Von Redaktion codAIx | April 2026

Wer ein KI-Produkt auf dem EU-Markt anbietet, muss sich mit zwei Verordnungen gleichzeitig auseinandersetzen, deren Pflichten gestaffelt bis Ende 2027 wirksam werden: dem Cyber Resilience Act für die Cybersicherheit und dem AI Act für die KI-spezifischen Risiken. Das klingt nach doppeltem Aufwand. In der Praxis gibt es jedoch eine Brücke — eine einseitige Vermutungswirkung über Art. 12 CRA und Erwägungsgrund 77 AI Act —, die Synergien ermöglicht, wenn man sie kennt. Dieser Artikel ordnet das Zusammenspiel beider Regulierungen ein.

Zwei Verordnungen, ein Produkt

Die EU hat innerhalb weniger Monate zwei Verordnungen verabschiedet, die für KI-Unternehmen gleichermassen relevant sind. Der AI Act — Verordnung (EU) 2024/1689 [2], seit 1. August 2024 in Kraft — schafft den weltweit ersten umfassenden Rechtsrahmen für Künstliche Intelligenz. Der Cyber Resilience Act — Verordnung (EU) 2024/2847 [1], seit 10. Dezember 2024 in Kraft — etabliert horizontale Cybersicherheitsanforderungen für alle Produkte mit digitalen Elementen.

Beide Verordnungen haben unterschiedliche Regelungsgegenstände. Der AI Act adressiert KI-spezifische Risiken: Bias, Transparenz, menschliche Aufsicht, Datenqualität [2]. Der CRA adressiert Cybersicherheit im Lebenszyklus: Schwachstellenmanagement, Security by Design, SBOM, Incident Response [1]. Und doch überschneiden sich ihre Anwendungsbereiche — denn ein KI-System, das als Software lokal installiert oder als Datenfernverarbeitungslösung (RDPS) betrieben wird, ist gleichzeitig ein „Produkt mit digitalen Elementen" im CRA-Sinne und ein „KI-System" im AI-Act-Sinne. (Ob Ihr Produkt ein solches Produkt mit digitalen Elementen ist, klären der Drei-Elemente-Test und die Grauzone-Analyse aus den vorherigen Teilen dieser Serie.)

Das Ergebnis: Duale Compliance. Ein KI-Unternehmen muss beide Verordnungen gleichzeitig erfüllen, mit unterschiedlichen Anforderungen, unterschiedlichen Fristen und unterschiedlichen Aufsichtsbehörden. Aber — und das ist die gute Nachricht — der Gesetzgeber hat eine Brücke eingebaut, die Doppelarbeit vermeiden soll.

Der AI Act im Schnelldurchlauf

Bevor wir die Schnittstellen zum CRA analysieren, ein kompakter Überblick über die Struktur des AI Act.

Der AI Act unterscheidet vier Risikokategorien [2]. KI-Systeme mit unannehmbarem Risiko — etwa Social Scoring durch Behörden oder Echtzeit-Biometrie im öffentlichen Raum — sind verboten. Hochrisiko-KI-Systeme, die nach Art. 6 AI Act als solche eingestuft sind [2], unterliegen umfangreichen Anforderungen: Risikomanagementsystem, Daten-Governance, technische Dokumentation, menschliche Aufsicht, Genauigkeit, Robustheit und Cybersicherheit. KI-Systeme mit Transparenzrisiko — etwa Chatbots oder Deepfake-Generatoren — müssen die Nutzerinteraktion offenlegen. Und alle übrigen KI-Systeme fallen in die Kategorie „minimales Risiko" mit freiwilligen Verhaltenskodizes.

