echten Erfahrungen, nicht aus theoretischen Compliance-Überlegungen.
Das KI-Inventar: Was Artikel 50 wirklich braucht
Die Kennzeichnungspflicht setzt etwas voraus, das die meisten nicht haben: ein KI-Inventar.
Man kann nicht kennzeichnen, was man nicht dokumentiert hat.
Mein Inventar liegt im Vault, meiner Wissensbasis mit 18.027 Markdown-Dateien. Jeder KI-Einsatz wird dokumentiert: welches Modell, welche Aufgabe, welcher Output, welcher Mensch hat geprüft.
Das klingt aufwändig. In der Praxis läuft es automatisch. Weil der Hook bei jedem Agenten-Output feuert und das Inventar aktualisiert.
Das beschreibe ich ausführlich in "Läuft ohne mich": Wie ein System entsteht, das sich selbst dokumentiert, weil Dokumentation kein nachgelagerter Schritt ist, sondern Teil der Architektur.
Was ich aus 14 Monaten Guard-Entwicklung gelernt habe
Erstens: Regeln, die nur dokumentiert sind, werden nicht eingehalten. Regeln, die automatisch durchgesetzt werden, schon. 96% Enforcement-Rate versus 0% bei einem Word-Dokument mit Richtlinien.
Zweitens: Guards müssen erklären, warum sie blockieren. Ein Guard, der nur "BLOCKED" ausgibt, erzeugt Frustration. Einer, der sagt "BLOCK: PII erkannt in Zeile 14 (E-Mail-Adresse)", erzeugt Verständnis.
Drittens: Guard-Entwicklung ist nie fertig. Artikel 50 hat meinen bestehenden PII-Guard um einen Disclosure-Check erweitert. Nicht durch einen Neuaufbau, sondern durch einen einzelnen neuen Hook. Das ist der Vorteil modularer Architektur.
Viertens: Compliance als Nebenprodukt ist besser als Compliance als Hauptziel. Wer Guards baut, um sein System verlässlich zu machen, hat am Ende auch Compliance. Wer Guards baut, nur um Compliance zu haben, hat am Ende fragile Systeme und fragile Compliance.
Wichtigste Erkenntnisse
Compliance beginnt beim ersten Guard, nicht beim ersten Juristen. Automatische Durchsetzung schlägt Dokumentation in jedem Fall.
Ein KI-Inventar ist Voraussetzung, keine Option. Wer nicht weiß, welche KI-Systeme er einsetzt und was sie produzieren, kann Artikel 50 nicht erfüllen.
Modularität zahlt sich aus. Mein System hat sich um einen neuen Hook erweitert. Kein Umbau, keine externe Beratung, keine Projektphase.
Transparenz schützt. Nicht nur vor Bußgeldern. Vor internen Fehlern, vor Qualitätsproblemen, vor Vertrauensverlust.
Governance ist Architektur. Wer sie nachträglich einbaut, zahlt dreifach: an Aufwand, an Risiko, an Qualität.
Wie viele eurer KI-Regeln sind heute automatisch durchgesetzt, nicht nur aufgeschrieben?
Das Buch: Taschenbuch (24,99 EUR) https://amazon.de/dp/B0HDMT162J | E-Book (9,99 EUR) https://amazon.de/dp/B0HDMS2YQ9
Dieser Artikel wurde mit KI erstellt, auf Basis meiner eigenen Systeme und Praxiserfahrung.
