Process Intelligence für EU-AI-Act-Readiness
Die EU-KI-Verordnung macht AI Governance zur operativen Frage: Welcher Prozess nutzt KI, wer überwacht sie, welche Daten fließen ein, welche Aktion ist erlaubt und welche Evidenz bleibt erhalten?
Die EU-KI-Verordnung wird von einem Rechtstext zu einem Operations-Thema. Artikel 113 sagt, dass die Verordnung ab dem 2. August 2026 gilt, mit früheren und späteren Ausnahmen. Die aktuelle AI-Act-Seite der Kommission sagt, dass der AI Act am 1. August 2024 in Kraft getreten ist und am 2. August 2026 vollständig anwendbar wird. Dieselbe Seite nennt aber auch Ausnahmen und spätere High-Risk-Timelines nach der Simplification-Einigung von 2026.
Diese Datumsnuance zählt. Der 2. August 2026 ist ein guter Board-level Trigger für Readiness-Arbeit. Er ist keine saubere Aussage, dass jede High-Risk-Pflicht für jedes System an diesem Tag greift. Legal muss den finalen Zeitplan pro Use Case prüfen.
Die operative Frage ist einfacher: Kann das Unternehmen zeigen, wo KI handelt, wer sie kontrolliert, was sie berührt hat, welchem Entscheidungspfad sie gefolgt ist und welche Evidenz danach erhalten bleibt?
Genau deshalb ist Process Intelligence ein starkes EU-AI-Act-Thema.
Das Compliance-Problem ist operativ
Die Kommission fasst strenge Pflichten für High-Risk-AI-Systeme zusammen: Risikobewertung und -minderung, Datenqualität, Logging, technische Dokumentation, Informationen für Deployer, Human Oversight sowie Anforderungen an Genauigkeit, Cybersecurity und Performance.
Sobald KI in tägliche Arbeit eingreift, leben diese Pflichten nicht mehr in einem Policy-PDF. Sie leben in Workflows:
- Ein Recruiting-Prozess, in dem KI Lebensläufe filtert.
- Ein Claims-Prozess, in dem KI Annahme, Eskalation oder Ablehnung empfiehlt.
- Ein Maintenance-Prozess, in dem KI Safety-Arbeiten priorisiert.
- Ein Customer-Service-Prozess, in dem KI Antworten entwirft und Beschwerden routet.
- Ein Workforce-Management-Prozess, in dem KI Aufgabenverteilung, Planung oder Performance-Bewertung beeinflussen könnte.
Wenn der Prozess nicht gemappt ist, ist die Kontrolle größtenteils Theater.
Was Process Intelligence unterstützen kann
Process Intelligence ersetzt keine Rechtsberatung, Conformity Assessment, Datenschutzarbeit, Security Review oder Branchenregulierung. Sie kann die Evidenzarbeit weniger chaotisch machen.
Die nützliche Schicht enthält diese Teile.
Prozessschritt, System, Input-Daten, Output, betroffene Entscheidung und verantwortliche Rolle.
Article-6- und Annex-III-Exposure gegen die tatsächliche operative Nutzung prüfen.
Reviewer-Kompetenz, Autorität, Eskalationspfad, Reversal, Stop und Override.
Inputs, Outputs, Freigaben, Aktionen, Versionen, Zeitstempel und Prozesskontext.
Prozessbeschreibung, betroffene Gruppen, Controls, Incidents, Beschwerden und Evidenz.
Keine Claims zu Emotionserkennung, verdeckter Überwachung oder individuellem Worker Ranking.
1. KI-Touchpoint-Inventar pro Prozess
Unternehmen brauchen ein Inventar, das bei echter Arbeit startet, nicht bei Toolnamen.
Für jeden Prozess sollten Käufer und Berater fragen:
- Welche Schritte nutzen KI?
- Generiert KI Text, empfiehlt sie Aktionen, bewertet sie Personen, klassifiziert sie Fälle, routet sie Arbeit oder führt sie Tools aus?
- Welches System liefert die Input-Daten?
- Welche Rolle sieht den Output?
