AI Act Checkliste: KI-Verordnung in 10 Schritten umsetzen

Diese AI Act Checkliste führt Unternehmen in zehn Schritten durch die KI-Verordnung: KI-Systeme erfassen, Rolle und Risikoklasse bestimmen, verbotene Praktiken ausschließen, KI-Kompetenz fördern, Transparenz umsetzen, Hochrisiko-Pflichten vorbereiten, Anbieter prüfen, Datenschutz verzahnen, Zuständigkeiten festlegen und Nachweise führen. Alle Fristen entsprechen dem Stand nach dem Digital Omnibus.

Das Wichtigste in Kürze

• Die ersten fünf Punkte betreffen Pflichten, die im Oktober 2026 bereits gelten.
• Die Hochrisiko-Punkte haben Fristen am 2. Dezember 2027 (Anhang III) und 2. August 2028 (Anhang I).
• Ihre Rolle – Anbieter oder Betreiber – entscheidet über den Umfang. Prüfen Sie sie je System.
• In Deutschland ist seit dem 29. Juli 2026 vor allem die Bundesnetzagentur für die Durchsetzung zuständig.
• Haken Sie einen Punkt erst ab, wenn ein Nachweis vorliegt.

Bevor Sie anfangen

Ältere Checklisten nennen oft noch den 2. August 2026 als Stichtag für Hochrisiko-KI oder bezeichnen den Digital Omnibus als Vorschlag. Beides ist überholt: Die Verordnung (EU) 2026/1744 ist seit dem 27. Juli 2026 in Kraft und ändert die KI-Verordnung unmittelbar. Den Überblick über die gesamte Verordnung bietet unsere Zusammenfassung des EU AI Act.

Benennen Sie vorab eine verantwortliche Person mit Mandat der Geschäftsführung und ein kleines Team aus IT, Datenschutz, Recht oder Compliance und Personal. Wer die Checkliste nicht mit leeren Tabellen beginnen möchte, kann den kostenlosen KI-Readiness-Check von Opsio als Startpunkt nutzen; er liefert ein Reifegradbild und vier Governance-Dokumente, auf denen die Schritte aufbauen.

Die Checkliste im Überblick

Schritt für Schritt

1. KI-Systeme erfassen

• Eingekaufte Software mit KI-Funktionen, eigene Modelle, generative Tools, KI in Fachanwendungen auflisten.
• Private Konten, Browser-Erweiterungen und KI-Funktionen in bestehender Software einbeziehen.
• Je System Zweck, Verantwortliche, Nutzergruppe und Daten festhalten.

Wie Sie auch die unsichtbare Nutzung finden, zeigt der Beitrag Schatten-KI und KI-Inventar.

2. Rolle bestimmen

• Für jedes System festhalten: Anbieter, Betreiber, Einführer oder Händler.
• Eigene Chatbots und Anwendungen auf Basis von Sprachmodellen als Anbieter-Fälle kennzeichnen.
• Rollenwechsel nach Artikel 25 prüfen: eigene Marke, wesentliche Veränderung, Zweckänderung.

3. Verbotene Praktiken ausschließen

• Prüfen, ob irgendwo Emotionserkennung bei Beschäftigten, Social Scoring, manipulative Techniken oder biometrische Kategorisierung nach sensiblen Merkmalen eingesetzt wird.
• Ab 2. Dezember 2026: keine KI zur Erzeugung nicht einvernehmlicher intimer Bilder oder von Missbrauchsdarstellungen.
• Verbote in die KI-Richtlinie aufnehmen.

4. KI-Kompetenz fördern

• Schulungsbedarf je Rolle bestimmen: Basis für alle, Vertiefung für Personal, Kundenservice, Finanzen, Entwicklung.
• Maßnahmen durchführen und dokumentieren: wer, was, wann, in welchem Umfang.
• Auffrischung festlegen. Ein Zertifikat ist nicht erforderlich.

Details im Beitrag zur KI-Schulungspflicht nach Artikel 4.

