Umsetzung
EU AI Act Checkliste 2026: 10 Schritte für Unternehmen
Eine umsetzbare Zehn-Schritte-Checkliste für Unternehmen, die ihre KI-Nutzung strukturiert und nachweisbar organisieren möchten.
Der EU AI Act wird nicht mit einem einzelnen Dokument umgesetzt. Unternehmen benötigen einen Überblick über ihre KI-Systeme, klare Verantwortlichkeiten und Maßnahmen, die zum jeweiligen Risiko passen. Die folgende Checkliste schafft eine belastbare Reihenfolge für den Einstieg.
1. Verantwortung und Geltungsbereich festlegen
Benennen Sie eine koordinierende Stelle und definieren Sie, welche Gesellschaften, Teams und externen Dienstleister erfasst werden. Ein AI Officer ist nicht vorgeschrieben; eine eindeutige Zuständigkeit verhindert trotzdem, dass Aufgaben zwischen IT, Datenschutz, HR und Compliance liegen bleiben.
2. Alle KI-Anwendungen erfassen
Fragen Sie nicht nur nach offiziell beschafften Fachsystemen. Auch browserbasierte Assistenten, integrierte Office-Funktionen, Übersetzungsdienste, Bildgeneratoren und KI-Funktionen bestehender SaaS-Produkte gehören in die Bestandsaufnahme.
- Name und Anbieter des Systems
- Zweck und nutzende Abteilung
- verarbeitete Datenarten
- betroffene Personen und mögliche Auswirkungen
- verantwortliche Person und Freigabestatus
3. Eigene Rolle und Risiko einordnen
Klären Sie, ob das Unternehmen Anbieter, Betreiber, Importeur oder Händler ist. Ordnen Sie danach jeden Einsatz grob ein: verboten, möglicherweise hochriskant, transparenzpflichtig oder geringes Risiko. Bei Unsicherheit sollte eine fachliche Prüfung ausgelöst werden.
Besondere Aufmerksamkeit verdienen KI-Einsätze in Personal, Bildung, Kreditwürdigkeit, Zugang zu wesentlichen Diensten, kritischer Infrastruktur und biometrischen Anwendungen.
4 bis 7: Regeln, Datenschutz, Anbieter und Transparenz
Erstellen Sie eine interne KI-Richtlinie, prüfen Sie personenbezogene und vertrauliche Daten, bewerten Sie die Vertrags- und Sicherheitsunterlagen der Anbieter und legen Sie erforderliche Transparenzhinweise fest.
- freigegebene und untersagte Werkzeuge dokumentieren
- Eingabe sensibler Daten verbindlich regeln
- Auftragsverarbeitung, Datenstandorte und Trainingsnutzung prüfen
- Hinweise für Chatbots, Deepfakes und andere betroffene Inhalte vorbereiten
8 bis 10: Kompetenz, Kontrolle und Aktualisierung
Schulen Sie Personen passend zu ihrer Rolle, definieren Sie menschliche Prüfungsschritte und richten Sie einen Prozess für Fehler oder Vorfälle ein. Das Register sollte aktualisiert werden, sobald neue Funktionen, Anbieter oder Zwecke hinzukommen.
- rollenspezifische KI-Kompetenz-Maßnahmen durchführen
- fachliche Kontrolle von KI-Ausgaben festlegen
- Vorfälle, Beschwerden und Korrekturen dokumentieren
- mindestens regelmäßig und anlassbezogen neu bewerten
Häufige Fragen
Braucht jedes Unternehmen ein KI-Register?
Ein allgemeines Register ist nicht pauschal als eigenes Dokument vorgeschrieben. Es ist aber die praktischste Grundlage, um Systeme, Zwecke, Risiken und Maßnahmen nachvollziehbar zu steuern.
Wo sollte ein kleines Unternehmen anfangen?
Mit einer einfachen Liste aller genutzten KI-Werkzeuge, ihrer Zwecke, Datenarten und verantwortlichen Personen. Danach werden kritische Einsätze priorisiert.
Wie oft muss die Checkliste wiederholt werden?
Es gibt keinen pauschalen Turnus. Eine Überprüfung sollte bei neuen Systemen, neuen Funktionen, geänderten Zwecken, Vorfällen und wichtigen Rechtsänderungen erfolgen.
Offizielle Quellen und Stand
Stand: 28. August 2026. Die Inhalte dienen der allgemeinen Information und ersetzen keine individuelle Rechtsberatung.