Sie setzen KI ein: der Weg in acht Schritten
Betreiber ist, wer ein KI-System in eigener Verantwortung verwendet (Art. 3 Nr. 4). Das trifft auf nahezu jedes Unternehmen zu. Die gute Nachricht: Solange keine Hochrisiko-Systeme im Spiel sind, sind die Pflichten überschaubar. Die schlechte: Ohne Inventar wissen Sie nicht, ob welche im Spiel sind.
1. Inventar anlegen
Erfassen Sie alle KI-Systeme, die im Haus genutzt werden, auch eingebettete Funktionen in Standardsoftware und frei genutzte Dienste. Je System: Zweck, Prozess, Verantwortliche, Hersteller, Datenkategorien, Status. Ohne Inventar ist keine der folgenden Fragen beantwortbar.
Art. 3 Nr. 1, Art. 26; ISO/IEC 42001 A.4.2; Checkliste A.02
2. Rolle prüfen
Bleiben Sie Betreiber, oder werden Sie Anbieter? Das passiert, wenn Sie ein Hochrisiko-System unter eigenem Namen anbieten, es wesentlich verändern oder ein allgemeines System für einen hochriskanten Zweck einsetzen, etwa einen Chat-Assistenten für die Vorauswahl von Bewerbungen.
Art. 25 Abs. 1; Checkliste A.03, A.04
3. Verbote ausschließen
Prüfen Sie jedes System gegen Art. 5. Im Unternehmensalltag ist die Emotionserkennung gegenüber Beschäftigten der häufigste Fall, etwa Stimmungsanalysen von Callcenter-Gesprächen mit Auswertung der Mitarbeitenden.
Art. 5; Leitlinien der Kommission (02/2025); Checkliste B.01 bis B.04
4. Einstufen
Fällt das System unter Anhang III? Für die meisten Betreiber relevant: Nr. 4 (Personal), Nr. 5 b (Kreditwürdigkeit natürlicher Personen), Nr. 5 c (Lebens- und Krankenversicherung). Halten Sie die Prüfung schriftlich fest, auch wenn das Ergebnis „nicht hochriskant“ lautet.
Art. 6, Anhang III; Entscheidungshilfe; Checkliste C.01 bis C.08
5. KI-Kompetenz fördern
Für jedes KI-System, unabhängig von der Risikoklasse. Seit der Neufassung durch die VO (EU) 2026/1744 müssen Sie kein bestimmtes Niveau je Person garantieren, aber Maßnahmen ergreifen und belegen können. Gestaffelt nach Leitungsorgan, Anwendern und Kontrollfunktionen.
Art. 4; ISO/IEC 42001 7.2, 7.3; Checkliste E.01
6. Transparenz herstellen
Kunden müssen erkennen, dass sie mit einem Chatbot sprechen; veröffentlichte Deepfakes und KI-Texte zu Themen öffentlichen Interesses ohne redaktionelle Prüfung sind offenzulegen. Diese Pflichten gelten seit 2. August 2026.
Art. 50; Leitlinien der Kommission (07/2026); Checkliste J.01 bis J.04
7. Bei Hochrisiko: die Betreiberpflichten
Gebrauchsanweisung des Anbieters beschaffen und befolgen, menschliche Aufsicht durch befähigte Personen, Eingabedaten prüfen, Betrieb überwachen, Protokolle mindestens sechs Monate aufbewahren, Beschäftigte vor dem Einsatz informieren, Betroffene über die Mitwirkung des Systems informieren, Erläuterung auf Verlangen geben. Für Kreditwürdigkeit, Versicherungstarifierung und öffentliche Stellen zusätzlich die Grundrechte-Folgenabschätzung. Ab 2. Dezember 2027.
Art. 26, 27, 86; Checkliste I.01 bis I.09
8. Lieferanten steuern
Fordern Sie vom Anbieter vor Vertragsschluss, was Sie für Ihre Pflichten brauchen: Rolle und Einstufung aus seiner Sicht, Gebrauchsanweisung, Information über Modellwechsel, Umgang mit Ihren Eingabedaten, Meldewege bei Vorfällen. Bei Systemen auf Basis großer Sprachmodelle zusätzlich die Informationen des Modellanbieters.
Art. 13, 25 Abs. 4, 53 Abs. 1 Buchst. b; Checkliste M.01 bis M.05
Drei Fehler, die regelmäßig auffallen
Das Inventar kennt nur, was eingekauft wurde. Eingebettete KI-Funktionen und privat genutzte Dienste fehlen. Fragen Sie die Fachbereiche, nicht nur den Einkauf.
Die Einstufung des Herstellers wird ungeprüft übernommen. Ob ein System hochriskant ist, hängt vom Einsatzzweck ab, und den bestimmen Sie. Dasselbe Textmodell ist im Marketing unkritisch und in der Bewerberauswahl hochriskant.
KI-Kompetenz wird mit einer Pflichtschulung verwechselt. Ein einmaliges E-Learning für alle ist ein Anfang, aber keine Maßnahme, die zu Einsatzkontext und Rolle passt.