EU AI Act Checkliste 2026: Alle Pflichten für Unternehmen zum Abhaken

Seit dem 2. August 2026 ist die KI-Verordnung vollständig anwendbar — inklusive Bußgeldvorschriften. Die gute Nachricht: Die Pflichten sind endlich, konkret und abarbeitbar. Diese Checkliste führt durch alle Punkte in der Reihenfolge, in der sie sinnvoll umgesetzt werden — mit Verweis auf den vertiefenden Ratgeber zu jedem Block. Wer alle Kästchen abhaken kann, hat die KI-Compliance im Griff.

Block 1: Bestandsaufnahme — wissen, was läuft

• ☐ Alle KI-Systeme erfasst — auch KI-Funktionen in Standardsoftware (CRM-Scoring, Ticket-Priorisierung, Übersetzer) und inoffiziell genutzte Tools. Wie Sie versteckte Nutzung finden, zeigt der Ratgeber zu Schatten-KI im Unternehmen.
• ☐ KI-Register angelegt mit Pflichtfeldern je System: Zweck, Nutzerkreis, Datenarten, Anbieter, Risikoklasse. Struktur liefert die KI-Register-Vorlage.
• ☐ Zweckbestimmung je System schriftlich fixiert — die Grundlage für alles Weitere und die wichtigste Versicherung gegen den unbemerkten Rollenwechsel (siehe Block 6).

Block 2: Rollen und Anwendbarkeit klären

• ☐ Rolle je System bestimmt: Betreiber (Normalfall), Anbieter, Einführer oder Händler. Die Abgrenzung erklärt der Ratgeber zu den Betreiberpflichten nach dem EU AI Act.
• ☐ Anwendbarkeit geprüft: Fällt das System überhaupt unter die Verordnung? Ausnahmen und Grenzfälle behandelt Wann ist der EU AI Act anwendbar?.
• ☐ Verantwortliche Person benannt — ob interner KI-Koordinator oder externer KI-Beauftragter: Ohne zugewiesene Verantwortung bleibt jede Pflicht Theorie (im Prüffall: Organisationsverschulden).

Block 3: Risikoklassifizierung

• ☐ Jedes System gegen die verbotenen Praktiken (Art. 5) geprüft — z. B. Emotionserkennung am Arbeitsplatz außerhalb enger Ausnahmen. Verbotene Systeme sofort abschalten.
• ☐ Anhang-III-Check durchgeführt: Bewerberauswahl, Leistungsbewertung, Kreditwürdigkeit, kritische Infrastruktur? Dann Hochrisiko → Block 7. Details im Ratgeber zu Anhang III und Hochrisiko-KI.
• ☐ GPAI-Nutzung eingestuft: ChatGPT, Copilot & Co. bringen eigene Pflichten mit — siehe GPAI und Foundation Models.

Block 4: Basispflichten für alle Betreiber

• ☐ Art.-4-Schulungen durchgeführt und dokumentiert — rollengerecht, mit Teilnahmeliste und Verständnisnachweis. Konzept und Stufenmodell: KI-Kompetenzpflicht praktisch umsetzen; was das kostet: KI-Schulung Kosten.
• ☐ KI-Richtlinie verabschiedet: Was ist erlaubt, was verboten, welche Daten dürfen in welche Tools? Muster im Ratgeber KI-Richtlinie für Unternehmen.
• ☐ Art.-50-Transparenz umgesetzt: Chatbots geben sich zu erkennen; KI-generierte Inhalte mit Öffentlichkeitsbezug sind gekennzeichnet; Deepfakes offengelegt.
• ☐ Onboarding-Prozess ergänzt: Neue Mitarbeiter werden vor dem ersten KI-Einsatz geschult.

Block 5: Datenschutz-Schnittstelle

• ☐ AVV und Drittlandtransfer je KI-Tool geprüft (DSGVO läuft parallel weiter — der AI Act ersetzt sie nicht).
• ☐ Prompt-Regeln definiert: Keine personenbezogenen Daten und Geschäftsgeheimnisse in freie Prompts ohne abgesicherte Enterprise-Umgebung.
• ☐ DSFA/FRIA-Bedarf geprüft bei risikonahen Einsätzen — Anleitung: KI-Folgenabschätzung erstellen.

Block 6: Die Anbieter-Falle absichern

• ☐ Freigabeprozess für neue Einsatzzwecke etabliert — wer den Zweck eines KI-Systems eigenmächtig ausweitet (z. B. Sprachmodell als Bewerberfilter), rutscht nach Art. 25 in die Anbieterrolle.
• ☐ White-Labeling und Fine-Tuning bewertet: Eigenes Logo auf fremder KI oder wesentliche Veränderung = voller Anbieterpflichtenkatalog. Details: Konformitätsbewertung nach Art. 43 und die Leistungsseite KI-Anbieter-Compliance.

Block 7: Nur bei Hochrisiko-Systemen (Art. 26)

• ☐ Menschliche Aufsicht organisiert — benannte, geschulte Personen mit echter Eingriffsbefugnis.
• ☐ Betrieb nach Herstellervorgaben sichergestellt (bestimmungsgemäßer Einsatz, Eingabedaten-Qualität).
• ☐ Monitoring und Meldeprozess eingerichtet: Vorfälle nach Art. 73 fristgerecht an Anbieter und Behörden.
• ☐ Grundrechte-Folgenabschätzung (Art. 27) geprüft — Pflicht u. a. für öffentliche Stellen und Kreditwürdigkeitsprüfung.

Block 8: Dokumentation und Betrieb

• ☐ Jeder Punkt mit Datum dokumentiert (revisionssicher, mindestens 5 Jahre) — die Bausteine liefert unsere KI-Dokumentation.
• ☐ Jährliche Wiedervorlage terminiert: Auffrischungsschulungen, Inventar-Review, Richtlinien-Update.
• ☐ Bußgeldrisiken dem Management berichtet — Größenordnungen im Ratgeber Bußgelder im EU AI Act.

Fazit: Abarbeiten statt aufschieben

Die Liste sieht nach viel aus, folgt aber einer einfachen Logik: erst wissen, was läuft (Block 1–3), dann die Basispflichten schließen (Block 4–6), dann die Spezialfälle (Block 7) — und alles dokumentieren (Block 8). Ein Mittelständler ohne Hochrisiko-KI schafft das in etwa 30 Tagen. Wer die Umsetzung nicht selbst stemmen will: Als externer KI-Beauftragter arbeiten wir genau diese Checkliste für Sie ab und halten sie dauerhaft aktuell — Pakete ab 250 € im Monat, Einstieg über die kostenlose Erstanalyse.