Die Verordnung (EU) 2024/1689 verpflichtet Unternehmen, ihre eingesetzten KI-Systeme zu kennen, einzuordnen und die Nutzung nachvollziehbar zu dokumentieren. Diese Checkliste fasst zusammen, was dafür im Alltag zusammenkommen muss. Sie ersetzt keine Rechtsberatung, sondern hilft beim Sortieren.
1. Rollen klären: Anbieter oder Betreiber
Die Pflichten hängen davon ab, in welcher Rolle Ihr Unternehmen ein KI-System nutzt.
Anbieter: Sie entwickeln ein KI-System oder bringen es unter eigenem Namen auf den Markt.
Betreiber: Sie setzen ein fremdes KI-System unter eigener Verantwortung ein, etwa ein SaaS Tool.
Rollenwechsel prüfen: Wer ein zugekauftes System wesentlich verändert oder unter eigenem Namen anbietet, kann zum Anbieter werden.
Für jedes System festhalten, wer im Haus fachlich verantwortlich ist.
2. Risikoklassen einordnen
Der AI Act unterscheidet vier Stufen. Jede Stufe zieht andere Anforderungen nach sich.
Verbotene Praktiken: etwa Social Scoring oder manipulative Systeme. Einsatz ausschließen.
Hochrisiko: unter anderem Personalauswahl, Kreditwürdigkeit, kritische Infrastruktur. Umfassende Dokumentation, Risikomanagement und menschliche Aufsicht nötig.
Begrenztes Risiko: Chatbots und generative Systeme. Nutzer müssen erkennen können, dass sie mit KI interagieren; KI erzeugte Inhalte sind zu kennzeichnen.
Minimales Risiko: der Großteil der Bürowerkzeuge. Freiwillige Leitlinien genügen, eine Erfassung bleibt trotzdem sinnvoll.
3. KI-Kompetenz nachweisen (Art. 4)
Seit Februar 2025 müssen Anbieter und Betreiber sicherstellen, dass ihr Personal über ausreichende KI-Kompetenz verfügt.
Schulungsbedarf nach Rolle und Vorkenntnissen bestimmen.
Durchgeführte Schulungen mit Datum, Inhalt und Teilnehmern dokumentieren.
Wiederholungsintervall festlegen und Fristen überwachen.
Neue Mitarbeitende beim Onboarding einplanen.
4. Daten und Datenschutz
Der AI Act tritt neben die DSGVO, er ersetzt sie nicht.
Festhalten, welche Datenarten in ein Tool eingegeben werden dürfen und welche nicht.
Auftragsverarbeitungsvertrag mit dem Anbieter prüfen und ablegen.
Drittlandübermittlung und Speicherort klären.
Prüfen, ob Eingaben zum Training des Anbietermodells verwendet werden.
5. Schatten-KI eindämmen
Nicht gemeldete Tools sind das häufigste Risiko, weil sie in keiner Prüfung auftauchen.
Eine Whitelist freigegebener Tools veröffentlichen, für alle Beschäftigten einsehbar.
Auflagen je Freigabe sichtbar machen, etwa Nutzung ohne Kundendaten.
Einen niedrigschwelligen Meldeweg für neue Tools anbieten.
Regelmäßig abgleichen, welche Tools tatsächlich genutzt werden.
6. Dokumentation und Nachweis
Im Prüfungsfall zählt, was belegbar ist.
Zentrales Register aller eingesetzten KI-Systeme führen.
Prüfergebnisse je Kriterium mit Verantwortlichen und Fundstellen der Unterlagen versehen.
Freigaben, Auflagen und Ablehnungen mit Datum nachvollziehbar halten.
Änderungen an Systemen erneut bewerten.
Checkliste in ein laufendes Register überführen
KIR bildet genau diese Punkte ab: Tool-Register mit Rollen, geführte Kriterienprüfung, Whitelist mit Auflagen, Schulungsnachweise und Meldungen zu Schatten-KI. Die Nutzung ist derzeit kostenfrei.