KI-Compliance: Gap-Analyse zur KI-Verordnung in 7 Schritten
Eine Gap-Analyse zur KI-Verordnung vergleicht, was Ihr Unternehmen heute bei KI tut, mit dem, was der EU AI Act verlangt – je System, je Rolle, je Frist. Sie besteht aus sieben Schritten: Inventar, Risikoklasse, Rolle, Abgleich je Pflicht, Priorisierung, Maßnahmenplan und Nachweise. Das Ergebnis ist eine priorisierte Liste offener Punkte, die Ihre KI-Compliance planbar macht.
Das Wichtigste in Kürze
- KI-Compliance beginnt nicht mit Paragrafen, sondern mit einer vollständigen Liste der KI-Systeme, die Sie entwickeln, kaufen oder nutzen.
- Die Verordnung schreibt keine Gap-Analyse vor. Ohne sie lässt sich aber kaum belegen, dass Sie Ihre Pflichten kennen und erfüllen.
- Im Oktober 2026 sind Verbote, KI-Kompetenz und die Transparenzpflichten nach Artikel 50 bereits durchsetzbar – in Deutschland durch die Bundesnetzagentur.
- Für Hochrisiko-KI bleibt bis zum 2. Dezember 2027 bzw. 2. August 2028 Zeit. Verträge, Dokumentation und Betriebsrat brauchen trotzdem Vorlauf.
- Eine Gap-Analyse ist keine Konformitätsbewertung und kein Zertifikat, sondern Ihr interner Arbeitsplan.
Warum gerade jetzt eine Gap-Analyse?
Bis Mitte 2026 war vieles unklar: Würden die Hochrisiko-Fristen verschoben? Wer würde in Deutschland kontrollieren? Beide Fragen sind beantwortet. Der Digital Omnibus – Verordnung (EU) 2026/1744 – hat die Termine festgelegt, und seit dem 29. Juli 2026 ist das KI-MIG in Kraft, das die Bundesnetzagentur zur zentralen Marktüberwachungsbehörde macht. Wer auf Klarheit gewartet hat, hat sie jetzt.
Gleichzeitig ist KI in den meisten Unternehmen unübersichtlich geworden. Der Vertrieb nutzt ChatGPT, die Personalabteilung testet ein Bewerbermanagement mit KI-Ranking, der Kundenservice hat einen Chatbot vom Dienstleister, und in Microsoft 365 steckt Copilot. Kaum eine Geschäftsführung kann auf Anhieb sagen, welche davon unter welche Pflicht fallen. Genau das beantwortet eine Gap-Analyse.
Sie können die Analyse mit eigenen Tabellen durchführen – die Vorlage dafür finden Sie weiter unten. Schneller geht der Einstieg mit dem kostenlosen KI-Governance & Readiness-Check von Opsio: Sie beantworten Fragen zu Ihrer KI-Nutzung, und aus den Antworten entstehen sofort ein Reifegradbild in zehn Bereichen und vier Governance-Dokumente. Die Fragen sind auf Deutsch, die Dokumente auf Englisch. Den rechtlichen Rahmen erklärt unser Leitfaden zum EU AI Act.
Brauchen Sie Unterstützung bei KI-Compliance: Gap-Analyse zur KI-Verordnung in 7 Schritten?
Unsere Cloud-Architekten unterstützen Sie bei KI-Compliance: Gap-Analyse zur KI-Verordnung in 7 Schritten — von der Strategie bis zur Umsetzung. Buchen Sie ein kostenloses 30-Minuten-Beratungsgespräch ohne Verpflichtung.
Gap-Analyse, Readiness-Check oder Konformitätsbewertung?
Die Begriffe werden oft durcheinandergeworfen. Sie meinen Unterschiedliches:
| Begriff | Was es ist | Wer es macht | Rechtlich vorgeschrieben? |
|---|---|---|---|
| Gap-Analyse | Abgleich Ist-Zustand gegen Pflichten der KI-Verordnung, Ergebnis: Lückenliste und Maßnahmenplan | intern, ggf. mit Beratung | nein |
| Readiness-Check | Reifegradbewertung der KI-Governance insgesamt, oft als Fragebogen | intern, oft toolgestützt | nein |
| Konformitätsbewertung | formales Verfahren nach Artikel 43, ob ein Hochrisiko-System die Anforderungen erfüllt | Anbieter, teils mit notifizierter Stelle | ja, für Anbieter von Hochrisiko-KI |
| Audit nach ISO 42001 | Prüfung eines KI-Managementsystems | akkreditierte Zertifizierungsstelle | nein, freiwillig |
Für die meisten Unternehmen, die KI einsetzen statt anbieten, sind Gap-Analyse und Readiness-Check die passenden Werkzeuge. Wer ein Managementsystem aufbauen will, findet die Grundlagen im Beitrag Was ist ISO 42001?.
