Unternehmen haben gelernt, einzelne Vorschriften zu prüfen. Schwierig wird es dort, wo ein digitales Vorhaben mehrere Regeln, Rollen, Datenflüsse und Anbieter gleichzeitig verbindet.
Ausgangspunkt
Unternehmen und öffentliche Organisationen können mit Regulierung umgehen. Datenschutz wird berücksichtigt, der EU AI Act ist Gegenstand aktueller Prüfungen, IT-Sicherheit gehört zu professionellen Projekten. Bei komplexen Fragen werden Datenschutzbeauftragte, IT-Dienstleister, Rechtsanwälte oder andere Fachleute hinzugezogen.
Dieses Vorgehen ist notwendig. Es setzt jedoch voraus, dass eine Organisation bereits weiß, welche Fragen sie stellen muss.
Das wird bei digitalen und KI-gestützten Vorhaben zunehmend schwierig. Die entscheidende regulatorische Relevanz liegt häufig nicht innerhalb eines einzelnen Gesetzes. Sie entsteht zwischen den Bestandteilen eines Projekts: zwischen Daten und Inhalten, Plattformen und Cloudanbietern, Auftraggebern und Betreibern, automatisierten Funktionen und menschlichen Entscheidungen, verschiedenen Ländern und sich verändernden Rollen.
Ein Projekt kann in jedem einzelnen Fachbereich zunächst unauffällig erscheinen und dennoch in seiner Gesamtheit Fragen aus mehreren Rechtsgebieten auslösen.
Die Herausforderung besteht nicht nur darin, Vorschriften zu kennen, sondern rechtzeitig zu erkennen, welche Vorschriften durch eine konkrete Kombination von Entscheidungen relevant werden könnten.
Regulierung folgt dem Projekt – nicht einem Organigramm
Organisationen bearbeiten regulatorische Themen meist in getrennten Zuständigkeiten. Datenschutz, IT-Sicherheit, Vertragsrecht, Urheberrecht oder der Einsatz künstlicher Intelligenz werden von unterschiedlichen Personen geprüft.
Das Projekt selbst kennt diese Trennung nicht.
Alltag: Ein mittelständisches Unternehmen ergänzt sein Angebot um eine digitale Funktion, die Daten analysiert oder Empfehlungen erzeugt. Eine Agentur erstellt Inhalte, bindet einen KI-Dienst ein, verarbeitet Nutzungsdaten, verwendet externe Plattformen und veröffentlicht Ergebnisse im Auftrag eines Kunden. Eine öffentliche Stelle nutzt einen externen Dienst, um Informationen zu verarbeiten oder Bürgerkommunikation zu unterstützen.
Dabei treffen Fragen aus dem Datenschutzrecht, dem EU AI Act, dem Recht digitaler Dienste, dem Urheberrecht, dem Datenrecht, der Cybersicherheit oder der grenzüberschreitenden Datenverarbeitung zusammen.
Nicht jedes dieser Rechtsgebiete ist automatisch anwendbar. Eine statische Checkliste genügt da nicht. Es müssen die tatsächlichen Rollen, Funktionen, Datenflüsse, Anbieter, Rechtsräume und Verantwortlichkeiten verstanden werden.
Regulatorische Relevanz ist keine feste Eigenschaft eines Dokuments oder einer Technologie, sondern entsteht aus dem Kontext ihrer Verwendung.
Warum AGInC regulatorische Intelligenz integriert
AGInC entwickelt mit der LILISA-Architektur ein System, in dem Forschung, Wissen, künstliche Intelligenz, menschliche Entscheidungen und zukünftige Anwendungen miteinander verbunden werden.
Die zunehmende Leistungsfähigkeit dieser Architektur erfordert Grundlegendes: Regulatorische Fragen können nicht dauerhaft als nachträgliche Prüfung außerhalb des Systems behandelt werden.
Eine Architektur, die unterschiedliche KI-Systeme, Wissensbestände, Daten, Inhalte, Anbieter und Anwendungskontexte verbindet, muss Veränderungen und Abhängigkeiten nachvollziehen können. Sie muss erkennen, wenn eine neue Funktion bisherige Annahmen verändert. Sie muss unterscheiden, welche Erkenntnisse belegt sind, welche Bewertung noch offen ist und an welcher Stelle eine menschliche oder fachrechtliche Entscheidung erforderlich wird.
Ohne diese Fähigkeit entstehen zwei problematische Extreme.
Entweder entwickelt sich das technische System schneller als seine regulatorische Nachvollziehbarkeit. Dann werden relevante Fragen möglicherweise erst erkannt, wenn Entscheidungen bereits getroffen, Leistungen angeboten oder Systeme eingesetzt wurden.
