Die wichtigste Antwort zuerst: Unternehmen sollten ihre AI-Act-Compliance in 10 klaren Schritten organisieren, weil Art. 4 der EU-VO 2024/1689 seit dem 2. Februar 2025 gilt und spätestens zum 2. August 2026 weitere operative Pflichten real werden.
Diese Checkliste richtet sich an Geschäftsführung, HR, Compliance und Fachbereiche, die KI-Systeme bereits nutzen oder deren Einführung vorbereiten. Wenn Sie vorab die Grundpflicht hinter der Checkliste einordnen wollen, lesen Sie zuerst unseren Beitrag zur KI-Schulungspflicht nach Artikel 4, klaeren typische Praxisfragen in der FAQ und prüfen danach, wie der Kurs den Nachweis für Teams abbildet.
Für welche Unternehmen diese Checkliste relevant ist
Diese Checkliste ist für fast jedes Unternehmen relevant, das KI im beruflichen Kontext nutzt. Betroffen sind nicht nur Technologie- oder Produktteams, sondern auch Personalwesen, Marketing, Vertrieb, Kundenservice, Rechtsabteilung und Assistenzfunktionen, sobald KI Inhalte erzeugt, Daten auswertet, Entscheidungen vorbereitet oder Prozesse automatisiert.
Praktisch bedeutet das: Schon die Nutzung von Standard-Tools wie ChatGPT, Microsoft Copilot oder KI-Funktionen in SaaS-Systemen macht AI-Governance zu einem operativen Thema. Wer heute nur "ein bisschen KI" nutzt, braucht trotzdem eine Mindestlinie für Rollen, Schulung und Nachweis. Die Checkliste soll genau diese Mindestlinie schaffen, ohne Ihr Unternehmen in ein ueberdimensioniertes Compliance-Projekt zu zwingen.
Die 10 Schritte im Überblick
- KI-Systeme im Unternehmen identifizieren
- Risikoklassifizierung durchführen
- Rolle bestimmen: Anbieter oder Betreiber?
- KI-Kompetenz-Schulung nach Art. 4 durchführen
- Dokumentation aufsetzen
- Hochrisiko-Systeme gezielt prüfen
- Transparenzpflichten umsetzen
- Verantwortlichkeiten verbindlich zuweisen
- Regelmäßige Updates planen
- Schulungsnachweis und Schulungszertifikate sichern
Schritt 1: KI-Systeme im Unternehmen identifizieren
Der erste Schritt ist eine vollständige Inventur aller KI-Systeme, weil Compliance ohne Systemuebersicht nicht belastbar ist. Unternehmen uebersehen haeufig nicht nur ChatGPT oder Copilot, sondern auch KI-Funktionen in CRM-, HR-, Marketing- oder Support-Tools, die bereits produktiv genutzt werden.
Erfassen Sie deshalb jedes System mit Name, Anbieter, Fachbereich, Zweck und betroffenen Daten. Notieren Sie auch, wer das Tool verwendet und ob die Ausgabe nur unterstuetzt oder tatsaechlich Entscheidungen beeinflusst. Diese Inventur ist die Grundlage für die nächsten Schritte und vermeidet, dass später einzelne Schatten-Tools aus dem Governance-Rahmen fallen.
Schritt 2: Risikoklassifizierung durchführen
Die zweite Aufgabe ist die Risikoklassifizierung, weil der AI Act Pflichten nicht für jede KI gleich verteilt. Die Verordnung unterscheidet verbotene Praktiken nach Art. 5, Hochrisiko-Systeme nach Art. 6 der EU-VO 2024/1689, Transparenzfälle und Systeme mit minimalem Risiko.
Prüfen Sie für jedes inventarisierte System drei Fragen: Ist die Nutzung verboten, ist sie hochriskant oder greift später eine Transparenzpflicht? Besonders aufmerksam sollten Sie bei Recruiting, Leistungsbewertung, Kreditprüfung, biometrischen Verfahren und anderen Entscheidungen über Personen sein. Wenn Sie diese Einstufung früh dokumentieren, können Sie Maßnahmen priorisieren statt pauschal alles gleich zu behandeln.
Schritt 3: Rolle bestimmen: Anbieter oder Betreiber?
Im dritten Schritt müssen Sie Ihre Rolle bestimmen, weil Anbieter und Betreiber unterschiedliche Pflichten tragen. Für viele Unternehmen ist die praktische Realitaet einfacher als sie klingt: Wer Standard-Tools beruflich nutzt, ist meist Betreiber; wer ein KI-System selbst entwickelt oder wesentlich veraendert, kann Anbieter sein.
