EU AI Act Checkliste 2026: Alle Pflichten für Unternehmen zum Abhaken

Verbote und KI-Kompetenzpflicht gelten seit Februar 2025, die Transparenzpflichten seit dem 2. August 2026. Die Hochrisiko-Pflichten hat der KI-Omnibus auf den 2. Dezember 2027 verschoben (Anhang III) — Zeit, die sich für einen sauberen Aufbau nutzen lässt. Die gute Nachricht: Die Pflichten sind endlich, konkret und abarbeitbar. Diese Checkliste führt durch alle Punkte in der Reihenfolge, in der sie sinnvoll umgesetzt werden — mit Verweis auf den vertiefenden Ratgeber zu jedem Block. Wer alle Kästchen abhaken kann, hat die KI-Compliance im Griff.

Block 1: Bestandsaufnahme — wissen, was läuft

• ☐ Alle KI-Systeme erfasst — auch KI-Funktionen in Standardsoftware (CRM-Scoring, Ticket-Priorisierung, Übersetzer) und inoffiziell genutzte Tools. Wie Sie versteckte Nutzung finden, zeigt der Ratgeber zu Schatten-KI im Unternehmen.
• ☐ KI-Register angelegt mit Pflichtfeldern je System: Zweck, Nutzerkreis, Datenarten, Anbieter, Risikoklasse. Struktur liefert die KI-Register-Vorlage.
• ☐ Zweckbestimmung je System schriftlich fixiert — die Grundlage für alles Weitere und die wichtigste Versicherung gegen den unbemerkten Rollenwechsel (siehe Block 6).

Block 2: Rollen und Anwendbarkeit klären

• ☐ Rolle je System bestimmt: Betreiber (Normalfall), Anbieter, Einführer oder Händler. Die Abgrenzung erklärt der Ratgeber zu den Betreiberpflichten nach dem EU AI Act.
• ☐ Anwendbarkeit geprüft: Fällt das System überhaupt unter die Verordnung? Was seit August 2026 gilt und was noch nicht, behandelt der Ratgeber EU AI Act 2026: Was jetzt gilt.
• ☐ Verantwortliche Person benannt — ob interner KI-Koordinator oder externer KI-Beauftragter: Ohne zugewiesene Verantwortung bleibt jede Pflicht Theorie (im Prüffall: Organisationsverschulden).

Block 3: Risikoklassifizierung

• ☐ Jedes System gegen die verbotenen Praktiken (Art. 5) geprüft — z. B. Emotionserkennung am Arbeitsplatz außerhalb enger Ausnahmen. Verbotene Systeme sofort abschalten.
• ☐ Anhang-III-Check durchgeführt: Bewerberauswahl, Leistungsbewertung, Kreditwürdigkeit, kritische Infrastruktur? Dann Hochrisiko → Block 7. Details im Ratgeber zu Anhang III und Hochrisiko-KI.
• ☐ GPAI-Nutzung eingestuft: ChatGPT, Copilot & Co. bringen eigene Pflichten mit — siehe GPAI und Foundation Models.

Block 4: Basispflichten für alle Betreiber

• ☐ Art.-4-Schulungen durchgeführt und dokumentiert — rollengerecht, mit Teilnahmeliste und Verständnisnachweis. Konzept und Stufenmodell: KI-Kompetenzpflicht praktisch umsetzen; was das kostet: KI-Schulung Kosten; fertige Formate: KI-Kompetenz-Schulung.
• ☐ KI-Richtlinie verabschiedet: Was ist erlaubt, was verboten, welche Daten dürfen in welche Tools? Muster im Ratgeber KI-Richtlinie für Unternehmen.
• ☐ Art.-50-Transparenz umgesetzt: Chatbots geben sich zu erkennen; KI-generierte Inhalte mit Öffentlichkeitsbezug sind gekennzeichnet; Deepfakes offengelegt.
• ☐ Onboarding-Prozess ergänzt: Neue Mitarbeiter werden vor dem ersten KI-Einsatz geschult.

Block 5: Datenschutz-Schnittstelle

• ☐ AVV und Drittlandtransfer je KI-Tool geprüft (DSGVO läuft parallel weiter — der AI Act ersetzt sie nicht).
• ☐ Prompt-Regeln definiert: Keine personenbezogenen Daten und Geschäftsgeheimnisse in freie Prompts ohne abgesicherte Enterprise-Umgebung.
• ☐ DSFA/FRIA-Bedarf geprüft bei risikonahen Einsätzen — Anleitung: KI-Folgenabschätzung erstellen.

Block 6: Die Anbieter-Falle absichern

• ☐ Freigabeprozess für neue Einsatzzwecke etabliert — wer den Zweck eines KI-Systems eigenmächtig ausweitet (z. B. Sprachmodell als Bewerberfilter), rutscht nach Art. 25 in die Anbieterrolle.
• ☐ White-Labeling und Fine-Tuning bewertet: Eigenes Logo auf fremder KI oder wesentliche Veränderung = voller Anbieterpflichtenkatalog. Details: Konformitätsbewertung nach Art. 43 und die Leistungsseite KI-Anbieter-Compliance.

