Trust Center · Dokument

Konformitätsanalyse zur EU-KI-Verordnung: FEAZY Chat

Sichere KI-Arbeitsumgebung für interne Teams mit Anbindung an das eigene Organisationswissen

Fassung 1.0 · Stand: 30. Juli 2026

Dokument-Metadaten

Dokument: Konformitätsanalyse zur EU-KI-Verordnung – Feazy Chat

Dokument-ID: FEAZY-TRUST-KIVO-CHAT-01

Fassung: 1.0

Stand: 30.07.2026

Klassifizierung: Öffentlich – freigegeben zur externen Weitergabe

Anbieter: Feazy, European Innovation Forum GmbH, Frankfurt am Main

Rechtsgrundlage: Verordnung (EU) 2024/1689 in der Fassung der Verordnung (EU) 2026/1744

Kontakt: trust@feazy.de

1. Ergebnis

Feazy Chat ist eine KI-Arbeitsumgebung für Beschäftigte. Sie unterstützt beim Verfassen, Zusammenfassen, Übersetzen und Recherchieren und kann auf hinterlegtes Organisationswissen zugreifen. Sie trifft keine Entscheidungen über Personen und bewertet Beschäftigte nicht.

Einstufung nach der KI-Verordnung

KI-System mit begrenztem Risiko, Transparenzpflichten nach Art. 50

Kein Hochrisiko-System nach Art. 6 in Verbindung mit Anhang III, keine verbotene Praktik nach Art. 5. Die Einstufung setzt voraus, dass die in Abschnitt 5 benannten Einsatzarten unterbleiben.

Daraus folgt: keine Konformitätsbewertung, keine CE-Kennzeichnung und keine Registrierung in der EU-Datenbank. Es gelten die Transparenzpflichten nach Art. 50 sowie das Verbot der Praktiken nach Art. 5.

Warum dieses Dokument ausführlicher ist als bei einem Auskunftsassistenten

Feazy Chat ist ein Allzweckwerkzeug. Anders als ein thematisch begrenzter Auskunftsbot bringt es seinen Verwendungszweck nicht mit, sondern erhält ihn von den Personen, die damit arbeiten. Deshalb lässt sich die Risikoeinstufung nicht abschließend am Produkt festmachen, sondern hängt daran, wofür die Organisation das Werkzeug einsetzt. Der Beschäftigtenkontext ist dabei der sensibelste Bereich der Verordnung: dort liegen sowohl ein Hochrisiko-Tatbestand (Anhang III Nr. 4) als auch ein ausdrückliches Verbot (Art. 5 Abs. 1 lit. f).

2. Rechtsstand und anwendbare Fristen

Diese Analyse beruht auf der Verordnung (EU) 2024/1689 (KI-Verordnung, AI Act) in der Fassung der Verordnung (EU) 2026/1744 (Digital Omnibus on AI), veröffentlicht im Amtsblatt am 24.07.2026 und in Kraft seit 27.07.2026. Berücksichtigt sind die Leitlinien der EU-Kommission zu den Transparenzpflichten vom 20.07.2026.

Der Digital Omnibus hat die Pflichten für Hochrisiko-KI verschoben und den Hochrisiko-Begriff enger gefasst. Die Transparenzpflichten wurden nicht verschoben und gelten ab dem 02.08.2026.

Regelungsbereich	Gilt ab	Relevanz für dieses System
Verbotene Praktiken (Art. 5)	02.02.2025	geprüft, nicht einschlägig
Pflichten für KI-Modelle mit allgemeinem Verwendungszweck (Art. 53 ff.)	02.08.2025	trifft die Modellanbieter
Transparenzpflichten (Art. 50)	02.08.2026	einschlägig
Hochrisiko-Systeme nach Anhang III (eigenständig)	02.12.2027 (zuvor 02.08.2026)	nicht einschlägig
Hochrisiko-Systeme nach Anhang I (in regulierte Produkte eingebettet)	02.08.2028	nicht einschlägig

3. Rollenverteilung

Die KI-Verordnung verteilt Pflichten nicht auf ein Produkt, sondern auf Rollen. Diese Zuordnung ist die Grundlage der weiteren Aussagen.

