Konformitätsanalyse zur EU-KI-Verordnung: FEAZY SiteGuide
Dokument-Metadaten
Dokument: Konformitätsanalyse zur EU-KI-Verordnung – Feazy SiteGuide
Dokument-ID: FEAZY-TRUST-KIVO-SITEGUIDE-01
Fassung: 1.0
Stand: 30.07.2026
Klassifizierung: Öffentlich – freigegeben zur externen Weitergabe
Anbieter: Feazy, European Innovation Forum GmbH, Frankfurt am Main
Rechtsgrundlage: Verordnung (EU) 2024/1689 in der Fassung der Verordnung (EU) 2026/1744
Kontakt: trust@feazy.de
1. Ergebnis
Feazy SiteGuide ist ein dialogbasierter Assistent auf der Website des Betreibers. Er beantwortet Fragen zu Produkten, Leistungen und Abläufen auf Grundlage der vom Betreiber bereitgestellten Inhalte, übergibt Anliegen auf Wunsch an Mitarbeitende und kann Kontaktdaten aufnehmen. Er trifft keine Entscheidungen über Personen.
Einstufung nach der KI-Verordnung
KI-System mit begrenztem Risiko, Transparenzpflichten nach Art. 50
Kein Hochrisiko-System nach Art. 6 in Verbindung mit Anhang III, keine verbotene Praktik nach Art. 5.
Daraus folgt: keine Konformitätsbewertung, keine CE-Kennzeichnung und keine Registrierung in der EU-Datenbank. Es gelten die Transparenzpflichten nach Art. 50 sowie das Verbot der Praktiken nach Art. 5.
2. Rechtsstand und anwendbare Fristen
Diese Analyse beruht auf der Verordnung (EU) 2024/1689 (KI-Verordnung, AI Act) in der Fassung der Verordnung (EU) 2026/1744 (Digital Omnibus on AI), veröffentlicht im Amtsblatt am 24.07.2026 und in Kraft seit 27.07.2026. Berücksichtigt sind die Leitlinien der EU-Kommission zu den Transparenzpflichten vom 20.07.2026.
Der Digital Omnibus hat die Pflichten für Hochrisiko-KI verschoben und den Hochrisiko-Begriff enger gefasst. Die Transparenzpflichten wurden nicht verschoben und gelten ab dem 02.08.2026.
| Regelungsbereich | Gilt ab | Relevanz für dieses System |
|---|---|---|
| Verbotene Praktiken (Art. 5) | 02.02.2025 | geprüft, nicht einschlägig |
| Pflichten für KI-Modelle mit allgemeinem Verwendungszweck (Art. 53 ff.) | 02.08.2025 | trifft die Modellanbieter |
| Transparenzpflichten (Art. 50) | 02.08.2026 | einschlägig |
| Hochrisiko-Systeme nach Anhang III (eigenständig) | 02.12.2027 (zuvor 02.08.2026) | nicht einschlägig |
| Hochrisiko-Systeme nach Anhang I (in regulierte Produkte eingebettet) | 02.08.2028 | nicht einschlägig |
3. Rollenverteilung
Die KI-Verordnung verteilt Pflichten nicht auf ein Produkt, sondern auf Rollen. Diese Zuordnung ist die Grundlage der weiteren Aussagen.
| Rolle | Wer | Wesentliche Pflichten |
|---|---|---|
| Anbieter (Art. 3 Nr. 3) | Feazy, European Innovation Forum GmbH, Frankfurt am Main | Entwicklung und Bereitstellung des Systems, Auslegung so, dass die Interaktion mit einer KI erkennbar ist (Art. 50 Abs. 1), Kennzeichnung erzeugter Inhalte (Art. 50 Abs. 2), technische Dokumentation, Einhaltung von Art. 5 |
| Betreiber (Art. 3 Nr. 4) | das einsetzende Unternehmen oder die einsetzende Organisation | Einsatz im eigenen Verantwortungsbereich, Festlegung des Einsatzzwecks, Pflege der bereitgestellten Inhalte, Kennzeichnung veröffentlichter KI-Texte (Art. 50 Abs. 4) |
| Anbieter von KI-Modellen mit allgemeinem Verwendungszweck | die eingesetzten Modellanbieter | Pflichten nach Art. 53 ff. gegenüber der EU |
Ein Teil der Pflichten lässt sich technisch nicht vom Anbieter erfüllen, weil er vom Einsatzzweck abhängt, den erst der Betreiber festlegt. Feazy stellt das System so bereit, dass es die Transparenzanforderungen erfüllt. Der Einsatzzweck wird beim Betreiber bestimmt.
