Wie Sie in 30 Tagen ein KI-VO-Bereitschafts-Audit durchführen

Was ist ein Audit zur Vorbereitung auf das EU-KI-Gesetz?

Ein EU-KI-Gesetz-Bereitschaftsprüfung ist eine strukturierte Überprüfung, bei der alle im Einsatz befindlichen KI-Systeme erfasst, jeweils den Risikostufen des Gesetzes zugeordnet und eine dokumentierte Lückenanalyse im Hinblick auf die geltenden Verpflichtungen erstellt wird.

Wenn man es richtig macht, dauert es 30 Tage voller Konzentration für ein mittelständisches Unternehmen.

Woche 1 – Bestandsaufnahme

Quellen: Beschaffungsunterlagen, SaaS-Lizenzlisten, Umfragen zur Schatten-IT, Hersteller-Fragebögen. Es ist davon auszugehen, dass die endgültige Zahl bei zwei- bis dreimal was die Führung zunächst vermutet.

Woche 2 – Klassifizierung

1. Verboten (Artikel 5) — Falls ja, stellen Sie die Verwendung ein.
2. Hochrisiko (Anhang III oder Anhang I) — Personalwesen, Kreditwesen, Bildungswesen, kritische Infrastruktur, Sicherheitskomponenten.
3. KI-Modell mit allgemeinem Verwendungszweck — Anbieter oder Betreiber?
4. Begrenztes Risiko (Artikel 50) — Chatbots, generative Inhalte, Deepfakes.
5. Minimales Risiko — alles andere. Artikel 4 zur Lese- und Schreibfähigkeit gilt weiterhin.

Woche 3 – Lückenanalyse

Für jedes System mit hohem Risiko ist der aktuelle Zustand anhand der Artikel 9–17 und 72 zu bewerten. Jede Anforderung ist unter Angabe von Belegen mit „rot“, „gelb“ oder „grün“ zu bewerten.

Woche 4 – Fahrplan

• Zusammenfassung: Risikoexposition, wesentliche Lücken, Sanierungskosten.
• Nach Priorität geordneter Auftragsbestand im Vergleich zum 2. August 2026 und 2. August 2027 Fristen.
• Als Governance-Verantwortlicher benannt.

Häufige Fallstricke

• Schatten-IT vermeiden.
• Anbieterklassifizierungen für bare Münze nehmen.
• Einen 200-seitigen Bericht verfassen, den niemand liest.

---

Siehe auch: Begleitete Prüfungen gemäß dem KI-Gesetz · Überblick über das EU-KI-Gesetz · Kostenlose Eignungsprüfung