Rolle	Wer	Wesentliche Pflichten
Anbieter (Art. 3 Nr. 3)	Feazy, European Innovation Forum GmbH, Frankfurt am Main	Entwicklung und Bereitstellung des Systems, Auslegung so, dass die Interaktion mit einer KI erkennbar ist (Art. 50 Abs. 1), Kennzeichnung erzeugter Inhalte (Art. 50 Abs. 2), technische Dokumentation, Einhaltung von Art. 5
Betreiber (Art. 3 Nr. 4)	die einsetzende Organisation als Arbeitgeberin	Einsatz im eigenen Verantwortungsbereich, Festlegung des Einsatzzwecks, Pflege der bereitgestellten Inhalte, Kennzeichnung veröffentlichter KI-Texte (Art. 50 Abs. 4)
Anbieter von KI-Modellen mit allgemeinem Verwendungszweck	die eingesetzten Modellanbieter	Pflichten nach Art. 53 ff. gegenüber der EU

Ein Teil der Pflichten lässt sich technisch nicht vom Anbieter erfüllen, weil er vom Einsatzzweck abhängt, den erst der Betreiber festlegt. Feazy stellt das System so bereit, dass es die Transparenzanforderungen erfüllt. Der Einsatzzweck wird beim Betreiber bestimmt.

4. Prüfung der verbotenen Praktiken (Art. 5)

Art. 5 gilt seit dem 02.02.2025 und ist die Norm mit dem höchsten Bußgeldrahmen, bis zu 35 Mio. Euro oder 7 Prozent des weltweiten Jahresumsatzes. Das System wurde entlang der Verbotstatbestände geprüft.

Verbotstatbestand	Betroffen	Begründung
Unterschwellige Beeinflussung oder Ausnutzung einer Schutzbedürftigkeit (Abs. 1 lit. a, b)	nein	Das System bearbeitet Aufgaben auf Anweisung der nutzenden Person. Es verfolgt keine eigenen Beeinflussungsziele.
Soziale Bewertung natürlicher Personen (Abs. 1 lit. c)	nein	Es findet keine Bewertung, Einstufung oder Punktevergabe zu Personen statt.
Biometrische Kategorisierung, Echtzeit-Fernidentifizierung (Abs. 1 lit. g, h)	nein	Es werden keine biometrischen Daten verarbeitet.
Emotionserkennung am Arbeitsplatz (Abs. 1 lit. f)	nein	Das System besitzt keine Funktion zur Erkennung oder Bewertung von Emotionen. Dieser Punkt ist hervorgehoben, weil er im Beschäftigtenkontext ein Verbot ist und nicht nur eine Hochrisiko-Einstufung.

Hinweis zum Beschäftigtenkontext

Art. 5 Abs. 1 lit. f verbietet KI-Systeme zur Ableitung von Emotionen am Arbeitsplatz, von eng begrenzten Ausnahmen aus Sicherheits- und Gesundheitsgründen abgesehen. Das ist ein Verbot und keine Hochrisiko-Einstufung, es gilt bereits seit dem 02.02.2025 und der Bußgeldrahmen beträgt bis zu 35 Mio. Euro oder 7 Prozent des weltweiten Jahresumsatzes. Feazy Chat besitzt keine solche Funktion. Es ist Sache des Betreibers, das System nicht durch eigene Anweisungen in diese Richtung zu verwenden, etwa durch die Auswertung von Mitarbeiternachrichten auf Stimmung oder Zufriedenheit.

5. Risikoeinstufung

Stufe	Ergebnis	Begründung
Verbotene Praktik (Art. 5)	nein	siehe Abschnitt 4, mit dem dort genannten Vorbehalt zum Beschäftigtenkontext
Hochrisiko nach Anhang I	nein	kein Sicherheitsbauteil eines regulierten Produkts
Hochrisiko nach Anhang III	nein	Im Auslieferungszustand ist Feazy Chat ein Assistenzwerkzeug für Textarbeit. Es führt keine Bewertung, Auswahl oder Überwachung von Personen durch. Die Ausnahme des Art. 6 Abs. 3 greift, weil das System eine unterstützende Tätigkeit ausübt und menschliche Bewertungen weder ersetzt noch beeinflusst.