Gerade Mittelstaendler sind haeufig Betreiber, weil sie bestehende Systeme einkaufen und intern einsetzen. Trotzdem sollte die Rollenfrage schriftlich festgehalten werden, etwa für Eigenentwicklungen, Fine-Tuning, White-Label-Lösungen oder stark angepasste Workflows. Eine klare Rollenzuordnung verhindert später Missverständnisse in der Verantwortung zwischen IT, Fachbereich und externer Softwarebeschaffung.
Schritt 4: KI-Kompetenz-Schulung nach Art. 4 durchführen
Schritt vier ist die operative Kernmaßnahme, weil Art. 4 seit dem 2. Februar 2025 verlangt, dass Anbieter und Betreiber KI-Kompetenz bei Mitarbeitern und anderen eingesetzten Personen nach bestem Bemuehen sicherstellen. Die Schulung sollte deshalb nicht als freiwilliges Awareness-Format, sondern als belastbare Basismaßnahme geplant werden.
Vermitteln Sie mindestens den rechtlichen Rahmen, verbotene Praktiken, Chancen und Risiken der eingesetzten Systeme, interne Nutzungsregeln sowie Eskalationswege. Rollen mit höherem Risiko, etwa HR, Compliance, IT oder Management, brauchen zusaetzlich kontextbezogene Vertiefung. Wenn Sie diese Schulung schnell und nachweisbar ausrollen wollen, ist unser Kurs für Unternehmen der pragmatischste Einstieg; für den rechtlichen Hintergrund finden Sie parallel die Einordnung im Artikel zur KI-Schulungspflicht.
Schritt 5: Dokumentation aufsetzen
Ohne Dokumentation bleibt auch eine gute Schulung angreifbar, weil sich später weder Umfang noch Zeitpunkt der Maßnahmen nachweisen lassen. Unternehmen sollten deshalb früh ein schlankes, aber konsistentes Dokumentationssystem einrichten, das nicht erst bei einer Prüfung improvisiert wird.
Mindestens sinnvoll sind ein KI-Register, eine Risikoeinstufung pro System, interne Richtlinien, Schulungsinhalte, Teilnehmerlisten und Versionsstaende. Wenn Sie mit mehreren Teams arbeiten, lohnt sich ein zentrales Ablageschema mit eindeutigen Verantwortlichen. Dokumentation ist kein Selbstzweck: Sie reduziert Reibung bei Freigaben, Nachschulungen, Vendor-Reviews und internen Rueckfragen aus der Geschäftsführung.
Wichtig ist vor allem die Versionierbarkeit. Halten Sie fest, welche Richtlinie, welche Schulungsfassung und welche Risikoeinschätzung zu welchem Zeitpunkt galt. Gerade bei schnell wechselnden KI-Tools ist diese Historie oft wertvoller als ein isoliertes Einzelprotokoll, weil Sie damit begründen können, welche Maßnahmen zum jeweiligen Stand umgesetzt waren.
Schritt 6: Hochrisiko-Systeme gezielt prüfen
Hochrisiko-Systeme brauchen eine gesonderte Prüfung, weil hier ab dem 2. August 2026 die strengsten Anforderungen greifen. Besonders relevant sind Anwendungen in Beschaeftigung, Bildung, kritischer Infrastruktur, Kreditwuerdigkeitsprüfung oder biometrischen Konstellationen gemäß Anhang III der Verordnung.
Prüfen Sie deshalb nicht nur die Marketing-Bezeichnung eines Tools, sondern die konkrete Funktion im Prozess. Ein scheinbar normales System kann hochriskant werden, wenn es Bewerber vorsortiert, Leistung bewertet oder über Zugangsentscheidungen mitwirkt. Unternehmen sollten solche Systeme früh an Recht, Compliance und Fachbereich eskalieren, damit vor dem Enforcement-Stichtag keine ungeprüften Anwendungsfälle produktiv bleiben.
Schritt 7: Transparenzpflichten umsetzen
Transparenzpflichten sollten vor dem 2. August 2026 eingeplant werden, weil Art. 50 der EU-VO 2024/1689 für bestimmte Systeme Offenlegung verlangt. Das betrifft insbesondere Situationen, in denen Personen wissen müssen, dass sie mit KI interagieren oder künstlich erzeugte Inhalte erhalten.