Die acht Hochrisikobereiche des Anhangs III umfassen Biometrie und Identifizierung, kritische Infrastruktur, Bildung und Berufsausbildung, Beschäftigung und Arbeitnehmersteuerung, Zugang zu wesentlichen Dienstleistungen, Strafverfolgung, Migration und Grenzschutz sowie Justiz und demokratische Prozesse [2]. Daneben führt auch der zweite Weg des Art. 6 Abs. 1 i. V. m. Anhang I AI Act zur Hochrisiko-Einstufung: KI-Systeme, die als Sicherheitskomponente eines Produkts dienen, das nach den in Anhang I gelisteten Harmonisierungsvorschriften einer Konformitätsbewertung durch Dritte unterliegt.

Für die CRA-Schnittstelle ist die Hochrisiko-Einstufung entscheidend. Denn nur bei Hochrisiko-KI-Systemen greift der besondere Verbindungsmechanismus zwischen beiden Verordnungen.

Art. 12 CRA: Die Brücke zwischen den Verordnungen

Art. 12 CRA [1] ist die zentrale Schnittstellennorm. Er regelt, unter welchen Bedingungen ein Hochrisiko-KI-System, das gleichzeitig ein Produkt mit digitalen Elementen ist, eine Konformitätsvermutung für die Cybersicherheitsanforderungen des AI Act erhält.

Konkret: Wenn ein Hochrisiko-KI-System die Cybersicherheitsanforderungen des CRA erfüllt, dann wird vermutet, dass es auch die Cybersicherheitsanforderungen des AI Act (Art. 15 KI-VO: Cybersicherheit) [2] einhält. Wichtig: Diese Vermutung gilt unbeschadet der Anforderungen an Genauigkeit und Robustheit gemäss Art. 15 AI Act. Das heisst: Die CRA-Compliance schafft eine Konformitätsvermutung nur für das Cybersicherheits-Element von Art. 15 KI-VO. Die Anforderungen an Genauigkeit und Robustheit müssen separat nachgewiesen werden.

Nach Art. 12 Abs. 1 CRA müssen folgende Bedingungen erfüllt sein:

(a) Erfüllung der grundlegenden Cybersicherheitsanforderungen von Teil I Anhang I: Das Produkt muss die konkreten technischen und organisatorischen Sicherheitsanforderungen des ersten Teils des Anhangs erfüllen.

(b) Konformität der Herstellerprozesse mit Teil II Anhang I: Die vom Hersteller eingeleiteten Verfahren müssen den grundlegenden Cybersicherheitsanforderungen des zweiten Teils des Anhangs entsprechen — dies sind vor allem die Prozess- und Governance-Anforderungen wie Vulnerability Management und Incident Response.

(c) Nachweis in der EU-Konformitätserklärung: Die Erreichung des in Artikel 15 der Verordnung (EU) 2024/1689 erforderlichen Cybersicherheitsschutzniveaus muss in der gemäss CRA ausgestellten EU-Konformitätserklärung (Art. 28 CRA, Anhang V) nachgewiesen werden.

Eine kritische Voraussetzung: Die CRA-Konformitätsbewertung muss die KI-spezifischen Cybersicherheitsrisiken ausdrücklich abdecken. Erwägungsgrund (51) CRA nennt dabei zwei KI-spezifische Schwachstellenarten ausdrücklich beim Namen: Daten-Vergiftung (Data Poisoning) und gegnerische Angriffe (Adversarial Attacks) [1]. Darüber hinaus dokumentieren praxisorientierte Frameworks wie MITRE ATLAS [3] und OWASP ML Top 10 [4] weitere relevante Angriffsvektoren — insbesondere Model Inversion und Prompt Injection —, die zwar nicht namentlich im CRA-Text stehen, aber im Scope einer vollständigen KI-Risikobewertung berücksichtigt werden sollten. Die Standard-CRA-Compliance reicht also nicht aus — die Risikobewertung nach Anhang I muss KI-spezifische Angriffsvektoren systematisch adressieren.

Harmonisierte Normen oder gemeinsame Spezifikationen, die die CRA-Anforderungen im KI-Kontext konkretisieren, erleichtern den Nachweis erheblich — sie sind derzeit noch in Arbeit (Normungsauftrag an CEN/CENELEC); Voraussetzung der Vermutung nach Art. 12 Abs. 1 CRA sind sie nicht.