Der Digital Omnibus hat den Hochrisiko-Begriff zusätzlich enger gefasst. Komponenten, die der Unterstützung von Anwendern, der Effizienzsteigerung oder der Automatisierung dienen, werden nur noch dann als Hochrisiko eingestuft, wenn ihr Ausfall tatsächlich Risiken für Gesundheit oder Sicherheit hervorrufen kann. Das ist hier nicht der Fall.

Einsatzarten, die die Einstufung verändern würden

Bei einem Allzweckwerkzeug ist dieser Abschnitt der praktisch wichtigste des gesamten Dokuments, weil die Einstufung hier tatsächlich kippen kann.

Szenario	Folge	Einordnung
Auswertung von Bewerbungen, Vorauswahl oder Ranking von Bewerberinnen und Bewerbern	Hochrisiko Anhang III Nr. 4 lit. a	volle Pflichten ab 02.12.2027, vom bestimmungsgemäßen Gebrauch nicht gedeckt
Bewertung von Arbeitsleistung, Beförderungs- oder Kündigungsentscheidungen, Aufgabenverteilung anhand von Personenmerkmalen	Hochrisiko Anhang III Nr. 4 lit. b	volle Pflichten ab 02.12.2027, zusätzlich mitbestimmungsrechtlich relevant
Ableitung von Emotionen, Stimmung oder Belastung von Beschäftigten	Verboten nach Art. 5 Abs. 1 lit. f	gilt bereits seit 02.02.2025, kein Übergangszeitraum
Bonitätsbewertung natürlicher Personen, Risikobewertung in der Lebens- oder Krankenversicherung	Hochrisiko Anhang III Nr. 5 lit. b, c	gesonderte Bewertung vor Einsatz erforderlich
Aufbau eigener Assistenten über die Funktionen für eigene Werkzeuge und Wissensräume	je nach Zweck	Die Einstufung ist pro Anwendungsfall zu prüfen, nicht einmalig für die Plattform.
Entwurf von Texten, Zusammenfassungen, Übersetzungen, Recherche	begrenztes Risiko	bestimmungsgemäßer Einsatz, von dieser Analyse gedeckt

Empfehlung: Weil die Einstufung vom Anwendungsfall abhängt, empfiehlt sich eine kurze schriftliche Nutzungsrichtlinie, die die verbotenen und die hochriskanten Einsatzarten benennt. Damit wird die Einstufung als System mit begrenztem Risiko organisatorisch abgesichert, statt auf einer Annahme zu beruhen.

6. Transparenzpflichten nach Art. 50

Art. 50 ist die für dieses System zentrale Norm. Die folgende Aufstellung trennt, was der Anbieter erfüllt und was beim Betreiber liegt.

Anforderung	Adressat	Stand	Umsetzung
Die nutzende Person erkennt, dass sie mit einer KI interagiert (Art. 50 Abs. 1)	Anbieter	erfüllt	Das System ist durchgängig als KI-Arbeitsumgebung gekennzeichnet, die Interaktion mit einer KI ist transparent.
Erzeugte Inhalte sind als KI-generiert erkennbar	Anbieter	erfüllt	Die Ausgaben entstehen sichtbar im Dialog mit dem Assistenten und sind als dessen Erzeugnis erkennbar.
Maschinenlesbare Kennzeichnung erzeugter Inhalte (Art. 50 Abs. 2)	Anbieter	Übergangsfrist	Die Leitlinien der Kommission vom 20.07.2026 nehmen kurze Zeichenfolgen und rein unterstützende Bearbeitungsfunktionen von der Pflicht aus. Für Systeme, die vor dem 02.08.2026 in Verkehr waren, läuft die gesetzliche Übergangsfrist bis zum 02.12.2026.
Trennung der Wissensräume	Anbieter	erfüllt	Projekte und Wissensräume sind je Team getrennt, sodass Inhalte nicht unbeabsichtigt organisationsweit zugänglich werden.
Keine Nutzung der Eingaben zum Modelltraining	Anbieter	erfüllt	vertraglich zugesichert
Protokollierung administrativer Vorgänge	Anbieter	erfüllt	Administrative Zugriffe und Konfigurationsänderungen werden protokolliert. Eine Protokollierungspflicht nach Art. 12, die nur für Hochrisiko-Systeme gilt, besteht nicht.
Kennzeichnung veröffentlichter KI-Texte (Art. 50 Abs. 4)	Betreiber	Betreiber	Der praktisch häufigste Berührungspunkt: Texte, die mit Feazy Chat entworfen und anschließend veröffentlicht werden. Siehe Erläuterung unten.

