EU-Gesetz über künstliche Intelligenz vs. NIST KI-Risikomanagement-Framework: Ein Leitfaden zur Cross-Framework-Zuordnung

Compliance-Teams, die Governance für KI aufbauen, können selten nur ein Framework wählen. Globale Unternehmen müssen typischerweise sowohl dem EU-Gesetz über künstliche Intelligenz (verbindliches Gesetz) als auch dem NIST AI Risk Management Framework (AI RMF 1.0) (freiwillig, aber zunehmend von US-Bundesbehörden und Unternehmenskäufern gefordert) entsprechen.

Die gute Nachricht: Mit der richtigen Zuordnung werden die meisten Kontrollen, die Sie für ein Framework entwickeln, auch für das andere angerechnet. Dieser Leitfaden vergleicht die beiden Frameworks in den Dimensionen, die für die Bereitschaft zum EU-Gesetz über künstliche Intelligenz wichtig sind – Risikoklassifizierung, Dokumentation, Governance und Lebenszyklusverpflichtungen – und zeigt, wo sie übereinstimmen und wo sie abweichen.

Auf einen Blick

Dimension	EU-Gesetz über künstliche Intelligenz	NIST AI RMF 1.0
Rechtsstatus	Verbindliche EU-Verordnung	Freiwilliges Framework
Anwendungsbereich	KI-Systeme, die auf dem EU-Markt bereitgestellt werden oder EU-Personen betreffen	Jedes KI-System, jede Gerichtsbarkeit
Ansatz	Regelbasiert, risikogestuft	Ergebnisorientiert, prinzipiengeleitet
Durchsetzung	Bußgelder bis zu 35 Mio. € oder 7 % des weltweiten Umsatzes	Keine direkte Durchsetzung (Vertrags- / Beschaffungsdruck)
Wichtige Frist	2. Aug 2026 (Transparenz); 2. Dez 2027 (Anhang III Hochrisiko)	Laufend; referenziert in US EO 14110 und Behördenrichtlinien

1. Risikoklassifizierung

Das EU-Gesetz über künstliche Intelligenz verwendet vier feste Stufen:

• Unannehmbares Risiko – verboten (Social Scoring, manipulative Techniken, Echtzeit-Biometrie-ID in der Öffentlichkeit mit engen Ausnahmen).
• Hochrisiko – Anhang I (KI in regulierten Produkten) und Anhang III (HR, Kredit, Bildung, Strafverfolgung, Biometrie, wesentliche Dienste).
• Begrenztes Risiko – Transparenzpflichten (Chatbots, Deepfakes, Emotionserkennung, synthetische Inhalte).
• Minimales Risiko – keine Verpflichtungen über freiwillige Kodizes hinaus.

Das NIST AI RMF schreibt keine Stufen vor. Stattdessen werden Organisationen aufgefordert, Risiken anhand der Attribute gültig & zuverlässig, sicher, geschützt & resilient, rechenschaftspflichtig & transparent, erklärbar & interpretierbar, datenschutzfreundlich und fair mit gemanagten schädlichen Verzerrungen zu charakterisieren und ein akzeptables Risiko kontextbezogen zu bestimmen.

Zuordnungstipp: Verwenden Sie die EU-KI-Gesetz-Stufen als oberste Klassifizierungsebene und schichten Sie die NIST-Merkmale als Wie Sie Kontrollen nachweisen. Ein System, das nach dem KI-Gesetz als Anhang III Hochrisiko klassifiziert wird, ist automatisch ein hochrelevantes System gemäß NIST – verwenden Sie dasselbe Risikoregister wieder.

2. Dokumentationsanforderungen

Das EU-KI-Gesetz (Anhang IV) verlangt von Anbietern von Hochrisikosystemen, eine detaillierte technische Dokumentation zu führen, die Folgendes umfasst: Systembeschreibung, Designentscheidungen, Datengovernance, Trainings-/Validierungs-/Testmethodik, Maßnahmen zur menschlichen Aufsicht, Metriken für Genauigkeit und Robustheit, Cybersicherheitsmaßnahmen und einen Plan zur Überwachung nach dem Inverkehrbringen.

Das NIST AI RMF verwendet die Funktionen Govern–Map–Measure–Manage. Die Dokumentation wird erwartet, aber nicht detailliert aufgeführt – das Framework verweist auf Modellkarten, Datenschutzerklärungen, Systemkarten und Folgenabschätzungen.

Anforderung des EU-KI-Gesetzes Anhang IV	NIST AI RMF Äquivalent
Systembeschreibung & Verwendungszweck	MAP 1.1, 2.3 — Kontext und Verwendungszweck
Datengovernance & verwendete Datensätze	MAP 2.3, MEASURE 2.10 — Datenherkunft
Designentscheidungen & Architektur	MAP 3.1 — Systemdesign-Dokumentation
Maßnahmen zur menschlichen Aufsicht	GOVERN 3, MANAGE 4 — Mensch-KI-Konfiguration
Metriken für Genauigkeit & Robustheit	MEASURE 2.5, 2.7 — TEVV-Metriken
Cybersicherheit	MEASURE 2.7, MANAGE 3.2 — Resilienz
Überwachung nach dem Inverkehrbringen	MANAGE 4.1 — Kontinuierliche Überwachung

Zuordnungstipp: Erstellen Sie eine technische Datei nach Anhang IV und verweisen Sie im Anhang „abgebildete Kontrollen“ auf die NIST-Funktions-IDs. Auditoren auf beiden Seiten akzeptieren dies.

