Checkliste zur KI-Verordnung (EU AI Act) für den Mittelstand

15 Punkte zum Abhaken. Prüfen Sie selbst, wo Ihr Betrieb steht.

Diese Checkliste hilft Ihnen, die wichtigsten Pflichten der KI-Verordnung und sinnvolle Schritte zur Umsetzung systematisch durchzugehen. Einige Pflichten gelten nur für Hochrisiko-KI, das steht jeweils dabei. Die Checkliste ersetzt keine Rechtsberatung, gibt Ihnen aber einen guten ersten Überblick, wo Handlungsbedarf besteht.

Tipp: Haken Sie die Punkte ab, die Sie bereits erledigt haben. Der Zähler am Ende zeigt Ihren Fortschritt.

Grundlagen

1. KI-Inventar erstellt Alle KI-Systeme im Betrieb sind erfasst, auch solche, die Mitarbeitende eigenständig nutzen (z.B. ChatGPT, Copilot).

2. Risikoklassen bestimmt Jedes KI-System ist einer der vier Risikoklassen zugeordnet: verboten, hoch, begrenzt oder gering.

3. Verbotene KI-Praktiken geprüft Es wurde geprüft, ob KI-Systeme eingesetzt werden, die nach Art. 5 KI-Verordnung verboten sind (z.B. Social Scoring, unterschwellige Manipulation).

4. Zuständige Person benannt Eine Person (intern oder extern) ist für KI-Themen verantwortlich und als Ansprechperson benannt.

5. KI-Richtlinie vorhanden Es gibt verbindliche interne Regeln für den Umgang mit KI: Wer darf was nutzen, was ist erlaubt, was nicht.

Transparenz und Information

6. Hinweis bei Chatbots geprüft Kundinnen, Kunden und andere Nutzende erkennen, wenn sie mit einer KI sprechen, zum Beispiel mit einem Chatbot. Dafür sorgt zuerst der Anbieter des Tools (Art. 50 Abs. 1 KI-Verordnung). Prüfen Sie, ob Ihr Tool diesen Hinweis zeigt.

7. Deepfakes und bestimmte KI-Texte offengelegt KI-Bilder, -Videos oder -Tonaufnahmen, die echte Personen, Orte oder Ereignisse täuschend echt darstellen (Deepfakes), sind als KI-erzeugt offengelegt. Das gilt auch für KI-Texte, mit denen Sie die Öffentlichkeit über Themen von öffentlichem Interesse informieren, wenn kein Mensch sie redaktionell geprüft hat (Art. 50 Abs. 4 KI-Verordnung). Für andere KI-Inhalte gibt es keine allgemeine Pflicht. Ein freiwilliger Hinweis schafft aber Vertrauen.

8. Betriebsanleitung und Protokolle (Hochrisiko-KI) Hochrisiko-KI nutzen Sie nach der Betriebsanleitung des Anbieters und überwachen den Betrieb. Die automatisch erzeugten Protokolle bewahren Sie mindestens sechs Monate auf, soweit sie bei Ihnen liegen (Art. 26 Abs. 1, 5 und 6 KI-Verordnung). Die technische Dokumentation erstellt der Anbieter, nicht Ihr Betrieb.

Menschliche Aufsicht und Qualität

9. Menschliche Aufsicht sichergestellt Bei Hochrisiko-KI, zum Beispiel bei der Vorauswahl von Bewerbungen, überwacht eine Person das System, die dafür geschult ist und die nötigen Befugnisse hat (Art. 26 Abs. 2 KI-Verordnung). Auch sonst gilt: Wichtige Entscheidungen trifft ein Mensch.

10. Qualitätskontrolle eingerichtet KI-Ergebnisse werden regelmäßig auf Qualität, Fairness und Richtigkeit geprüft.

11. Beschäftigte und Betroffene informiert (Hochrisiko-KI) Bevor Sie Hochrisiko-KI am Arbeitsplatz einsetzen, informieren Sie den Betriebsrat, falls vorhanden, und die betroffenen Beschäftigten (Art. 26 Abs. 7 KI-Verordnung). Entscheidet Hochrisiko-KI über Menschen mit oder bereitet sie Entscheidungen vor, informieren Sie die Betroffenen (Art. 26 Abs. 11). Auf Nachfrage erklären Sie, welche Rolle die KI bei der Entscheidung gespielt hat (Art. 86).

Datenschutz und Schulung

12. DSGVO-Konformität geprüft Die Verarbeitung personenbezogener Daten durch KI-Systeme ist datenschutzkonform. Auftragsverarbeitungsverträge liegen vor.

13. Datenschutz-Folgenabschätzung durchgeführt Für KI-Systeme mit hohem Risiko für die Rechte Betroffener wurde eine DSFA erstellt.

14. Mitarbeitende geschult Für alle Mitarbeitenden, die mit KI arbeiten, gibt es Maßnahmen zur KI-Kompetenz, zum Beispiel eine Grundlagenschulung, und diese Maßnahmen sind dokumentiert (Art. 4 KI-Verordnung).

15. Regelmäßige Überprüfung geplant Es gibt einen festen Rhythmus, zum Beispiel halbjährlich, in dem KI-Systeme und Richtlinien überprüft und aktualisiert werden.

Noch keine Punkte abgehakt. Starten Sie mit dem ersten Schritt!

Nicht alles abgehakt?

Das ist normal. Die wenigsten Betriebe erfüllen heute schon alle Anforderungen. Wichtig ist, dass Sie wissen, wo die Lücken sind, und einen Plan haben, sie zu schließen.

Im KI-Sicherheitscheck prüfe ich Ihre Situation professionell und liefere Ihnen einen konkreten Maßnahmenplan.

Lassen Sie sich professionell prüfen.

Der KI-Sicherheitscheck gibt Ihnen Sicherheit: ein klarer Ampel-Bericht pro KI-System und konkrete nächste Schritte.

Zum KI-Sicherheitscheck