Zur Kennzeichnungspflicht des Betreibers nach Art. 50 Abs. 4

Diese Pflicht trifft nicht das Werkzeug, sondern das Ergebnis. Sie greift, wenn mit KI erzeugte oder veränderte Texte veröffentlicht werden, die die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informieren. Dazu zählen nach den Kommissionsleitlinien unter anderem Politik, öffentliche Verwaltung, Gesundheit, Verbrauchersicherheit, Umweltschutz sowie wirtschaftliche und wissenschaftliche Entwicklungen. Rein werbliche oder rein interne Texte fallen in aller Regel nicht darunter.

Die Verordnung sieht eine Ausnahme vor: Die Kennzeichnung entfällt, wenn der Text einer menschlichen Überprüfung oder redaktionellen Kontrolle unterlag und eine Person die redaktionelle Verantwortung trägt. Nach den Leitlinien vom 20.07.2026 genügt eine oberflächliche Prüfung nicht, erforderlich ist eine inhaltliche Durchsicht durch eine fachkundige Person mit Änderungs- und Ablehnungsbefugnis. In den meisten Organisationen greift die Ausnahme daher ohnehin, weil veröffentlichte Texte einen Freigabeweg durchlaufen. Entscheidend ist, dass dieser Weg dokumentiert ist.

7. Eingesetzte KI-Modelle

Das System besitzt kein eigenes Basismodell. Es greift über eine modellunabhängige Architektur auf KI-Modelle mit allgemeinem Verwendungszweck zu. Die Pflichten nach Art. 53 ff. treffen die Anbieter dieser Modelle. Feazy trainiert die Modelle nicht, verändert sie nicht wesentlich und stellt sie nicht unter eigenem Namen als Modell bereit, bleibt also Anbieter des KI-Systems und wird nicht Anbieter eines Modells.

Vertraglich abgesichert ist, dass keine Kundendaten zum Training der Modelle verwendet werden.
Wo der Modellanbieter es unterstützt, gilt Zero Data Retention.
Die eingesetzten Modelle werden in EU-Rechenzentren betrieben. Souverän gehostete Modelle stehen zur Verfügung.
Eine Verarbeitung außerhalb der EU findet nur statt, wenn der Betreiber entsprechende Modelle ausdrücklich freischaltet. Im Auslieferungszustand ist das nicht der Fall.
Die jeweils aktuelle Liste der Modelle und Unterauftragsverarbeiter ist öffentlich einsehbar und Bestandteil des Auftragsverarbeitungsvertrags.

8. Technische und organisatorische Maßnahmen

Die folgenden Maßnahmen sind vertraglich zugesichert und in den Technischen und Organisatorischen Maßnahmen sowie im Auftragsverarbeitungsvertrag nach Art. 28 DSGVO dokumentiert.

Hosting primär in der Open Telekom Cloud, Rechenzentren in Deutschland.
Verschlüsselung mit AES-256 im Ruhezustand und TLS 1.3 bei der Übertragung.
Rollenbasierte Rechtevergabe, Mehrfaktor-Authentisierung, Zero-Trust-Prinzip, Netzsegmentierung.
Überwachung rund um die Uhr mit automatischer Alarmierung, dokumentierte Wiederanlaufplanung.
Automatisiertes Screening auf Prompt-Injection-Angriffe.
Löschung der Kundendaten spätestens 30 Kalendertage nach Vertragsende.

