EU AI Act Checkliste für den Mittelstand – kostenlos als PDF
Der EU AI Act betrifft nicht nur Hersteller von KI, sondern kann auch Betriebe ansprechen, die KI-Werkzeuge im Alltag nutzen. Diese Seite gibt Ihnen einen verständlichen Überblick und eine praxisnahe Checkliste in acht Schritten – als allgemeine Orientierung, zusammengestellt von einem zertifizierten KI-Manager (IHK).
Illustration: mit KI erzeugt
ausgestellt von der IHK Regensburg
Der EU AI Act und der Digital Omnibus in Kürze
Die wichtigsten Punkte für Betriebe im Überblick, jeweils mit Verweis auf die Verordnung. Der Digital Omnibus ist die jüngste Änderung des EU AI Act und der Grund, warum sich viele Fristen verschoben haben:
- Der EU AI Act ist die Verordnung (EU) 2024/1689. Sie wird schrittweise anwendbar: Einzelne Teile gelten seit dem 2. Februar 2025, die allgemeine Anwendung begann am 2. August 2026.
- Digital Omnibus: Die Verordnung (EU) 2026/1744, die „Digital-Omnibus-Verordnung zur KI“, hat den EU AI Act geändert und ist seit dem 27. Juli 2026 in Kraft. Sie verschiebt die Vorschriften für Hochrisiko-KI-Systeme und fasst Artikel 4 zur KI-Kompetenz neu.
- Angesprochen sind nach dem Wortlaut nicht nur Hersteller (Anbieter), sondern auch Unternehmen, die KI-Systeme in eigener Verantwortung beruflich verwenden (Betreiber, Art. 3).
- Seit dem 2. Februar 2025 gelten die Verbote bestimmter KI-Praktiken (Art. 5) und Artikel 4 zur KI-Kompetenz. Nach der Neufassung durch den Digital Omnibus sieht Artikel 4 vor, dass Maßnahmen ergriffen werden, um die Entwicklung der KI-Kompetenz zu unterstützen.
- Durch den Digital Omnibus wurden die Vorschriften für Hochrisiko-KI-Systeme verschoben: auf den 2. Dezember 2027 (Anhang III) und den 2. August 2028 (Anhang I).
- Artikel 50 enthält Transparenzpflichten, zum Beispiel zum Hinweis auf KI-Interaktion und zur Offenlegung von Deepfakes.
Wer ist angesprochen? Anbieter und Betreiber
Die Verordnung unterscheidet Rollen. Anbieter ist, wer ein KI-System entwickelt oder entwickeln lässt und es unter eigenem Namen oder eigener Marke in Verkehr bringt oder in Betrieb nimmt. Betreiber ist, wer ein KI-System in eigener Verantwortung verwendet, ausgenommen die rein private, nicht berufliche Nutzung (Art. 3 Nr. 3 und 4).
Welche Rolle für Ihren Betrieb zutrifft, ist eine Frage des Einzelfalls, die ich hier nicht beurteilen kann. Die Checkliste unten empfiehlt deshalb, je Werkzeug zu prüfen, in welcher Rolle der Betrieb auftritt.
Die wichtigsten Termine im Überblick
Die Verordnung gilt gestaffelt. Die folgende Übersicht fasst zusammen, was die Verordnung zu den Anwendungszeitpunkten vorsieht (Art. 113 in der geänderten Fassung):
- 1. August 2024Inkrafttreten
Die KI-Verordnung tritt in Kraft.
bereits eingetreten - 2. Februar 2025Verbote und KI-Kompetenz
Allgemeine Bestimmungen (Kapitel I) und Verbote (Kapitel II) gelten, darunter Artikel 4 (KI-Kompetenz) und Artikel 5 (verbotene Praktiken).
bereits eingetreten - 2. August 2025KI-Modelle, Governance, Sanktionen
Unter anderem Vorschriften zu KI-Modellen mit allgemeinem Verwendungszweck sowie zu Governance und Sanktionen (Kapitel V, VII und XII).
bereits eingetreten - 27. Juli 2026Der Digital Omnibus tritt in Kraft
Die Änderungsverordnung (EU) 2026/1744 („Digital-Omnibus-Verordnung zur KI“) tritt in Kraft, unter anderem mit der neuen Fassung von Artikel 4.
bereits eingetreten - 2. August 2026Allgemeine Anwendung
Beginn der allgemeinen Anwendung, soweit nichts anderes bestimmt ist, unter anderem Transparenzpflichten nach Artikel 50.
bereits eingetreten - 2. Dezember 2026Neue Verbote und Übergangsfrist
Neue Verbote in Artikel 5 Absatz 1 Buchstaben ba und bb (bestimmte Deepfakes und Missbrauchsdarstellungen); Übergangsfrist für Artikel 50 Absatz 2 bei Systemen, die vor dem 2. August 2026 in Verkehr gebracht wurden.
steht bevor - 2. Dezember 2027Hochrisiko-KI nach Anhang III
Vorschriften für Hochrisiko-KI-Systeme nach Anhang III, durch den Digital Omnibus verschoben.
steht bevor - 2. August 2028Hochrisiko-KI nach Anhang I
Vorschriften für Hochrisiko-KI-Systeme nach Anhang I, durch den Digital Omnibus verschoben.
steht bevor
Alle Angaben beruhen auf dem amtlichen Verordnungstext, Stand Oktober 2026. Änderungen sind möglich.
