Die Begriffe hinter KI, Software und europäischer Digitalregulierung.

Eine Datenplattform, die Daten wie ein Data Lake in offenen Datei- und Tabellenformaten auf günstigem Objektspeicher ablegt und darauf Funktionen eines Data Warehouse bietet: Transaktionen, Schemata, Zugriffskontrolle und SQL. Offene Tabellenformate wie Apache Iceberg und Delta Lake machen das möglich.

Ein Datensatz, der wie ein Produkt geführt wird: mit benannter Verantwortung, dokumentiertem Schema, veröffentlichten Qualitätskennzahlen, klaren Zugriffsregeln und vereinbarten Aktualisierungszeiten, damit andere Teams ihn nutzen können, ohne nachzufragen, wie er entstanden ist.

Systematisches Testen eines KI-Systems an einem Referenzsatz von Fragen oder Dokumenten mit vereinbarten Kriterien wie Richtigkeit, Quellenbindung, Vollständigkeit und Verweigerung, wenn die Antwort unbekannt ist. Die Evaluierung läuft vor dem Go-live und erneut nach jeder Änderung an Modell, Prompt oder Daten.

Ein neuronales Netz, das auf sehr großen Textmengen trainiert wurde, um das nächste Wort vorherzusagen. Es kann in vielen Sprachen Texte entwerfen, zusammenfassen, klassifizieren und Daten extrahieren, ist aber keine Faktendatenbank: Ohne Verankerung in Ihren eigenen Quellen kann es flüssige, aber falsche Antworten liefern.

Kontrollen rund um ein Sprachmodell, die seinen Einsatz in vereinbarten Grenzen halten: Prüfungen von Ein- und Ausgaben, Themenbeschränkungen, Maskierung personenbezogener Daten, Berechtigungsprüfungen vor einem Werkzeugaufruf und Freigabeschritte für folgenreiche Handlungen.

Ein KI-Ergebnis, das sicher klingt, aber weder von den Quellen noch von den Fakten gedeckt ist. Man verringert sie, ohne sie ganz auszuschließen, indem Antworten in abgerufenen Quellen verankert, Quellenangaben verlangt, ein „weiß ich nicht“ zugelassen und die Häufigkeit in der Evaluierung gemessen wird.

Ein Design, bei dem ein Mensch ein KI-Ergebnis prüft, korrigiert oder freigibt, bevor es wirksam wird. Für Hochrisiko-KI-Systeme verlangt die KI-Verordnung eine wirksame menschliche Aufsicht durch Personen mit der nötigen Kompetenz und Befugnis, einzugreifen.

Lesen, Klassifizieren und Auslesen von Dokumenten wie Formularen, Rechnungen, Nachweisen und gescannten Briefen durch die Kombination von Texterkennung, Layoutanalyse und Sprachmodellen. Jeder ausgelesene Wert erhält einen Konfidenzwert; Werte unter der Schwelle gehen zur Prüfung an eine Sachbearbeitung.

Software, die mit einem Sprachmodell Schritte zu einem Ziel plant und ausführt, etwa einen Vorgang nachschlagen, ein Formular ausfüllen oder eine API aufrufen. Ein Agent handelt nur innerhalb der Berechtigungen und Werkzeuge, die er erhält, und jeder Schritt lässt sich protokollieren.

Die Praktiken, die Machine-Learning- und Sprachmodellsysteme im Betrieb verlässlich halten: Versionierung von Modellen, Prompts und Daten, automatisierte Evaluierung, Deployment-Pipelines sowie Überwachung von Qualität, Kosten und Antwortzeit.

Ein Muster, bei dem das System zuerst passende Abschnitte aus freigegebenen Quellen wie Verfahrensanweisungen, Richtlinien oder Akten abruft und das Sprachmodell dann nur auf Basis dieser Abschnitte antworten lässt. Die Antwort kann Dokument und Abschnitt nennen, und die Zugriffsrechte der Nutzerin oder des Nutzers gelten schon beim Abruf.

Suche nach Bedeutung statt nach exakten Wörtern. Text wird in numerische Vektoren (Embeddings) umgewandelt, und das System findet Abschnitte, deren Vektor nahe an der Frage liegt. In der Praxis wird sie meist mit einer Stichwortsuche kombiniert, weil Kennzeichen, Namen und Paragrafen exakt übereinstimmen müssen.

Ein Vorgehen, bei dem zuerst die Schnittstelle eines Systems entworfen und abgestimmt wird, meist als OpenAPI- oder AsyncAPI-Spezifikation, und erst danach die Umsetzung folgt. Andere Systeme, Partner und Frontends binden sich dann über dokumentierte, versionierte APIs an statt direkt an die Datenbank.

Eine vorbereitete Cloud-Umgebung, in der Konto- oder Abonnementstruktur, Identität, Netzwerk, Richtlinien, Logging und Sicherheitsbasis stehen, bevor die erste Anwendung einzieht. Jedes weitere Projekt kommt dadurch schneller voran, und die Kontrollen bleiben einheitlich.