Die Methode in sieben Schritten
Schritt 1: Umfang festlegen und KI-Inventar aufbauen
Legen Sie fest, welche Gesellschaften, Standorte und Geschäftsbereiche einbezogen werden. Dann erfassen Sie jedes KI-System: eingekaufte Software mit KI-Funktionen, eigene Modelle, generative Tools, KI in Fachanwendungen. Quellen sind Einkaufs- und Lizenzlisten, SSO-Protokolle, Umfragen in den Fachbereichen und Gespräche mit IT und Entwicklung. Unterschätzen Sie die unsichtbare Nutzung nicht: private ChatGPT-Konten, Browser-Erweiterungen, Transkriptions-Apps in Teams-Meetings. Wie Sie diese „Schatten-KI“ finden, beschreibt unser Beitrag zu Schatten-KI und KI-Inventar.
Schritt 2: Jedes System einer Risikoklasse zuordnen
Prüfen Sie für jedes System: Ist es eine verbotene Praxis nach Artikel 5? Ist es Hochrisiko-KI nach Anhang I oder III? Fällt es unter die Transparenzpflichten nach Artikel 50? Oder ist es minimales Risiko ohne besondere Pflichten? Entscheidend ist der konkrete Verwendungszweck. Ein Chatbot ist kein Hochrisiko-System – bis er Bewerbungen bewertet. Die Kriterien erklärt der Beitrag zu Hochrisiko-KI-Systemen. Dokumentieren Sie die Begründung, besonders wenn Sie sich auf die Ausnahme nach Artikel 6 Abs. 3 stützen.
Schritt 3: Rolle je System bestimmen
Sind Sie Anbieter, Betreiber, Einführer oder Händler? Für die meisten eingekauften Tools sind Sie Betreiber. Für alles, was Sie selbst entwickeln oder unter eigenem Namen anbieten, sind Sie Anbieter – auch für einen Chatbot, den Ihr Team auf Basis eines Sprachmodells gebaut hat. Achten Sie auf den Rollenwechsel nach Artikel 25: Wer ein Hochrisiko-System wesentlich verändert oder ein Allzweck-Tool für einen Hochrisiko-Zweck einsetzt, wird selbst Anbieter.
Schritt 4: Lücke je Pflicht bewerten
Jetzt der eigentliche Abgleich. Für jede Kombination aus System, Rolle und Risikoklasse listen Sie die anwendbaren Pflichten und bewerten: erfüllt, teilweise erfüllt, nicht erfüllt, nicht anwendbar. Belegen Sie „erfüllt“ mit einem Nachweis. Für Betreiber von Hochrisiko-KI ist Artikel 26 die Messlatte; für alle Unternehmen Artikel 4, 5 und 50.
Schritt 5: Nach Frist und Risiko priorisieren
Was schon gilt, kommt zuerst: verbotene Nutzungen beenden, Maßnahmen zur KI-Kompetenz, Hinweise bei Chatbots und Deepfakes. Danach die Hochrisiko-Themen nach Termin – Anhang III bis Dezember 2027, Anhang I bis August 2028. Innerhalb gleicher Fristen entscheidet die Schwere möglicher Folgen für Betroffene. Den Kalender finden Sie im AI Act Zeitplan.
Schritt 6: Maßnahmenplan aufstellen
Jede Lücke bekommt eine Maßnahme, eine verantwortliche Person, einen Termin und eine Abhängigkeit. Typische Maßnahmen: eine KI-Richtlinie verabschieden, Schulungen ausrollen, Verträge mit Anbietern nachverhandeln, eine Risikobewertung je System einführen, Protokollierung aktivieren, Betriebsvereinbarung schließen. Planen Sie realistisch: Verhandlungen mit Softwareanbietern und dem Betriebsrat dauern eher Monate als Wochen.