Die Checkliste in acht Schritten
Die folgenden Schritte sind eine praktische Orientierung für Betriebe, die KI nutzen. Sie sind keine Rechtsprüfung und garantieren kein bestimmtes Ergebnis. Die Kontrollkästchen finden Sie auch in der PDF-Version weiter unten.
KI-Inventur
Verschaffen Sie sich einen Überblick, welche KI-Systeme im Betrieb tatsächlich genutzt werden.
- Alle KI-Werkzeuge auflisten, zum Beispiel Textassistenten, KI-Funktionen in Office-, CRM- oder Buchhaltungssoftware, Übersetzer, Chatbots, Bild- und Spracherzeugung
- Auch private oder kostenlose Accounts erfassen, die Mitarbeitende beruflich nutzen
- Zweck, Abteilung und verantwortliche Person je Werkzeug notieren
- Festhalten, welche Daten eingegeben werden (personenbezogen, vertraulich, öffentlich)
- Notieren, welcher Anbieter hinter dem Werkzeug steckt (zu den Verträgen mehr in Schritt 6)
Rollen und Verantwortlichkeiten
Klären Sie, in welcher Rolle Ihr Betrieb auftritt und wer zuständig ist.
- Je Werkzeug prüfen: Wird es in eigener Verantwortung verwendet (Betreiber, Art. 3 Nr. 4)?
- Prüfen, ob irgendwo ein KI-System unter eigenem Namen angeboten wird (Anbieter, Art. 3 Nr. 3)
- Eine Ansprechperson für KI-Themen im Betrieb benennen
- Externe Dienstleister erfassen, die in Ihrem Auftrag mit KI arbeiten
Risikoeinordnung vormerken
Sortieren Sie Anwendungen grob nach den Stufen der Verordnung und holen Sie bei Unsicherheit Rechtsrat ein.
- Prüfen, ob eine Anwendung in den Bereich der Verbote nach Artikel 5 fallen könnte, etwa Emotionserkennung am Arbeitsplatz
- Prüfen, ob eine Anwendung in einem Bereich von Anhang III liegen könnte, zum Beispiel Bewerberauswahl, Entscheidungen zu Arbeitsverhältnissen oder Kreditwürdigkeitsprüfung natürlicher Personen
- Fälle für Transparenzpflichten nach Artikel 50 vormerken
- Bei Unsicherheit eine Rechtsanwältin oder einen Rechtsanwalt einbeziehen
KI-Kompetenz (Artikel 4)
Planen Sie Maßnahmen, die die Entwicklung der KI-Kompetenz im Betrieb unterstützen.
- Festhalten, wer mit KI arbeitet und mit welchem Vorwissen
- Informations- und Schulungsbedarf je Gruppe bestimmen
- Maßnahmen wählen, etwa Einweisung, Workshop, interne Leitlinie oder Lernmaterial
- Teilnahme und Inhalte festhalten
- Maßnahmen bei neuen Werkzeugen aktualisieren
Interne KI-Regeln
Eine kurze, verständliche Regel schafft im Alltag Klarheit.
- Erlaubte Werkzeuge und Einsatzzwecke festlegen
- Festlegen, was nicht eingegeben werden soll, etwa Geschäftsgeheimnisse oder Kundendaten
- Ergebnisse von KI vor der Verwendung durch einen Menschen prüfen lassen
- Zuständigkeit für neue Werkzeuge und für Fehlerfälle benennen
Datenschutz und Geschäftsgeheimnisse
Der Datenschutz ist ein eigenes Regelwerk (DSGVO) und gilt unabhängig vom EU AI Act.
- Verträge zur Auftragsverarbeitung prüfen
- Klären, wo und wie Daten verarbeitet werden
- Verzeichnis der Verarbeitungstätigkeiten gegebenenfalls ergänzen
- Datenschutzbeauftragte einbeziehen, soweit vorhanden
Transparenz und Kennzeichnung (Artikel 50)
Artikel 50 enthält Vorgaben, wann auf KI hinzuweisen ist.
