EU AI Act Checkliste: KI-Compliance in 8 Schritten bis August 2026
Der EU AI Act gilt gestaffelt: Die Verbote greifen bereits, die umfangreichen Pflichten für Hochrisiko-Systeme folgen ab August 2026. Für Unternehmen heißt das: Jedes eingesetzte KI-System — vom zugekauften Bewerber-Screening bis zum internen Chatbot — muss einer der vier Risikoklassen zugeordnet und entsprechend behandelt werden.
Die größte Hürde ist in der Praxis nicht die Regulierung, sondern der Überblick: Viele Unternehmen wissen nicht vollständig, wo überall KI im Einsatz ist, weil Systeme in SaaS-Produkten und Fachabteilungen stecken. Diese Checkliste beginnt deshalb beim Inventar und führt in acht Schritten bis zur laufenden Governance — passend dimensioniert auch für Unternehmen ohne eigene KI-Entwicklung.
Ihre Checkliste
- 1KI-Inventar erstellen: Alle eingesetzten KI-Systeme erfassen — auch KI-Funktionen in zugekauften SaaS-Tools und Fachanwendungen, die oft übersehen werden.
- 2Rolle bestimmen: Für jedes System klären, ob Sie Anbieter oder Betreiber sind, denn davon hängen die konkreten Pflichten ab.
- 3Verbotene Praktiken ausschließen: Systeme gegen die Verbotsliste prüfen — etwa Social Scoring oder manipulative Techniken — und betroffene Anwendungen sofort einstellen.
- 4Risikoklasse zuordnen: Jedes System als Hochrisiko, transparenzpflichtig oder minimales Risiko klassifizieren und die Einstufung schriftlich begründen.
- 5Hochrisiko-Pflichten umsetzen: Für Hochrisiko-Systeme Risikomanagement, technische Dokumentation, Protokollierung und menschliche Aufsicht gemäß Art. 9 ff. etablieren.
- 6Transparenzpflichten erfüllen: Nutzer kennzeichnen, wenn sie mit KI interagieren oder KI-generierte Inhalte sehen — etwa bei Chatbots und generierten Medien.
- 7KI-Kompetenz aufbauen: Mitarbeitende, die KI-Systeme bedienen oder überwachen, nachweisbar schulen — der AI Act verlangt ausreichende KI-Kompetenz im Unternehmen.
- 8Governance verankern: Einen Verantwortlichen benennen, neue KI-Beschaffungen über einen Prüfprozess leiten und das Inventar regelmäßig aktualisieren.
Häufige Fragen
Bis wann muss mein Unternehmen den AI Act umgesetzt haben?
Der AI Act gilt gestaffelt: Die Verbote und die Anforderungen an KI-Kompetenz greifen bereits, die Pflichten für Hochrisiko-Systeme folgen im Wesentlichen ab August 2026. Da Klassifizierung und Dokumentation Vorlauf brauchen, sollten Inventar und Risikoeinstufung deutlich vor diesem Stichtag stehen.
Betrifft der AI Act auch Unternehmen, die nur ChatGPT und ähnliche Tools nutzen?
Ja, in abgestuftem Umfang. Als Betreiber müssen Sie unter anderem für ausreichende KI-Kompetenz der Nutzenden sorgen und Transparenzpflichten beachten, etwa die Kennzeichnung KI-generierter Inhalte in bestimmten Fällen. Die volle Pflichtenlast greift erst, wenn ein Einsatz als Hochrisiko-Anwendung einzustufen ist — etwa im Personalwesen.
Wie erkenne ich, ob ein System als Hochrisiko gilt?
Maßgeblich sind die in Anhang III des AI Act gelisteten Einsatzbereiche — darunter Beschäftigung und Personalauswahl, Kreditwürdigkeitsprüfung, kritische Infrastruktur und Bildung. Entscheidend ist der konkrete Einsatzzweck, nicht die Technologie: Dasselbe Modell kann je nach Verwendung Hochrisiko sein oder nicht.
Wie viel Aufwand bedeutet die Umsetzung für ein KMU ohne eigene KI-Entwicklung?
Überschaubar, wenn kein Hochrisiko-Einsatz vorliegt: Inventar, Risikoeinstufung, Schulung und ein Beschaffungsprozess sind in wenigen Wochen etabliert. Aufwendig wird es erst bei Hochrisiko-Systemen — dort sollten Sie Dokumentation und Aufsichtsprozesse gemeinsam mit dem Anbieter des Systems aufsetzen.