Vermutung oder Fiktion? Eine rechtsdogmatische Feinheit

Bevor wir die Verfahrenswege für Hochrisiko-KI vertiefen, lohnt sich ein kurzer Blick auf die rechtliche Wirkung der Brücke. Die deutsche Sprachfassung des CRA spricht von einer Vermutung, die englische Fassung formuliert mit „shall be presumed to be in conformity". Beides legt nahe, dass es sich um eine widerlegbare Vermutung handelt — die Aufsichtsbehörde könnte den Gegenbeweis führen.

Die rechtswissenschaftliche Kommentierung zum CRA weist demgegenüber darauf hin, dass die Wirkung in der Sache näher an einer Fiktion liegt: Eine Fiktion ist nicht widerlegbar; ihr Eintritt ist gesetzlich angeordnet, sobald die Tatbestandsvoraussetzungen vorliegen [5]. Der Unterschied wirkt subtil, hat aber praktische Folgen für das Behördenverfahren: Bei einer echten Vermutung trägt der Hersteller das Risiko, dass die Marktüberwachung den Gegenbeweis antritt; bei einer Fiktion ist der Konformitätsstatus mit Erfüllung der Tatbestandsmerkmale festgelegt.

Für die Praxis bedeutet das: Unternehmen sollten ihre CRA-Konformitätsbewertung so dokumentieren, dass sie auch einer kritischen Prüfung der Vermutungsgrundlagen standhält — insbesondere bei den KI-spezifischen Risiken nach Erwägungsgrund (51) CRA. Welche der beiden dogmatischen Lesarten sich in der Aufsichtspraxis durchsetzt, wird sich erst mit den ersten Marktüberwachungsfällen ab Ende 2027 zeigen.

Hochrisiko-KI-Kombinationsprodukte: Verfahrenswechsel zur KI-VO

Eine zentrale, in der Praxis oft übersehene Folge der Schnittstellenkonstruktion regelt Art. 12 Abs. 2 CRA. Wenn ein Produkt zugleich ein Hochrisiko-KI-System im Sinne der KI-VO ist, dürfen Hersteller die Konformitätsbewertung nicht mehr aus den CRA-Modulen frei wählen. Stattdessen müssen sie das Konformitätsbewertungsverfahren nach Art. 43 KI-VO durchlaufen [2].

Der Verfahrensweg verlagert sich also: Die formellen Anforderungen an die Bewertung — interne Kontrolle, Beteiligung notifizierter Stellen, technische Dokumentation — folgen dem KI-VO-Regime und nicht den klassischen CRA-Modulen für nicht-wichtige Produkte. Die materiellen Anforderungen (Anhang I CRA) bleiben gleichwohl bestehen; sie werden in das KI-VO-Verfahren integriert nachgewiesen.

Eine wichtige Konsequenz für die Auswahl der Bewertungsstellen: Notifizierte Stellen, die nach der KI-VO benannt sind, sind für diese kombinierten Bewertungen kompetent, sofern bei der Notifizierung auch die Anforderungen an benannte Stellen nach Art. 39 CRA mitgeprüft wurden [5]. Hersteller von Hochrisiko-KI-Kombinationsprodukten sollten frühzeitig prüfen, welche notifizierten Stellen über diesen erweiterten Notifizierungsumfang verfügen — der Markt für solche Stellen ist Stand Mai 2026 noch dünn besiedelt.