- Bei Chatbots und KI-Assistenten prüfen, ob Nutzer erkennbar darüber informiert werden, dass sie mit KI interagieren (Artikel 50 Absatz 1 richtet sich an Anbieter; wer ein solches System unter eigenem Namen anbietet, kann Anbieter sein)
- Bei künstlich erzeugten oder veränderten Bild-, Ton- oder Videoinhalten (Deepfakes) die Offenlegung nach Absatz 4 prüfen
- Bei KI-Texten zu Themen von öffentlichem Interesse die Offenlegungsregel nach Absatz 4 prüfen
- Prüfen, ob Ihr Betrieb selbst ein KI-System anbietet, das Texte, Bilder, Ton oder Videos erzeugt. Für Anbieter solcher Systeme sieht Artikel 50 Absatz 2 vor, dass die Ergebnisse maschinenlesbar gekennzeichnet werden
Dokumentation und Fristen
Halten Sie die Ergebnisse fest und beobachten Sie Änderungen.
- Ergebnisse der Schritte 1 bis 7 an einem Ort ablegen
- Termine im Kalender vormerken: 2. Dezember 2026, 2. Dezember 2027, 2. August 2028
- Änderungen der Rechtslage beobachten
- Die Übersicht mindestens einmal im Jahr überprüfen
Die Risikostufen der Verordnung verständlich erklärt
Die Verordnung ordnet KI-Systeme nach ihrem Risiko ein. Die folgende Übersicht gibt einen groben Überblick und ersetzt keine Prüfung im Einzelfall:
Bestimmte KI-Praktiken sind verboten, zum Beispiel unterschwellige Manipulation, Social Scoring oder die Ableitung von Emotionen am Arbeitsplatz und in Bildungseinrichtungen (mit Ausnahmen für medizinische oder Sicherheitsgründe).
Genannt werden unter anderem KI-Systeme für die Einstellung oder Auswahl von Beschäftigten, für Entscheidungen zu Arbeitsverhältnissen und für die Kreditwürdigkeitsprüfung natürlicher Personen.
Für Betriebe, die ein solches System einsetzen (Betreiber), sieht Artikel 26 unter anderem vor:
- das System so nutzen, wie es in der Betriebsanleitung beschrieben ist,
- eine Person mit passender Kompetenz, Ausbildung und Befugnis die Arbeit der KI beaufsichtigen lassen,
- die automatisch erzeugten Aufzeichnungen (Protokolle) mindestens sechs Monate aufbewahren, soweit man darauf Zugriff hat,
- Beschäftigte und ihre Vertretung vorher informieren, wenn das System am Arbeitsplatz eingesetzt wird.
Diese Regeln gelten erst ab den verschobenen Terminen.
Unter anderem Hinweis auf KI-Interaktion, Offenlegung von Deepfakes und von bestimmten KI-Texten, Kennzeichnung synthetischer Inhalte durch Anbieter.
Die Pflichten nach den Artikeln 26 und 50 betreffen bestimmte Systeme. Artikel 4 und die Verbote bestehen unabhängig davon, andere Gesetze wie die DSGVO bleiben unberührt.
Die Verordnung unterscheidet ihre Vorgaben nach Risikostufen. Die Beispiele sind eine grobe Orientierung, keine Einstufung im Einzelfall.
Typische Fehler im Mittelstand
- KI-Nutzung nicht erfassen: Wer nicht weiß, welche Werkzeuge im Haus im Einsatz sind, kann nichts einordnen.
- Nur die Geschäftsführung kennt die Regeln: Im Alltag entscheiden die Beschäftigten, was in ein KI-Werkzeug eingegeben wird.
- Eine Schulung, keine Dokumentation: Was nicht festgehalten ist, lässt sich später schwer erklären.
- Datenschutz und EU AI Act verwechseln: Es sind getrennte Regelwerke mit eigenen Anforderungen.
- „Verschoben“ mit „aufgehoben“ gleichsetzen: Die Termine für Hochrisiko-Systeme wurden verlegt, die Vorschriften bleiben bestehen.
- Auf Rechtsrat verzichten, wenn es konkret wird: Bei Anwendungen wie Bewerberauswahl oder Bonitätsprüfung ist eine rechtliche Prüfung sinnvoll.
Was die Verordnung zu Sanktionen sagt
Die Verordnung verpflichtet die Mitgliedstaaten, wirksame, verhältnismäßige und abschreckende Sanktionen festzulegen und dabei die Interessen von KMU zu berücksichtigen (Art. 99 Abs. 1). Als Obergrenzen nennt sie für Verstöße gegen die Verbote bis zu 35 Mio. Euro oder 7 Prozent und für Verstöße gegen bestimmte andere Pflichten, darunter die Artikel 26 und 50, bis zu 15 Mio. Euro oder 3 Prozent des weltweiten Jahresumsatzes, jeweils der höhere Betrag. Bei KMU gilt jeweils der niedrigere Betrag (Art. 99 Abs. 6).
