Gil Blancafort, Mitbegründer von V-PROOF, nimmt an der Debatte von „Expansión“ über die Zukunft von KI-Modellen teil. Unsere Sichtweise: Mehr Modelle erfordern Verantwortung, Aufsicht und überprüfbare Belege.

Bei jedem Audit eines ISO-Managementsystems tauchen zwei Fragen auf: Welche Fassung ist aktuell und wer hat sie genehmigt? Allzu oft beginnt die Antwort mit der Suche nach Unterlagen.

Code-Assistenten in jedem Team, Dutzende von Branches und ein Repository, das niemand vollständig kennt. Für die technische Leitung ist dies ein Kontrollproblem. Für die Rechtsabteilung geht es um Urheberschaft und Lizenzen. Für den Wirtschaftsprüfer geht es um Nachweise.

Ihre Datenabteilung weiß, welche Version die erfolgreiche ist. Bei einem Audit geht es jedoch um etwas anderes: Wer hat entschieden, diese Version in Betrieb zu nehmen, welche Kontrollmaßnahmen gab es und welche Dateien genau waren am Tag des Vorfalls in Betrieb?

KI-Agenten beschränken sich nicht mehr darauf, nur zu antworten: Sie greifen auf Systeme zu, wählen Tools aus und übertragen Daten. Die Frage, die der Prüfer stellen wird, ist einfach: Was konnte dieser Agent tun, welche Berechtigungen hatte er und wer hat dies genehmigt?

Der Markt für KI-Governance-Plattformen wächst jährlich um 67,5 %. Das ist keine optimistische Prognose – es ist die Folge von vier bereits wirksamen Faktoren: dem in Kraft getretenen EU-KI-Gesetz, öffentlich bekannt gewordenen KI-Vorfällen, Versicherern, die ihre Bedingungen ändern, und einem Risiko, das dynamisch und nicht statisch ist. Das Zeitfenster für einen Wettbewerbsvorteil besteht jetzt.

V-PROOF® ist eines der 12 Finalistenunternehmen in der Kategorie „Osona Jove“ der Innovacat-Preise 2026. Am 6. Oktober werden wir der Jury in Manlleu eine versiegelte Präsentation vorlegen, die sie mithilfe eines QR-Codes selbst überprüfen können.

Wer versteht Ihren Code, wie viel davon wurde von der KI geschrieben und was hat sich in den einzelnen Versionen geändert? V-PROOF wandelt das Repository in überprüfbare Nachweise für CIOs und Wirtschaftsprüfer um.

Die meisten Organisationen, die ein KI-Governance-Programm einführen, stoßen auf dasselbe Problem: Sie wissen nicht genau, welche KI-Systeme sie einsetzen. Es gibt weder eine zentrale Übersicht noch aktuelle Daten. Ohne Bestandsaufnahme gibt es keine Governance – und ohne Governance keine Einhaltung des EU-KI-Gesetzes oder der Norm ISO 42001.

GRC-Tools dokumentieren Risiken, Richtlinien und Kontrollmaßnahmen. Die Steuerung der KI erfordert darüber hinaus die Bewertung jedes einzelnen Systems und die Vorlage von Nachweisen, die von einem Dritten überprüft werden können. Dies sorgt für eine zusätzliche Ebene der KI-Governance mit überprüfbaren Nachweisen.

Im Jahr 1959 erfand Nils Bohlin etwas, das niemand verlangt hatte. Volvo ließ es patentieren und verschenkte das Patent anschließend. Nicht, um Geld zu verdienen – sondern damit das Vertrauen in das Auto zu einem universellen Standard wurde. Heute befinden wir uns in genau derselben Situation mit der KI. Das Problem ist nicht technologischer Natur. Es ist ein Problem der Evidenz.

Der Markt für KI-Governance wächst rasant. Und mit ihm eine Verwirrung, die konkrete Folgen hat. Jede Woche tauchen neue Plattformen auf, die „unveränderliche Protokolle“ und „Compliance von Grund auf“ versprechen. Sie alle verwenden denselben Wortschatz. Aber nicht alle lösen dasselbe Problem.

Was ist „Governance as Code“, warum reichen GRC-Maßnahmen nicht aus, um KI zu steuern, und wie setzt V-PROOF in Echtzeit ausführbare Sicherheitsvorkehrungen für KI-generierte Assets um?

Das EU-KI-Gesetz tritt heute für KI-Systeme mit hohem Risiko in Kraft. Es handelt sich nicht um einen Übergangstermin – vielmehr ist dies der Beginn des Zeitraums, in dem die Behörden Ermittlungen durchführen, Unterlagen anfordern und Sanktionen in Höhe von bis zu 3 % des weltweiten Umsatzes verhängen können. Viele Organisationen, die sich seit Monaten auf die Einhaltung der Vorschriften vorbereiten, werden auf dasselbe Problem stoßen: Ihre derzeitigen Aufzeichnungen liefern nicht die nachprüfbaren Nachweise, die die Verordnung verlangt.

Alle Rahmenwerke für die KI-Governance – POPIA, ISO 42001, ISO 27001, ISO 27701, EU-KI-Gesetz, NIST AI RMF, PCI DSS und HIPAA – definieren das „Was“. Keiner zertifiziert das „Wie“ oder das „Wann“. Diese Matrix gleicht die 30 kritischen Governance-Fragen mit den 8 globalen Standards ab und fügt die fehlende Ebene hinzu: kryptografische Nachweise, die von jedem europäischen Auditor überprüft werden können. Deklarative Compliance vs. überprüfbare Compliance.

Die erste Verpflichtung des EU-KI-Gesetzes ist nicht technischer Natur. Artikel 50 trat am 2. August 2025 in Kraft und verpflichtet jeden Betreiber, der KI einsetzt, deutlich darauf hinzuweisen, wenn sich auf der anderen Seite eine Maschine befindet. Umfassende Analyse mit rechtlichem Rahmen, Zeitplan und Sanktionen: bis zu 15 Mio. € oder 3 % des weltweiten Umsatzes.

Das Wettrennen um die künstliche Intelligenz lässt sich nicht allein mit Rechenleistung gewinnen. Europa spielt in dieser Liga nicht mit – und sollte es auch gar nicht versuchen. Es konkurriert in einer anderen: um nachprüfbares Vertrauen, rechtliche Souveränität und die Fähigkeit, Regulierung in strategische Infrastruktur umzuwandeln. Meinungsbeitrag von Gil Blancafort, Gründer von V-PROOF Protocol, veröffentlicht in Expansión (Juli 2026).

Im Juni 2026 veröffentlichte Gartner seinen ersten „Magic Quadrant for AI Governance Platforms“. 13 Anbieter wurden bewertet. Keiner davon ist in dem Bereich tätig, in dem V-PROOF agiert.

Ein Verstoß kann bis zu 35 Mio. € oder 7 % des Gesamtumsatzes kosten. Die Zeitung „La Vanguardia“ widmet dem V-Proof Protocol einen Bericht: Die in Barcelona entstandene Infrastruktur, die die menschliche Überwachung der KI in überprüfbare Nachweise umwandelt – im Hinblick auf den EU-KI-Gesetz, der am 2. August 2026 in Kraft tritt.

EU-Gesetz zur Cyber-Resilienz: Cybersicherheitsanforderungen für Softwareprodukte und wie man diese erfüllt