In rund einer Stunde verstehen, wo dein Unternehmen steht. Strukturiert prüfen, sauber dokumentieren, kontrolliert handeln.
Der EU AI Act gilt seit dem 1. August 2024 und tritt schrittweise in Kraft. Für Unternehmen heißt das: KI nicht mehr als Experiment betreiben, sondern kontrolliert einführen. Wer seine KI-Systeme jetzt erfasst, einordnet und dokumentiert, vermeidet späteren Rückbau.
KI ist in vielen Unternehmen schon im Einsatz, oft ohne klares Inventar. Häufig laufen Tools, Copilots und Automatisierungen parallel, jeweils mit eigenen Berechtigungen und Datenflüssen.
Der AI Act verlangt Risikoeinstufung, Transparenz und Dokumentation. Viele Pflichten greifen ab 2026 und 2027. Wer sie kurzfristig nachholt, riskiert teure Rückbauten und Akzeptanzprobleme im Team.
Inventar aufnehmen, Rollen klären, Use Cases nach Risiko sortieren und Pflichten paketieren. Diese Checkliste führt strukturiert durch die Selbstprüfung. Sie ersetzt keine Rechtsberatung.
Verantwortlichkeit benennen. Eine Person, oft aus Compliance, IT oder Geschäftsführung, übernimmt das Thema. Ohne klaren Owner verläuft sich jede Selbstprüfung.
Inventar vor Bewertung. Erst wissen, welche KI-Systeme im Haus sind, bevor man sie einordnet. Eingekaufte Tools, Eigenentwicklungen und Funktionen bestehender Software gehören dazu.
Pflichten paketieren. Risikoeinstufung, Dokumentation und KI-Kompetenz parallel angehen. Einzeln verteilen sich die Aufwände, gemeinsam entsteht eine belastbare Grundlage für 2026 und 2027.
Fünf Schritte führen von der Erfassung bis zu konkreten Maßnahmen. Jeder Schritt hat ein klares Ergebnis und liefert die Grundlage für den nächsten.
Alle KI-Systeme im Unternehmen sammeln. Eingekaufte Tools, Eigenentwicklungen, KI-Funktionen in bestehender Software.
Rolle pro System bestimmen: Anbieter oder Betreiber. Die Pflichten unterscheiden sich erheblich.
Risikoklasse zuordnen: verboten, hoch, begrenzt, minimal. Annex III für Hochrisiko ist die wichtigste Liste.
Pflichten je Klasse abgleichen. Was ist erfüllt, was offen, was bedarf einer Anpassung.
Lücken priorisiert schließen. Verantwortlichkeiten, Termine und Aufwände festhalten.
Eine Tabelle mit allen KI-Systemen. Ein Verantwortlicher pro System. Zeit für strukturiertes Lesen, etwa eine Stunde initial. Spätere Aktualisierungen brauchen weniger.
Ein KI-Inventar mit Risikoeinstufung, Rollenklarheit und Maßnahmenplan. Auditfähig vorbereitet, nachvollziehbar dokumentiert.
Inventar und Rolle deiner KI-Systeme. Pro Punkt entscheidest du: erfüllt, offen, nicht zutreffend.
Der EU AI Act ordnet KI-Systeme in vier Risikoklassen ein. Die Einstufung entscheidet, welche Pflichten gelten und ab wann.
Pflichten für Anbieter von Hochrisiko-KI-Systemen. Diese Anforderungen gelten, wenn du ein KI-System unter eigenem Namen in Verkehr bringst oder wesentlich anpasst.
Pflichten für Betreiber von Hochrisiko-Systemen und Anforderungen, die unabhängig von der Risikoklasse für alle gelten.
Die wichtigsten Begriffe in einer Zeile, gefolgt von einem klaren Vorschlag, wie es nach der Selbstprüfung weitergeht.
| Begriff | Definition | Referenz |
|---|---|---|
| KI-System | Maschinengestütztes System, das mit einem gewissen Maß an Autonomie operiert, sich anpassen kann und aus Eingaben Vorhersagen, Empfehlungen oder Entscheidungen ableitet. | Art. 3 Nr. 1 |
| Anbieter | Wer ein KI-System entwickelt oder entwickeln lässt und unter eigenem Namen oder eigener Marke in Verkehr bringt oder in Betrieb nimmt. | Art. 3 Nr. 3 |
| Betreiber | Wer ein KI-System in eigener Verantwortung nutzt, ausgenommen rein private und nicht berufliche Tätigkeiten. | Art. 3 Nr. 4 |
| Hochrisiko | KI-Systeme aus den in Annex III genannten Bereichen oder als Sicherheitskomponente regulierter Produkte. | Art. 6 / Annex III |
| GPAI | General-Purpose AI Model. Ein Basismodell mit breiter Anwendbarkeit, etwa große Sprachmodelle. Eigene Pflichten für Anbieter solcher Modelle. | Art. 51 ff. |
| KI-Kompetenz | Ausreichendes Verständnis, um KI-Systeme im Arbeitsumfeld informiert zu nutzen. Pflicht ab 2. Februar 2026. | Art. 4 |
| Konformitätsbewertung | Verfahren zum Nachweis, dass ein Hochrisiko-System die Anforderungen erfüllt. Voraussetzung für CE-Kennzeichnung. | Art. 43 |
Die typische Lücke ist nicht ein einzelnes System, sondern fehlende Struktur. Ein 30-Minuten-Gespräch klärt, wo der Hebel am größten ist. Ohne Vertriebsdruck, ohne Folien.