Artikel 4 ist in der Aufzählung des Absatzes 4 nicht genannt. Das ist keine Aussage, dass die Pflicht folgenlos wäre. Ob und welche Sanktionen im Einzelfall in Betracht kommen, hängt vom Recht der Mitgliedstaaten und den Umständen ab. Dazu gebe ich keine Einschätzung ab.
Die Checkliste als PDF
Vier Seiten zum Ausdrucken: Zeitstrahl, Risikostufen, die acht Schritte als Kontrollkästchen mit Erklärungen in einfachen Worten, Fachbegriffe und ein Arbeitsblatt zum Ausfüllen. Kostenlos und ohne Anmeldung.
PDF herunterladenAllgemeine Information, keine Rechtsberatung. Stand: Oktober 2026.Häufige Fragen
Allgemeine Antworten ohne Einzelfallbewertung.
Im Anwendungsbereich der Verordnung (Art. 2) wird keine Ausnahme für KMU genannt. Erleichterungen sieht sie zum Beispiel bei der Höhe von Geldbußen (Art. 99 Abs. 6) und bei der Unterstützung durch Kommission und Mitgliedstaaten (Art. 4 Abs. 2) vor. Was für Ihren Betrieb im Einzelfall gilt, kann ich hier nicht beurteilen.
Artikel 4 sieht vor, dass Anbieter und Betreiber Maßnahmen ergreifen, um die Entwicklung der KI-Kompetenz ihres Personals und anderer in ihrem Auftrag tätiger Personen zu unterstützen. Für keine Person muss dabei ein bestimmtes Niveau garantiert werden. Schritt 4 der Checkliste zeigt, wie das praktisch aussehen kann.
Für Hochrisiko-KI-Systeme ja, durch die Digital-Omnibus-Verordnung zur KI (Verordnung (EU) 2026/1744): auf den 2. Dezember 2027 (Systeme nach Anhang III) und den 2. August 2028 (Systeme nach Anhang I). Andere Teile der Verordnung, etwa die Verbote und Artikel 4, gelten bereits seit dem 2. Februar 2025.
Nein. Sie ist eine praxisorientierte Orientierungshilfe und fasst die Verordnung allgemein zusammen. Für die rechtliche Bewertung Ihres Betriebs sollten Sie eine Rechtsanwältin oder einen Rechtsanwalt fragen.
Artikel 4 nennt weder ein Zertifikat noch ein bestimmtes Format. Aus praktischer Sicht kann es trotzdem hilfreich sein, getroffene Maßnahmen festzuhalten, damit nachvollziehbar bleibt, was im Betrieb getan wurde.
Die Verordnung ist im Amtsblatt der Europäischen Union veröffentlicht und über das amtliche Rechtsportal der EU abrufbar. Das ist die verbindliche Quelle, nicht diese Seite.
Vor allem Klarheit. Ich verschaffe Ihnen einen Überblick über Ihre KI-Nutzung, ordne Einsatzfelder und Schulungsbedarf und übersetze die Anforderungen in einfache, alltagstaugliche Schritte und Regeln für Ihr Team. So wissen Sie, womit Sie anfangen, statt sich selbst durch Verordnungstexte zu arbeiten. Im Quickcheck schaue ich mir dafür Ihre Abläufe an und fasse das Ergebnis in einem schriftlichen Maßnahmenplan zusammen. Rechtliche Fragen klären Sie zusätzlich mit einer Rechtsanwältin oder einem Rechtsanwalt.
KI-Beratung für Unternehmen in der Oberpfalz und Regensburg
Vom ersten Überblick bis zur laufenden Begleitung – klar, transparent und ohne versteckte Kosten.
So läuft die Zusammenarbeit ab
Klar strukturiert, ohne Umwege – egal ob bei Ihnen vor Ort in der Oberpfalz und in Regensburg oder per Videokonferenz.
Ihr KI-Berater aus der Region – für die Oberpfalz und Regensburg
Kein anonymer Konzern, sondern ein direkter Ansprechpartner, der die Oberpfalz und ihren Mittelstand kennt.
Alexander Pöllinger
Seit 2007 bin ich als selbstständiger IT-Unternehmer tätig – seit 2026 zusätzlich zertifizierter KI-Manager (IHK). Für Unternehmen in der Oberpfalz und Regensburg bin ich Ihr direkter Ansprechpartner für KI: technisches Know-how kombiniert mit betriebswirtschaftlichem Denken, immer verständlich erklärt.
Zertifiziert und vertrauenswürdig
Fundiertes Wissen statt Schnellschuss – nachweisbar durch offizielle Zertifizierung.
