The EU AI Act Engineering Readiness Kit
Was Ihre Codebasis bis zum 2. August 2026 nachweisen muss — die Evidenz-Checkliste des CTO für die Artikel 11, 12 und 14, abgebildet auf ISO 42001 und NIST AI RMF.
Die Protokollierung nach Artikel 12 ist architektonisch. Sie können sie nach der Frist nicht nachrüsten.
Am 2. August 2026 werden die Hochrisiko-Pflichten des EU AI Act durchsetzbar — und mit ihnen die automatische Protokollierung nach Artikel 12. Protokollierung ist architektonisch: Sie zeichnet Ereignisse auf, während sie geschehen, und lässt sich nicht nachträglich rekonstruieren. Der Nachweis für jede KI-gestützte Änderung, die Sie vor dem Livegang der Protokollierung ausliefern, existiert nicht — und wird nie existieren. Das ist die eine Compliance-Uhr, die Sie nicht rückwirkend füllen können.
Hochrisiko-Pflichten des EU AI Act werden durchsetzbar
Höchststrafe — 35M€ oder 7% des weltweiten Umsatzes, je nachdem, welcher Betrag höher ist
des KI-generierten Codes besteht Sicherheitstests nicht — das Risiko, nach dem Prüfer und Versicherer jetzt fragen
Acht Abschnitte. Eine Beweiskette.
Sind Sie im Anwendungsbereich?
Ein Entscheidungsbaum für die technische Planung — warum der normale Einsatz von Coding-Assistenten nicht standardmäßig als Hochrisiko nach Anhang III gilt und welche drei Schritte das kippen (Einstufung mit Rechtsbeistand bestätigen).
Artikel 11 — Technische Dokumentation
Der Artikel „Zeigen Sie Ihre Arbeit“: das 10 Jahre aufzubewahrende Dokumentationsverzeichnis, das ein Prüfer anfordern kann — und warum es etwas ist, das man führt, und nicht etwas, das man im Juli 2026 schreibt.
Artikel 12 — Automatische Protokollierung
Der eine, den Sie nicht nachrüsten können. Was jeder Protokolleintrag erfassen muss — aufrufender Nutzer, Modellversion, Eingaben, Ausgaben, Prüfer, Entscheidung — plus das ausfüllbare Schema.
Artikel 14 — Menschliche Aufsicht
Die regulatorische Fassung von „KI merged sich nicht selbst“. Ein benannter Mensch, ein Eingriffsweg und eine als Nachweis festgehaltene Entscheidung.
Artikel 53 — GPAI und die Zusammenfassung der Trainingsdaten
Wenn Sie ein Allzweckmodell trainieren, feinabstimmen oder in Verkehr bringen: das Modell-Dokumentationsformular und die vom Regulator vorgeschriebene AIBOM-lite-Datenzusammenfassung.
Die Evidenzkarte — CRAFT-Praktik × Regulierung
Welche Praktik die Nachweise erzeugt, die jede Regulierung verlangt. Lesen Sie eine Zeile, um zu sehen, was eine Praktik belegt; lesen Sie eine Spalte, um zu sehen, was eine Regulierung insgesamt fordert.
Die benachbarten Uhren
ISO 42001, NIST AI RMF, seit 1. Januar 2026 geltende Versicherungsausschlüsse, CA AB 489, TX TRAIGA, SR 26-2, CMMC — jede fordert eine Teilmenge derselben Nachweise.
Der 90-Tage-Readiness-Plan
Bauen Sie zuerst die nicht nachrüstbaren Nachweise auf. Protokollierung und Provenienz in den Tagen 0–30, danach die belegbare menschliche Entscheidung, zuletzt die laufende Dokumentation.
Die Frist steht bereits im Kalender.
Zwei davon — die Protokollierung nach Artikel 12 und die Dokumentation nach Artikel 11 — sammeln fortlaufend Nachweise. Sie lassen sich in der Woche vor einem Audit nicht rekonstruieren.
Curate
EU AI Act — Art. 53 (Zusammenfassung der Trainingsdaten). Außerdem — ISO 42001 A.6 · NIST Map. Nachweise — Kontext-Provenienz, Datenherkunft, AIBOM-Kern.
Refine
EU AI Act — Art. 17 (QMS). Außerdem — ISO 42001 A.5 · NIST Manage. Nachweise — Spezifikationen, Nachverfolgbarkeit von Anforderung zu Code.
Architect
EU AI Act — Art. 12 (Protokolle). Außerdem — ISO 42001 A.5/A.7 · NIST Map. Nachweise — maschinenlesbare ADRs, Pipeline-Protokollierung.
Fortify
EU AI Act — Art. 9 & 11 (Risiko, Dokumentation). Außerdem — ISO 42001 A.3/A.9 · NIST Govern · Versicherer. Nachweise — unveränderliche Audit-Trails, Policy-as-Code, Provenienz.
Test
EU AI Act — Art. 15 (Genauigkeit). Außerdem — ISO 42001 A.5 · NIST Measure. Nachweise — KI-kalibrierte Quality Gates, Validierungsnachweise.
Eine Organisation mit der Methode erzeugt die Nachweise bereits. Das Audit ist kein Projekt — es ist eine Abfrage auf Artefakte, die die Praktiken ohnehin führen. Artikelzuordnung nach der technischen Lesart des Evidence Pack; Einstufung mit Rechtsbeistand bestätigen.
Verzeichnis der technischen Dokumentation — Artikel 11
Ein ständiges Verzeichnis dessen, was ein Prüfer anfordern kann, wer es verantwortet, wo es liegt und wie lange es aufbewahrt wird. Jede leere Stelle ist eine Audit-Feststellung im Wartezustand.
