AI Act Checkliste für KI-Betreiber: 10 Schritte zur Compliance

Bevor Sie überhaupt mit Compliance beginnen können, brauchen Sie einen vollständigen Überblick: Welche KI-Systeme nutzt Ihr Unternehmen — intern, extern, über Dienstleister? Ohne Inventar keine Risikoklassifikation, ohne Risikoklassifikation keine zielgerichtete Compliance.

Die Risikoklasse bestimmt 80% Ihrer Compliance-Pflichten. Art. 6 KI-VO unterscheidet vier Stufen: verboten, hochriskant, allgemeines Risiko (Transparenzpflichten) und minimal. Entscheidend ist nicht die Technologie, sondern der Einsatzzweck — dasselbe System kann je nach Kontext unterschiedlich einzustufen sein.

Art. 4 KI-VO verlangt, dass alle Personen, die KI-Systeme bedienen oder beaufsichtigen, über ausreichende KI-Kompetenz verfügen. Das betrifft nicht nur IT-Teams, sondern auch Fachabteilungen, Führungskräfte und HR. Die Schulungspflicht gilt bereits seit Februar 2025.

Nutzer müssen wissen, dass sie mit KI interagieren (gilt für interaktive KI-Systeme wie Chatbots, Art. 50 Abs. 1) bzw. dass Inhalte KI-generiert sind (Art. 50 Abs. 3, generative KI / Deepfakes). Art. 50 ist keine Hochrisiko-Pflicht, sondern gilt unabhängig von der Risikoklasse. Transparenz ist nicht nur Pflicht, sondern die Grundlage für Vertrauen und rechtswirksame Einwilligung.

Eine interne KI-Policy regelt, welche Systeme erlaubt sind, welche Anwendungsfälle verboten bleiben, wer Genehmigungen erteilt und welche Datenschutz-Standards gelten. Ohne Policy entsteht Schatten-KI — und damit unkalkulierbare Compliance-Risiken.

AI Act und DSGVO sind eng verzahnt. Hochriskante KI-Systeme, die personenbezogene Daten verarbeiten, erfordern eine Datenschutz-Folgenabschätzung (DSFA). Die KI-Inventarisierung aus Schritt 1 ist gleichzeitig Grundlage für Ihr Verarbeitungsverzeichnis.

Als Betreiber sind Sie nicht automatisch von Anbieter-Verstößen befreit. Bei hochriskanten Systemen müssen Sie CE-Kennzeichnung, Konformitätserklärung und technische Dokumentation des Anbieters prüfen. Ihre Due-Diligence ist Ihr Schutzschild bei Audits.

Art. 26 Abs. 2 verpflichtet bei hochriskanten Systemen zu „human oversight": Definierte Verantwortliche, die KI-Entscheidungen überwachen, Override-Möglichkeit haben und geschult sind, Fehler zu erkennen. Keine KI-Entscheidung darf unkontrolliert in die Realität wirken.

Schwere Vorfälle mit hochriskanten KI-Systemen müssen an Aufsichtsbehörden gemeldet werden. Dafür brauchen Sie ein Vorfallregister mit klarer Bewertungs- und Eskalationslogik. Ein transparentes Register zeigt proaktive Governance — versteckte Vorfälle führen zu schärferen Strafen.

Der AI Act ist kein einmaliges Projekt. Neue KI-Systeme, Systemupdates, geänderte Einsatzzwecke oder regulatorische Entwicklungen erfordern regelmäßige Reviews. Planen Sie quartalsweise Inventar-Checks und mindestens halbjährliche Gesamtaudits ein.