- Welche Entscheidung oder operative Aktion kann folgen?
- Wird die KI vom Provider, vom Deployer oder von beiden genutzt?
Gartner definiert Process Intelligence Platforms als Lösungen, die Prozesse minen, analysieren, modellieren, designen und überwachen, unter anderem mit Process Mining, Modellierung, Root-Cause-Analyse, Simulation, Alerting, KPI-Reporting, Anomalieerkennung und interaktiver Entscheidungsunterstützung. Diese Kategorie passt zu AI-Act-Readiness, weil sie bei der realen Ausführung von Arbeit beginnt.
Geist-Passung: Eventlogs, Importe, Konnektoren, BPMN-Modelle, Process Mining, Varianten und Conformance Checks können verstreute KI-Nutzung in ein Prozessinventar überführen.
2. High-Risk-Triage anhand echter Nutzung
Der AI Act klassifiziert High-Risk-Systeme über Artikel 6 und Annex III. Annex III nennt Bereiche wie Biometrie, kritische Infrastruktur, Bildung, Beschäftigung und Worker Management, Zugang zu wesentlichen Diensten, Law Enforcement, Migration und Justiz.
Hier können Unternehmen sich schnell verrennen. Ein Modell, das in einer Vendor-Liste harmlos wirkt, kann im Workflow sensibel werden. Bei Beschäftigung und Worker Management umfasst Annex III Systeme für Recruiting, Auswahl, arbeitsbezogene Entscheidungen, Aufgabenverteilung auf Basis persönlicher Merkmale oder Verhaltensweisen sowie Monitoring oder Bewertung von Performance und Verhalten.
Das ist für Prozessoptimierung wichtig. Eine Bottleneck-Analyse auf Prozessschritt-Ebene ist etwas anderes als ein Worker-Scoring- oder Task-Allocation-Assistent.
Geist-Passung: Die stärkere Produktposition ist process-first und human-impact-aware: Prozess mappen, KI-Touchpoint klassifizieren, Prozessanalyse von Personenanalyse trennen und Worker-Impact-Outputs hinter explizite Prüfung legen.
3. Human Oversight als Workflow
Artikel 14 sagt, dass High-Risk-AI-Systeme so gestaltet sein müssen, dass natürliche Personen sie während der Nutzung überwachen können. Der Text zielt auf Monitoring, Interpretation von Outputs, Vermeidung von Over-Reliance, Ignorieren oder Umkehren von Outputs sowie Eingreifen oder Stoppen der Operation. Artikel 26 ergänzt Deployer-Pflichten zu kompetenter Human Oversight, Betriebsüberwachung und, wo relevant, Log-Aufbewahrung unter Kontrolle des Deployers.
Das löst man nicht mit einem Satz in einer Model Card.
Human Oversight braucht einen Prozess:
- Wer prüft den KI-Output?
- Welche Kompetenz und Autorität braucht diese Person?
- Wie sieht der Eskalationspfad aus?
- Welche Outputs dürfen ignoriert, rückgängig gemacht oder gestoppt werden?
- Welche Aktionen brauchen Zwei-Personen- oder Spezialistenprüfung?
- Was passiert, wenn der Reviewer der KI widerspricht?
Geist-Passung: Freigabe-Workflows, Action Proposals, role-scoped Tools, review-first Suggestions, Preview Mode und Action-Capability-Settings sind genau die operativen Kontrollen, die Käufer sehen wollen.
4. Logs, die den Chatverlauf überleben
Artikel 12 verlangt automatische Event-Aufzeichnung für High-Risk-AI-Systeme. Artikel 26 verlangt von Deployern, automatisch generierte Logs unter ihrer Kontrolle für einen angemessenen Zeitraum aufzubewahren, mindestens sechs Monate, sofern anderes Recht nichts anderes verlangt.
Die praktische Käuferfrage ist hart: Wenn eine KI-gestützte Aktion sechs Monate später angefochten wird, kann man rekonstruieren, was passiert ist?
Nützliche Aufzeichnungen enthalten:
- Prozess- und Case-ID.