Schema der automatischen Protokollierung — Artikel 12
Die Feldspezifikation, die jede KI-gestützte Aktion automatisch ausgeben sollte — aufrufender Nutzer, Modellversion, Eingaben, Ausgaben, Prüfer, Entscheidung, aufbewahrt ≥ 6 Monate. Ein Protokoll, das davon abhängt, dass jemand daran denkt, ist nicht automatisch.
Freigabe der menschlichen Aufsicht — Artikel 14
Ein wiederholbarer, unterzeichenbarer Nachweis, dass ein Mensch eine KI-relevante Änderung verstanden, entschieden und sie hätte stoppen können. Seine Entscheidung fließt in das Protokoll von Artefakt B.
Diese drei Artefakte sind eine Beweiskette: Das Verzeichnis (A) verweist auf die Protokolle (B), und die Entscheidung jedes Protokolleintrags verweist zurück auf eine Freigabe (C).
Wenn Sie vor der Frist nur eine Sache tun, bauen Sie zuerst Protokollierung und Provenienz auf. Dokumentation und Freigaben können Sie ab einem Stichtag nachziehen; Protokolle überhaupt nicht. Jeder Tag ohne aktive Protokollierung nach Artikel 12 ist ein Tag an Nachweisen, die nie existieren werden.
Lesen Sie das, wenn Sie eine Engineering-Führungskraft sind, die…
…einen ISO 42001- oder SOC-artigen Prüfer haben, der fragt, wie Sie KI-generierten Code steuern — und keine Nachweise zur Hand haben.
…den Druck bei der Erneuerung von D&O- und Cyber-Versicherungen spüren, seit Standardpolicen viele Schäden durch generative KI ausschließen (in Kraft seit 1. Januar 2026).
…wissen müssen, ob es für die Protokollierung nach Artikel 12 bereits zu spät ist, sie für die dieses Jahr ausgelieferten Änderungen nachzurüsten.
…in das Compliance-Gespräch mit bereits kartierten technischen Nachweisen gehen wollen — nicht als Ersatz für Rechtsbeistand, sondern um vorbereitet anzukommen.
Dieses Kit richtet sich an Die strukturierte Organisation (61–80) — die Organisation, die bereits eine Methode hat und nun belegen muss, dass diese Auditnachweise erzeugt. Wenn Sie früher stehen, sagt Ihnen zuerst die kostenlose Curate-Scorecard, wo Sie stehen.
CRAFT Method wurde nicht im Sitzungssaal entworfen. Sie wurde in Produktion geschmiedet.
Sie entstand beim Bauen von Produktionssoftware mit KI, jeden Tag, über Monate. FIKR Space — elf integrierte Produkte, allein plus KI gebaut — ist der lebende Beweis.
Hochrisiko-Pflichten des EU AI Act durchsetzbar
Die Protokollierung nach Artikel 12 ist architektonisch, nicht nachrüstbar. Wenn sie nicht eingebaut ist, ist sie nicht da, wenn das Audit kommt.
Versicherungsausschlüsse für Schäden durch generative KI in Kraft
Der finanzielle Rückhalt für KI-verursachte Defekte schrumpft. Die Haftung wandert in die Bilanz.
Die Entscheidung liegt bei Ihnen. Die Uhr nicht.
Bevor Sie fragen.
Gilt der EU AI Act überhaupt für uns, wenn wir nur Copilot, Cursor oder Claude Code nutzen?
Wahrscheinlich nicht standardmäßig. Der normale Einsatz von Coding-Assistenten zum Schreiben von Anwendungscode ist allein auf dieser Grundlage kein Hochrisiko nach Anhang III. Das kann kippen — wenn KI zur Bewertung von Entwicklern als Beschäftigte eingesetzt wird, als Sicherheitsbauteil in einem regulierten Produkt wirkt oder wenn Sie ein Modell feinabstimmen oder umetikettieren und damit zu dessen Anbieter werden. Der Anwendungsbereich ist eine rechtliche Feststellung: Das Kit liefert den Entscheidungsbaum, Ihr Rechtsbeistand bestätigt das Ergebnis.
Ist das eine Rechtsberatung?
Nein. Dies ist ein Readiness-Kit für die Technik, keine Rechtsberatung. Es übersetzt die Artikel 11, 12, 14 und 53 in die Artefakte, die Ihre Engineering-Organisation vorlegen können muss — Protokolle, Dokumentation, Freigaben, Provenienz. Es sagt Ihnen nicht, ob ein System in den Anwendungsbereich fällt, ob Sie Anbieter oder Betreiber sind oder wie eine Aufsichtsbehörde einen Artikel auslegen wird. Ziehen Sie für die rechtliche Auslegung und Ihren konkreten Anwendungsbereich qualifizierten Rechtsbeistand und Ihre Compliance-Funktion hinzu.
Ist das wirklich kostenlos?
Ja. Das Kit ist ein kostenloser Download im Tausch gegen Ihre E-Mail-Adresse — ~14 Seiten plus drei Ausfüll-Vorlagen — dazu gelegentliche Praxisnotizen. Jederzeit abbestellbar, und wir geben Ihre Adresse nie weiter. Jede regulatorische Aussage ist im CRAFT Method Evidence Pack, April 2026, belegt.
Was ist die Enterprise-Diagnostik?
Das vollständige Assessment bewertet alle fünf CRAFT-Praktiken und erstellt die Evidenzkarte für Ihre Organisation, dazu ein 30-minütiges Live-Debriefing mit Luis Gonçalves, in dem Sie Ihre Nachweise zu den Artikeln 11/12/14 gegen den 2. August 2026 in Ihrem Kontext abgleichen. Gelistet zu 1,500–2,000€; kostenlos während der Launch-Phase 2026, begrenzte Kapazität.