4. Risikoeinstufung
Die Prüfung folgt der Systematik der Verordnung.
| Stufe | Ergebnis | Begründung |
|---|---|---|
| Verbotene Praktik (Art. 5) | nein | Der Assistent erteilt Auskunft und leitet weiter. Er nimmt keine Bewertung oder Einstufung von Personen vor, verarbeitet keine biometrischen Daten und erkennt keine Emotionen. Übliche Produktberatung erfüllt den Tatbestand der manipulativen Techniken nicht, der Vorsatz zur wesentlichen Verhaltensbeeinflussung mit erheblichem Schaden voraussetzt. |
| Hochrisiko nach Anhang I | nein | kein Sicherheitsbauteil eines regulierten Produkts |
| Hochrisiko nach Anhang III | nein | Der Assistent bewertet keine Personen, gewährt keinen Zugang zu Leistungen und bereitet keine Entscheidungen über Personen vor. Soweit ein Bereich des Anhangs III überhaupt berührt wird, greift die Ausnahme des Art. 6 Abs. 3. |
Der Digital Omnibus hat den Hochrisiko-Begriff zusätzlich enger gefasst. Unterstützende Komponenten zur Effizienzsteigerung gelten nur dann als Hochrisiko, wenn ihr Ausfall tatsächlich Risiken für Gesundheit oder Sicherheit hervorrufen kann. Das ist hier nicht der Fall.
Einsatzgrenzen
Die Einstufung gilt für den bestimmungsgemäßen Einsatz als Auskunfts- und Supportassistent. Zwei Einsatzarten würden sie verändern und sind deshalb ausdrücklich benannt:
| Szenario | Folge | Einordnung |
|---|---|---|
| Der Assistent wird zur Vorauswahl oder Bewertung von Bewerbungen eingesetzt, etwa auf einer Karriereseite | Hochrisiko Anhang III Nr. 4 lit. a | vom bestimmungsgemäßen Gebrauch nicht gedeckt |
| Der Assistent bewertet die Kreditwürdigkeit natürlicher Personen oder bereitet eine solche Bewertung vor | Hochrisiko Anhang III Nr. 5 lit. b | vom bestimmungsgemäßen Gebrauch nicht gedeckt |
Werden über den Assistenten Kontaktdaten erhoben und an ein angebundenes System übergeben, ändert das die Einstufung nach der KI-Verordnung nicht. Es gelten die Anforderungen der DSGVO an Rechtsgrundlage, Information und Zweckbindung.
5. Transparenzpflichten nach Art. 50
Art. 50 ist die für dieses System zentrale Norm. Die folgende Aufstellung trennt, was der Anbieter erfüllt und was beim Betreiber liegt.
| Anforderung | Adressat | Stand | Umsetzung |
|---|---|---|---|
| Die Besucherin oder der Besucher erkennt, dass es sich um eine KI handelt (Art. 50 Abs. 1) | Anbieter | erfüllt | Der Assistent weist im Chat-Fenster ab der ersten Interaktion darauf hin, dass es sich um eine KI handelt. Die Ausnahme für offensichtliche Fälle wird nicht in Anspruch genommen. |
| Erzeugte Inhalte sind als KI-generiert gekennzeichnet | Anbieter | erfüllt | Die Kennzeichnung erfolgt sichtbar im Chat-Fenster und bleibt auch dann bestehen, wenn der Assistent farblich und sprachlich an die Marke des Betreibers angepasst wird. |
| Maschinenlesbare Kennzeichnung erzeugter Inhalte (Art. 50 Abs. 2) | Anbieter | Übergangsfrist | Die Leitlinien der Kommission vom 20.07.2026 nehmen kurze Zeichenfolgen und rein unterstützende Bearbeitungsfunktionen von der Pflicht aus. Für Systeme, die vor dem 02.08.2026 in Verkehr waren, läuft die gesetzliche Übergangsfrist bis zum 02.12.2026. |
| Übergabe an eine zuständige Person | Anbieter | erfüllt | Das Anliegen kann mit Gesprächskontext an Mitarbeitende übergeben werden, sodass der Weg zu einer Person offen bleibt. |
| Nachvollziehbarkeit der Antworten | Anbieter | erfüllt | Die Antworten werden aus der vom Betreiber hinterlegten Wissensbasis erzeugt. |
| Kennzeichnung veröffentlichter KI-Texte (Art. 50 Abs. 4) | Betreiber | Betreiber | Betrifft nicht den Dialog, sondern veröffentlichte Texte zu Angelegenheiten von öffentlichem Interesse. Rein werbliche Inhalte fallen in aller Regel nicht darunter. |
6. Eingesetzte KI-Modelle
Das System besitzt kein eigenes Basismodell. Es greift über eine modellunabhängige Architektur auf KI-Modelle mit allgemeinem Verwendungszweck zu. Die Pflichten nach Art. 53 ff. treffen die Anbieter dieser Modelle. Feazy trainiert die Modelle nicht, verändert sie nicht wesentlich und stellt sie nicht unter eigenem Namen als Modell bereit, bleibt also Anbieter des KI-Systems und wird nicht Anbieter eines Modells.
- Vertraglich abgesichert ist, dass keine Kundendaten zum Training der Modelle verwendet werden.
- Wo der Modellanbieter es unterstützt, gilt Zero Data Retention.
- Die eingesetzten Modelle werden in EU-Rechenzentren betrieben. Souverän gehostete Modelle stehen zur Verfügung.
