Sie liefern die Modelle aus, für die die erste KI-Regulierung geschrieben wurde.
Für KI-native Startups, die sich mit den technischen Pflichten des EU AI Act (Protokollierung, Daten-Governance) auseinandersetzen müssen, zusätzlich zu den SOC 2- und GDPR-Anforderungen, die jeder Kunde bereits stellt.
AI-Startups werden von zwei Seiten gleichzeitig reguliert. Kunden verlangen die bekannten Dinge: SOC 2- und GDPR-Nachweise, bevor sie Daten an Ihre Modelle senden. Und wenn Ihr System in den Hochrisiko-Bereich des EU AI Act fällt, fügt das Gesetz Pflichten hinzu, die technische Artefakte sind, keine Richtlinien: Protokollierung über die gesamte Lebensdauer des Systems, Governance über die Daten, mit denen es trainiert wurde. Beide Arten von Pflichten ändern sich in Pull Requests, oft im schnelllebigen Pipeline-Code, den ein KI-Team wöchentlich refaktorisiert.
Die Pflichten des Gesetzes leben in Ihrer Pipeline
Was der EU AI Act von einem Hochrisiko-System verlangt, liest sich wie eine Code-Review-Checkliste: automatische Protokollierung der Systemereignisse (Art. 12), Governance der Daten, die in das Training einfließen (Art. 10). Diese Eigenschaften verschwinden auf die gleiche Weise wie die Testabdeckung: durch eine bequeme Löschung nach der anderen. heygrc ist darauf ausgelegt, jede Änderung gegen die von Ihnen ausgewählten Frameworks zu prüfen und den Artikel oder die Kontrolle zu zitieren, den/die sie betrifft, sodass die Nachverfolgbarkeit, die Sie für eine Konformitätsbewertung benötigen, nicht leise in einem Bereinigungs-PR verschwindet.
Es klassifiziert nicht die Risikostufe Ihres Systems oder führt Ihre Konformitätsbewertung durch, und ob das Gesetz auf Sie zutrifft, ist Ihre eigene Einschätzung. Es erkennt jedoch die Diffs, die die Aufzeichnungen untergraben, unabhängig davon, und diese sind auch für die SOC 2- und GDPR-Perspektiven relevant.
Änderungen, die wie normaler Code aussehen.
Einige der kontrollrelevanten Änderungen, die heygrc für diesen Fall markieren soll, jeweils mit Verweis auf die betroffene Klausel.
Inference logging is removed from a decision system
EU AI Act Art. 12A training pipeline adds a data source with no governance record
EU AI Act Art. 10A user-deletion job skips the vector store
GDPR Art. 17
Die Frameworks, die hier am wichtigsten sind.
Anleitung: Compliance-Checks für KI-generierten Code
heygrc markiert kontrollrelevante Änderungen und zitiert die Klausel, sodass das Problem im Pull Request behandelt werden kann. Es zertifiziert dich nicht, führt dein Audit nicht durch und ersetzt nicht dein eigenes Urteil.