EU AI Act 2026: Compliance-Checkliste für KI-Automatisierung

Entscheidungsübersicht: Praxischeck ab 2. August 2026 zu Rollen, Risiko, Transparenz, menschlicher Aufsicht, Anbietern und sicheren KI-Piloten.

· · 7 Min. Lesezeit

Kurzentscheidung: Nutzung statt Werkzeug einordnen

Entscheidend ist nicht der Modellname, sondern Zweck, Wirkung und Ihre Rolle. Dasselbe System kann beim internen Entwurf geringe Auswirkungen haben und bei Entscheidungen über Menschen deutlich sensibler werden. Dokumentieren Sie Zweck, betroffene Personen, Daten, automatische Aktionen und die Stelle menschlichen Eingreifens.

Dieser Leitfaden ist keine Rechtsberatung. Pflichten hängen von Land, Branche, Risikoklasse und Ihrer Rolle als Anbieter, Betreiber oder nachgelagerter Anbieter ab. Starten Sie mit einem reversiblen, messbaren und menschlich freigegebenen Pilotprojekt; prüfen Sie kritische Schwellen in den aktuellen EU-Quellen.

Was änderte sich am 2. August 2026?

Nach Angaben der Europäischen Kommission begann ab 2. August 2026 die Durchsetzung bestimmter AI-Act-Regeln durch AI Office und nationale Behörden. Für bestimmte interaktive Systeme und synthetische Inhalte gelten Transparenzpflichten nach Artikel 50. Menschen müssen gegebenenfalls erkennen, dass sie mit KI interagieren; bestimmte Deepfakes und generierte Inhalte benötigen Kennzeichnungen. Termine für Hochrisikosysteme können später liegen.

Erfassen Sie deshalb je Nutzung Zweck, Rolle, Markt, Daten, betroffene Personen, Ausgabetyp und relevanten Termin. Prüfen Sie den offiziellen Zeitplan vor Beschaffung oder Rechtsentscheidung erneut.

Rollenkarte: Anbieter, Betreiber und Wertschöpfungskette

Wer ein System unter eigenem Namen auf den Markt bringt, kann Anbieter sein; wer es für Beschäftigte oder Kunden nutzt, Betreiber. Die Integration eines GPAI-Modells in ein eigenes Produkt kann eine nachgelagerte Anbieterrolle schaffen. Prüfen Sie, wer Zweck, Änderungen, Daten und Verantwortung tatsächlich kontrolliert.

Pro Nutzung gehören Business- und Technikverantwortliche, Anbieter, Modellversion, Ein-/Ausgabedaten, Aktion, Freigabe, Hinweis, Aufbewahrung, Stopppfad und Prüftermin in das Register. Änderungen an Modell, Daten oder Berechtigungen lösen eine neue Prüfung aus.

Risiko-Triage in vier Gruppen

Erstens: Bei möglicher verbotener Praxis stoppen und fachlich prüfen. Zweitens: Bei Beschäftigung, Kredit, Bildung, kritischer Infrastruktur oder wesentlichen Diensten eine Hochrisikoprüfung durchführen. Drittens: Bei Chatbots und synthetischen Medien Transparenzpflichten prüfen. Viertens: Auch interne Werkzeuge brauchen Datenschutz, Sicherheit, Qualitätsmessung und menschliche Aufsicht.

Bewerten Sie verbundene Systeme, Umkehrbarkeit, Personenzahl, personenbezogene Daten, Fehlerfolgen und Reaktionszeit. Bei Unsicherheit bleibt die Automatik aus und das System arbeitet nur empfehlend.

Transparenzcheck nach Artikel 50

Ein erforderlicher KI-Hinweis muss rechtzeitig, verständlich und barrierefrei erscheinen, nicht versteckt in der Datenschutzerklärung. Prüfen Sie bei Bild, Audio, Video und Text von öffentlichem Interesse sichtbare sowie maschinenlesbare Kennzeichnungen und mögliche Ausnahmen.

Ist der Hinweis lokalisiert und per Screenreader erreichbar? Bleibt die Kennzeichnung beim Export erhalten? Gibt es einen Weg zum Menschen und einen Nachweis, welche Version welchen Hinweis zeigte? Übergangsregeln für ältere Systeme sind eng; bestätigen Sie sie in der offiziellen Anleitung.