Zertifizierungsstand

Nachweis	Stand	Anmerkung
DSGVO inklusive AVV nach Art. 28	erfüllt	AVV, TOM und Datenflussdiagramm liegen als Dokumente vor
ISO/IEC 27001	in Vorbereitung	noch keine abgeschlossene Zertifizierung
Zertifizierung nach KI-Verordnung	entfällt	für Systeme außerhalb des Hochrisikobereichs gesetzlich nicht vorgesehen

Die genutzte Cloud-Infrastruktur ist ihrerseits zertifiziert. Diese Zertifizierungen sind Zertifizierungen des Infrastrukturanbieters und werden hier nicht als eigene ausgewiesen.

9. Pflichten des Betreibers

Pflicht	Grundlage	Konkret
Nutzungsrichtlinie erlassen	Art. 5, Art. 6	Die verbotenen und hochriskanten Einsatzarten aus Abschnitt 5 schriftlich ausschließen. Das ist die wirksamste Einzelmaßnahme, weil sie die Einstufung absichert.
Anwendungsfälle einzeln bewerten	Art. 6 Abs. 3	Vor dem Aufbau eigener Assistenten prüfen, ob der Zweck einen Bereich des Anhangs III berührt.
Keine Emotions- oder Stimmungsauswertung von Beschäftigten	Art. 5 Abs. 1 lit. f	Verbot, gilt seit 02.02.2025
Veröffentlichte KI-Texte kennzeichnen oder redaktionell freigeben	Art. 50 Abs. 4	Freigabeprozess dokumentieren, damit die Ausnahme greift.
Mitbestimmung beteiligen	BetrVG, Personalvertretungsrecht	Nicht Gegenstand der KI-Verordnung, bei der Einführung von KI-Werkzeugen im Beschäftigtenkontext aber regelmäßig einschlägig.
Datenschutzrechtliche Bewertung	DSGVO	AVV nach Art. 28 abschließen, Verzeichnis der Verarbeitungstätigkeiten ergänzen, Erforderlichkeit einer Datenschutz-Folgenabschätzung prüfen.
Freigabe von Modellen mit Verarbeitung außerhalb der EU	DSGVO Kap. V	Diese Freischaltung ist eine bewusste Entscheidung der Administration und im Auslieferungszustand nicht aktiv.

10. Bewertung

Feazy Chat ist im bestimmungsgemäßen Einsatz kein Hochrisiko-System und fällt unter keine verbotene Praktik.
Es besteht keine Pflicht zu Konformitätsbewertung, CE-Kennzeichnung oder Registrierung.
Die Transparenzpflichten nach Art. 50 sind umgesetzt.
Weil Feazy Chat ein Allzweckwerkzeug ist, ist die Einstufung an den Einsatzzweck gebunden. Sie trägt für Textarbeit, Zusammenfassung, Übersetzung und Recherche. Sie trägt nicht für Bewerberauswahl, Leistungsbewertung oder Emotionsauswertung im Beschäftigtenkontext.
Empfohlen wird eine kurze Nutzungsrichtlinie. Sie ist der Nachweis dafür, dass die Einstufung organisatorisch abgesichert ist.

Zweck und Grenzen dieses Dokuments

Es ist eine strukturierte Einschätzung des Anbieters entlang der KI-Verordnung, erstellt zur Verwendung durch Datenschutzbeauftragte, Informationssicherheitsbeauftragte und Fachbereiche des Betreibers als Grundlage der eigenen Bewertung.

Es ist keine Rechtsberatung, keine Konformitätsbewertung durch eine benannte Stelle und kein Zertifikat. Es ersetzt die eigene Bewertung des Betreibers nicht, insbesondere nicht die Prüfung des konkreten Einsatzzwecks und die Datenschutz-Folgenabschätzung, soweit sie erforderlich ist.

Feazy, European Innovation Forum GmbH, Im Kreuzegut 2, 60438 Frankfurt am Main. Fragen zu Sicherheit und Datenschutz: trust@feazy.de. Konformitätsanalyse zur EU-KI-Verordnung, Feazy Chat, Fassung 1.0, Stand 30. Juli 2026. Rechtsgrundlage: Verordnung (EU) 2024/1689 in der Fassung der Verordnung (EU) 2026/1744. Änderungen der Rechtslage und der Kommissionsleitlinien bleiben vorbehalten.