- Eine Verarbeitung außerhalb der EU findet nur statt, wenn der Betreiber entsprechende Modelle ausdrücklich freischaltet. Im Auslieferungszustand ist das nicht der Fall.
- Die jeweils aktuelle Liste der Modelle und Unterauftragsverarbeiter ist öffentlich einsehbar und Bestandteil des Auftragsverarbeitungsvertrags.
7. Technische und organisatorische Maßnahmen
Die folgenden Maßnahmen sind vertraglich zugesichert und in den Technischen und Organisatorischen Maßnahmen sowie im Auftragsverarbeitungsvertrag nach Art. 28 DSGVO dokumentiert.
- Hosting primär in der Open Telekom Cloud, Rechenzentren in Deutschland.
- Verschlüsselung mit AES-256 im Ruhezustand und TLS 1.3 bei der Übertragung.
- Rollenbasierte Rechtevergabe, Mehrfaktor-Authentisierung, Zero-Trust-Prinzip, Netzsegmentierung.
- Überwachung rund um die Uhr mit automatischer Alarmierung, dokumentierte Wiederanlaufplanung.
- Automatisiertes Screening auf Prompt-Injection-Angriffe.
- Löschung der Kundendaten spätestens 30 Kalendertage nach Vertragsende.
Zertifizierungsstand
| Nachweis | Stand | Anmerkung |
|---|---|---|
| DSGVO inklusive AVV nach Art. 28 | erfüllt | AVV, TOM und Datenflussdiagramm liegen als Dokumente vor |
| ISO/IEC 27001 | in Vorbereitung | noch keine abgeschlossene Zertifizierung |
| Zertifizierung nach KI-Verordnung | entfällt | für Systeme außerhalb des Hochrisikobereichs gesetzlich nicht vorgesehen |
Die genutzte Cloud-Infrastruktur ist ihrerseits zertifiziert. Diese Zertifizierungen sind Zertifizierungen des Infrastrukturanbieters und werden hier nicht als eigene ausgewiesen.
8. Pflichten des Betreibers
| Pflicht | Grundlage | Konkret |
|---|---|---|
| Einsatzzweck begrenzen | Art. 6 Abs. 3 | Die beiden Szenarien aus Abschnitt 4 organisatorisch ausschließen. |
| Hinweis auf die KI nicht überblenden | Art. 50 Abs. 1 | Bei der Anpassung an das eigene Erscheinungsbild darf der Hinweis nicht entfernt oder unkenntlich gemacht werden. |
| Wissensbasis pflegen | Sorgfaltspflicht | Inhalte aktuell halten. |
| Erhebung von Kontaktdaten datenschutzkonform gestalten | DSGVO Art. 6, 13 | Rechtsgrundlage bestimmen, Information zum Zeitpunkt der Erhebung bereitstellen, Zweckbindung bei der Übergabe an angebundene Systeme beachten. |
| Datenschutzrechtliche Bewertung | DSGVO | AVV nach Art. 28 abschließen, Verzeichnis der Verarbeitungstätigkeiten und Datenschutzerklärung der Website ergänzen. |
9. Bewertung
- Feazy SiteGuide ist im bestimmungsgemäßen Einsatz kein Hochrisiko-System und fällt unter keine verbotene Praktik.
- Es besteht keine Pflicht zu Konformitätsbewertung, CE-Kennzeichnung oder Registrierung.
- Die Transparenzpflichten nach Art. 50 sind umgesetzt: die Interaktion mit einer KI und die KI-Erzeugung der Inhalte sind im Chat-Fenster gekennzeichnet, auch bei angepasstem Erscheinungsbild.
- Die Einstufung trägt, solange der Assistent informiert und weiterleitet. Die beiden benannten Einsatzarten sind davon nicht gedeckt.
- Der datenschutzrechtlich relevante Teil ist nicht die Einstufung, sondern die Erhebung von Kontaktdaten. Sie richtet sich nach der DSGVO.
Zweck und Grenzen dieses Dokuments
Es ist eine strukturierte Einschätzung des Anbieters entlang der KI-Verordnung, erstellt zur Verwendung durch Datenschutzbeauftragte, Informationssicherheitsbeauftragte und Fachbereiche des Betreibers als Grundlage der eigenen Bewertung.
Es ist keine Rechtsberatung, keine Konformitätsbewertung durch eine benannte Stelle und kein Zertifikat. Es ersetzt die eigene Bewertung des Betreibers nicht, insbesondere nicht die Prüfung des konkreten Einsatzzwecks und die Datenschutz-Folgenabschätzung, soweit sie erforderlich ist.
Feazy, European Innovation Forum GmbH, Im Kreuzegut 2, 60438 Frankfurt am Main. Fragen zu Sicherheit und Datenschutz: trust@feazy.de. Konformitätsanalyse zur EU-KI-Verordnung, Feazy SiteGuide, Fassung 1.0, Stand 30. Juli 2026. Rechtsgrundlage: Verordnung (EU) 2024/1689 in der Fassung der Verordnung (EU) 2026/1744. Änderungen der Rechtslage und der Kommissionsleitlinien bleiben vorbehalten.
