Cranium wettet darauf, dass der EU AI Act KI-Sicherheit zur Notwendigkeit macht

Bietet SaaS für KI-Sicherheit und KI-Governance für große Unternehmen an: entdeckt und inventarisiert automatisch alle KI-Modelle, Agenten und KI-Drittanbieter innerhalb einer Organisation, führt Red-Team-Sicherheitstests durch und erzeugt Compliance-Nachweise wie AI Cards.

Wettet darauf, dass die KI-Einführung in Unternehmen explosionsartig wachsen wird und Vorschriften wie der EU AI Act den Nachweis von KI-Sicherheit zu einer Beschaffungsbedingung machen werden.

Kumuliert 32 Mio. US-Dollar: Seed-Runde 2023 (unterstützt von KPMG und SYN Ventures), Serie A im Oktober 2023 über 25 Mio. US-Dollar (angeführt von Telstra Ventures, unter Beteiligung von KPMG LLP und SYN Ventures).

Gegründet 2022 im Startup-Inkubator KPMG Studio von KPMG, war es das erste von KPMG inkubierte Spin-out-Unternehmen, und alle vier Gründer stammten aus dem Cybersicherheits- und KI-Geschäft von KPMG; im April 2023 trat es aus dem Stealth-Modus hervor und nahm den unabhängigen Betrieb auf, mit Seed-Finanzierung von KPMG und SYN Ventures. Gründer Jonathan Dambrot erkannte, dass nach der Veröffentlichung von ChatGPT jedes Unternehmen KI einsetzte, aber niemand klar sagen konnte, welche Daten diese Modelle verwendeten, ob sie angegriffen werden konnten oder ob sie konform waren.

Im Oktober 2023 schloss es eine Serie A über 25 Mio. US-Dollar ab (angeführt von Telstra Ventures), wodurch die kumulierte Finanzierung 32 Mio. US-Dollar erreichte; es brachte die AI Card auf den Markt (die Sicherheit, Nutzung, Daten und Governance einer KI-Anwendung in einem teilbaren Compliance-Profil bündelt) sowie den AI Maturity Score. Im Mai 2025 veröffentlichte es die Red-Team-Plattform Arena, mit Fokus auf LLM-Prompt-Injection-Tests und Audit-Bereitschaft für EU AI Act/NIST RMF; die Produktlinie wurde anschließend auf Agentenüberwachung (AgentSensor), Cloud- und Compliance-Module ausgeweitet, und laut offizieller Website bildet das Govern-Modul direkt auf den EU AI Act ab.

Läuft weiter, und die regulatorische Dividende wird realisiert: Der EU AI Act wird am 02.08.2026 vollständig anwendbar (die Hochrisiko-Bestimmungen wurden durch das AI Omnibus auf Dezember 2027/August 2028 verlängert), wodurch „KI-Sicherheit nachweisen zu können“ von einem Slogan zu einer gesetzlichen Pflicht wird. Ein Drittprofil besagt, dass der annual recurring revenue im September 2025 etwa 7,3 Mio. US-Dollar betrug und dass es im Mai 2026 das Agenten-KI-Sicherheitsunternehmen Aiceberg übernahm; die offizielle Website beansprucht Auszeichnungen wie Gartner Cool Vendor 2025 und Fortune Top 50 Cybersecurity Companies 2025.

Der EU AI Act macht KI-Governance von einem optionalen Punkt zu einer gesetzlichen Pflicht und bietet einen gestaffelten Zeitplan für das Inkrafttreten, der Unternehmen zwingt, jetzt Tools zu kaufen statt abzuwarten.

Der Start aus der KPMG-Inkubation bedeutet, von Anfang an über einen Unternehmenskundenkanal zu verfügen und „Compliance-Bedarf“ direkt in frühe Umsätze umzuwandeln, statt Marktaufklärung von Grund auf zu betreiben.

Das Produkt liefert zunächst leichte Elemente wie „Inventar + AI-Card-Nachweis“ und weitet sich dann auf Red-Team-Tests und Agentenüberwachung aus, wobei die Kategorien entlang des Unternehmensbedarfs schrittweise erweitert werden.

Die regulatorische Dividende kommt in mehreren Wellen: Inkrafttreten 2024, Verbote 2025, Anwendbarkeit 2026 und Hochrisiko-Regeln 2027, wobei jede Frist die Beschaffungsdringlichkeit neu erzeugt.

Compliance früh produktisieren, um eine Nische zu besetzen; Cranium nutzte den KPMG-Kanal und den zeitlichen Vorsprung vor der Regulierung.

Stand September 2026 operiert Cranium unabhängig. Der EU AI Act ist seit dem 02.08.2026 vollständig anwendbar. Drittdaten: ARR im September 2025 ~7,3 Mio. US-Dollar, Mitarbeiterzahl ~62, Übernahme von Aiceberg im Mai 2026. Ausgezeichnet von Gartner, Fortune 2025 Cybersecurity 50. Risiken: Wettbewerb und Kundenkonzentration.