EU-AI-Act-Konformität: die Checkliste für den ersten Durchgang
Für: Unternehmen mit KI im Einsatz
Aktualisiert: 2026-09
Ein tragfähiger erster Durchgang durch den EU AI Act besteht aus sechs Schritten: wissen, welche KI im Haus läuft, die eigene Rolle je System bestimmen, nach Artikel 6 einstufen, Transparenzpflichten separat prüfen, KI-Kompetenz sicherstellen und alles so ablegen, dass es im Prüffall auffindbar ist.
Der EU AI Act wirkt beim ersten Lesen erdrückend, weil er Pflichten für sehr unterschiedliche Akteure in einem Rechtsakt bündelt. Für ein einzelnes Unternehmen ist der tatsächlich betroffene Ausschnitt meist deutlich kleiner als befürchtet — nur weiss man das erst, wenn man ihn bestimmt hat.
Diese Checkliste führt durch den ersten vollständigen Durchgang. Sie ersetzt keine juristische Prüfung von Einzelfällen, bringt aber die Ausgangslage in einen Zustand, in dem eine solche Prüfung gezielt und damit günstig wird.
Die Checkliste
- 01
KI-Systeme vollständig inventarisieren
Alle Systeme mit KI-Funktion erfassen, ausdrücklich einschliesslich der Funktionen, die in bestehender Software nachträglich aktiviert wurden. Assistenzfunktionen in CRM, Buchhaltung oder Kollaborationswerkzeugen werden dabei am häufigsten übersehen.
Erledigt, wenn: Die Liste enthält für jedes System den Zweck, die verantwortliche Person und den Hersteller — und ein Fachbereich hat bestätigt, dass nichts fehlt.
- 02
Rolle je System bestimmen
Für jedes System klären, ob Sie als Anbieter oder als Betreiber auftreten. Bei zugekaufter Software mit eigenem Branding oder erheblicher Anpassung kann die Rolle in die des Anbieters kippen, was den Pflichtenkatalog deutlich erweitert.
Erledigt, wenn: Jeder Eintrag im Inventar trägt eine begründete Rollenzuordnung, nicht nur ein Schlagwort.
- 03
Nach Artikel 6 einstufen
Die Risikoklasse je System bestimmen: verbotene Praktik, Hochrisiko nach Anhang III oder als Sicherheitskomponente, oder ausserhalb dieser Kategorien. Massgeblich ist der Einsatzzweck, nicht die Technologie.
Erledigt, wenn: Für jedes System liegt eine schriftliche Einstufung mit Begründung vor, inklusive der geprüften und verworfenen Alternativen.
- 04
Transparenzpflichten getrennt prüfen
Kennzeichnungs- und Offenlegungspflichten nach Artikel 50 gelten unabhängig von der Risikoklasse. Chatbots, synthetische Inhalte und Emotionserkennung lösen sie auch dann aus, wenn das System nicht als Hochrisiko eingestuft ist.
Erledigt, wenn: Für jedes System ist vermerkt, ob eine Offenlegungspflicht besteht und wo im Produkt sie umgesetzt ist.
- 05
KI-Kompetenz nach Artikel 4 sicherstellen
Den Schulungsbedarf nach Rollen staffeln: mehr Tiefe für Personen, die Systeme auswählen oder betreiben, weniger für gelegentliche Anwendung. Der Rechtsakt verlangt ein ausreichendes Mass, nicht ein einheitliches.
Erledigt, wenn: Es existiert eine Zuordnung von Rolle zu Schulungstiefe, und für jede Person ist Datum und Inhalt der Schulung festgehalten.
- 06
Nachweise auffindbar ablegen
Einstufungen, Herstellerangaben, Schulungsnachweise und Entscheidungsbegründungen an einem Ort bündeln. In der Praxis scheitert die Nachweisführung fast nie am fehlenden Dokument, sondern daran, dass niemand weiss, wo es liegt.
Erledigt, wenn: Eine dritte Person findet ohne Rückfrage zu einem beliebigen System die Einstufung und deren Begründung.
- 07
Überprüfungszyklus festlegen
Auslöser bestimmen, bei denen das Inventar neu durchgegangen wird: neue Software, wesentliche Änderung eines Einsatzzwecks, neue Leitlinien der Kommission. Ohne festen Auslöser veraltet das Inventar innerhalb weniger Monate.
Erledigt, wenn: Ein Termin und eine namentlich benannte zuständige Person stehen im Kalender.
Häufige Fehler
- —Das Inventar wird einmal erstellt und danach nie wieder angefasst. Nach zwei Quartalen bildet es die Realität nicht mehr ab, und der Nachweis wird wertlos.
