Die Compliance-Checkliste sagt Ihnen, was pro System zu tun ist. Die Control-Bibliothek sagt Ihnen, welche Kontrollen Sie als Organisation betreiben – und je KI-System, wie weit deren Umsetzung ist. SimpleAct liefert dafür eine feste Bibliothek von 19 Kontrollen entlang des EU AI Act aus; sie ist für jede Organisation identisch und damit auch für Prüfer wiedererkennbar.

Auf einen Blick

Enthalten ab: Starter (Kernfunktion)
Wo in der App: KI-System öffnen → Controls
Ergebnis: Kontrollstatus je System mit Notizen und Nachweis-Links
API: /api/v1/controls

Wie die Bibliothek aufgebaut ist

Jede Kontrolle hat einen stabilen Schlüssel, einen Titel, eine Beschreibung, eine Priorität (HIGH oder MEDIUM) und einen Verweis auf die Anhang-IV-Sektion, in die ihre Nachweise gehören. Der Schlüssel ändert sich nicht – Sie können also darauf verweisen, ihn in eigene Auswertungen übernehmen und ihn über die API adressieren.

Die Bibliothek selbst enthält keine Organisationsdaten. Sie ist eine Vorlage: Erst wenn Sie zu einer Kontrolle für ein bestimmtes KI-System einen Status setzen, entsteht ein Datensatz in Ihrer Organisation.

Die 19 Kontrollen

Priorität HIGH bedeutet: ohne diese Kontrolle ist ein Hochrisiko-System nicht vertretbar in Betrieb. MEDIUM bedeutet: wichtig für die Prüfbarkeit, aber kein Go-Live-Blocker.

Kontrolle	Worum es geht	Priorität
Screening verbotener Praktiken	Verbindliches Art.-5-Screening vor jedem Release und jeder wesentlichen Änderung.	Hoch
KI-Kompetenzprogramm	Rollenbasierte Schulungen, Erinnerungen, Teilnahmenachweise und Exporte (Art. 4).	Hoch
Risikomanagement-Prozess	Laufender Risikomanagement-Prozess über Design, Entwicklung und Betrieb.	Hoch
Daten-Governance	Datenqualität, Herkunft, Datenminimierung und Bias-Minderung dokumentieren.	Hoch
Technische Dokumentation	Zweckbestimmung, Grenzen und Modellverhalten aktuell halten.	Hoch
Logging und Nachvollziehbarkeit	Entscheidungsrelevante Logs, Aufbewahrung und Zugriffsverantwortung.	Hoch
Menschliche Aufsicht	Eingriffs- und Abbruchkriterien definieren, geschulte Aufsichtsrollen sicherstellen.	Hoch
Grundrechte-Folgenabschätzung (FRIA)	Betroffene Gruppen, Grundrechtsrisiken, Diskriminierung, Abhilfen und DSFA-Wiederverwendung vor dem ersten Hochrisiko-Einsatz.	Hoch
Betreiberpflichten	Nutzung gemäß Anleitung, Eingabedatenprüfung, Aufsichtszuweisung, Betriebsmonitoring, Log-Aufbewahrung, Information Betroffener.	Hoch
Genauigkeit, Robustheit, Cybersicherheit	Qualitätsmetriken, Robustheitstests und Schutzmaßnahmen je Release.	Hoch
Post-Market-Monitoring	Wiederkehrende Überwachungsaufgaben betreiben und bei Änderungen oder Vorfällen Neubewertungen auslösen.	Hoch
Meldung schwerwiegender Vorfälle	AI-Act-Vorfälle von Datenschutz- und Security-Vorfällen trennen; Meldefristen, Ursache, Korrekturmaßnahmen und Stopp-/Rollback-Entscheidungen führen.	Hoch
Vorfall- und Maßnahmenmanagement	Vollständiger Lebenszyklus: Aufnahme, Triage, Ursachenanalyse, Korrekturmaßnahme, Abschluss.	Hoch
Nutzerinformation und Transparenz	Bedienungsanleitung, Grenzen des Systems sowie Beschwerde- und Feedbackwege bereitstellen.	Mittel
Art.-50-Transparenz und Kennzeichnung	Hinweise, Kennzeichnungen und maschinenlesbare Markierung für Chatbots, generierte Inhalte, Deepfakes und Emotionserkennung.	Hoch
GPAI und Lieferkette	Modellanbieter, Version, Region, Anbieterdokumentation, Unterauftragsverarbeiter, Änderungen der Bedingungen und Nachweisanforderungen.	Hoch
Änderungs- und Release-Neubewertung	Neubewertung auslösen, wenn sich Zweck, Modell, Datenbasis, Schwellwerte oder Einsatzkontext wesentlich ändern.	Hoch
Bearbeitung von Behördenanfragen	Nachweispakete einfrieren, Kommunikation, Verantwortliche, Fristen, Einreichungen und Freigaben führen.	Mittel
Standards- und Control-Mapping	Pflichten auf versionierte interne Kontrollen und entstehende harmonisierte Normen abbilden.	Mittel

Status-Modell

Der entscheidende Unterschied liegt zwischen den letzten beiden Stufen: „umgesetzt" ist eine Behauptung, „nachgewiesen" ist ein Beleg.

Status	Bedeutung
NOT_STARTED	Noch nicht begonnen – der Ausgangszustand jeder Kontrolle.
IN_PROGRESS	In Umsetzung, aber noch nicht abgeschlossen.
IMPLEMENTED	Umgesetzt, aber ohne hinterlegten Nachweis. Reicht intern – in einer Prüfung ist es eine Aussage ohne Beleg.
EVIDENCED	Umgesetzt und mit Nachweis-Links belegt. Das ist der Zustand, den ein Auditor sehen will.

Was Sie zu einer Kontrolle hinterlegen

Status – eine der vier Stufen oben.
Notizen – wie die Kontrolle bei Ihnen konkret umgesetzt ist. Das ist der Text, den Prüfer zuerst lesen.
Nachweis-Links – Verweise auf Richtlinien, Tickets, Testberichte oder Dokumente. Mehrere Links pro Kontrolle sind möglich.
Automatisch: wer den Status zuletzt geändert hat und wann. Jede Änderung landet zusätzlich im Audit-Trail.

Controls und Anhang IV gehören zusammen

Jede Kontrolle verweist auf die Anhang-IV-Sektion, in die ihre Nachweise gehören – etwa „Datenqualität und Governance" oder „Test und Validierung". Wer die Controls sauber führt, hat das Anhang-IV-Dossier zu großen Teilen bereits befüllt, statt es später aus dem Gedächtnis zu rekonstruieren.