Block 7: Nur bei Hochrisiko-Systemen (Art. 26, ab 2. Dezember 2027)

• ☐ Menschliche Aufsicht organisiert — benannte, geschulte Personen mit echter Eingriffsbefugnis.
• ☐ Betrieb nach Herstellervorgaben sichergestellt (bestimmungsgemäßer Einsatz, Eingabedaten-Qualität).
• ☐ Monitoring und Meldeprozess eingerichtet: Vorfälle nach Art. 73 fristgerecht an Anbieter und Behörden.
• ☐ Grundrechte-Folgenabschätzung (Art. 27) geprüft — Pflicht u. a. für öffentliche Stellen und Kreditwürdigkeitsprüfung.

Block 8: Dokumentation und Betrieb

• ☐ Jeder Punkt mit Datum dokumentiert (revisionssicher, mindestens 5 Jahre) — die Bausteine liefert unsere KI-Dokumentation.
• ☐ Jährliche Wiedervorlage terminiert: Auffrischungsschulungen, Inventar-Review, Richtlinien-Update.
• ☐ Bußgeldrisiken dem Management berichtet — Größenordnungen im Ratgeber Bußgelder im EU AI Act.

Fazit: Abarbeiten statt aufschieben

Die Liste sieht nach viel aus, folgt aber einer einfachen Logik: erst wissen, was läuft (Block 1–3), dann die Basispflichten schließen (Block 4–6), dann die Spezialfälle (Block 7) — und alles dokumentieren (Block 8). Ein Mittelständler ohne Hochrisiko-KI schafft das in etwa 30 Tagen. Wer die Umsetzung nicht selbst stemmen will: Als externer KI-Beauftragter arbeiten wir genau diese Checkliste für Sie ab und halten sie dauerhaft aktuell — Pakete ab 250 € im Monat, Einstieg über die kostenlose Erstanalyse.

Häufige Fragen

Für wen gilt diese Checkliste? +

Für jedes Unternehmen, das KI beruflich einsetzt — vom Copilot-Arbeitsplatz über KI-Funktionen in Standardsoftware bis zur eigenen KI-Entwicklung. Die meisten Punkte betreffen die Betreiberrolle nach Art. 3 Nr. 4; die letzten Abschnitte decken Hochrisiko-Systeme und den Rollenwechsel zum Anbieter ab.

Was ist der wichtigste erste Schritt? +

Das KI-Inventar. Ohne vollständige Übersicht aller eingesetzten KI-Systeme — inklusive versteckter KI-Funktionen in Standardsoftware und inoffiziell genutzter Tools — lässt sich keine einzige weitere Pflicht sauber erfüllen. Erst wenn das Inventar steht, lassen sich Risikoklassen zuordnen, Schulungen zuschneiden und Kennzeichnungspflichten prüfen.

Wie lange dauert die Umsetzung der Checkliste? +

Ein mittelständisches Unternehmen mit üblicher KI-Nutzung (Office-KI, ChatGPT, einzelne Tools) schafft die Basispflichten realistisch in 30 Tagen: Woche 1 Inventar, Woche 2 Klassifizierung und Richtlinie, Woche 3 Schulungen, Woche 4 Kennzeichnung und Dokumentation. Hochrisiko-Systeme brauchen deutlich länger — hier sollte die Priorität sofort auf Art. 26 liegen.

Was passiert, wenn einzelne Punkte offen bleiben? +

Das Sanktionsregime gilt seit August 2025: Verstöße gegen die Transparenzpflichten nach Art. 50 und — ab dem 2. Dezember 2027 — gegen die Hochrisiko-Betreiberpflichten kosten bis zu 15 Mio. € oder 3 % des Weltjahresumsatzes, verbotene Praktiken bis zu 35 Mio. € oder 7 %; für KMU und kleine Midcaps gilt jeweils der niedrigere Betrag. Praktisch relevanter ist die Nachweisbarkeit: Wer systematisch arbeitet und den Stand dokumentiert, steht in jeder Prüfung fundamental besser da als ein Unternehmen ohne Struktur.

Gibt es die Checkliste auch als betreute Umsetzung? +

Ja — genau das ist das Mandat des externen KI-Beauftragten: Wir arbeiten die Checkliste komplett für Sie ab, vom Inventar bis zur revisionssicheren Dokumentation, und halten sie danach laufend aktuell. Pakete ab 250 € pro Monat (Fair-Use), Details auf der Kosten-Seite. Der Einstieg ist eine kostenlose Erstanalyse mit Gap-Bewertung Ihrer aktuellen Checklisten-Punkte.