AI Act Checkliste für KI-Betreiber: 10 Schritte zur Compliance

Was zu tun ist: Erstellen Sie eine vollständige Liste aller KI-Systeme, die Ihr Unternehmen nutzt. Berücksichtigen Sie:

• Externe SaaS-Lösungen (z.B. generative KI-Tools, Cloud-basierte Services)
• Interne Systeme und Eigenentwicklungen
• Systeme von Dienstleistern und Subunternehmern
• Systeme einzelner Abteilungen und Standorte

Warum es wichtig ist: Nur wer seine KI-Systeme kennt, kann auch sicherstellen, dass sie den rechtlichen Anforderungen entsprechen. Unerwartet entdeckte hochriskante Systeme führen zu Compliance-Lücken.

Was zu tun ist: Klassifizieren Sie jedes KI-System nach Art. 6 KI-VO:

• Verbotene Praktiken: Unzulässig (z.B. subliminal manipulative KI, Social-Scoring). → Müssen deaktiviert werden
• Hochriskant (Anhang III): Erfordern Konformitätsbewertung, technische Unterlagen, Dokumentation. Beispiele: Recruiting, Kreditscoring, Zugang zu Bildung/Infrastruktur
• Allgemeines Risiko: Erfordern Transparenzpflichten (Art. 50), z.B. generative KI-Tools
• Minimales Risiko: Grundsätzlich frei, aber gute Praxis empfohlen

Warum es wichtig ist: Die Risikoklasse bestimmt 80% Ihrer Compliance-Verpflichtungen. Eine falsche Klassifikation kann zu massiven Bußgeldern führen.

Was zu tun ist: Schulen Sie Ihr Team auf AI Act Anforderungen und dokumentieren Sie die Schulungen:

• Verantwortliche (z.B. Data Scientists, AI Product Owner) kennen die rechtlichen Anforderungen für ihre Systeme
• Betreiber verstehen Risiken und Monitoring-Anforderungen
• Schulungsattestationen archivieren

Warum es wichtig ist: Die KI-Kompetenzanforderung sichert, dass nicht nur Prozesse, sondern auch Menschen AI Act-konform handeln.

Was zu tun ist: Informieren Sie Nutzer hochriskanter KI-Systeme transparent:

• Für hochriskante Systeme: Benutzer müssen wissen, dass sie mit einer KI interagieren, und diese muss deutlich gekennzeichnet sein
• Für generative KI (Art. 50): Transparenz über KI-generierte Inhalte, z.B. bei Texten, Bildern, Code
• Dokumentation der Transparenzmaßnahmen archivieren

Warum es wichtig ist: Transparenz ist die Basis für Vertrauen und verhindert Manipulationen. Art. 50 ist ein neuer, starker Fokus des AI Act für alle KI-Betreiber.

Was zu tun ist: Entwickeln Sie eine interne KI-Policy, die festlegt:

• Welche KI-Systeme in Ihrem Unternehmen eingesetzt werden dürfen
• Verbotene Anwendungsfälle (z.B. Einzelne überwachen, unbefugte Gesichtserkennung)
• Genehmigungsprozesse für neue KI-Tools
• Datenschutz- und Ethik-Standards
• Rollen und Verantwortlichkeiten

Warum es wichtig ist: Eine klare Policy verhindert Übergriffe und schafft eine KI-governance Struktur. Besonders wichtig für größere Unternehmen mit dezentralisierten KI-Entscheidungen.

Was zu tun ist: Erstellen Sie eine Datenschutz-Folgenabschätzung (DSFA) für hochriskante KI-Systeme und dokumentieren Sie:

• Welche personenbezogenen Daten die KI verarbeitet
• Legal Basis der Datenverarbeitung (Einwilligung, Vertrag, etc.)
• Speicherdauer und Zugriffsrechte
• Maßnahmen zur Datensicherheit

Warum es wichtig ist: Die meisten hochriskanten KI-Systeme verarbeiten personenbezogene Daten. Der AI Act und die DSGVO sind eng verzahnt — eine isolierte Betrachtung ist unrealistisch.

Was zu tun ist: Wenn Sie hochriskante KI-Systeme von Anbietern nutzen, überprüfen Sie:

• CE-Kennzeichnung: Ist das System gemäß Art. 19 ordnungsgemäß gekennzeichnet?
• Technische Unterlagen: Verlangt Sie vom Anbieter nach Art. 11 KI-VO (Trainings­daten, Modell, Qualitätssicherung)
• Konformitätserklärung: Liegt eine vollständige EU-Konformitätserklärung vor?
• Dokumentation: Wurde die erforderliche Dokumentation übermittelt?

Warum es wichtig ist: Als Betreiber sind Sie nicht automatisch von Anbieter-Verstößen befreit. Ihre Sorgfaltsprüfung ist Beweis dafür, dass Sie Due-Diligence geleistet haben.

Was zu tun ist: Für hochriskante Systeme müssen Menschen die KI-Entscheidungen überwachen und kontrollieren können:

• Verantwortliche Person(en) definieren, die KI-Output überwacht
• Systeme einrichten für manuelles Override oder Ablehnung von KI-Vorschlägen
• Trainings durchführen, damit Überwacher Fehler erkennen können
• Dokumentation der Überwachungsmaßnahmen archivieren

Warum es wichtig ist: Art. 26 Abs. 1 verpflichtet zu „human oversight" — nicht weil KI schlecht ist, sondern um sicherzustellen, dass Risiken kontrolliert sind.

Was zu tun ist: Etablieren Sie ein Vorfallmanagementsystem für hochriskante Systeme:

• Vorfallregister: Dokumentieren Sie jeden Vorfall (Fehler, Unfallzwischenfälle, Datenpannen, unerwartete Verhalten)
• Bewertung: Klassifizieren Sie Vorfälle nach Schweregrad und Auswirkung
• Meldepflicht: Berichten Sie schwere Vorfälle an Aufsichtsbehörden (Art. 26 Abs. 5)
• Korrekturmaßnahmen: Dokumentieren Sie, wie Sie den Vorfall behoben haben

Warum es wichtig ist: Ein transparentes Vorfallregister zeigt Aufsichtsbehörden, dass Sie aktiv Ihre Systeme überwachen und ernst nehmen. Versteckte Vorfälle führen zu schärferen Strafen.

Was zu tun ist: Richten Sie regelmäßige Compliance-Reviews ein:

• Quartalsweise: Überprüfung des KI-Inventars auf neue Systeme
• Halbjährlich: Audit der Dokumentation, Schulungen, Vorfallregister
• Jährlich: Gesamtcompliance-Assessment, Anpassung der KI-Policy an neue Entwicklungen
• Bei Änderungen: Sofortige Überprüfung bei Systemupdates, Datenquellen-Änderungen, Nutzungsausweitung

Warum es wichtig ist: Der AI Act ist kein einmaliges Projekt, sondern ein kontinuierlicher Governance-Prozess. Änderungen in Ihren KI-Systemen oder der Regulierung erfordern schnelle Anpassungen.