Wichtige und kritische Produkte: Das kombinierte Verfahren nach Art. 12 Abs. 3 CRA

Für eine Untergruppe von Hochrisiko-KI-Systemen verschärft sich die Lage noch einmal. Wenn ein Hochrisiko-KI-System gleichzeitig ein wichtiges Produkt mit digitalen Elementen (Anhang III CRA, Klasse I oder II) oder ein kritisches Produkt mit digitalen Elementen (Anhang IV CRA) ist, greift nach Art. 12 Abs. 3 CRA zusätzlich zum KI-VO-Verfahren die CRA-Konformitätsbewertung wieder [1]. Die beiden Regime werden dann nicht alternativ, sondern kumulativ angewandt — ein kombiniertes Verfahren KI-VO plus CRA.

Praktisch bedeutet das: Der Hersteller muss erstens das Verfahren nach Art. 43 KI-VO durchlaufen und zweitens — je nach Einordnung in die CRA-Kategorien — die jeweils einschlägige CRA-Konformitätsbewertung absolvieren (etwa Modul B+C oder Modul H nach Anhang VIII CRA; bei Anhang-IV-Produkten vorrangig ein europäisches Cybersicherheitszertifikat nach Art. 8 Abs. 1 CRA). Die Kommentarliteratur deutet diese Konstruktion als Ausdruck des „without prejudice"-Gedankens: Die KI-VO-Bewertung ersetzt nicht den schärferen CRA-Bewertungsweg für besonders sicherheitskritische Produktklassen, sondern tritt zu ihm hinzu [5].

Für die Compliance-Planung folgt daraus eine klare Reihenfolgenfrage: Hersteller müssen früh klären, ob ihr Produkt unter Anhang III CRA (Klasse I oder Klasse II) oder Anhang IV CRA fällt — denn nur dann ist überhaupt klar, ob das einfache KI-VO-Verfahren ausreicht oder das kombinierte Verfahren erforderlich ist. Die Anhänge des CRA arbeiten dabei nicht mit Produktkategorienzahlen, sondern mit funktionalen Beschreibungen (etwa Identitätsmanagement, Browser, Hypervisoren in Anhang III; Hardware Security Modules, Smartcards, Smart-Meter-Gateways in Anhang IV).

Die Vermutungswirkung läuft einseitig — über Art. 12 CRA in Verbindung mit Erwägungsgrund 77 AI Act

Wichtig zu verstehen: Die Konformitätsvermutung zwischen den beiden Verordnungen ist nicht reziprok. Sie läuft ausschliesslich in eine Richtung — über Art. 12 CRA, gestützt durch Erwägungsgrund 77 AI Act [2]. Dieser Erwägungsgrund ist der rechtspolitische Anker des Mechanismus: Er sieht ausdrücklich vor, dass die Erfüllung der Cybersicherheitsanforderungen des Art. 15 AI Act für Hochrisiko-KI über die EU-Konformitätserklärung nach dem CRA nachgewiesen werden kann.

Eine spiegelbildliche Vermutung im AI Act zugunsten des CRA gibt es nicht. Der AI Act enthält keine Norm, die einer abgeschlossenen AI-Act-Konformitätsbewertung Wirkung gegenüber dem CRA verleihen würde. Insbesondere ist Art. 42 AI Act [2] keine solche Norm: Er regelt eine Vermutungswirkung im Verhältnis zum europäischen Cybersicherheitsrahmen nach der Verordnung (EU) 2019/881 (Cybersecurity Act), nicht im Verhältnis zum CRA. Auch Art. 95 AI Act [2] ist keine Brücke zum CRA — er regelt freiwillige Verhaltenskodizes (Codes of Conduct), mit denen Anbieter nicht-hochrisiko-relevanter KI-Systeme die Hochrisiko-Anforderungen freiwillig anwenden können. Eine Konformitätsvermutung im Verhältnis zum CRA wird durch Art. 95 AI Act gerade nicht angeordnet.

Das Ergebnis ist eine bewusst asymmetrische Konstruktion: Der Unionsgesetzgeber hat sich entschieden, den Cybersicherheitsteil der KI-VO über den CRA zu kanalisieren, nicht umgekehrt. Erwägungsgrund 77 AI Act formuliert dafür den politischen Kompromiss; Art. 12 CRA setzt ihn rechtstechnisch um.