- Beteiligtes KI-System oder Agent.
- Input-Quelle und Zeitstempel.
- Output, Empfehlung oder vorgeschlagene Aktion.
- Menschlicher Reviewer, Freigabe, Ablehnung, Override oder Eskalation.
- Ausgeführte Aktion und Zielsystem.
- Modellversion, Prozessversion und Policy-Version, soweit vorhanden.
Geist-Passung: Audit-Historie, Session Events, AI Actions History, Preview Batches, Freigaben und Ablehnungen, Undo/History und Action-Proposal-Records machen die Evidenzspur zur Arbeitsoberfläche, nicht zur nachträglichen Excel-Übung.
5. Prozessbeschreibungen für Impact Assessments
Artikel 27 verlangt von bestimmten Deployern vor dem Einsatz bestimmter High-Risk-AI-Systeme ein Fundamental Rights Impact Assessment. Die Bewertung umfasst eine Beschreibung der Prozesse des Deployers, in denen das System genutzt wird, betroffene Gruppen, wahrscheinliche Risiken, Human Oversight und Maßnahmen für den Risikofall.
Das ist eine direkte Brücke zu Process Intelligence. Legal kann die Bewertung schreiben, aber irgendjemand muss den Prozess zeigen.
Gute Evidenz sieht so aus:
- Der gemappte Prozess, in dem KI genutzt wird.
- Der konkrete KI-Schritt und die nachgelagerte Entscheidung.
- Betroffene Gruppen und Rollen.
- Human-Oversight-Punkte.
- Eskalations-, Beschwerde- und Korrekturpfade.
- Logging-, Freigabe- und Incident Records.
Geist-Passung: Lebendige BPMN-Modelle, Org-Graph-Ownership, Prozessvarianten, Notizen, Attachments, Audit Trail und exportierbare Prozess-Evidenz geben Legal- und Consulting-Teams ein besseres Startpaket.
6. Guardrails gegen verbotene Nutzung
Artikel 5 verbietet bestimmte AI-Praktiken. Für operative Tools ist ein Punkt besonders relevant: KI-Systeme zur Ableitung von Emotionen in Arbeitsplatz- und Bildungskontexten sind verboten, außer bei medizinischen oder Sicherheitsgründen.
Das zählt, weil moderne Prozesserfassung Kameras, Screen Recordings, Audio, Sensoren oder digitale Interaktionsdaten nutzen kann. Diese Inputs können helfen, Prozessfluss, Verzögerungen und Handoffs zu verstehen. Sie können aber auch in Worker Surveillance, Emotion Inference, biometrische Verarbeitung oder Performance Profiling kippen, wenn die Produktposition schwach ist.
Die öffentliche Aussage muss diszipliniert bleiben: Beobachtung dient dazu, Prozessfluss, Verzögerungen, Übergaben, Ausnahmen und Systemreibung zu verstehen. Sie sollte keine Emotionserkennung, verdeckte Überwachung oder individuelles Worker Ranking versprechen.
Geist-Passung: Der belastbare Enterprise-Weg ist process-only by default, Aggregation für worker-nahe Analytics, explizite Prüfung für human-impact Outputs und harte Denials für verbotene Kategorien.
Fragen, die Käufer stellen sollten
Für EU-AI-Act-Readiness sollten Enterprise-Käufer und Consultants nicht bei “Habt ihr AI Governance?” stehen bleiben.
Bessere Fragen:
- Könnt ihr KI-Touchpoints nach Prozess, Rolle, System und Entscheidung listen?
- Könnt ihr Prozessanalyse von Worker Monitoring trennen?
- Könnt ihr Annex-III-Exposure nach tatsächlichem Use Case erkennen?
- Könnt ihr Human Oversight als Workflow mit Owner, Autorität und Eskalation zeigen?
- Kann der Reviewer den KI-Output rückgängig machen, stoppen, ablehnen oder weiterleiten?
- Können Logs Input, Output, Freigabe, Aktion und betroffenen Prozess rekonstruieren?