3. Governance und Rechenschaftspflicht

Das EU-KI-Gesetz erfordert ein Qualitätsmanagementsystem, benannte verantwortliche Personen, eine Konformitätsbewertung vor dem Inverkehrbringen, die CE-Kennzeichnung, die Registrierung in der EU-Datenbank und die Meldung von Vorfällen an nationale Behörden innerhalb von 15 Tagen (2 Tage bei schwerwiegenden Vorfällen).

Das NIST AI RMF verlangt (in der Funktion GOVERN) dokumentierte Richtlinien, Rollen und Verantwortlichkeiten, Rechenschaftsstrukturen, Vielfalt der Belegschaft in KI-Teams und Risikomanagement Dritter – aber keine externe Registrierung oder Benachrichtigung.

Zuordnungstipp: Die NIST GOVERN-Funktion ist Ihre Grundlage. Fügen Sie EU-spezifische Artefakte hinzu: Konformitätsbewertungsverfahren, EU-Datenbankregistrierungsprozess, Meldung von Vorfällen.

4. Lebenszyklus: TEVV vs. Überwachung nach dem Inverkehrbringen

Das NIST AI RMF legt großen Wert auf Test, Evaluation, Verifizierung und Validierung (TEVV) über den gesamten Lebenszyklus hinweg – einschließlich Pre-Deployment Red-Teaming und kontinuierlicher Messung.

Das EU-KI-Gesetz erfordert eine ähnliche Strenge, formuliert sie jedoch als Konformitätsbewertung vor dem Inverkehrbringen plus Überwachung nach dem Inverkehrbringen mit obligatorischen Protokollen, Korrekturmaßnahmen und Berichterstattung.

Zuordnungstipp: Übernehmen Sie die NIST TEVV-Praktiken als Ihr Betriebsmodell; verwenden Sie Artefakte des EU-KI-Gesetzes (technische Datei, Überwachungsplan, Vorfallsprotokoll) als Konformitätsnachweis.

5. Transparenz und Offenlegung gegenüber dem Nutzer

Artikel 50 des EU-KI-Gesetzes (gilt ab dem 2. August 2026) verlangt eine explizite Offenlegung für Chatbots, Deepfakes, Emotionserkennung und synthetische Inhalte – mit maschinenlesbarer Wasserzeichensetzung für KI-generierte Medien.

Das NIST AI RMF behandelt Transparenz als Ergebnis („rechenschaftspflichtig & transparent“), ohne UI-Muster vorzuschreiben.

Zuordnungstipp: Implementieren Sie die EU-Offenlegungspflichten als absolute globale Basislinie – Sie erfüllen Artikel 50 des KI-Gesetzes und übertreffen gleichzeitig die NIST-Erwartungen.

Wo die beiden Frameworks auseinandergehen

• Verbote: Das EU-KI-Gesetz verbietet bestimmte Praktiken ausdrücklich (Artikel 5). NIST verbietet nichts.
• Rechtliches Risiko: EU-Bußgelder sind schwerwiegend und durchsetzbar; NIST-Nichtkonformität zeigt sich im Beschaffungs- und Reputationsrisiko.
• Zertifizierung: Das EU-KI-Gesetz verlangt für einige Produkte des Anhangs I eine Konformitätsbewertung durch Dritte. NIST hat keine Zertifizierung.
• Grundrechts-Folgenabschätzung: Für öffentliche Anwender nach dem KI-Gesetz vorgeschrieben; nach NIST empfohlen, aber nicht vorgeschrieben.

Ein pragmatisches Playbook

1. Beginnen Sie mit der KI-Gesetz-Klassifizierung – sie ist die bindende Einschränkung.
2. Übernehmen Sie NIST GOVERN und MAP als Ihr Betriebsmodell – sie skalieren besser über Gerichtsbarkeiten hinweg.
3. Erstellen Sie pro System eine technische Datei, die auf Anhang IV strukturiert ist und auf NIST-Funktions-IDs verweist.
4. Standardisieren Sie TEVV-Metriken unter Verwendung der NIST-Sprache; berichten Sie diese im Überwachungsplan nach dem KI-Gesetz.
5. Implementieren Sie die Transparenz nach Artikel 50 weltweit – sie ist kostengünstig und zukunftssicher.
6. Fristen im Blick behalten: 2. August 2026 (Transparenz), 2. Dezember 2027 (Anhang III Hochrisiko), 2. August 2028 (Anhang I Hochrisiko).

Nächster Schritt

Sie sind sich nicht sicher, welche Kontrollen Sie bereits implementiert haben? Nehmen Sie an unserem kostenlosen 5-minütigen EU-KI-Gesetz-Bereitschaftstest teil und erhalten Sie einen personalisierten Bericht, der Ihre Positionierung sowohl gegenüber dem EU-KI-Gesetz als auch dem NIST AI RMF darstellt.