Was bedeutet das praktisch? Für Unternehmen, die ein Hochrisiko-KI-System mit CRA-relevanter Produktarchitektur herstellen, gilt: Investieren Sie zuerst in die CRA-Compliance. Wenn die CRA-Konformitätsbewertung sauber ist und die KI-spezifischen Risiken nach Erwägungsgrund (51) CRA abdeckt, entsteht über Art. 12 CRA und Erwägungsgrund 77 AI Act eine Konformitätsvermutung für den Cybersicherheitsteil des Art. 15 AI Act. Das spart nicht den gesamten AI-Act-Aufwand — Transparenz, menschliche Aufsicht, Datenqualität sowie Genauigkeit und Robustheit (die Aspekte des Art. 15 AI Act ausserhalb der Cybersicherheit) müssen separat nachgewiesen werden —, aber es entlastet beim Cybersicherheitsteil erheblich.

Wichtiger Hinweis zur Einschränkung: Die Vermutungswirkung des Art. 12 CRA gilt ausschliesslich für Hochrisiko-KI-Systeme. Wer ein KI-Produkt herstellt, das nicht nach Art. 6 AI Act [2] als Hochrisiko-KI eingestuft ist (Anhang III oder Art. 6 Abs. 1 i. V. m. Anhang I), bekommt keine Vermutungswirkung. Er muss die CRA-Anforderungen und die eventuell anwendbaren AI-Act-Anforderungen (etwa Art. 50 Transparenzpflichten) [2] unabhängig voneinander erfüllen.

Die Zeitachse: Wann was gilt

Die beiden Verordnungen treten gestaffelt in Kraft, was die Komplexität zusätzlich erhöht.

Seit 2. Februar 2025 gilt Art. 4 des AI Act [2]: die Pflicht zur KI-Kompetenz. Unternehmen, die KI-Systeme einsetzen oder bereitstellen, müssen sicherstellen, dass ihr Personal über ausreichende KI-Kompetenz verfügt.

Seit 2. August 2025 gelten die Pflichten für Anbieter von General-Purpose AI (GPAI) nach Art. 53–56 des AI Act [2]. Wer ein GPAI-Modell — etwa ein Large Language Model — auf dem EU-Markt bereitstellt, muss technische Dokumentation erstellen, eine Urheberrechts-Policy einführen und Informationen für nachgelagerte Anbieter bereitstellen.

Ab August 2026 gelten die Hochrisiko-KI-Pflichten und die Transparenzpflichten des Art. 50 AI Act [2]. Letzterer ist für viele Unternehmen relevanter als gedacht: Jedes KI-System, das direkt mit natürlichen Personen interagiert, muss diese darüber informieren, dass sie mit einem KI-System kommuniziert — es sei denn, dies ist aus den Umständen offensichtlich.

Ab 11. September 2026 gelten die CRA-Meldepflichten für aktiv ausgenutzte Schwachstellen [1].

Ab 11. Dezember 2027 gelten die vollständigen CRA-Produktanforderungen [1].

Für KI-Unternehmen ergibt sich daraus ein klares Timing: Die AI-Act-Pflichten kommen zuerst. Die CRA-Pflichten folgen. Aber die Vorbereitung auf beide muss parallel laufen, weil die CRA-Compliance-Infrastruktur — insbesondere SBOM, Vulnerability Management und Risikobewertung — Vorlaufzeit von 12 bis 18 Monaten erfordert.

Was KI-Unternehmen jetzt tun sollten

Die duale Regulierung stellt KI-Unternehmen vor besondere Herausforderungen, bietet aber auch Chancen für die, die frühzeitig planen.

