EU-AI-Act-Checkliste 2026 für Unternehmen

Schritt 1

Bestandsaufnahme

bis 02.08.20260/4

Ohne Liste lässt sich keine der folgenden Fragen beantworten. Erfahrungsgemäß ist die Liste länger als erwartet, weil KI in vielen Werkzeugen bereits eingebaut ist.

Alle eingesetzten KI-Systeme erfassenAuch das, was nicht danach aussieht: Übersetzungswerkzeuge, Bildgeneratoren, KI-Funktionen in CRM, ERP oder Office-Paketen, Rechtschreibassistenten.
Je System festhalten, ob es für Kunden sichtbar istKundenseitig sichtbare Systeme haben Vorrang, weil dort die Transparenzpflicht unmittelbar greift und ein fehlender Hinweis von außen erkennbar ist.
Je System festhalten, ob es zugekauft oder selbst entwickelt istDiese Angabe entscheidet im nächsten Schritt über Ihre Rolle und damit über den Umfang der Pflichten.
Gegen die verbotenen Praktiken nach Artikel 5 abgleichenFür typische Anwendungen im Mittelstand in der Regel nicht einschlägig. Ab dem 2. Dezember 2026 kommen zwei Verbote hinzu: die Erzeugung nicht-einvernehmlicher Intimdarstellungen und von Darstellungen sexuellen Kindesmissbrauchs.

Schritt 2

Rolle bestimmen

bis 02.08.20260/3

Anbieter oder Betreiber — davon hängt ab, welche Pflichten überhaupt greifen. Viele Unternehmen sind beides zugleich, ohne es zu wissen.

Für jedes System die Rolle festlegenAnbieter ist, wer ein System entwickelt und unter eigenem Namen bereitstellt. Betreiber ist, wer ein fremdes System beruflich einsetzt. Die meisten Unternehmen sind ausschließlich Betreiber.
Prüfen, ob ein zugekauftes System wesentlich verändert wurdeWer ein fremdes Modell in ein eigenes Produkt einbettet und unter eigener Marke vertreibt, wird zusätzlich zum Anbieter und übernimmt dessen Pflichten mit.
Rollenverteilung mit Dienstleistern schriftlich klärenBei Agentur- und Entwicklungsprojekten gehört in den Vertrag, wer die Anbieterrolle einnimmt und wer die Dokumentation fortschreibt. Vorher ist das ein Satz, nachher eine Auseinandersetzung.

Schritt 3

Systeme mit Nutzerkontakt kennzeichnen

bis 02.08.20260/3

Artikel 50 Absatz 1 verlangt, dass Menschen erfahren, dass sie mit einer KI interagieren. Absatz 5 legt den Zeitpunkt fest: klar und unterscheidbar, spätestens bei der ersten Interaktion.

Hinweis in die erste Nachricht des Dialogs einbauenEin Satz genügt. Nicht ausreichend sind Hinweise in den Nutzungsbedingungen, der Datenschutzerklärung oder der Fußzeile, weil sie separat aufgerufen werden müssen.
Sicherstellen, dass der Hinweis bei jeder Sitzung erscheintEin einmalig per Cookie abgehakter Hinweis erfüllt die Anforderung bei späteren Sitzungen nicht mehr.
Auch Telefon- und Sprachassistenten prüfenDie Pflicht knüpft an die Interaktion an, nicht an den Kanal. Bei Sprache gehört der Hinweis an den Anfang der Ansage.

Schritt 4

Generierte Inhalte einordnen

bis 02.08.20260/5

Hier wird häufig zu viel gekennzeichnet. Die Pflicht ist nach Inhaltsart unterschiedlich streng — bei Texten greift eine Ausnahme, die den größten Teil abdeckt.