5. Transparenz und Kennzeichnung umsetzen

• Chatbots weisen bei der ersten Interaktion darauf hin, dass sie KI sind.
• Eigene Generatoren markieren Ausgaben maschinenlesbar; bei zugekauften Tools beim Anbieter nachfragen.
• Deepfakes und KI-Texte zu Themen von öffentlichem Interesse ohne redaktionelle Verantwortung kennzeichnen.
• Beschäftigte und Kunden über Emotionserkennung oder biometrische Kategorisierung informieren.

Was genau gekennzeichnet werden muss, erklärt der Beitrag zur KI-Kennzeichnungspflicht.

6. Risikoklasse festlegen

• Je Einsatzzweck prüfen: Anhang I (Produkt mit Drittprüfung) oder Anhang III (sensibler Zweck)?
• Ausnahme nach Artikel 6 Abs. 3 nur mit dokumentierter Begründung nutzen; nie bei Profiling.
• Ergebnis im Inventar festhalten.

7. Hochrisiko-Pflichten vorbereiten

• Als Anbieter: Risikomanagement, Daten-Governance, technische Dokumentation, Protokollierung, menschliche Aufsicht, Qualitätsmanagement, Konformitätsbewertung, Registrierung planen.
• Als Betreiber: Aufsicht mit kompetenten Personen besetzen, Protokolle mindestens sechs Monate aufbewahren, Beschäftigte und Betriebsrat vor dem Einsatz informieren, Betroffene informieren.
• Prüfen, ob eine Grundrechte-Folgenabschätzung nötig ist (öffentliche Stellen, öffentliche Dienste, Kreditprüfung, Lebens- und Krankenversicherung).

Die Einstufung erklärt der Beitrag zu Hochrisiko-KI-Systemen.

8. Anbieter und Verträge prüfen

• Gebrauchsanweisung, Konformitätsnachweise und Testergebnisse anfordern.
• Klauseln zu Training mit Ihren Daten, Speicherort, Protokollen, Vorfallmeldung und Unterstützung bei Behördenanfragen vereinbaren.
• Bei GPAI-Anbietern nach dem Verhaltenskodex fragen.

9. Datenschutz verzahnen

• Rechtsgrundlage, Auftragsverarbeitung und Drittlandübermittlung je System klären.
• DSFA-Schwelle prüfen und mit der KI-Risikobewertung verbinden.
• Datenschutzhinweise um KI-Verarbeitungen ergänzen.

Mehr dazu im Beitrag KI und Datenschutz.

10. Governance und Nachweise

• Freigabeprozess für neue KI-Anwendungen einführen.
• KI-Richtlinie verabschieden und bekannt machen.
• Risikobewertung je relevantes System durchführen und regelmäßig überprüfen.
• Meldeweg für KI-Vorfälle festlegen.
• Checkliste mindestens jährlich wiederholen.

Wie Sie die Schritte zu einem Maßnahmenplan verdichten, zeigt die Gap-Analyse zur KI-Verordnung.

Hinweise für Unternehmen in Deutschland

Die Bundesnetzagentur ist nach dem KI-MIG grundsätzlich Marktüberwachungsbehörde und betreibt einen KI-Service-Desk mit einem Online-Tool zur ersten Einschätzung der Risikoklasse. Für Banken und Versicherer ist die BaFin zuständig. Beachten Sie außerdem die Mitbestimmung des Betriebsrats nach § 87 Abs. 1 Nr. 6 BetrVG bei KI-Tools, die Verhalten oder Leistung auswerten können. Details im Beitrag zur KI-Aufsicht in Deutschland.