- Können Legal, DPO, Security, Betriebsrat und Process Owner dasselbe Evidenzpaket prüfen?
- Können Agentenaktionen nach Rolle, Risiko, Blast Radius und Freigabemodus begrenzt werden?
- Kann das System beweisen, was sich nach einer akzeptierten Empfehlung geändert hat?
Diese Fragen zeigen den Unterschied zwischen Governance-Folie und operativer Kontrolle.
Wo Geist passt
Die nützliche Aussage ist nicht “Geist macht euch compliant.” Kein ernsthaftes AI-Act-Readiness-Projekt sollte davon abhängen.
Die belastbare Aussage ist:
EU-AI-Act-Readiness braucht operative Evidenz. Geist kann Unternehmen helfen, zu mappen, wo KI Arbeit berührt, Oversight und Freigaben an den Prozess zu binden, Logs außerhalb des Chatverlaufs zu halten und Prozess-Evidenz für Legal, Security, DPO, Betriebsrat und Consulting Review zu paketieren.
Für Käufer zählt der praktische Test: Bleiben Prozesskarten, Human Oversight, Logs, Freigaben, role-based Action Boundaries und Audit Trail in einem prozessnativen System verbunden?
Generische GRC-Tools können Policies und Control Owner verwalten. Generische Datenplattformen können Datenobjekte regieren. Process Intelligence kann zeigen, wo KI Arbeit beeinflusst.
Diese Lücke kann Process Intelligence praktisch schließen.
Quellen
- Europäische Kommission: AI Act overview and implementation timeline
- AI Act Service Desk: Artikel 113, Entry into force and application
- AI Act Service Desk: Artikel 6, Classification rules for high-risk AI systems
- AI Act Service Desk: Annex III, High-risk AI systems
- AI Act Service Desk: Artikel 12, Record-keeping
- AI Act Service Desk: Artikel 14, Human oversight
- AI Act Service Desk: Artikel 26, Obligations of deployers
- AI Act Service Desk: Artikel 27, Fundamental rights impact assessment
- AI Act Service Desk: Artikel 5, Prohibited AI practices
- Gartner: Process Mining Platforms, transitioning to Process Intelligence Platforms
- Geist: Das lebendige Betriebsmodell
- Verwandt: Die Prozess-Kontextschicht: Was Enterprise AI braucht, bevor sie handelt
- Verwandt: DORA und operative Resilienz: warum Prozesskarten lebendig bleiben müssen
Antworten
Schnelle Antworten
Kurze Käuferantworten, passend zu diesem Artikel.FAQ
Häufige Fragen
Direkte Antworten auf die wichtigsten Kauf- und Vergleichsfragen.
01Kann Process Intelligence ein Unternehmen EU-AI-Act-compliant machen?
Nein. Compliance hängt vom konkreten KI-System, der Rolle, dem Use Case, der Rechtsgrundlage, Branche, Jurisdiktion und Nutzung ab. Process Intelligence kann die Evidenzschicht unterstützen: Prozesskarten, KI-Touchpoints, Oversight-Workflows, Logs, Freigaben und Audit-Historie.
02Warum ist Prozessmodellierung für EU-AI-Act-Readiness relevant?
Die EU-KI-Verordnung knüpft Pflichten daran, wie KI-Systeme in Verkehr gebracht, in Betrieb genommen und genutzt werden. Unternehmen müssen wissen, welche Prozesse KI nutzen, welche Entscheidungen betroffen sind, wer überwacht und welche Aufzeichnungen Kontrolle belegen.
03Welche AI-Act-Themen passen am besten zu Process Intelligence?
Human Oversight, Logs, Deployer Monitoring, Prozessbeschreibungen für Impact Assessments, Rollengrenzen, Freigaberouten, Incident Escalation und Audit Trails.
04Wo sieht Geist den Vorteil?
Geist-Vorteil ist operative Evidenz: lebendige BPMN-Modelle, Process Mining, Org-Graph-Kontext, role-scoped Actions, Review-Workflows, Action Proposals und Audit-Historie in derselben Prozessschleife.