Praktisch heisst das: Kennzeichnung für Chatbots, Umgang mit KI-generierten Inhalten und klare Regeln für Deepfake- oder Automatisierungsfälle. Auch wenn nicht jedes Unternehmen heute betroffen ist, spart eine frühe Transparenzlogik spätere Nachbesserungen in Marketing, Kundenservice und interner Kommunikation. Die FAQ hilft dabei, typische Abgrenzungsfragen schnell zu klaeren.
Schritt 8: Verantwortlichkeiten verbindlich zuweisen
AI-Act-Compliance scheitert oft nicht am Fachwissen, sondern an diffusen Zuständigkeiten. Deshalb braucht jedes Unternehmen einen klaren Owner für KI-Governance, zusaetzlich definierte Rollen für Schulung, Tool-Freigabe, Dokumentation und regelmäßige Reviews.
Sie müssen dafür keine neue Stabsstelle aufbauen. In kleineren Unternehmen reichen oft eine verantwortliche Person aus der Geschäftsführung oder Compliance sowie feste Ansprechpartner in HR und IT. Wichtig ist, dass Entscheidungen, Eskalationen und Update-Pflichten nicht zwischen Teams liegenbleiben. Wer hinter der redaktionellen und fachlichen Einordnung unserer Inhalte steht, sehen Sie auf Über uns.
Schritt 9: Regelmäßige Updates planen
AI-Act-Compliance ist kein Einmalprojekt, weil sich sowohl Tools als auch interne Einsatzszenarien laufend verändern. Ein sauberer Update-Plan legt deshalb fest, wann die Inventur erneuert, Schulungen aktualisiert und Richtlinien ueberprüft werden.
Als Mindeststandard empfiehlt sich ein festes Review pro Quartal sowie ein anlassbezogenes Update bei neuen Tools, neuen Teams oder veraenderten Risikoprofilen. Das ist besonders wichtig, weil viele Unternehmen KI zunächst in Marketing oder Office-Prozessen einführen und später in sensiblere Bereiche ausdehnen. Wer die Update-Logik früh aufsetzt, muss nicht bei jeder Tool-Einführung wieder bei null beginnen.
Schritt 10: Schulungsnachweis und Schulungszertifikate sichern
Der zehnte Schritt sichert die Beweisfähigkeit Ihrer Maßnahmen, weil ein durchgefuehrter Kurs ohne nachvollziehbaren Nachweis wenig hilft. Unternehmen sollten daher pro Person mindestens Teilnahme, Datum, Inhalt, Version, Lernkontrolle und ein Schulungszertifikat oder eine gleichwertige Bestaetigung archivieren.
Wichtig ist die Unterscheidung: Sie brauchen keinen formalen Titel und keine externe Akkreditierung, sondern einen belastbaren Schulungsnachweis. Genau deshalb sollten Nachweise so abgelegt werden, dass sie für Audits, Kundenanfragen oder interne Nachschulungen schnell verfügbar sind. Wenn Sie den Prozess ohne Insellösungen aufsetzen wollen, zeigt der Kurs, wie Nachweis und Abschluss strukturiert werden können.
Sinnvoll ist ausserdem eine kleine Nachweis-Checkliste pro Person: Wer wurde wann geschult, welche Inhalte wurden abgedeckt, welches Ergebnis wurde erzielt und wann ist das nächste Update fällig? Damit schaffen Sie nicht nur Ordnung für die eigene Organisation, sondern auch eine saubere Grundlage für Anfragen von Kunden, Partnern oder internen Revisionsteams.
Fazit: Diese AI Act Checkliste ist der schnellste Startpunkt für Unternehmen
Die beste praktische Reihenfolge lautet: Systeme erfassen, Risiken einstufen, Rolle klaeren, Schulung ausrollen, Dokumentation aufbauen und Nachweise sichern. Wer diese zehn Schritte jetzt sauber angeht, reduziert Unsicherheit vor dem 2. August 2026 und schafft eine belastbare Grundlage für spätere Spezialfälle wie Hochrisiko-KI oder Transparenzpflichten.
Wenn Sie die Checkliste intern verteilen wollen, lohnt sich zusaetzlich eine PDF-Version als Lead Magnet oder Rollout-Unterlage für Management, HR und Fachbereiche. Für die direkte Umsetzung im Unternehmen ist der Kurs der nächste sinnvolle Schritt; als Ergaenzung finden Sie in unserer Wissens-Übersicht weitere Artikel zu Schulungspflicht, Nachweis und praktischer AI-Act-Umsetzung.