Typische Fehler beim Abarbeiten

• Mit Schritt 7 beginnen: Viele Teams stürzen sich auf Hochrisiko-Dokumentation, obwohl Inventar und Rolle noch fehlen – und übersehen dabei Pflichten, die heute schon gelten.
• Häkchen ohne Beleg: „Schulung erledigt“ ohne Teilnehmerliste oder „Chatbot gekennzeichnet“ ohne Screenshot hilft bei einer Anfrage der Behörde nicht.
• Einmal und nie wieder: Neue Tools, Updates mit KI-Funktionen und geänderte Einsatzzwecke machen jede Checkliste innerhalb weniger Monate unvollständig.
• Nur IT beteiligt: Personal, Datenschutz, Einkauf und Betriebsrat müssen mitarbeiten, sonst bleiben gerade die Hochrisiko-Fälle im Personalwesen unentdeckt.
• Veraltete Fristen: Unterlagen aus 2025 nennen oft noch den August 2026 für Hochrisiko-KI. Prüfen Sie alle Termine gegen den konsolidierten Text.

Häufig gestellte Fragen

Womit sollte ein Unternehmen bei der KI-Verordnung anfangen?

Mit einer vollständigen Liste der KI-Systeme und ihrer Einsatzzwecke. Ohne Inventar lassen sich weder Rolle noch Risikoklasse bestimmen. Danach kommen die Pflichten, die schon gelten: verbotene Praktiken ausschließen, Maßnahmen zur KI-Kompetenz, Transparenz bei Chatbots und Deepfakes.

Welche Punkte der Checkliste sind schon Pflicht?

Stand Oktober 2026 gelten das Verbot bestimmter Praktiken und Artikel 4 zur KI-Kompetenz seit Februar 2025 sowie die Transparenzpflichten nach Artikel 50 seit August 2026. Für Anbieter von GPAI-Modellen gelten deren Pflichten seit August 2025. Die Hochrisiko-Punkte werden ab Dezember 2027 verbindlich.

Reicht es, nur die eingekauften KI-Tools zu prüfen?

Nein. Viele Pflichten entstehen gerade durch Eigenentwicklungen, etwa einen selbst gebauten Chatbot, der Sie zum Anbieter macht, und durch Tools, die ohne Freigabe genutzt werden. Beziehen Sie auch KI-Funktionen ein, die in bestehender Software per Update aktiviert wurden.

Wie oft sollte die Checkliste durchlaufen werden?

Mindestens einmal jährlich und zusätzlich bei neuen KI-Systemen, Zweckänderungen, Vorfällen oder neuen Leitlinien der Kommission und der Bundesnetzagentur. Bis zu den Hochrisiko-Fristen 2027 und 2028 lohnt ein halbjährlicher Rhythmus.

Brauchen kleine Unternehmen die ganze Checkliste?

Die Schritte 1 bis 5 und 10 betreffen jedes Unternehmen, das KI beruflich nutzt, unabhängig von der Größe. Die Hochrisiko-Schritte 6 und 7 werden nur relevant, wenn Sie solche Systeme einsetzen oder anbieten. KMU und kleine Midcaps erhalten dabei Erleichterungen, etwa bei Dokumentation und Bußgeldobergrenzen.

Abkürzung: die Dokumente aus Ihren Antworten

Viele Schritte der Checkliste brauchen Dokumente: eine Richtlinie, ein Rahmenwerk mit Zuständigkeiten, eine Anbieterprüfung, eine Risikobewertung. Der KI-Governance & Readiness-Check von Opsio erstellt alle vier nach etwa 40 Minuten Fragen in vierzehn Schritten: KI-Governance-Rahmenwerk, KI-Richtlinie für Mitarbeitende, Checkliste zur Prüfung von KI-Anbietern und Vorlage zur KI-Risikobewertung, dazu Ihren Reifegrad in zehn Bereichen. Die Fragen sind auf Deutsch, die Word-Dateien auf Englisch. Kostenlos, unverbindlich, die Dokumente gehören Ihnen.

Dieser Beitrag ist allgemeine Information und keine Rechtsberatung. Maßgeblich ist die konsolidierte Fassung der Verordnung (EU) 2024/1689 in der durch die Verordnung (EU) 2026/1744 geänderten Fassung. Stand: Oktober 2026.