Eine Geldstrafe von 35 Millionen € oder 7 % des weltweiten Jahresumsatzes. So hoch können die Strafen bei Verstößen gegen den EU AI Act ausfallen, dem weltweit ersten umfassenden KI-Framework.
Obwohl die vollständige Durchsetzung erst 2027 erfolgt, spüren Führungskräfte den Druck. Diesen Monat traten die Transparenzregeln des Gesetzes in Kraft, die vorschreiben, dass Organisationen offenlegen müssen, wenn Nutzer:innen mit KI-Systemen interagieren. Zu den weiteren wichtigen, nun geltenden Regeln gehört die Vorgabe, dass Unternehmen das Design von KI-Systemen so gestalten müssen, dass sie von Menschen verwaltet werden, wodurch diesen Humans-in-the-Loop die Möglichkeit zum „Überwachen, Interpretieren und Übersteuern des Systems“ gegeben wird, und dass Unternehmen in der Lage sein müssen, zu erklären, wie eingesetzte KI-Systeme Entscheidungen treffen.
Identität ist eine der Methoden, um diese Anforderungen zu erfüllen.
Das Gesetz formuliert eine klare Erwartung: Unternehmen müssen nachweisen, dass sie über die Protokolle und Frameworks für ihre KI-Bereitstellungen verfügen. Bei diesen Vorschriften geht es nicht nur um das Vertrauen der Wirtschaft. Das Vertrauen der Verbraucher:innen hängt auch von robusten Schutzmaßnahmen ab, die Menschen und ihre Daten schützen.
Schließen der KI-Rechenschaftslücke durch Identity-Management
Bis 2027 wird der EU AI Act einen strengen Standard für die Rechenschaftspflicht bei „Hochrisiko“-KI-Systemen vorschreiben, mit Anforderungen, die für Unternehmen gelten, die diese Systeme entwickeln, und für Unternehmen, die diese Systeme einsetzen. Dies umfasst Bestimmungen, die eine kontinuierliche Überwachung von KI-Systemen, Protokollierungsanforderungen und menschliche Aufsicht vorschreiben, von denen viele eine Identitätskomponente beinhalten.
Während Unternehmen jahrelang die Identity governance für menschliche Mitarbeiter:innen standardisiert haben, haben KI-Agenten die Spielregeln geändert. Heute kann jede:r einen KI-Agenten erstellen – oft außerhalb von Sicherheitskontrollen – und so Schatten-KI ohne offizielle Verantwortliche schaffen.
Es stellt sich heraus, dass viele Unternehmen derzeit nicht darauf eingerichtet sind, zu erkennen, wie viele KI-Agenten sich in ihren Systemen befinden, geschweige denn, jemanden dafür zur Verantwortung zu ziehen. Laut dem Bericht Global CISO Insights 2026 von Okta sind 81 % der CISOs besorgt über übermäßigen KI-Zugriff. Weniger als die Hälfte kann alle KI-Agenten in ihren Systemen identifizieren, geschweige denn deren Zugriff kontrollieren oder autorisieren. Nur 31 % gaben an, dass sie sich mit ihren Vorständen über KI-Risiken einig sind.
Diese Daten spiegeln die Diskussionen in der europäischen Unternehmenslandschaft wider. Für viele Führungskräfte besteht die unmittelbare Herausforderung nicht in den Feinheiten der Compliance, sondern in der Realität von Schatten-KI, steigenden Kosten und unklaren Renditen aus isolierten KI-Versuchen. Stattdessen suchen sie nach einem klaren Framework, das ihnen hilft, KI sicher bereitzustellen.
Die Lösung für viele dieser Lücken ist gleichzeitig einer der Schlüssel zur Compliance: Identität.
Absicherung agentischer KI: Ein praktisches Framework
Ein sicheres agentenbasiertes Unternehmen schafft klare Zuständigkeiten und Transparenz, bevor die Agenten skaliert werden.
Oktas Konzept für das sichere agentenbasierte Unternehmen beschreibt die Identitäts- und Zugriffskontrollen, die erforderlich sind, um agentenbasierte KI sicher einzuführen und dabei Transparenz und Verantwortlichkeit zu wahren.
EU AI Act: Absicherung von Hochrisiko-KI durch menschliche Aufsicht
Einige Vorgaben des EU-Gesetzes zur künstlichen Intelligenz (EU AI Act), die im Dezember 2027 in Kraft treten, erfordern eine greifbare menschliche Aufsicht und eine revisionssichere Governance für Hochrisiko-KI-Systeme. Identität spielt eine wichtige Rolle bei der Erfüllung dieser Anforderungen.
