Checkliste zur Einhaltung der KI-Verordnung

Benennen Sie eine einzelne verantwortliche Person für KI auf Führungsebene.

Interaktionen mit Aufsichtsbehörden gemäß Artikel 22 benötigen einen einzigen Ansprechpartner.

Veröffentlichen Sie eine interne Richtlinie zur KI-Nutzung, die zugelassene Tools, Datenklassen und Offenlegungspflichten abdeckt.

Ausgangspunkt für die Kompetenzförderung gemäß Artikel 4 und die Transparenz gemäß Artikel 50.

Fügen Sie KI-Risiken in das Unternehmensrisikoregister mit vierteljährlicher Überprüfung ein.

Liefert die Nachweise für das Risikomanagementsystem, die Hochrisiko-Anbieter vorlegen müssen (Art. 9).

Genehmigen Sie ein KI-Incident-Response-Playbook (wer entscheidet über die Abschaltung eines KI-Tools).

Die Marktüberwachung gemäß Art. 72 setzt dies voraus.

Der Vorstand oder die Geschäftsführung erhält mindestens zweimal jährlich einen KI-Compliance-Bericht.

Dokumentiert die Aufsicht durch die Führungsebene – das erste, wonach ein Prüfer fragt.

Zentrales Register aller KI-Systeme, die entwickelt, gekauft oder eingebettet wurden – einschließlich Shadow-IT-Nutzung.

Voraussetzung für die Klassifizierung und Lieferantennachweise.

Für jedes System: Zweck, Anbieter, Datenklassen, Entscheidungsauswirkung, Nutzerkreis.

Erforderliche Felder für die Dokumentation gemäß Anhang IV.

Klassifizieren Sie jedes System als verboten, hochriskant (Anhang III / Anhang I), risikobegrenzt (Art. 50) oder minimal.

Bestimmt alle nachfolgenden Pflichten.

Dokumentieren Sie die Begründung der Klassifizierung und überprüfen Sie diese bei jeder Änderung der Funktionen.

Aufsichtsbehörden lehnen "Vertrauen Sie uns" ab – sie wollen die Argumentation.

Markieren Sie jede Nutzung, die HR, Kreditvergabe, Bildung, Biometrie, wesentliche Dienstleistungen oder Strafverfolgung betrifft.

Automatische Auslöser für Anhang III.

Grundlegende KI-Schulung für alle Mitarbeiter, die KI in ihrer Rolle nutzen.

Artikel 4 in der durch den Digital Omnibus geänderten Fassung.

Fortgeschrittene Schulungen für Teams, die Hochrisiko-KI-Systeme oder kundenorientierte KI betreiben.

Verhältnismäßigkeitsprinzip in Art. 4.

Dokumentieren Sie, wer wann zu welchem Inhalt geschult wurde.

Einziger Nachweis, den eine Aufsichtsbehörde akzeptiert.

Die Schulungen sollten nach jeder wesentlichen Änderung der Werkzeuge oder Richtlinien aktualisiert werden, nicht nur einmal jährlich.

Die Kompetenzen müssen mit den eingesetzten Werkzeugen Schritt halten.

Chatbots und Sprachassistenten müssen offenlegen, dass der Nutzer mit KI interagiert.

Art. 50(1).

KI-generierte Bilder, Audio-, Video- und Textinhalte sind bei der Bereitstellung als solche zu kennzeichnen.

Art. 50(4) und Deepfake-Regelung.

Emotionserkennung und biometrische Kategorisierung müssen betroffene Personen informieren.

Art. 50(3).

Neue KI-generierende Systeme erzeugen maschinenlesbare Wasserzeichen.

Art. 50(2); Viermonatige Übergangsfrist für bestehende Systeme endet am 2. Dezember 2026.

Web-Assistenten und Support-Prozesse enthalten einen zugänglichen Hinweis „Dies ist KI“.

Kombiniert Art. 50(1) mit Nutzbarkeitserwartungen.

Dokumentiertes Risikomanagementsystem, das den gesamten Lebenszyklus abdeckt (Art. 9).

Zentrales Artefakt des Hochrisiko-Regimes.

Daten-Governance-Kontrollen: Repräsentative, relevante und fehlerfreie Trainings- und Validierungsdaten (Art. 10).

Voreingenommenheit und Qualitätsmängel entstehen hier.

Technische Dokumentation nach Anhang IV wird eröffnet und gepflegt (Art. 11).

Ohne sie gibt es keine Konformitätsbewertung.

Automatische Protokollierung von Ereignissen aktiviert und aufbewahrt (Art. 12).

Die Aufsichtsbehörden verlangen Nachvollziehbarkeit, keine Screenshots.

Menschliche Aufsicht ist in den Arbeitsablauf integriert, nicht nachträglich hinzugefügt (Art. 14).

„Human in the Loop“ muss durchgängig nachgewiesen werden.

Genauigkeits-, Robustheits- und Cybersicherheitstests mit Bestanden/Nicht-bestanden-Schwellenwerten (Art. 15).

Erforderlich in der technischen Dokumentation.

Qualitätsmanagementsystem, das Design, Tests und Überwachung abdeckt (Art. 17).

Benannte Stellen prüfen dies als Erstes.

Konformitätsbewertungsverfahren ausgewählt und CE-Kennzeichnung geplant (Art. 43).

Bestimmt, welcher Anhang für Ihre Entwicklung gilt.

Marktüberwachungsplan mit definierten Signalen und Eskalationswegen (Art. 72).

„Ship and forget“ ist nicht mehr rechtmäßig.

Verfahren zur Meldung schwerwiegender Vorfälle mit einer Frist von 15 Tagen festgelegt (Art. 73).

Versäumte Meldungen ziehen eigene Bußgelder nach sich.

KI-Verordnung-Klauseln in Beschaffungs- und Anbietervertragsvorlagen aufgenommen.

Die Pflichten des Anwenders gemäß Art. 26 hängen von den Nachweisen des Anbieters ab.

Anbieternachweise für jeden Hochrisiko-Lieferanten gesammelt: Dokumentation, Aufsichtsdesign, Vorfallhistorie.

Anwender übernehmen bestehende Lücken.

Datenschutz-Folgenabschätzung (DPIA) aktualisiert, um KI-spezifische Risiken einzubeziehen.

Art. 35 DSGVO greift mit den Pflichten der KI-Verordnung ineinander.

Verarbeitungsverzeichnisse für KI-basierte Entscheidungen aktualisiert.

Aufsichtsbehörden vergleichen DSGVO- und KI-Verordnung-Register.