- —Die AI-Act-Einstufung wird mit der DSGVO-Risikobewertung verwechselt. Beide sind nötig, sie beantworten aber unterschiedliche Fragen und lassen sich nicht ineinander überführen.
- —Zugekaufte Software wird als erledigt betrachtet, weil der Hersteller Konformität zusichert. Als Betreiber treffen Sie eigene Pflichten, unabhängig von dieser Zusicherung.
- —Transparenzpflichten werden übersehen, weil das System nicht als Hochrisiko eingestuft wurde. Die beiden Fragen sind voneinander unabhängig.
Was diese Checkliste nicht abdeckt
- —Diese Checkliste ersetzt keine Rechtsberatung. Bei strittigen Einstufungen — besonders an der Grenze zu Anhang III — ist die Einschätzung einer spezialisierten Kanzlei nicht ersetzbar.
- —Sie deckt nicht die vertiefte Konformitätsbewertung für Hochrisiko-Systeme ab. Sobald ein System dort landet, folgt ein deutlich umfangreicherer eigener Pflichtenkatalog.
- —Sektorspezifische Anforderungen — Medizinprodukte, Finanzdienstleistungen, kritische Infrastruktur — kommen zusätzlich hinzu und werden hier nicht behandelt.
- —Zu einigen Punkten stehen Leitlinien der Kommission noch aus. Wo sich die Praxis noch bildet, ist eine dokumentierte Abwägung derzeit das Beste, was verfügbar ist.
Übergeordnete Leistung: EU-AI-Act- & Compliance-Beratung
Passende Angebote
EU AI Act Gap-Assessment
Ein Gap-Assessment beantwortet drei Fragen: Welche KI-Systeme setzen wir ein, wie sind sie nach dem EU AI Act einzuordnen, und was fehlt bis zur Konformität? Ergebnis ist ein priorisierter Massnahmenplan mit Blick auf das Durchsetzungsfenster am 2. August 2026.
KI-Governance-Aufbau
KI-Governance gibt Ihrem Umgang mit KI eine wiederholbare Struktur: eine KI-Politik, ein Risikoinventar, klare Rollen und ein Lebenszyklus-Prozess — an der ISO/IEC 42001 orientiert. Ergebnis ist das organisatorische Rückgrat, das die vom AI Act verlangten Nachweise prüffest und dauerhaft produziert.
Häufige Fragen
Wo fängt man an, wenn gar nichts vorbereitet ist?
Beim Inventar. Ohne die Liste lässt sich keine der weiteren Fragen sinnvoll beantworten, und sie ist der einzige Schritt, der ohne Rechtskenntnisse vollständig intern machbar ist.
Gilt das auch für Schweizer Unternehmen?
Die Schweiz hat den AI Act nicht übernommen. Betroffen sind Schweizer Unternehmen dennoch, wenn sie KI-Systeme in der EU auf den Markt bringen oder deren Ergebnisse in der EU verwendet werden.
Wie lange dauert ein erster Durchgang?
Das hängt fast vollständig von der Zahl der Systeme ab. Der Aufwand liegt beim Inventar und beim Zusammentragen der Herstellerangaben, nicht bei der Einstufung selbst.
Brauchen wir dafür eine eigene Rolle?
In kleineren Organisationen nicht. Die Aufgabe liegt sinnvoll bei der Person, die bereits Datenschutz oder Qualität verantwortet. Wichtig ist die ausdrückliche Zuweisung.
Weitere Checklisten
Hochrisiko oder nicht: die Einstufung nach Anhang III sauber begründen
Die Hochrisiko-Einstufung folgt einer festen Reihenfolge: zuerst der Einsatzbereich nach Anhang III, dann die Frage, ob das System dort eine tragende Rolle für die Entscheidung spielt, dann die Ausnahme nach Artikel 6 Absatz 3. Jeder dieser Schritte muss begründet dokumentiert werden.
KI-Kompetenz nach Artikel 4: vom Anspruch zum belastbaren Nachweis
Artikel 4 verlangt ein ausreichendes Mass an KI-Kompetenz, gemessen an Rolle, Kontext und betroffenen Personen. Umsetzbar wird das über vier Schritte: Rollen bilden, je Rolle eine Tiefe festlegen, passend schulen und die Teilnahme mit Datum, Inhalt und Rollenbezug festhalten.
DSGVO für SaaS: die Punkte, die vor dem ersten Enterprise-Kunden stehen müssen
Für ein SaaS-Produkt sind sechs Bereiche unverzichtbar: Rechtsgrundlagen je Verarbeitung, ein gepflegtes Verarbeitungsverzeichnis, technisch umgesetzte Betroffenenrechte, ein funktionierendes Löschkonzept, saubere Subunternehmerketten und eine belegbare Aussage zur Datenresidenz.