Oder jede Unsicherheit führt zu immer härteren Grenzen. Und dann wird Regulierung zu einer echten Bremse, obwohl eine präzise Betrachtung wahrscheinlich einen kontrollierten und verantwortbaren Weg eröffnen könnte.
Ein Spannungsfeld, das zu einem Projekt führt: AGIREG – der AGInC Regulatory Intelligence & Evidence Graph.
AGIREG wurde nicht als Produkt konzipiert, sondern als Bestandteil der AGInC-/LILISA-Architektur.
Von der Gesetzessammlung zum lebenden Zusammenhang
Hier beginnt die AGInC-Architektur-Power: AGIREG ist kein digitales Gesetzbuch und keine Sammlung vorformulierter Rechtsantworten.
Das System verbindet regulatorische Forschung mit konkreten Anwendungsfakten, Evidenzen, offenen Fragen, Entscheidungen, Fristen und Veränderungen. Rechtsgebiete bleiben dabei voneinander unterscheidbar, können jedoch über gemeinsame Projektsachverhalte miteinander in Beziehung gesetzt werden.
Sachverhalte, zu denen gehören:
- beteiligte Organisationen und ihre Rollen,
- Nutzer- und Personengruppen,
- Funktionen eines Systems,
- Daten- und Inhaltsflüsse,
- externe Anbieter und Plattformen,
- geografische und vertragliche Beziehungen,
- Veröffentlichungs- und Vertriebswege,
- Produkte und digitale Dienste,
- Sicherheitsereignisse,
- dokumentierte Nachweise und offene Entscheidungen.
AGIREG kann dadurch nicht nur abbilden, was eine Vorschrift besagt, sondern kann untersuchen, welche Teile eines konkreten Vorhabens regulatorisch relevant werden könnten, welche Informationen für eine belastbare Einordnung noch fehlen und welche weiteren Bereiche durch eine Änderung betroffen sein können.
Das System trennt dabei konsequent zwischen Quelle, Fakt, Beobachtung, Bewertung und menschlicher Entscheidung. Frühere Erkenntnisstände werden nicht still überschrieben. Unterschiedliche Forschungsreife und bestehende Unsicherheiten bleiben sichtbar.
Und diese Trennung ist wesentlich: Eine technische Beobachtung ist noch keine rechtliche Bewertung. Eine rechtliche Bewertung ist noch keine verbindliche Entscheidung. Und eine gefundene Vorschrift ist noch kein Beleg dafür, dass sie auf einen konkreten Fall tatsächlich anwendbar ist.
Die unbekannte Frage als relevantes Risiko
Klassische Fachberatung beginnt mit bekannten Fragen.
AGIREG setzt viel früher an und kann viele solcher Fragen überhaupt erst sichtbar machen.
Wenn ein neuer Cloudanbieter eingebunden wird, kann dies nicht nur eine technische Beschaffungsentscheidung sein. Je nach Daten, Vertrag, Rechtsträgern, Zugriffsmöglichkeiten und Rechtsraum können zusätzliche Prüfpfade entstehen.
Wird ein KI-Dienst in einen redaktionellen oder kreativen Prozess aufgenommen, können neben dem EU AI Act auch Datenschutz, Urheberrecht, Transparenz, Vertragsbedingungen oder die Herkunft verwendeter Inhalte relevant werden.
Verändert sich eine digitale Plattform, eine Zielgruppe oder die Rolle eines Projektpartners, können frühere Bewertungen ihre Grundlage verlieren, obwohl das sichtbare Ergebnis des Projekts nahezu unverändert erscheint.
Der besondere Wert liegt darin, unbekannte Abhängigkeiten früh genug in bekannte, bearbeitbare Fragen zu verwandeln.
Regulierung als Produktionskraft
AGIREG wirkt innerhalb von AGInC nicht am Ende einer Entwicklung, sondern begleitet Forschung, Konzeption, Architektur und Bewertung als integrierter Layer.
Dadurch verändert sich die Rolle von Regulierung. Sie ist nicht ausschließlich eine nachträgliche Kontrollinstanz, sondern kann zu einer gestaltenden Produktionskraft werden.
Wenn relevante Grenzen früh sichtbar sind, können Funktionen anders entworfen, Datenflüsse reduziert, Anbieter bewusster gewählt und notwendige Nachweise von Beginn an eingeplant werden. Offene Rechtsfragen können gezielt an die zuständigen Fachleute übergeben werden, statt erst spät als allgemeine Unsicherheit aufzutreten.
Zukünftige AGInC-Anwendungen können von dieser Fähigkeit profitieren, ohne dass ihre Nutzer die gesamte AGIREG-Architektur verstehen müssen.
