# Checkliste zur KI-Verordnung für Unternehmen, die KI nutzen

Stand 9. November 2026. Frei kopierbar und nutzbar. Artikeltexte aus EUR-Lex und dem AI Act Service Desk.

Ein Unternehmen, das KI-Systeme in eigener Verantwortung verwendet, ist Betreiber im Sinne der KI-Verordnung (Artikel 3 Nummer 4). Diese Checkliste nennt, was die Verordnung von Betreibern verlangt, aus welchem Artikel jede Pflicht stammt und welcher Nachweis zeigt, dass sie erfüllt ist: KI-Kompetenz seit dem 2. Februar 2025, Transparenz ab dem 2. August 2026 und die Pflichten aus Artikel 26 und 27 für Hochrisiko-Verwendungen ab dem 2. Dezember 2027.

14. Oktober 2026: Die erste harmonisierte Norm zur KI-Verordnung, EN 18286 (Qualitätsmanagement für Anbieter von Hochrisiko-KI-Systemen), wurde im Amtsblatt veröffentlicht. [Was das für Betreiber bedeutet](https://standardcompute.com/en-18286-harmonisierte-norm-ki-verordnung).

## 1. Jedes Unternehmen, das KI nutzt

_Gilt unabhängig vom Werkzeug: Chat-Assistenten, KI-Funktionen in anderer Software, Coding-Agenten und Modelle per API._

| Erledigt | Nr. | Was zu tun ist | Artikel | Wie Sie es nachweisen |
| --- | --- | --- | --- | --- |
| [ ] | 1 | KI-Kompetenz. Maßnahmen ergreifen, um die KI-Kompetenz der Beschäftigten und anderer Personen zu fördern, die in Ihrem Auftrag KI-Systeme betreiben oder nutzen, abgestimmt auf Kenntnisse, Erfahrung, Ausbildung und den Einsatzkontext. | Art. 4 (seit 2. Feb. 2025, geändert durch VO 2026/1744) | Schulungsnachweise je Rolle (Datum, Teilnehmende, Inhalt), die von den Beschäftigten bestätigte KI-Richtlinie und Hinweise zu Risiken wie Halluzinationen. Ein Zertifikat ist nicht erforderlich. |
| [ ] | 2 | Inventar. Jedes KI-System und jeden Anwendungsfall erfassen: Zweck, Verantwortliche, Nutzende, Modelle und Anbieter sowie die eingegebenen Daten. | Grundlage für Art. 4, 6, 26 und 50 | Ein KI-Register mit Verantwortlichen, Zweck, Nutzenden, Modellen, Anbietern, Datenkategorien, Veröffentlichung von Ausgaben und Datum der letzten Prüfung. Ein Export der genutzten Modelle und Anbieter je Anwendung oder Schlüssel. |
| [ ] | 3 | Risikoeinstufung. Jeden Anwendungsfall mit den acht Bereichen des Anhangs III abgleichen: Biometrie, kritische Infrastruktur, Bildung, Beschäftigung und Personalmanagement, grundlegende private und öffentliche Dienste (darunter Kreditwürdigkeit sowie Risiko und Preise bei Lebens- und Krankenversicherungen), Strafverfolgung, Migration und Grenzkontrolle, Rechtspflege und demokratische Prozesse. Texte entwerfen, übersetzen, zusammenfassen und Programmierhilfe sind keine Bereiche des Anhangs III. Hochriskant wird eine solche Verwendung, wenn die KI einem dort genannten Zweck dient, etwa dem Filtern von Bewerbungen. | Art. 6 Abs. 2 und 3, Anhang III | Ein Einstufungsvermerk je Anwendungsfall mit der geprüften Nummer des Anhangs III und der Begründung, einer etwa genutzten Ausnahme nach Artikel 6 Absatz 3, Freigabe durch die Rechtsabteilung und erneuter Prüfung bei jeder Zweckänderung. Profiling natürlicher Personen in einem Bereich des Anhangs III ist immer hochriskant. |
| [ ] | 4 | Rollenprüfung. Bestätigen, dass Sie Betreiber bleiben. Anbieterpflichten übernehmen Sie, wenn Sie ein Hochrisiko-System unter eigenem Namen oder eigener Marke anbieten, es wesentlich verändern oder den Zweck eines KI-Systems so ändern, dass es hochriskant wird. | Art. 25 Abs. 1 | Ein Vermerk im Register je System: eigene Marke ja oder nein, vorgenommene Änderungen, eigener Zweck im Vergleich zum Zweck des Anbieters. |