Schritt 7: Nachweise sammeln und aktuell halten
Eine Gap-Analyse veraltet schnell. Neue Tools kommen hinzu, Anbieter ändern Funktionen, die Kommission veröffentlicht Leitlinien. Legen Sie fest, wann die Analyse aktualisiert wird – mindestens jährlich und bei jedem neuen KI-System – und wo die Nachweise liegen.
Vorlage: Gap-Analyse zur KI-Verordnung
So kann eine Zeile Ihrer Analyse aussehen. Ergänzen Sie Spalten nach Bedarf, etwa für Kosten oder Status.
| System | Rolle | Risikoklasse | Pflicht | Status | Maßnahme | Verantwortlich | Termin |
|---|---|---|---|---|---|---|---|
| Website-Chatbot (Eigenbau auf Sprachmodell) | Anbieter | Transparenz | Art. 50 Abs. 1 Hinweis auf KI | teilweise | Begrüßungstext anpassen, Hinweis vor erster Antwort | Leitung Kundenservice | sofort |
| Microsoft 365 Copilot | Betreiber | minimal | Art. 4 KI-Kompetenz | nicht erfüllt | Basismodul für alle Lizenznutzer, Richtlinie | HR / IT | Q4 2026 |
| Bewerbermanagement mit KI-Ranking | Betreiber | Hochrisiko (Anhang III Nr. 4) | Art. 26 menschliche Aufsicht, Information der Beschäftigten | nicht erfüllt | Aufsichtsprozess festlegen, Betriebsrat einbinden, Gebrauchsanweisung anfordern | Leitung Personal | Q2 2027 |
| Marketing-Bildgenerator | Betreiber | Transparenz | Art. 50 Abs. 4 Deepfakes | erfüllt | Freigaberegel in der Richtlinie dokumentiert | Marketing | – |
Für die Bewertung je System eignet sich eine strukturierte Vorlage zur KI-Risikobewertung; für die Regeln im Alltag eine KI-Richtlinie mit klaren Inhalten.
Typische Lücken in der Praxis
- Kein vollständiges Inventar: Die Analyse deckt nur die offiziell eingekauften Tools ab, nicht die tatsächlich genutzten.
- Keine Rolle dokumentiert: Niemand hat festgehalten, dass der selbstgebaute Chatbot das Unternehmen zum Anbieter macht.
- Artikel 4 als E-Learning abgehakt: Ein einmaliges Video für alle, ohne Vertiefung für Personal oder Kundenservice.
- Anbieterverträge ohne KI-Klauseln: Keine Aussage zu Training mit Kundendaten, Protokollen, Gebrauchsanweisung oder Mitwirkung bei Behördenanfragen.
- Betriebsrat zu spät eingebunden: Das verzögert den Rollout oft stärker als jede Rechtsfrage.
- Keine Zuständigkeit: KI-Governance hängt zwischen IT, Datenschutz und Recht, ohne dass jemand entscheidet.
KI-Governance als Ergebnis
Eine Gap-Analyse ist ein Projekt, KI-Governance ein Dauerzustand. Aus den Ergebnissen sollte deshalb ein Rahmen entstehen: wer neue KI-Anwendungen freigibt, nach welchen Kriterien, mit welcher Dokumentation, wie oft überprüft wird. Was dazu gehört, beschreibt unser Beitrag Was ist KI-Governance?. Wer die Umsetzung nicht allein stemmen möchte, kann sich bei unserer KI-Governance-Beratung unterstützen lassen.
Wer die Analyse durchführen sollte
Bewährt hat sich ein kleines Kernteam: eine verantwortliche Person mit Mandat der Geschäftsführung, dazu IT bzw. Informationssicherheit, Datenschutz, Recht oder Compliance, Personal und ein bis zwei Fachbereiche mit intensiver KI-Nutzung. Der Betriebsrat sollte frühzeitig informiert werden. Für ein mittelständisches Unternehmen reicht oft ein Workshop-Tag für Inventar und Einstufung, danach einzelne Termine je Fachbereich. Externe Unterstützung lohnt vor allem bei Hochrisiko-Systemen und Eigenentwicklungen.
Häufig gestellte Fragen
Was ist eine Gap-Analyse zur KI-Verordnung?
