Was der Anfrageweg belegen kann
Das erste Jahr des AI Act war Compliance auf dem Papier. Seit dem 2. August 2026 gelten die Durchsetzungsbefugnisse der Kommission gegenüber KI mit allgemeinem Verwendungszweck, die Transparenzpflichten aus Artikel 50 und das Sanktionsregime. Keine Infrastrukturkomponente macht Sie compliant — aber ein wesentlicher Teil dessen, was jede Pflicht letztlich verlangt, sind Nachweise, und Nachweise entstehen entweder im Anfrageweg oder werden später mit großem Aufwand rekonstruiert.
Es ist eine technische Zuordnung, geschrieben für das Plattformteam, das die Nachweise erzeugen muss: Pflicht → das Artefakt, das sie belegt → woher es kommt. Ihre Risikoeinstufung, Konformitätsbewertung und rechtliche Position bleiben bei Ihnen und Ihrer Rechtsberatung.
Was sich genau ändert
Tritt in Kraft
- Durchsetzungsbefugnisse der Kommission gegenüber GPAI-Anbietern.
- Transparenzpflichten aus Artikel 50.
- Das Sanktionsregime.
Und was nicht
Die Hochrisiko-Pflichten nach Anhang III wurden mit der vorläufigen Einigung zum Digital Omnibus vom 7. Mai 2026 auf den 2. Dezember 2027 verschoben. Sie laufen auf einer eigenen Zeitschiene, und wer Ihnen sagt, dass Hochrisiko-Pflichten im August beginnen, arbeitet mit veraltetem Stand.
Verbotene Praktiken gelten seit dem 2. Februar 2025, die GPAI-Modellregeln seit dem 2. August 2025. Neu ist jetzt die Durchsetzbarkeit samt Sanktionsrisiko.
Pflicht, Artefakt, Quelle
Eine Tabelle, mit der Ihr Plattformteam direkt arbeiten kann. Das meiste davon hält ein gesteuerter Anfrageweg ohnehin fest; das Enterprise-Nachweis-Paket ordnet es dann den Vorschriften zu, als belegt, teilweise belegt oder Lücke. Art. 12, 14 und 26 gelten für Hochrisiko-Systeme, ab dem oben genannten Datum.
| Nachweisbedarf | Benötigtes Artefakt | Von Wäg erzeugt als |
|---|---|---|
| Automatische Aufzeichnung (Art. 12) | Jeder Anbieteraufruf und jede Ablehnung, in einem Protokoll, das Manipulation sichtbar macht | Nachweis-Ledger (Open Source): hash-verkettet, mit Ed25519-signierten Checkpoints; im Pflichtmodus kein Nachweis, kein Egress |
| Log-Aufbewahrung (Art. 19, Art. 26 Abs. 6) | Aufzeichnungen mindestens sechs Monate aufbewahrt, bei Bedarf auch außerhalb der Datenbank | Standardmäßig Anfrage-Logs 180 Tage und Ledger-Traffic 365 Tage; Write-once-Archiv in S3, Azure oder GCS (Enterprise) |
| Nachvollziehbarkeit automatisierter Entscheidungen | Welches Modell eine Anfrage bedient hat und warum | x-waeg-routed-model auf jeder Antwort, x-waeg-route-reason, wenn intelligentes Routing gewählt hat; beides im Anfrageprotokoll |
| Menschliche Aufsicht ist nachweisbar | Beleg, dass Kontrollen existieren und durchgesetzt statt nur empfohlen werden | Policy-Bewertungen je Anfrage, hart greifende Budgetablehnungen, Modell-Whitelists |
| Übersteuern und Stoppen (Art. 14 Abs. 4 Buchst. d–e); Aufsicht durch benannte Personen (Art. 26 Abs. 2) | Ein namentlicher Owner und Freigebende je Agent; eine Person hat die riskante Aktion freigegeben oder den Agenten gestoppt | Werkzeug-Policy-Freigaben und Kill-Switch-Stopps, mit Wer und Warum, im Nachweis-Ledger |
| Agenten-Nachweise, die ein Prüfer kontrollieren kann | Läufe, Freigaben, Stopps und der Ledger für einen Zeitraum, in einer signierten Datei | Agenten-Nachweis-Pakete (Enterprise): signiert, geprüft mit waeg evidence verify, mit einer mapping.json je Vorschrift |
| Maschinenlesbare Kennzeichnung erzeugter Inhalte (Art. 50 Abs. 2) | Kennzeichnungen, die ein Detektor lesen kann, und welcher Anteil der Ausgaben sie trug | Enterprise: C2PA-Credentials, Wasserzeichen, Text-Fingerprints, ein Prüf-Endpunkt. Jeder Build hält die Kennzeichnungsabdeckung fest |
| Kennzeichnung durch Betreiber (Art. 50 Abs. 4) | Welche Antworten KI-erzeugt oder KI-verändert sind | x-waeg-ai-label auf jeder inhaltlichen Antwort, erzeugt oder verändert: ein Hinweis; was Sie Ihren Nutzern zeigen, entscheiden Sie |
| Daten-Governance und Datenminimierung | Beleg, dass sensible Daten vor dem Verlassen kontrolliert wurden | Prüfbewertungen vor, während und nach dem Aufruf samt ergriffener Maßnahme |
| Kontrolle über Anbieter und Standort | Wohin jede Anfrage gesendet wurde, und dass sie in erlaubten Rechtsräumen blieb | Residenz (durchsetzen oder beobachten), Rechtsraum je Anfrage und im Ledger, Informationsregister als CSV oder JSON |
| Rekonstruktion von Vorfällen | Eine Rekonstruktion des Geschehens, einschließlich Agenten-Schleifen | Agentenläufe und Spans, Ledger-Einträge zu Werkzeugaufrufen und Freigaben; MCP-Zeilen mit Server, Werkzeug, Latenz und Fehler |