Die Familie von IEC-Normen (IEC 61970, IEC 61968 und IEC 62325), die Stromnetze, Betriebsmittel und Marktkommunikation in einem gemeinsamen Datenmodell beschreibt. Netzbetreiber nutzen sie, damit Planung, Netzführung und Marktsysteme das Netz gleich beschreiben.

Eine digitale Abbildung einer physischen Anlage, eines Prozesses oder eines Netzes, die laufend mit Daten aus der realen Welt abgeglichen wird. Sie dient dazu, den Zustand zu überwachen, Änderungen vorab zu testen und Instandhaltung zu planen. Ein 3D-Modell ohne aktuelle Daten ist kein Zwilling.

Eine Architektur, in der Systeme Ereignisse, also Fakten wie „Antrag eingegangen“ oder „Zählerstand validiert“, an einen Broker veröffentlichen und andere Systeme in ihrem eigenen Takt darauf reagieren. Die Systeme sind so entkoppelt: Eines kann sich ändern oder ausfallen, ohne die anderen anzuhalten.

Der offene Datenstandard für Building Information Modeling (BIM), herausgegeben von buildingSMART und als ISO 16739-1. Version IFC 4.3 umfasst auch Infrastruktur: Schiene, Straße, Häfen, Wasserstraßen und Brücken, sodass Anlagendaten von Planung über Bau bis Betrieb ohne erneutes Erfassen weitergegeben werden.

Eine Plattform in der Cloud, auf der Integrationen gebaut und betrieben werden, mit fertigen Konnektoren, Datenmapping, Orchestrierung und Monitoring an einem Ort. SAP Integration Suite und MuleSoft sind Beispiele.

Eine maschinenlesbare Liste der Komponenten und Abhängigkeiten einer Software, meist im Format SPDX oder CycloneDX. Sie zeigt schnell, ob eine neu veröffentlichte Schwachstelle Sie betrifft. Der Cyber Resilience Act verpflichtet Hersteller, eine solche Liste für ihre Produkte zu erstellen.

Cloud-Dienste, bei denen Speicherort der Daten, Betrieb des Dienstes und anwendbares Recht unter europäischer oder nationaler Kontrolle bleiben. Die Definitionen gehen auseinander: Nationale Programme wie SecNumCloud in Frankreich stellen ausdrückliche Anforderungen an den Schutz vor außereuropäischem Recht.

Ein Weg, ein Altsystem schrittweise abzulösen. Vor das alte System kommt eine Fassade, Funktionen wandern einzeln in neue Dienste dahinter, und das Altsystem wird abgeschaltet, sobald nichts mehr dorthin geleitet wird. So entfällt eine einzelne, risikoreiche Umstellung.

Ein Architekturmuster in der Fertigung, bei dem ein zentraler Event-Broker den aktuellen Zustand des Werks vorhält, gegliedert nach Standort, Bereich, Linie und Maschine. Systeme veröffentlichen dorthin und abonnieren von dort, statt einzeln miteinander verbunden zu werden.

Ein Sicherheitsmodell, in dem keinem Nutzer, Gerät oder Dienst allein wegen seiner Position im Netzwerk vertraut wird. Jede Anfrage wird authentifiziert, autorisiert und nach Identität, Gerätezustand und Kontext bewertet, und der Zugriff bleibt auf das beschränkt, was die Aufgabe erfordert.

Der Kriterienkatalog des BSI für die Informationssicherheit von Cloud-Diensten. Anbieter lassen die Einhaltung von Wirtschaftsprüfern in einem Testat bestätigen; öffentliche Auftraggeber und regulierte Unternehmen verlangen es häufig. C5 beschreibt Sicherheitsanforderungen, nicht Datenstandort oder anwendbares Recht.

Die EU-Verordnung mit Cybersicherheitsanforderungen an Produkte mit digitalen Elementen, Hardware und Software, die in der EU in Verkehr gebracht werden. Hersteller müssen Schwachstellen über den Unterstützungszeitraum behandeln und aktiv ausgenutzte Schwachstellen ab dem 11. September 2026 melden; die Hauptpflichten gelten ab dem 11. Dezember 2027.

Die EU-Verordnung über den fairen Zugang zu und die Nutzung von Daten, anwendbar seit dem 12. September 2025. Sie gibt Nutzern vernetzter Produkte Zugang zu den Daten, die diese Produkte erzeugen, erleichtert den Wechsel zwischen Cloud- und Datenverarbeitungsdiensten und begrenzt missbräuchliche Vertragsklauseln zur Datennutzung.

Die EU-Verordnung über die Verarbeitung personenbezogener Daten, anwendbar seit dem 25. Mai 2018. Sie legt Grundsätze wie Zweckbindung und Datenminimierung fest, Rechte der betroffenen Personen und Pflichten für Verantwortliche und Auftragsverarbeiter, darunter die Datenschutz-Folgenabschätzung bei Verarbeitungen mit hohem Risiko.

Die EU-Verordnung über die digitale operationale Resilienz im Finanzsektor, anwendbar seit dem 17. Januar 2025. Sie regelt IKT-Risikomanagement, Vorfallmeldungen, Resilienztests und das Management von IKT-Drittdienstleistern, einschließlich Vertragsanforderungen und eines Informationsregisters.