Ein strukturierter Abgleich zwischen dem, was Ihr Unternehmen bei KI heute tut, und dem, was die KI-Verordnung je nach Rolle und Risikoklasse verlangt. Das Ergebnis ist eine Liste offener Punkte mit Prioritäten, Verantwortlichen und Terminen. Sie ist ein internes Steuerungsinstrument, kein formaler Nachweis gegenüber Behörden.
Ist eine Gap-Analyse gesetzlich vorgeschrieben?
Nein. Die KI-Verordnung schreibt keine Gap-Analyse vor. Sie verlangt aber zahlreiche Einzelpflichten, von KI-Kompetenz bis Protokollierung, die Sie nur erfüllen können, wenn Sie wissen, welche Systeme Sie einsetzen und welche Pflichten dafür gelten. Die Gap-Analyse ist der pragmatische Weg dorthin.
Wie lange dauert eine Gap-Analyse?
Das hängt von der Zahl der KI-Systeme ab. Ein Unternehmen mit einer Handvoll eingekaufter Tools kann Inventar und Einstufung in wenigen Tagen erledigen. Mit Eigenentwicklungen, Hochrisiko-Systemen und mehreren Gesellschaften dauert es eher Wochen. Eine erste Standortbestimmung per Fragebogen gelingt in etwa 40 Minuten.
Was ist der Unterschied zwischen KI-Compliance und KI-Governance?
KI-Compliance bedeutet, gesetzliche Pflichten wie die der KI-Verordnung und der DSGVO einzuhalten. KI-Governance ist der organisatorische Rahmen dafür: Zuständigkeiten, Freigabeprozesse, Richtlinien, Risikobewertung und Überwachung. Gute Governance macht Compliance dauerhaft – und deckt zusätzlich Themen ab, die kein Gesetz regelt, etwa Qualität und Kosten.
Welche Pflichten gelten heute schon?
Stand Oktober 2026: das Verbot bestimmter KI-Praktiken und die Pflicht zu Maßnahmen für KI-Kompetenz seit dem 2. Februar 2025, die Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck seit dem 2. August 2025 und die Transparenzpflichten nach Artikel 50 seit dem 2. August 2026. Ab dem 2. Dezember 2026 kommen zwei neue Verbote hinzu.
Ihre Lücken in 40 Minuten
Der schnellste Start in die Gap-Analyse ist der KI-Governance & Readiness-Check von Opsio. In vierzehn Schritten beantworten Sie Fragen zu Tools, Daten, Mitarbeitenden, Anbietern und Eigenentwicklungen – Teile davon können Sie per Link an IT, Personal oder Datenschutz weitergeben. Sobald Sie absenden, sehen Sie Ihren Reifegrad in zehn Bereichen auf einer Skala von fünf Stufen und erhalten vier Dokumente: ein KI-Governance-Rahmenwerk, eine KI-Richtlinie für Mitarbeitende, eine Checkliste zur Prüfung von KI-Anbietern und eine Vorlage zur KI-Risikobewertung. Die Dokumente kommen auf Englisch als Word-Dateien, die Sie anpassen und freigeben. Kostenlos, ohne Kreditkarte, ohne Verpflichtung.
Dieser Beitrag ist eine allgemeine Information und keine Rechtsberatung. Maßgeblich ist die konsolidierte Fassung der Verordnung (EU) 2024/1689 in der durch die Verordnung (EU) 2026/1744 geänderten Fassung. Stand: Oktober 2026.
Über den Autor
Group COO & CISO
Fredrik ist Group COO und CISO bei Opsio. Er konzentriert sich auf operative Exzellenz, Governance und Informationssicherheit und arbeitet eng mit den Liefer- und Führungsteams zusammen, um Technologie, Risiko und Geschäftsergebnisse in komplexen IT-Umgebungen in Einklang zu bringen. Er leitet die Sicherheitspraxis von Opsio, einschließlich SOC-Services, Penetrationstests und Compliance-Frameworks.
Redaktionelle Standards: Dieser Artikel wurde von einer zertifizierten Fachperson verfasst und von unserem Engineering-Team geprüft. Wir überarbeiten ihn, wenn sich die behandelte Technologie oder Regulierung ändert; die Daten oben zeigen die letzte Aktualisierung. Opsio ist redaktionell unabhängig — wir empfehlen Lösungen nach technischen Kriterien, nicht nach Geschäftsbeziehungen.