## 2. Nur wenn Sie ein Hochrisiko-KI-System betreiben

_Verwendungen nach Anhang III, ab dem 2. Dezember 2027 (Artikel 113 in der Fassung des Digital Omnibus zur KI)._

| Erledigt | Nr. | Was zu tun ist | Artikel | Wie Sie es nachweisen |
| --- | --- | --- | --- | --- |
| [ ] | 5 | Verwendung nach Gebrauchsanweisung. Technische und organisatorische Maßnahmen treffen, damit das System gemäß der Gebrauchsanweisung des Anbieters verwendet wird. | Art. 26 Abs. 1 | Die Gebrauchsanweisung mit Version in der Ablage und ein internes Verfahren, das jeder Anweisung eine Kontrolle zuordnet. |
| [ ] | 6 | Menschliche Aufsicht. Die Aufsicht Personen übertragen, die über die nötige Kompetenz, Ausbildung und Befugnis verfügen, und ihnen die nötige Unterstützung geben. | Art. 26 Abs. 2 | Benannte Aufsichtspersonen je System, ihre Schulungsnachweise, ihre Befugnis, das System anzuhalten oder zu übersteuern, und der Eskalationsweg. |
| [ ] | 7 | Eingabedaten. Soweit Sie die Eingabedaten kontrollieren, sicherstellen, dass sie im Hinblick auf den Zweck relevant und ausreichend repräsentativ sind. | Art. 26 Abs. 4 | Eine Beschreibung der Datenquellen und eine datierte Prüfung von Relevanz und Repräsentativität. |
| [ ] | 8 | Überwachung. Den Betrieb anhand der Gebrauchsanweisung überwachen. Bei einem möglichen Risiko Anbieter oder Händler und die Marktüberwachungsbehörde informieren und die Verwendung aussetzen. Schwerwiegende Vorfälle melden. | Art. 26 Abs. 5 | Ein Überwachungsprotokoll, ein Vorfallverfahren mit den Kontakten von Anbieter und Behörde und Aufzeichnungen über Meldungen oder Aussetzungen. |
| [ ] | 9 | Protokolle aufbewahren. Die vom Hochrisiko-System automatisch erzeugten Protokolle, soweit sie Ihrer Kontrolle unterliegen, für einen dem Zweck angemessenen Zeitraum von mindestens sechs Monaten aufbewahren, sofern Unionsrecht oder nationales Recht, insbesondere zum Datenschutz, nichts anderes vorsieht. | Art. 26 Abs. 6 | Aufbewahrungseinstellung und Speicherort der Systemprotokolle, der Löschplan und ein Beispielexport über mindestens sechs Monate. |
| [ ] | 10 | Beschäftigte informieren. Vor der Inbetriebnahme oder Verwendung eines Hochrisiko-Systems am Arbeitsplatz informieren Arbeitgeber die Arbeitnehmervertretung und die betroffenen Beschäftigten. | Art. 26 Abs. 7 | Die datierte Mitteilung an die Beschäftigten und das Protokoll oder Schreiben an den Betriebsrat oder eine andere Arbeitnehmervertretung. |
| [ ] | 11 | Betroffene informieren. Trifft ein System nach Anhang III Entscheidungen über natürliche Personen oder unterstützt es sie dabei, diese Personen über die Verwendung informieren. | Art. 26 Abs. 11 | Der Text des Hinweises und wo und wann er den betroffenen Personen angezeigt wird. |
| [ ] | 12 | Grundrechte-Folgenabschätzung, wo vorgeschrieben: Einrichtungen des öffentlichen Rechts, private Einrichtungen, die öffentliche Dienste erbringen, und Betreiber von Systemen zur Kreditwürdigkeit oder zu Risiko und Preisen bei Lebens- und Krankenversicherungen (Anhang III Nr. 5 Buchst. b und c) prüfen die Auswirkungen vor der ersten Verwendung und teilen das Ergebnis der Marktüberwachungsbehörde mit. Kritische Infrastruktur (Anhang III Nr. 2) ist ausgenommen. | Art. 27, Art. 26 Abs. 9 | Die durchgeführte Folgenabschätzung (Prozesse, Zeitraum und Häufigkeit, betroffene Gruppen, Risiken, Aufsicht, Maßnahmen und Beschwerdewege), die versandte Mitteilung und Verweise auf Ihre Datenschutz-Folgenabschätzung nach Artikel 35 DSGVO. |