Technische und operative Kontrollen

Nutzen Sie den NIST-AI-RMF-Zyklus: Verantwortung steuern, Kontext abbilden, Qualität und Risiko messen, Maßnahmen verwalten. Definieren Sie Erfolg, Fehlergrenze und Abbruchbedingung vor dem Pilot. Testen Sie normale Fälle sowie fehlende Dokumente, widersprüchliche Anweisungen, andere Sprachen, unbefugte Datenanfragen und Ausfälle.

Bei Agenten gilt OWASP: nur nötige Funktionen, zunächst lesend, menschliche Freigabe für Senden, Zahlen oder Löschen, keine Geheimnisse im Modell und vollständige Aktionsprotokolle. Planen Sie die Wiederherstellung bei Prompt Injection, Datenabfluss, Fehloutput und Anbieterausfall.

30-Tage-Umsetzungsplan

Tage 1-5: Inventar und Verantwortliche. 6-10: Rollen-/Risikoprüfung und Eskalation. 11-15: Hinweise, Übergabe, Rechte, Aufbewahrung und Verträge. 16-23: Normal- und Angriffstests. 24-30: begrenzter Pilot, Fehler-/Eingriffsmetriken und dokumentierte Weiter-/Stoppentscheidung.

Der Plan ist kein Zertifikat. Ein guter Pilot ist reversibel, messbar, datenfähig und klar verantwortlich. Nutzen Sie die Prozessmapping-Anleitung und den RPA-KI-Vergleich.

Anbieter- und Pilotmatrix

Fordern Sie Modell-/Unterauftragnehmerliste, Datenort und -dauer, Trainingsnutzung, Sicherheitsberichte, Ereignisfrist, Versionspolitik, Kennzeichnung, Auditlogs, Portabilität und Ausstieg schriftlich an. Ein Etikett „AI-Act-konform“ ist kein Beleg; fragen Sie nach Kontrolle, Rolle und Pflicht.

Modellszenario: Ein KMU klassifiziert E-Mails und erstellt Entwürfe. Menschen genehmigen den Versand, sensible Fälle werden eskaliert, Löschen und Bezahlen bleiben gesperrt. Gemessen werden Fehlrouting, Korrekturen, Datenereignisse und Wiederherstellungszeit. Dies ist eine Annahme, kein Kundenergebnis.

Methodik

Aussagen werden nach Machbarkeit, Kosten, Risiko und Messbarkeit bewertet. Beispielrechnungen sind Annahmen; rechtliche und sicherheitsrelevante Entscheidungen erfordern Primärquellen.

Quellenhinweis

Links im Text sowie genannte regulatorische oder technische Dokumente sind Ausgangspunkte. Ungeprüfte Kundenergebnisse werden nicht veröffentlicht.

Änderungsprotokoll

— Die native redaktionelle Prüfung steht am v3.0-Veröffentlichungstor aus.

Häufig gestellte Fragen

Ist jedes KI-System Hochrisiko?

Nein. Zweck, Bereich und tatsächliche Funktion entscheiden. Auch ein Werkzeug mit geringer Wirkung kann Transparenz-, Datenschutz-, Sicherheits- oder Vertragspflichten auslösen.

Muss ein Chatbot sich als KI erkennen geben?

Artikel 50 enthält Hinweise für bestimmte interaktive KI-Systeme. Prüfen Sie Rolle, Nutzung und Ausnahmen in der aktuellen offiziellen Anleitung.

Kann ein Unternehmen außerhalb der EU betroffen sein?

Angebot im EU-Markt, Nutzung gegenüber Menschen in der EU oder eine Rolle in der Wertschöpfungskette kann eine Geltungsprüfung erfordern.

Welche Unterlagen braucht KI-Automatisierung?

Zweck, Eigentum, Rollen-/Risikoanalyse, Datenfluss, menschliche Aufsicht, Tests, Version/Anbieter, Hinweis, Ereignisse und Änderungen.

Darf vor Abschluss der Prüfung pilotiert werden?

Ein reversibler, begrenzter und menschlich freigegebener Test kann möglich sein. Aktivieren Sie keine folgenreichen Produktivaktionen bei Unsicherheit.