Konkreter: Für einen Anwendungskontext muss nicht das vollständige regulatorische System geladen oder offengelegt werden. Stattdessen kann ein begrenztes, versioniertes Profil diejenigen Zusammenhänge bereitstellen, die für das jeweilige Produkt, seine Funktionen, Nutzer, Daten und Einsatzgebiete relevant sind. Erst wenn Veränderungen oder Unsicherheiten über diesen Rahmen hinausgehen, kann eine kontrollierte Vertiefung erfolgen.
Vereinfacht: Eine Anwendung kann regulatorische Intelligenz nutzen, ohne selbst zu einem unübersichtlichen Gesetzessystem zu werden.
Ein wachsendes System statt behaupteter Vollständigkeit
Regulierung verändert sich. Neue Vorschriften treten hinzu, bestehende Regeln werden konkretisiert, technische Funktionen entwickeln sich weiter und neue Anwendungskontexte erzeugen neue Fragen.
Ein seriöses regulatorisches System kann deshalb nicht sinnvoll behaupten, dauerhaft vollständig zu sein.
AGIREG ist als versionierter Living Core angelegt. Stabil bleiben seine Vertrauens- und Verfahrensgrundsätze: sichtbare Quellen, nachvollziehbare Evidenz, getrennte Bewertungen, erhaltene Historie und menschliche Entscheidungshoheit. Die regulatorischen Inhalte dürfen und müssen dagegen weiter wachsen, vertieft und korrigiert werden.
Die Architektur umfasst strukturierte Forschungs- und Interaktionsmodelle zum EU AI Act, zu Datenschutz und digitalen Diensten, zu Cloud- und Drittlandkonstellationen, Datenrecht, Cybersicherheit, Urheberrecht sowie weiteren produkt- und verbraucherbezogenen Bereichen. Diese Bereiche besitzen bewusst unterschiedliche Reifegrade. Eine vorhandene Forschungsgrundlage ist noch keine vollständige Anwendungsvalidierung.
Es müssen nicht fortlaufend sämtliche Rechtsbestände neu verarbeitet werden. Aktualität bedeutet, relevante Quellen, Fristen und Veränderungen zu beobachten und betroffene Bewertungen gezielt zur erneuten Prüfung vorzulegen.
Der AGIREG-entscheidet-nicht-Disclaimer
AGIREG ersetzt weder Rechtsanwälte noch Datenschutzbeauftragte, IT-Sicherheitsverantwortliche oder andere zuständige Fachpersonen.
Es setzt keine Rechtsgrundlage, Risikoklasse, Meldepflicht, Transferzulässigkeit oder Konformität automatisch fest. Es erzeugt kein pauschales grünes Signal für ein gesamtes Projekt.
Die Aufgabe ist eine andere: Zusammenhänge sichtbar machen, Evidenz ordnen, Unsicherheiten erhalten, Veränderungen propagieren und die Aufmerksamkeit der verantwortlichen Menschen auf die tatsächlich offenen und folgenreichen Entscheidungen lenken.
Dadurch wird menschliche Verantwortung nicht reduziert, sondern besser vorbereitet.
Eine Fähigkeit, die vor dem Produkt beginnt
AGIREG wurde aus den Anforderungen der AGInC-/LILISA-Architektur heraus entwickelt. Seine Aufgabe besteht darin, die eigene Forschungs-, Entwicklungs- und Anwendungstätigkeit regulatorisch nachvollziehbarer und lernfähiger zu machen.
Jetzt entstehen weitere und weiterreichende Möglichkeiten.
Zukünftige Produkte und Services können von regulatorischer Intelligenz profitieren, bevor sie für Kunden sichtbar werden. AGIREG kann im Hintergrund an ihrer Konzeption, ihren Grenzen, ihren Nachweisen und ihrer Veränderungsfähigkeit mitwirken. In geeigneten Kontexten können ausgewählte Funktionen außerdem Bestandteil einer konkreten Anwendung werden – beispielsweise zur Begleitung von Projektunterlagen, Systementscheidungen, Veröffentlichungen oder sich verändernden regulatorischen Anforderungen.
AGIREG selbst bleibt dabei Teil der internen AGInC-/LILISA-Architektur. Weitergegeben wird kein System, sondern bei Bedarf eine definierte, zweckgebundene Fähigkeit innerhalb eines eigenständigen Produkts oder Services.
Schlussbetrachtung
Digitale und KI-gestützte Vorhaben benötigen weiterhin juristische, technische und organisatorische Fachkompetenz. Die wachsende Herausforderung liegt jedoch davor: rechtzeitig zu erkennen, wo diese Kompetenz benötigt wird und welche Entscheidungen miteinander verbunden sind.
AGIREG behandelt Regulierung deshalb nicht als isolierten Wissensbestand, sondern als lebenden Bestandteil intelligenter Systemarchitektur.
Es wurde entwickelt, um jene Fragen sichtbar zu machen, von denen wir bislang möglicherweise noch nicht wussten, dass wir sie stellen sollten.