Der erste Schritt ist die Klassifizierung. Ist Ihr KI-System nach Art. 6 AI Act [2] als Hochrisiko-KI eingestuft — sei es als Sicherheitskomponente eines drittzertifizierungspflichtigen Produkts (Art. 6 Abs. 1 i. V. m. Anhang I) oder über einen der acht Hochrisiko-Bereiche des Anhangs III? Diese Frage entscheidet über den gesamten Compliance-Aufwand. Bei Hochrisiko profitieren Sie von der Vermutungswirkung — müssen aber die KI-spezifische CRA-Risikobewertung entsprechend ausgestalten und das Verfahren nach Art. 43 KI-VO einplanen, ggf. kombiniert mit der CRA-Konformitätsbewertung bei wichtigen oder kritischen Produkten. Bei Nicht-Hochrisiko entfällt die Vermutungswirkung, aber auch ein grosser Teil der AI-Act-Pflichten.

Der zweite Schritt ist die Risikobewertung mit KI-Fokus. Auch wenn Ihr Produkt nicht als Hochrisiko eingestuft ist: Erwägungsgrund (51) des CRA [1] verlangt, dass KI-spezifische Angriffsvektoren in der CRA-Risikobewertung berücksichtigt werden. Daten-Vergiftung und Adversarial Attacks — die beiden im CRA-Erwägungsgrund namentlich genannten Schwachstellenarten — gehören in jede CRA-Risikobewertung, die KI-Komponenten enthält, unabhängig von der AI-Act-Klassifizierung. Darüber hinaus sollten Model Inversion und Prompt Injection als praxisrelevante Angriffsvektoren adressiert werden, auch wenn sie im CRA-Text selbst nicht namentlich erwähnt sind — sie sind in MITRE ATLAS [3] und OWASP ML Top 10 [4] als zentrale KI-Sicherheitsrisiken dokumentiert und gehören zum Stand der Technik einer vollständigen KI-Risikobewertung.

Der dritte Schritt ist die integrierte Compliance-Architektur. Statt CRA und AI Act als zwei getrennte Compliance-Projekte aufzusetzen, lohnt es sich, eine gemeinsame Struktur zu schaffen: ein Risikomanagementsystem, das beide Verordnungen abdeckt, eine technische Dokumentation, die CRA-Konformität und AI-Act-Konformität gemeinsam nachweist, und ein Vulnerability-Management-System, das sowohl klassische Cybersicherheitsschwachstellen als auch KI-spezifische Schwachstellen trackt. (Welche CRA-Pflichten je nach Produktarchitektur konkret greifen — von der vollständigen RDPS-Compliance bis zu den abgestuften Sorgfaltspflichten nach Art. 13 —, haben wir im dritten Teil dieser Serie analysiert.)

Enthält Ihr Produkt KI-Komponenten? Der CRA-Quick-Check gibt Ihnen eine orientierende Einschätzung zu Ihren möglichen CRA-Pflichten und Ihrer CRA-Produktklasse. Die Schnittstellen zum AI Act — Hochrisiko-Einstufung und Vermutungswirkung nach Art. 12 CRA — behandelt dieser Artikel; ihre verbindliche Beurteilung erfordert eine individuelle Prüfung.

Haftungsausschluss: Dieser Beitrag ist eine allgemeine Information zum Cyber Resilience Act und ersetzt keine individuelle Rechtsberatung. Eine verbindliche Beurteilung Ihres konkreten Produkts und Ihrer konkreten Pflichten setzt eine Einzelfallprüfung voraus. Veröffentlicht am: 13.04.2026. Zuletzt geprüft am: 03.07.2026. Herausgeberin: codAIx GmbH, Thayngen (Schweiz).

Im nächsten Artikel dieser Serie: Hochrisiko-KI unter dem CRA — Art. 12 CRA im Detail, warum die drei Bedingungen der Konformitätsvermutung anspruchsvoller sind, als sie auf den ersten Blick wirken, und was das für Ihre Compliance-Strategie bedeutet.