Um die Fragen der Aufsichtsbehörden zu risikoreichen KI-Bereitstellungen zu beantworten, müssen Organisationen, die KI-Agenten als Teil dieser Bereitstellungen einsetzen, KI-Agenten als vollwertige Identitäten behandeln und mit derselben Sorgfalt verwalten wie ihre menschliche Belegschaft. Die Einbindung von KI-Agenten beginnt mit drei identitätsbezogenen Fragen: Wo sind meine Agenten? Womit können sie sich verbinden? Was können sie tun? Die Antworten können die grundlegende Transparenz bieten, die erforderlich ist, um die Anforderungen der Aufsichtsbehörden zu erfüllen.
Wie zukunftsorientierte Organisationen sich anpassen können
Der EU AI Act ist nicht das einzige Framework, das die europäische Regulierungslandschaft neu gestaltet. Es reiht sich in eine komplexe Welle von EMEA-Vorschriften wie DORA, NIS2 und eIDAS 2.0 ein, die mit einem differenzierten Web aus nationalen Gesetzen interagieren. Dennoch haben diese regionsweiten Vorschriften, obwohl sie auf unterschiedliche Sektoren abzielen, einen gemeinsamen Nenner: Sie können nichts absichern, einem Audit unterziehen oder verwalten, was Sie nicht zuverlässig identifizieren können.
Für Unternehmen sollte die Einhaltung der Vorschriften des EU-Gesetzes zur künstlichen Intelligenz (EU AI Act) nicht als eine zu überwindende technische Hürde betrachtet werden. Stattdessen sollten sie es als Anstoß betrachten, um zu verstehen, wie digitale Systeme funktionieren und wer für sie verantwortlich ist.
Um diese Grundlage zu schaffen, können Führungsteams mit diesen vier praktischen Schritten beginnen:
Schaffen Sie zunächst grundlegende Transparenz: Sie können nichts sichern oder einem Audit unterziehen, was Sie nicht sehen können. Ein Schritt in Richtung Compliance ist ein umfassendes Audit Ihres aktiven KI-Fußabdrucks: Erfassen Sie die eingesetzten Tools, die Daten, auf die sie zugreifen können, und die blinden Flecken, die sie verursachen.
KI genauso streng verwalten wie die Belegschaft: Die gleichen Identitätsprinzipien, die Unternehmen auf menschliche Mitarbeiter anwenden, wie etwa Least-Privilege-Zugriff, zeitlich begrenzte Berechtigungen und regelmäßige Rezertifizierung, sollten auf KI-Agenten ausgeweitet werden.
Menschliche Kontrolle beibehalten: Hochriskante autonome Systeme sollten nicht völlig unkontrolliert agieren. Unternehmen können Risiken mindern, indem sie eine klare Funktionstrennung etablieren und eine menschliche Genehmigung voraussetzen, bevor KI-Agenten sensible oder hochriskante Aktionen ausführen können.
KI an bestehenden Geschäftszielen ausrichten: Der Einsatz von unüberwachter Schatten-KI oder isolierten Testversionen erhöht das Risiko, ohne einen Mehrwert zu belegen. Unternehmen, die aktiv hinterfragen, ob ihre KI-Programme geschäftliche Kennzahlen verbessern, verringern das Risiko von KI-bezogenen Sicherheitsrisiken und stellen sicher, dass ihre Technologieinvestitionen tatsächlich echten Mehrwert liefern.
Wer genau steckt hinter Ihrer KI?
Der EU AI Act rückt Identität in den Vordergrund.
Während die vollständige Durchsetzung für Ende 2027 angesetzt ist, müssen globale Unternehmen bereits heute den Grundstein für die Compliance legen.
Ähnlich wie die DSGVO zieht der EU AI Act jedes Unternehmen, das europäische Kund:innen bedient, zur Verantwortung, unabhängig davon, wo es seinen Sitz hat. Die Absicherung der digitalen Identitäten hinter jeder automatisierten Aktion ist ein Teil der Erfüllung der Compliance-Anforderungen.
Indem Organisationen weltweit KI-Governance als Identitätsherausforderung betrachten, können sie die Schatten-KI-Phase hinter sich lassen, die Technologie sicher einsetzen und den Weg für weiteres Wachstum ebnen.
Diese Materialien dienen ausschließlich allgemeinen Informationszwecken und stellen keine Rechts-, Datenschutz-, Sicherheits-, Compliance- oder Unternehmensberatung dar.
Der Inhalt gibt womöglich nicht den aktuellen Stand der relevanten Sicherheits-, Rechts- und Datenschutzfragen wieder. Es liegt in Ihrer Verantwortung, sich mit Blick auf die Rechtslage, den Datenschutz, die Sicherheit, die Compliance, die Implementierung oder Kaufentscheidungen beraten zu lassen. Stützen Sie sich bei diesen Themen nicht allein auf diese Materialien.
Okta übernimmt keinerlei Zusicherungen oder Garantien in Bezug auf diesen Inhalt und haftet nicht für Verluste oder Schäden, die aus Ihrer Implementierung dieser Empfehlungen resultieren. Informationen zu den vertraglichen Zusicherungen von Okta gegenüber Kundenunternehmen finden Sie unter okta.com/agreements.