Eine Wallet-App nach der überarbeiteten eIDAS-Verordnung, in der Bürgerinnen und Bürger Identitätsdaten und Nachweise wie Zeugnisse oder Genehmigungen speichern, nur das teilen, was ein Dienst braucht, und Dokumente signieren. Jeder Mitgliedstaat muss mindestens eine Wallet anbieten, und viele öffentliche und private Dienste werden sie akzeptieren müssen.

Die EU-Richtlinie, nach der bestimmte Produkte und Dienstleistungen für Menschen mit Behinderungen barrierefrei sein müssen, darunter E-Commerce, Bankdienstleistungen für Verbraucher, E-Books sowie Websites, Apps und E-Tickets im Personenverkehr. Sie gilt über nationale Gesetze seit dem 28. Juni 2025, in Deutschland über das Barrierefreiheitsstärkungsgesetz.

Die internationale Normenreihe zur Sicherheit industrieller Automatisierungs- und Steuerungssysteme. Sie teilt eine Anlage in Zonen, die über Conduits verbunden sind, legt Sicherheitsstufen fest und verteilt die Verantwortung auf Betreiber, Systemintegratoren und Produkthersteller.

Die internationale Norm für Informationssicherheits-Managementsysteme. Eine danach zertifizierte Organisation verfügt über ein auditiertes System, um Sicherheitsrisiken zu erkennen, Maßnahmen auszuwählen und diese laufend zu verbessern. FromNine ist nach ISO/IEC 27001 zertifiziert.

Die EU-Verordnung über künstliche Intelligenz. Sie ordnet KI-Systeme nach Risiko: Einige Praktiken sind verboten, Hochrisiko-Systeme müssen Anforderungen an Daten, Dokumentation, menschliche Aufsicht und Genauigkeit erfüllen, und manche Systeme unterliegen Transparenzpflichten. Die Verbote gelten seit dem 2. Februar 2025, die Transparenzpflichten ab dem 2. August 2026 und die Hochrisiko-Pflichten nach Anhang III nach der Änderung von 2026 ab dem 2. Dezember 2027.

Die EU-Richtlinie zur Cybersicherheit wesentlicher und wichtiger Einrichtungen in Sektoren wie Energie, Verkehr, Gesundheit, digitale Infrastruktur und öffentliche Verwaltung. Sie verlangt Risikomanagementmaßnahmen, Sicherheit in der Lieferkette und die Meldung von Vorfällen: eine Frühwarnung binnen 24 Stunden und eine Meldung binnen 72 Stunden. Sie gilt über nationale Gesetze, die sich von Land zu Land unterscheiden.

Das deutsche Gesetz zur Umsetzung der NIS-2-Richtlinie, in Kraft seit dem 6. Dezember 2025. Es ändert vor allem das BSI-Gesetz: Besonders wichtige und wichtige Einrichtungen müssen sich beim BSI registrieren, Risikomanagementmaßnahmen umsetzen und erhebliche Sicherheitsvorfälle melden.

Das EU-System nach der Verordnung über das einheitliche digitale Zugangstor, über das Behörden auf ausdrücklichen Wunsch von Bürgern oder Unternehmen grenzüberschreitend amtliche Nachweise austauschen, damit niemand Dokumente vorlegen muss, die eine Verwaltung bereits hat. Die Pflichten gelten seit dem 12. Dezember 2023.

Das Gesetz, das Bund und Länder verpflichtet, ihre Verwaltungsleistungen auch online anzubieten. Das OZG-Änderungsgesetz von 2024 zielt auf durchgängig digitale Verfahren, ein bundesweit einheitliches Nutzerkonto und darauf, dass Nachweise nur einmal vorgelegt werden müssen.

Ein internationales Netzwerk mit Spezifikationen für den Austausch strukturierter Geschäftsdokumente wie Rechnungen und Bestellungen über zertifizierte Access Points. Belgien schreibt seit dem 1. Januar 2026 strukturierte elektronische Rechnungen zwischen Unternehmen vor, mit Peppol als Standardkanal.

Die EU-Richtlinie zur physischen und organisatorischen Resilienz kritischer Einrichtungen in elf Sektoren, darunter Energie, Verkehr, Gesundheit, Trinkwasser und digitale Infrastruktur. Die Mitgliedstaaten bestimmen ihre kritischen Einrichtungen bis zum 17. Juli 2026; diese bewerten danach ihre Risiken und ergreifen Resilienzmaßnahmen.

Die EU-Verordnung zur grenzüberschreitenden Interoperabilität öffentlicher Dienste. Öffentliche Stellen müssen die Auswirkungen neuer oder geänderter transeuropäischer digitaler öffentlicher Dienste auf die Interoperabilität bewerten und können Interoperabilitätslösungen über ein gemeinsames Portal teilen und nachnutzen.

Die W3C-Richtlinien für barrierefreie Webinhalte, gegliedert in Erfolgskriterien der Stufen A, AA und AAA. Stufe AA ist das übliche Ziel in Vergabe und Gesetzgebung; aktuell ist WCAG 2.2, und die europäische Norm EN 301 549 baut auf diesen Richtlinien auf.