Hinweis zur Methodik

Alle Aussagen in diesem Artikel sind direkt gegen die Primärquellen verifiziert: die Verordnung (EU) 2024/2847 (CRA), insbesondere Art. 12 (einschliesslich Abs. 2 zum Verfahrenswechsel und Abs. 3 zur kumulativen Bewertung bei wichtigen und kritischen Produkten), Art. 28 (EU-Konformitätserklärung) und Erwägungsgrund (51), sowie die Verordnung (EU) 2024/1689 (AI Act), insbesondere Art. 6, Art. 15, Art. 42 (Konformitätsvermutung gegenüber dem Cybersecurity Act, nicht dem CRA), Art. 43 (Konformitätsbewertungsverfahren für Hochrisiko-KI), Art. 50, Art. 95 (freiwillige Verhaltenskodizes — keine Vermutungsnorm gegenüber dem CRA) und Erwägungsgrund 77 (rechtspolitischer Anker der einseitigen Vermutungsbeziehung zum CRA).

Für die rechtsdogmatische Einordnung der Vermutungs- bzw. Fiktionswirkung sowie für den Verfahrenswechsel zur KI-VO und das kombinierte Verfahren bei wichtigen und kritischen Produkten wurde der CRA-Kommentar herangezogen (Sörup, in: Wiebe (Hrsg.), CRA-Kommentar, Nomos 2025, § 4 Rn. 63–65) [5].

Die Zuordnung KI-spezifischer Angriffsvektoren erfolgt differenziert: Data Poisoning und Adversarial Attacks sind in Erwägungsgrund (51) CRA namentlich benannt. Model Inversion und Prompt Injection sind dort nicht namentlich erwähnt, werden aber als praxisrelevante Ergänzungen auf Basis von MITRE ATLAS und OWASP ML Top 10 empfohlen.

Quellen

[1] Verordnung (EU) 2024/2847 des Europäischen Parlaments und des Rates vom 23. Oktober 2024 über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen und zur Änderung der Verordnungen (EU) Nr. 168/2013 und (EU) 2019/1020 und der Richtlinie (EU) 2020/1828 (Cyber Resilience Act). ABl. L, 20.11.2024. https://eur-lex.europa.eu/eli/reg/2024/2847/oj

[2] Verordnung (EU) 2024/1689 des Europäischen Parlaments und des Rates vom 13. Juni 2024 zur Festlegung harmonisierter Vorschriften für künstliche Intelligenz und zur Änderung der Verordnungen (EG) Nr. 300/2008, (EU) Nr. 167/2013, (EU) Nr. 168/2013, (EU) 2018/858, (EU) 2018/1139 und (EU) 2019/2144 und der Richtlinien 2014/90/EU, (EU) 2016/797 und (EU) 2020/1828 (Verordnung über künstliche Intelligenz). ABl. L, 12.07.2024. https://eur-lex.europa.eu/eli/reg/2024/1689/oj

[3] MITRE ATLAS (Adversarial Threat Landscape for AI Systems), https://atlas.mitre.org – Ein Threat-Modelling-Framework zur Dokumentation von Angriffstechniken gegen KI-Systeme, mit strukturierter Katalogisierung von Data Poisoning, Adversarial Attacks, Model Inversion und verwandten Angriffsmustern.

[4] OWASP Machine Learning Security Top 10 (ML Top 10), https://owasp.org/www-project-machine-learning-security-top-10/ – Rahmenwerk der Open Web Application Security Project zur Identifikation und Mitigation der zehn kritischsten Sicherheitsrisiken in Machine-Learning-Systemen.

[5] Sörup, Kommentierung zu Art. 12 CRA, in: Wiebe (Hrsg.), Cyber Resilience Act – Kommentar, Nomos, Baden-Baden 2025, § 4 Rn. 63–65 (insbesondere zu Fiktion versus Vermutung, zum Verfahrenswechsel auf Art. 43 KI-VO bei Hochrisiko-KI-Kombinationsprodukten und zum kombinierten Verfahren bei wichtigen und kritischen Produkten nach Anhang III bzw. Anhang IV CRA).