EU AI Act – Compliance-Checkliste für Unternehmen
Diese Checkliste hilft euch, eure KI-Nutzung Schritt für Schritt am EU AI Act (Verordnung (EU) 2024/1689) auszurichten – sachlich, ohne Paragrafen-Kauderwelsch und ohne Panikmache. Arbeitet sie der Reihe nach ab: vom Überblick über eure Systeme bis zum laufenden Monitoring. Das meiste betrifft nur wenige sensible Bereiche – die heiklen Stellen markieren wir deutlich.
- 1. KI-Inventar anlegen
Listet alle KI-Systeme auf, die ihr einsetzt oder selbst anbietet – inklusive versteckter KI-Funktionen in bestehender Software, die gar nicht als KI beworben wird. Haltet pro System fest, wer es nutzt, wofür und auf welcher Datenbasis. Was ihr nicht kennt, könnt ihr auch nicht einordnen.
- 2. Rolle je System klären
Bestimmt für jedes System eure Rolle: Anbieter (provider), Betreiber (deployer), Importeur oder Händler. Die Pflichten unterscheiden sich deutlich – Anbieter tragen die Hauptlast. Achtung: Wer ein System stark zweckentfremdet, kann selbst zum Anbieter werden.
- 3. Risikoklasse zuordnen
Ordnet jedes System einer der vier Klassen zu: verboten, hoch, begrenzt oder minimal. Besonders genau hinschauen bei HR und Bewerberauswahl, Bonitäts- und Kreditwürdigkeitsprüfung, Biometrie und kritischer Infrastruktur – hier landet ihr schnell im Hochrisiko-Bereich (Anhang III).
- 4. Auf verbotene Praktiken prüfen
Stellt sicher, dass keine eurer Anwendungen unter die seit Februar 2025 verbotenen Praktiken fällt. Dazu zählen Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen, Social Scoring sowie manipulative oder die Schwächen von Menschen ausnutzende Systeme. Solche Anwendungen sind schlicht nicht erlaubt.
- 5. KI-Kompetenz im Team sicherstellen
Seit dem 2. Februar 2025 gilt die Pflicht zur KI-Kompetenz (AI Literacy): Wer mit KI arbeitet, muss Ergebnisse einordnen, hinterfragen und Grenzen erkennen können. Plant und dokumentiert passende Schulungen – niemand muss Data Scientist werden, aber Grundwissen ist Pflicht.
- 6. Transparenzpflichten umsetzen
Kennzeichnet Chatbots und Sprachassistenten klar als KI, damit Menschen wissen, dass sie nicht mit einem Menschen sprechen. Markiert außerdem KI-generierte oder -manipulierte Inhalte wie Deepfakes sowie synthetische Texte und Bilder. Offenlegung genügt – kein aufwendiges Prüfverfahren nötig.
- 7. Menschliche Aufsicht bei Hochrisiko einrichten
Sorgt bei Hochrisiko-Systemen für echte menschliche Aufsicht – nicht nur auf dem Papier. Eine benannte Person muss Ergebnisse verstehen, prüfen und im Zweifel eingreifen oder übersteuern können. Reines Abnicken reicht nicht.
- 8. Anbieter-Informationen einfordern bzw. bereitstellen
Als Betreiber lasst ihr euch vom Anbieter die nötige Dokumentation und Gebrauchsanweisung geben und setzt das System wie vorgesehen ein. Als Anbieter liefert ihr euren Betreibern genau die Informationen mit, die sie für einen rechtskonformen Einsatz brauchen – ihre Pflichten bauen auf eurer Dokumentation auf.
- 9. Technische Dokumentation, Protokollierung und Daten-Governance (Anbieter)
Baut für Hochrisiko-Systeme ein Risikomanagement über den gesamten Lebenszyklus auf und sorgt für saubere Daten-Governance: Trainings-, Validierungs- und Testdaten müssen relevant, repräsentativ und so fehlerfrei wie möglich sein. Erstellt die technische Dokumentation und richtet eine Protokollierung ein, mit der sich der Betrieb nachvollziehen lässt.
- 10. Konformitätsbewertung vor Markteinführung (Anbieter)
Bringt Hochrisiko-Systeme erst nach der vorgeschriebenen Konformitätsbewertung auf den Markt und haltet sie auch danach konform. Plant das früh in die Entwicklung ein – vieles muss von Anfang an angelegt sein, statt am Ende drangeschraubt zu werden. Bei GPAI-Modellen gelten zusätzliche, seit August 2025 wirksame Pflichten.
- 11. Fristen im Plan berücksichtigen
Behaltet die gestaffelten Fristen im Blick: Verbote und KI-Kompetenz seit dem 2. Februar 2025, GPAI und Governance seit dem 2. August 2025, der Großteil der Hochrisiko-Pflichten ab dem 2. August 2026 und KI in bereits regulierten Produkten ab dem 2. August 2027. Ordnet eure Systeme diesen Terminen zu.
- 12. Verantwortlichkeiten und laufendes Monitoring festlegen
Benennt Verantwortliche für Dokumentation, Nachweise und die regelmäßige Überprüfung eurer KI-Systeme. Der AI Act ist kein einmaliges Projekt: Neue Tools, geänderte Einsatzzwecke und Updates können die Risikoklasse verschieben. Behandelt AI Act und DSGVO am besten gemeinsam statt als zwei getrennte Baustellen.
Nächste Schritte: Geht die Liste mit den Verantwortlichen durch und beginnt mit dem KI-Inventar – das ist die Grundlage für alles Weitere. Unsicher, in welche Risikoklasse eure Anwendungen fallen? Schreibt uns an info@rocket-monkeys.com für ein unverbindliches Erstgespräch.
⚠️ Wichtiger Hinweis: Diese Seite dient der Information und Orientierung und ist keine Rechtsberatung. Die Inhalte geben den Stand 2026 wieder und können eine Einzelfallprüfung nicht ersetzen. Für eine verbindliche Einschätzung eurer konkreten KI-Anwendungen zieht im Zweifel einen Fachanwalt für IT-Recht oder euren Datenschutzbeauftragten hinzu.