EU-AI-Act-Compliance-Checkliste: Schrittweise Bewertung

Eine praktische schrittweise EU-AI-Act-Compliance-Checkliste. Bewerten Sie Ihre KI-Systeme hinsichtlich Anwendungsbereich, Risikoeinstufung, verbotene Praktiken, GPAI-Pflichten und hochriskante KI-Anforderungen. Aktualisiert für die Omnibus-2026-Fristen.

So bewerten Sie Ihre EU-AI-Act-Compliance: 10 Schritte

Diese Checkliste ist für Rechts-, Compliance- und Technologieteams konzipiert, die eine erstmalige AI-Act-Bewertung durchführen. Arbeiten Sie die Schritte der Reihe nach durch — jeder baut auf dem vorherigen auf.

Die Checkliste gilt für alle Organisationen, die in der EU KI-Systeme entwickeln, einsetzen, einführen oder vertreiben. Sie deckt alle Risikostufen ab, von Prüfungen verbotener Praktiken bis hin zur vollständigen hochriskanten Konformität.

Schritt 1 — KI-Inventar erstellen

Beginnen Sie hier: Ohne ein vollständiges KI-Inventar ist nichts anderes möglich. Erstellen Sie ein Register jedes KI-Systems, das Ihre Organisation nutzt:

• KI-Systeme, die Sie entwickeln und verkaufen oder lizenzieren (Sie sind der Anbieter)
• KI-Systeme, die Sie kaufen oder lizenzieren und intern verwenden (Sie sind der Betreiber)
• KI-Systeme, die in Produkte eingebettet sind, die Sie herstellen oder einführen
• KI-Systeme, auf die über API von Drittanbietern zugegriffen wird (Cloud-KI, Basismodell-APIs)

Für jedes: Systemname, Funktion, Dateneingaben und -ausgaben, Verwendungskontext, Entscheidungsauswirkung und betroffene Bevölkerung dokumentieren. Systeme markieren, bei denen Sie unsicher über die Klassifizierung sind — diese benötigen eine rechtliche Überprüfung.

Schritt 2 — Zuerst verbotene Praktiken prüfen

Prioritätsprüfung: Sind bereits Systeme illegal? Bewerten Sie jedes System gegen Art. 5 vor jeder Risikostufenklassifizierung. Falls ein System:

• Subliminale oder unbewusste Manipulationstechniken verwendet
• Spezifische Gruppenschwachstellen ausnutzt (Kinder, ältere Menschen, Benachteiligte)
• Social Scoring durchführt (nur öffentliche Stellen)
• Biometrische Echtzeit-Identifizierung in öffentlichen Räumen durchführt (Strafverfolgung)
• Emotionserkennung am Arbeitsplatz oder in Bildungseinrichtungen durchführt
• Personen nach biometrischen Daten kategorisiert, um sensible Merkmale abzuleiten
• NCII oder CSAM erzeugt

→ Sofort stilllegen oder grundlegend neu konzipieren. Diese Verbote gelten seit dem 2. Februar 2025.

Schritt 3 — GPAI-Modellprüfung

Wenn Ihre Organisation ein Basismodell oder ein groß angelegtes KI-Modell entwickelt und veröffentlicht, gelten GPAI-Pflichten nach Kapitel 5. Prüfen Sie:

• Wird das Modell mit Selbstüberwachung in erheblichem Maßstab trainiert?
• Ist es in der Lage, eine Vielzahl von Aufgaben auszuführen?
• Wird es anderen Entwicklern oder Nutzern zur Verfügung gestellt (nicht rein intern)?

Wenn ja → GPAI-Anbieterpflichten seit dem 2. August 2025. Wenn die Trainingsrechnerleistung 10²⁵ FLOPs überschreitet → Pflichten für systemisches Risiko.

Schritte 4–10 — Hochriskantes KI-Compliance-Programm

Für jedes System, das durch Schritt 2 nicht ausgeschlossen und nicht durch Schritt 3 erfasst wird, klassifizieren Sie gegen Anhang III und Anhang I. Folgen Sie dann den Schritten 4–10 als Programmtrack, mit dem Ziel der Frist 2. Dezember 2027 für Anhang-III-Systeme und 2. August 2028 für eingebettete Anhang-I-Systeme.

Warten Sie nicht bis 2027. Ein realistisches Compliance-Programm für ein hochriskantes KI-System dauert 12–24 Monate. Beginnen Sie die Lückenanalyse und das QMS-Design 2026, um einen Last-Minute-Engpass zu vermeiden — und um den Kapazitätsengpass bei benannten Stellen zu vermeiden, wenn sich Dezember 2027 nähert.

Regulierungsübergreifende Zuordnung

Wenn Ihre Organisation auch DORA oder NIS2 unterliegt, kann Ihr AI-Act-Compliance-Programm mit bestehenden IKT-Risikomanagement-, Vorfallreaktions- und Drittpartei-Governance-Rahmen integriert werden. Siehe unseren Konvergenzleitfaden AI Act vs. DORA vs. NIS2 → für Dual-Mapping-Vorlagen.