Der EU AI Act knüpft Pflichten an bestimmte Systeme, Verwendungszwecke und Rollen. Für ein Unternehmen beginnt die Prüfung deshalb mit dem konkreten Einsatz: Was soll die KI tun, wer stellt sie bereit und wer nutzt sie? Eine Produktbezeichnung oder der Serverstandort beantwortet diese Fragen nicht.
Den gestaffelten Zeitplan berücksichtigen
Nach der Übersicht der Europäischen Kommission gelten Verbote bestimmter Praktiken und die Pflichten zur KI-Kompetenz seit dem 2. Februar 2025. Die Transparenzpflichten nach Artikel 50 gelten seit dem 2. August 2026. Für weitere Regelungsbereiche und Übergänge gelten unterschiedliche Zeitpunkte. Prüfen Sie den aktuellen offiziellen Zeitplan für das betroffene System.
Zweck und Rolle vor der Einstufung klären
Prüfen Sie zunächst, ob eine verbotene Praxis oder ein Hochrisiko-Anwendungsfall berührt wird. Maßgeblich sind die gesetzlichen Kriterien, insbesondere der Einsatzkontext. Anwendungen in Personalentscheidungen oder bestimmten anderen sensiblen Bereichen verlangen deshalb eine konkrete Prüfung.
Ein Chatbot, eine interne Zusammenfassung und ein medizinisches System können unterschiedliche Aufgaben und Pflichten haben. Die verbreitete Einteilung in Risikostufen hilft zur Orientierung; sie ersetzt keine Prüfung der einschlägigen Vorschriften. Auch Ihre Rolle als Anbieter oder Betreiber beeinflusst die Zuständigkeiten.
Transparenz für die tatsächliche Interaktion planen
Artikel 50 enthält Regeln unter anderem für direkte Interaktionen mit KI und bestimmte erzeugte oder manipulierte Inhalte. Ob und wie ein Hinweis erforderlich ist, hängt vom jeweiligen Fall ab. Die offiziellen Erläuterungen zu Artikel 50 beschreiben Anwendungsbereiche und Ausnahmen.
Verantwortlichkeiten und Nachweise festhalten
Erfassen Sie die eingesetzten Systeme, verantwortliche Personen, Datenquellen und erlaubten Aufgaben. Halten Sie Anbieterinformationen und die Ergebnisse der Prüfung geordnet vor. Legen Sie fest, wie Mitarbeiter den Einsatz verstehen, Fehler melden und einen Vorgang stoppen oder an zuständige Personen übergeben können.
Welche Dokumentation und Kontrollmaßnahmen verpflichtend sind, ergibt sich aus der konkreten Einordnung. Eine allgemeine Behauptung, sämtliche Büro-KI unterliege derselben Dokumentationspflicht, wäre dafür zu ungenau.
Datenschutz gesondert prüfen
Wenn personenbezogene Daten verarbeitet werden, bleiben die Anforderungen der DSGVO zusätzlich zu betrachten. KI-Regulierung und Datenschutz behandeln unterschiedliche Fragen. Eine technische Architektur kann die Umsetzung unterstützen; sie erbringt für sich keine rechtsverbindliche Einstufung.
Redaktionell geprüft am 6. Oktober 2026 anhand der verlinkten EU-Quellen. Für die Freigabe eines konkreten Systems benötigen Sie eine Einordnung mit der zuständigen Rechts- und Datenschutzfunktion.