## 3. Transparenz

_Artikel 50 gilt ab dem 2. August 2026._

| Erledigt | Nr. | Was zu tun ist | Artikel | Wie Sie es nachweisen |
| --- | --- | --- | --- | --- |
| [ ] | 13 | Kennzeichnung durch den Anbieter. Anbieter von KI-Systemen, die synthetische Audio-, Bild-, Video- oder Textinhalte erzeugen, kennzeichnen die Ausgaben maschinenlesbar als künstlich erzeugt oder manipuliert. Das ist eine Pflicht des Anbieters. Für Systeme, die vor dem 2. August 2026 in Verkehr gebracht wurden, gilt sie ab dem 2. Dezember 2026. | Art. 50 Abs. 2, Art. 111 Abs. 4 | Für jedes generative Werkzeug im Register die Erklärung oder Dokumentation des Anbieters zur Kennzeichnung, mit Datum Ihrer Prüfung. |
| [ ] | 14 | Deepfakes und Texte von öffentlichem Interesse. Offenlegen, dass Deepfake-Bilder, -Audio oder -Videos künstlich erzeugt oder manipuliert wurden. Offenlegen, dass veröffentlichte Texte zur Information der Öffentlichkeit über Angelegenheiten von öffentlichem Interesse von KI erzeugt oder manipuliert wurden, außer sie wurden menschlich geprüft oder redaktionell kontrolliert und eine Person trägt die redaktionelle Verantwortung. | Art. 50 Abs. 4 | Eine Kennzeichnungsregel im Veröffentlichungsablauf, Beispiele gekennzeichneter Inhalte und der Name der Person mit redaktioneller Verantwortung für geprüfte Texte. |
| [ ] | 15 | Emotionserkennung und biometrische Kategorisierung. Die betroffenen Personen über den Betrieb eines solchen Systems informieren. | Art. 50 Abs. 3 | Der Text des Hinweises und wo er angezeigt wird, oder ein Vermerk im Register, dass kein solches System genutzt wird. |

## 4. Unterlagen von Modellanbietern

_Die Pflichten für KI-Modelle mit allgemeinem Verwendungszweck liegen bei den Anbietern und gelten seit dem 2. August 2025._

| Erledigt | Nr. | Was zu tun ist | Artikel | Wie Sie es nachweisen |
| --- | --- | --- | --- | --- |
| [ ] | 16 | Unterlagen zu KI-Modellen mit allgemeinem Verwendungszweck. Wenn Sie ein solches Modell in Ihr eigenes KI-System integrieren, die Informationen und Dokumentation anfordern, die der Anbieter nachgelagerten Anbietern bereitstellen muss, dazu die öffentliche Zusammenfassung der Trainingsinhalte und die Urheberrechtsstrategie. Open-Source-Modelle sind von der Dokumentationspflicht ausgenommen, außer bei systemischem Risiko. | Art. 53 Abs. 1 Buchst. b, c, d, Anhang XII | Ein Ordner je Modell mit Anbieterdokumentation, Link zur Zusammenfassung der Trainingsinhalte, Urheberrechtsstrategie, Auftragsverarbeitungsbedingungen und Abrufdatum, verlinkt aus dem Register. |

---

## Quellen

- [Verordnung (EU) 2024/1689, KI-Verordnung, EUR-Lex](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32024R1689)
- [Verordnung (EU) 2026/1744, Digital Omnibus zur KI, EUR-Lex](https://eur-lex.europa.eu/eli/reg/2026/1744/oj)
- AI Act Service Desk, konsolidierte Fassung: [Artikel 4](https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-4), [Artikel 6](https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-6), [Artikel 25](https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-25), [Artikel 26](https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-26), [Artikel 27](https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-27), [Artikel 50](https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-50), [Artikel 53](https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-53), [Artikel 111](https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-111), [Artikel 113](https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-113), [Anhang III](https://ai-act-service-desk.ec.europa.eu/en/ai-act/annex-3)

_Kostenlose Checkliste zur KI-Verordnung für Betreiber von https://standardcompute.com/ki-verordnung-checkliste-betreiber (Stand 9. November 2026). Frei kopierbar und bearbeitbar. Keine Rechtsberatung._