AI-Act-Checkliste für Unternehmen

Rechtsstand: 3.11.2026 · 25 Prüfpunkte · zum Ausdrucken (Strg/Cmd + P)

Diese Checkliste fasst zusammen, was ein typisches KMU als Betreiber von KI-Systemen prüfen sollte. Wenn Sie KI-Systeme selbst entwickeln oder unter eigenem Namen anbieten, kommen weitere Pflichten hinzu (Abschnitt 6).

1. Organisation

Eine verantwortliche Person für KI-Themen ist benannt und intern bekannt.
Es gibt einen Prozess, wie neue KI-Tools beantragt und freigegeben werden.
Datenschutz (DSGVO) und Informationssicherheit sind in die Freigabe eingebunden.

2. KI-Inventar

Alle eingesetzten KI-Systeme sind erfasst – inklusive KI-Funktionen in bestehender Software.
Zu jedem System sind Anbieter, Zweck, Abteilung, Verantwortliche und Datenarten dokumentiert.
Die Rolle (Betreiber / Anbieter) ist je System festgelegt (Art. 3, Art. 25).
Das Inventar wird mindestens jährlich und bei neuen Tools aktualisiert.

3. Verbotene Praktiken (Art. 5) – gilt seit 2.2.2025

Kein System dient der unterschwelligen Manipulation oder dem Ausnutzen von Schwächen.
Kein Social Scoring, keine Emotionserkennung von Beschäftigten (außer medizinisch / sicherheitsbedingt).
Keine biometrische Kategorisierung nach sensiblen Merkmalen, kein ungezieltes Gesichtsbild-Scraping.
Kein System erzeugt nicht-einvernehmliche intime Inhalte (neues Verbot ab 2.12.2026).

4. KI-Kompetenz (Art. 4) – gilt seit 2.2.2025

Es gibt eine KI-Nutzungsrichtlinie (erlaubte Tools, Daten, Kennzeichnung, Prüfpflicht).
Beschäftigte, die KI nutzen, wurden passend zu ihrer Rolle geschult.
Schulungen und Teilnahmen sind dokumentiert.
Neue Mitarbeitende erhalten die Inhalte beim Onboarding.

5. Transparenz (Art. 50) – gilt seit 2.8.2026

Chatbots und Sprachassistenten weisen erkennbar darauf hin, dass es sich um KI handelt.
Deepfakes (Bild, Ton, Video) werden als künstlich erzeugt offengelegt.
KI-Texte zu Themen von öffentlichem Interesse sind gekennzeichnet oder redaktionell verantwortet.
Personen werden informiert, wenn Emotionserkennung oder biometrische Kategorisierung eingesetzt wird.

6. Hochrisiko (Anhang III) – gilt ab 2.12.2027

Für jedes System ist geprüft, ob es in einem Anhang-III-Bereich eingesetzt wird (z. B. Personal, Kredit, Bildung).
Betreiber: Gebrauchsanweisung, menschliche Aufsicht, Eingabedaten, Überwachung, Protokolle (mind. 6 Monate) und Information der Beschäftigten sind organisiert (Art. 26).
Wo erforderlich, ist eine Grundrechte-Folgenabschätzung geplant (Art. 27) und das Recht auf Erläuterung umsetzbar (Art. 86).
Anbieter: Risikomanagement, Daten-Governance, technische Dokumentation, Konformitätsbewertung, CE-Kennzeichnung, Registrierung und Marktbeobachtung sind geplant (Art. 9–17, 43–49, 72).

Hinweis: Nach Art. 6 Abs. 3 kann ein System trotz Anhang-III-Bereich ausnahmsweise nicht hochriskant sein – das muss aber dokumentiert werden und gilt nie bei Profiling. Details im Ratgeber zu Anhang III.

Checkliste pro System abarbeiten

Im AI-Act-Kompass wird aus Ihren Antworten automatisch eine To-do-Liste mit Fristen – je System und Rolle.

Kostenlos starten

Quellen

Diese Checkliste ist eine vereinfachte Orientierungshilfe und erhebt keinen Anspruch auf Vollständigkeit. Sie ersetzt keine Rechtsberatung. Das Abhaken aller Punkte bedeutet nicht, dass alle Anforderungen der Verordnung erfüllt sind.