| Verantwortlichkeit und Zuordnung | Zuordnung der Nutzung zu einer Organisationseinheit und einer Person | Hierarchie Org → Team → Nutzer → Key mit Chargeback-Tags |
| Änderungskontrolle über die KI-Konfiguration | Wer welche Policy oder welches Budget wann geändert hat | Admin-Audit-Trail (Enterprise); jede Konfigurationsrevision wird zusätzlich als Hash in den Nachweis-Ledger geschrieben |
| Unabhängige Prüfung | Ein Prüfer kontrolliert die Nachweise, ohne Prompts zu sehen | Rolle org_auditor (Enterprise): schreibgeschützt, prüft und exportiert den Ledger, keine Anfrageinhalte |
| Löschung ohne Verlust des Nachweises (DSGVO) | Die Daten einer Person nicht mehr zuordenbar, der Nachweis weiterhin intakt | Digest-Schlüssel je Person werden vernichtet; die Kette bleibt prüfbar, und die Löschung wird selbst aufgezeichnet |
Ledger-Exporte und Nachweis-Pakete werden offline gegen einen Ed25519-Schlüssel geprüft, den Sie festlegen (waeg ledger verify, waeg evidence verify), und das Verfahren braucht nur SHA-256 und Ed25519 — ein Prüfer muss dem System, das sie geschrieben hat, also nicht vertrauen. Die Zuordnung im Paket ist eine Orientierung für die Personen, die Compliance bewerten, keine Konformitätsbewertung und keine Rechtsberatung.
Instrumentierung in der Anwendung reicht dafür nicht
Protokollierung auf Anwendungsebene erzeugt Nachweise für die Anwendungen, die sie eingebaut haben. Genau das ist das Problem: Ihre Pflichten knüpfen an die KI-Nutzung Ihrer Organisation an, nicht an den Teil davon, an den jemand gedacht hat. Eine Control Plane im Anfrageweg erzeugt dieselben Datensätze für jeden Workload hinter dem Endpunkt.
Sie ist außerdem die einzige Schicht, die Durchsetzungsnachweise statt Beobachtungsnachweise erzeugt. Ein Datensatz, der zeigt, dass eine Anfrage wegen eines Policy-Verstoßes abgelehnt wurde, ist ein grundlegend anderes Artefakt als einer, der zeigt, dass sie gesendet wurde.
Was Wäg nicht leistet
Wäg ist Infrastruktur, kein Compliance-Programm. Es stuft die Risikoklasse Ihrer Systeme nicht ein, erstellt keine Konformitätsbewertungen, führt keine technische Dokumentation, registriert keine Systeme, erstellt keine Grundrechte-Folgenabschätzungen und entscheidet nicht, ob Sie Anbieter oder Betreiber sind. Es erzeugt Nachweise und setzt Kontrollen durch, die Sie definieren. Alles Weitere liegt bei Ihnen und ist überwiegend eine rechtliche und organisatorische Aufgabe, keine technische.
Sieben Dinge, die sich lohnen
- Erfassen Sie, welche Anwendungen heute welche Anbieter aufrufen — und notieren Sie, woher Sie das wissen, denn genau dieser Teil veraltet.
- Richten Sie einen einzigen Eingang für Modell-Traffic ein, damit die Erfassung ohne Pflegeaufwand aktuell bleibt.
- Ordnen Sie jede Anfrage einer Organisationseinheit und einer Person oder Dienstidentität zu.
- Zeichnen Sie Routing-Entscheidungen auf, nicht nur Anfragen. „Welches Modell hat das bedient“ ist eine eigene Tatsache neben „das ist passiert“.
- Machen Sie Kontrollen zum Datenumgang durchgesetzt statt empfehlend — und zeichnen Sie ihre Bewertungen in beiden Fällen auf.
- Beziehen Sie Werkzeugaufrufe von Agenten ein — sie sind in den meisten Landschaften die größte Nachweislücke.
- Richten Sie die Aufbewahrung dieser Datensätze an Ihren Pflichten aus, nicht an Ihrem Log-Budget — für Betreiberprotokolle mindestens sechs Monate.
Ein Endpunkt. Jedes Modell. Volle Kontrolle.
Betreiben Sie es in Ihrer eigenen Infrastruktur
Alles, was Sie brauchen, um eine Control Plane produktiv zu betreiben, steht unter Apache-2.0 und bleibt es auch — Routing, HA, Caching, Failover, Budgets, Policy, MCP, Jobs und Observability. Self-hosted, ohne Account, ohne Phone-Home.
$ docker run -p 4000:4000 <registry>/waeg-gateway:<version>Kein funktionierender Pull: Die Images sind noch nicht öffentlich. Designpartner erhalten die Registry-Details vertraulich.
In 5 Minuten deployenAls Design-Partner mitgestalten
Wäg ist noch nicht öffentlich verfügbar. Wir arbeiten mit einer kleinen Gruppe von Teams, die Multi-Provider-KI produktiv betreiben und Governance und Souveränität ernst nehmen, um die Control Plane an echten Workloads zu härten.
- Jede Enterprise-Funktion enthalten, ohne Lizenzkosten
- Migration gemeinsam mit uns — auch von LiteLLM
- Direkter Draht zu den Engineers und realer Einfluss darauf, was als Nächstes kommt