# EU AI Act Checkliste: acht Punkte für mittelständische Unternehmen

> Mittelständische Unternehmen, die KI nutzen, müssen nach dem EU AI Act vor allem drei Dinge sicherstellen: keine verbotenen KI-Praktiken, Maßnahmen zur KI-Kompetenz der Mitarbeitenden und seit August 2026 die Transparenzpflichten, etwa bei Chatbots. Diese Checkliste von Hey2Ai führt in acht Punkten durch alle Pflichten, mit den Fristen nach dem Digital Omnibus von 2026.

Quelle: https://hey2.ai/ratgeber/eu-ai-act-checkliste/ · Stand: 24.10.2026 · Hey2Ai, München

## Das Wichtigste in Kürze

- Gilt für alle Unternehmen, die KI beruflich einsetzen, auch nur ChatGPT oder Copilot
- Seit 2. Februar 2025: Verbote und Maßnahmen zur KI-Kompetenz (Art. 4, Art. 5)
- Seit 2. August 2026: Transparenzpflichten nach Art. 50
- Ab 2. Dezember 2027: Pflichten für Hochrisiko-Systeme nach Anhang III
- Erster Schritt: ein KI-Inventar aller genutzten Werkzeuge und Agenten
- Bußgelder: bis 35 Mio. Euro oder 7 % des Umsatzes bei verbotenen Praktiken, bis 15 Mio. Euro oder 3 % bei anderen Pflichten, für KMU jeweils der niedrigere Betrag

## Die acht Punkte im Überblick

1. **KI-Inventar anlegen.** Erfasse alle KI-Werkzeuge, Copilot-Agenten, eigenen GPTs, Chatbots und Automatisierungen mit Zweck, Verantwortlichem und verarbeiteten Daten.
2. **Rolle klären.** Prüfe je System, ob dein Unternehmen Anbieter oder Betreiber ist. Wer ein fremdes System beruflich nutzt, ist Betreiber.
3. **Verbotene Praktiken ausschließen.** Prüfe, dass kein System unter Artikel 5 fällt, etwa Emotionserkennung am Arbeitsplatz oder manipulative Techniken.
4. **Hochrisiko prüfen.** Gleiche jeden Use Case mit Anhang III ab, zum Beispiel Personalauswahl, Kreditwürdigkeit oder Risikobewertung in der Lebens- und Krankenversicherung.
5. **Transparenz sicherstellen.** Chatbots müssen als KI erkennbar sein, KI-generierte Inhalte je nach Fall gekennzeichnet werden (Art. 50).
6. **KI-Kompetenz fördern.** Schule Mitarbeitende passend zu ihrer Rolle und dokumentiere die Maßnahmen (Art. 4).
7. **KI-Richtlinie beschließen.** Lege erlaubte Werkzeuge, erlaubte Daten, Freigaberegeln und Zuständigkeiten schriftlich fest.
8. **Verantwortung benennen.** Bestimme eine Person oder Stelle, die Inventar und Richtlinie pflegt und neue Use Cases einordnet, zum Beispiel einen AI Officer.

## Welche Pflicht ab wann gilt

Stand Oktober 2026, nach Inkrafttreten der Verordnung (EU) 2026/1744 (Digital Omnibus on AI) am 27. Juli 2026.

| Ab | Pflicht | Checklisten-Punkt |
|---|---|---|
| 2. Februar 2025 | Verbotene Praktiken, Maßnahmen zur KI-Kompetenz | 3, 6 |
| 2. August 2026 | Transparenzpflichten nach Art. 50 | 5 |
| 2. Dezember 2026 | Übergangsfrist für Art. 50 Abs. 2 (maschinenlesbare Markierung) bei generativen Systemen, die schon vor August 2026 am Markt waren | 5 |
| 2. Dezember 2027 | Hochrisiko-Systeme nach Anhang III | 4 |
| 2. August 2028 | Hochrisiko-Systeme nach Anhang I | 4 |

## Wie du mit der Checkliste startest

Beginne mit Punkt 1. Ohne Inventar lassen sich die übrigen Punkte nicht prüfen. In vielen Unternehmen zeigt sich dabei, dass deutlich mehr KI im Einsatz ist als gedacht, vor allem selbstgebaute Agenten und Automatisierungen in den Fachabteilungen.