Deepfakes offenlegenArtikel 3 Nummer 60 definiert Deepfakes weiter als oft angenommen: erfasst sind Bild, Video und Audio, das realen Personen, Gegenständen, Orten, Einrichtungen oder Ereignissen täuschend echt ähnelt. Entscheidend ist der reale Bezugspunkt, nicht die Kategorie — ein frei erfundenes Produktbild ohne Vorbild fällt nicht darunter, das fotorealistische Abbild eines real existierenden Produkts kann es sehr wohl.
Hinweise am Inhalt platzieren, nicht zentral sammelnBildunterschrift beim Bild, Beschreibung oder Einblendung beim Video, Ansage zu Beginn beim Audio. Ein Sammelhinweis im Impressum erfüllt die Anforderung nicht.
Prüfen, ob Texte überhaupt unter die Pflicht fallenDie Offenlegung nach Absatz 4 greift bei Texten nur, wenn sie der Information der Öffentlichkeit über Angelegenheiten von öffentlichem Interesse dienen. Werbetexte und Produktbeschreibungen fallen typischerweise nicht darunter.
Redaktionelle Verantwortung benennenRedaktionell geprüfte Inhalte unter benannter menschlicher Verantwortung sind von der Offenlegung ausgenommen. Der Hebel mit dem besten Verhältnis von Aufwand zu Wirkung.
Prüfen, ob die Bildpipeline Metadaten entferntViele Skalierungs- und Optimierungsschritte strippen sämtliche Metadaten und löschen damit die C2PA-Markierung, die der Anbieter eingebaut hat.

Schritt 5

Nachweis und Dokumentation

bis 02.08.20260/3

Im Prüffall zählt, was belegbar ist. Der Aufwand ist gering, solange er mitläuft statt nachträglich rekonstruiert zu werden.

Das Verzeichnis der KI-Systeme aktuell haltenDieselbe Liste aus Schritt 1, fortgeschrieben. Sie ist das erste, wonach im Prüffall gefragt wird.
Auftragsverarbeitungsverträge mit den Anbietern prüfenBetrifft die DSGVO, nicht den AI Act — fällt aber bei derselben Bestandsaufnahme an und wird sonst leicht übersehen.
Ausspielung des Hinweises protokollierenZeitstempel und Sitzungskennung genügen. Keine Gesprächsinhalte und keine personenbezogenen Daten, sonst schafft die Compliance-Maßnahme ein Datenschutzproblem.

Schritt 6

Team und interne Regeln

0/3

Artikel 4 wurde durch den Digital Omnibus abgeschwächt: aus der Pflicht, KI-Kompetenz sicherzustellen, wurde die Pflicht, ihre Entwicklung zu unterstützen. Einen eigenen Bußgeldrahmen hat der Artikel nicht.

Eine dokumentierte Kurzschulung durchführenSinnvoll nicht wegen eines Bußgelds, sondern weil sie verhindert, dass Beschäftigte mangels Alternative auf private Zugänge ausweichen und Firmendaten in fremde Systeme eingeben.
Festlegen, welche Werkzeuge erlaubt sindEine kurze, positive Liste wirkt besser als ein allgemeines Verbot, das ohnehin umgangen wird.
Eine zuständige Person benennenKein gesetzlich vorgeschriebener KI-Beauftragter, aber die praktische Voraussetzung dafür, dass die Liste gepflegt wird.

Schritt 7

Hochrisiko-Vorprüfung

bis 02.12.20270/3

Durch den Digital Omnibus auf den 2. Dezember 2027 verschoben. Für die meisten mittelständischen Anwendungen nicht einschlägig — die Prüfung selbst sollte trotzdem einmal stattfinden und dokumentiert werden.

Gegen Anhang III abgleichenBetroffen sind unter anderem Personalauswahl, Kreditwürdigkeitsprüfung, Zugang zu wesentlichen Diensten, Bildung und kritische Infrastruktur.
Das Ergebnis auch dann festhalten, wenn nichts einschlägig istDie dokumentierte Verneinung ist im Prüffall mehr wert als die Aussage, man habe es geprüft.
Bei Produkten zusätzlich Anhang I prüfenIn Produkte eingebettete Systeme nach Anhang I haben bis zum 2. August 2028 Zeit, zuvor war der 2. August 2027 vorgesehen.

EU-AI-Act-Checkliste: In sieben Schritten zur Umsetzung

Bestandsaufnahme

Rolle bestimmen

Systeme mit Nutzerkontakt kennzeichnen

Generierte Inhalte einordnen

Nachweis und Dokumentation

Team und interne Regeln

Hochrisiko-Vorprüfung

Warum welcher Punkt gilt

Lieber gemeinsam durchgehen?