Für die Bestandsaufnahme hat Hey2Ai ein festes Format entwickelt, das [Agent Estate Review](https://hey2.ai/agent-estate-review/). Es liefert das Inventar, die Einordnung nach Risikoklassen und einen Maßnahmenplan. Einen Überblick über alle Pflichten findest du auf der Seite zum [EU AI Act](https://hey2.ai/eu-ai-act/).

## Fragen zur Checkliste

### Gilt der EU AI Act auch für kleine Unternehmen?

Ja. Der EU AI Act gilt unabhängig von der Unternehmensgröße für alle, die KI-Systeme beruflich einsetzen. Kleine und mittlere Unternehmen erhalten Erleichterungen, etwa niedrigere Bußgeldobergrenzen und vereinfachte Dokumentation, aber keine Ausnahme.

### Was ist der erste Schritt zur Umsetzung des EU AI Act?

Ein KI-Inventar. Erfasse, welche KI-Werkzeuge und Agenten im Unternehmen genutzt werden, wofür und mit welchen Daten. Erst danach lassen sich Risikoklassen und Pflichten bestimmen.

### Muss ich Mitarbeitende zum EU AI Act schulen?

Artikel 4 verlangt Maßnahmen, um die KI-Kompetenz des Personals zu fördern. Ein bestimmtes Niveau muss nach dem Digital Omnibus nicht garantiert werden. Praktisch heißt das: rollenbezogene Schulungen und dokumentierte Nutzungsregeln.

### Wann gelten die Pflichten für Hochrisiko-KI?

Für Hochrisiko-Systeme nach Anhang III ab 2. Dezember 2027, für Systeme nach Anhang I ab 2. August 2028. Die Fristen wurden durch die Verordnung (EU) 2026/1744 verschoben.

### Brauche ich für den EU AI Act eine Beratung?

Nicht zwingend. Die Checkliste lässt sich intern abarbeiten. Eine Beratung lohnt sich, wenn viele Werkzeuge im Einsatz sind, Hochrisiko-Fälle möglich sind oder die Zeit für eine saubere Dokumentation fehlt.

## Kostenlose Vorlagen

Per E-Mail nach der Anmeldung zum Hey2Ai-Newsletter, als PDF und als Datei zum Bearbeiten:

- EU AI Act Checkliste (PDF und Word): Die acht Punkte zum Abhaken, mit allen Fristen nach dem Digital Omnibus 2026 und Platz für Datum und Zuständigkeit.
- Vorlage KI-Inventar (PDF und Excel): Alle KI-Werkzeuge, Agenten und Automatisierungen auf einen Blick, mit Ausfüllhilfe und Spalten für Rolle und Risikoklasse.
- Vorlage KI-Richtlinie (PDF und Word): Muster mit Werkzeugen, Datenklassen, erlaubten Zwecken, Prüfpflicht, Freigabe und Zuständigkeit, zum Ausfüllen.

## Quellen

- [Verordnung (EU) 2024/1689 (KI-Verordnung), EUR-Lex](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32024R1689)
- [Digital Omnibus on AI, Verordnung (EU) 2026/1744, Übersicht](https://artificialintelligenceact.eu/ai-act-explorer/digital-omnibus/)
- [EU AI Act, Artikel 5: Verbotene Praktiken](https://artificialintelligenceact.eu/article/5/)
- [EU AI Act, Anhang III: Hochrisiko-KI-Systeme](https://artificialintelligenceact.eu/annex/3/)

## Kontakt

Kostenlose KI-Analyse (30 Minuten): https://cal.com/hey2ai-ki-check/termin · E-Mail: info@hey2.ai