EU-KI-Verordnung Compliance-Leitfaden: 10 Schritte zur Vorbereitung

Die Einhaltung der EU-KI-Verordnung (Verordnung 2024/1689) ist keine einzelne Maßnahme — es ist ein strukturiertes Programm, das Technologie, Governance, Rechts- und operative Funktionen in Ihrer gesamten Organisation berührt. Dieser Leitfaden führt durch zehn wesentliche Schritte zum Aufbau eines umfassenden Compliance-Programms, von der ersten Bestandsaufnahme bis zur laufenden Überwachung.

Die Pflichten werden jetzt wirksam. Verbotene Praktiken und KI-Kompetenzanforderungen sind seit dem 2. Februar 2025 durchsetzbar. Pflichten für KI-Modelle mit allgemeinem Verwendungszweck gelten ab August 2025. Die vollständige Durchsetzung der Hochrisikosystem-Anforderungen beginnt am 2. August 2026. Unabhängig davon, wo Sie im Prozess stehen — jetzt ist die Zeit zu beginnen.

Schritt 1: Erfassen Sie Ihre KI-Systeme

Sie können eine Verordnung nicht einhalten, wenn Sie nicht wissen, worauf sie sich bezieht. Der erste Schritt ist die Erstellung eines umfassenden Inventars aller KI-Systeme in Ihrer Organisation.

Was als KI-System gilt

Die Definition der KI-Verordnung (Artikel 3 Absatz 1) ist weit gefasst: ein maschinenbasiertes System, das mit unterschiedlichem Grad an Autonomie operiert und Ausgaben wie Vorhersagen, Inhalte, Empfehlungen oder Entscheidungen generiert. Dies erfasst Machine-Learning-Modelle, Deep-Learning-Systeme, statistische Ansätze, logik- und wissensbasierte Systeme sowie hybride Systeme.

So führen Sie ein KI-Inventar durch

Befragen Sie jede Abteilung. KI-Systeme werden oft abteilungsweise eingeführt — Marketing, HR, Finanzen, Kundenservice, Produkt, Betrieb.

Berücksichtigen Sie Drittanbieter-KI. Systeme, die Sie über API nutzen, in Ihre Produkte einbetten oder über SaaS-Plattformen nutzen, sind im Anwendungsbereich.

Prüfen Sie eingebettete KI. Viele Softwareprodukte enthalten KI-Komponenten, die nicht prominent gekennzeichnet sind.

Dokumentieren Sie jedes System. Name und Anbieter, Zweck und Funktion, verarbeitete Daten, erzeugte Ausgaben, betroffene Personen, nutzende Abteilung.

Schritt 2: Risikoniveaus klassifizieren

Prüfen Sie zunächst auf verbotene Praktiken (Artikel 5), dann auf Hochrisiko-Klassifizierung (Artikel 6, Anhänge I und III), dann auf Transparenzpflichten (Artikel 50), und klassifizieren Sie den Rest als minimales Risiko.

Schritt 3: Identifizieren Sie Ihre Rolle

Anbieter, Betreiber, Einführer oder Händler — Ihre Pflichten unterscheiden sich je nach Rolle. Sie können für verschiedene Systeme unterschiedliche Rollen einnehmen.

Schritt 4: Lückenanalyse durchführen

Für jedes Hochrisiko-KI-System vergleichen Sie aktuelle Praktiken mit den Anforderungen der Artikel 8-15: Risikomanagement, Datengovernance, technische Dokumentation, Protokollierung, Transparenz, menschliche Aufsicht, Genauigkeit und Robustheit.

Schritt 5: Erforderliche Kontrollen implementieren

Risikomanagementsystem (Artikel 9)

Risiken identifizieren, bewerten, managen, testen und dokumentieren — als fortlaufender iterativer Prozess.

Datengovernance (Artikel 10)

Trainings-, Validierungs- und Testdaten müssen angemessener Governance unterliegen, einschließlich Bias-Erkennung und -Minderung.

Technische Dokumentation (Artikel 11)

Alle Elemente gemäß Anhang IV erstellen und aktuell halten.

Protokollierungsfähigkeiten (Artikel 12)

Automatische Protokollierung mit angemessenen Aufbewahrungsfristen (mindestens sechs Monate).

Transparenzbestimmungen (Artikel 13)

System für hinreichende Transparenz gestalten und Gebrauchsanweisungen bereitstellen.

Design für menschliche Aufsicht (Artikel 14)

Human-in-the-loop, Human-on-the-loop oder Human-in-command — je nach Risikoniveau.

Schritt 6: Konformitätsbewertung vorbereiten

Interne Konformitätsbewertung (Anhang VI) für die meisten Systeme oder Drittbewertung (Anhang VII) für biometrische Identifizierung und kritische Infrastruktur. Danach CE-Kennzeichnung und Registrierung in der EU-Datenbank.

Schritt 7: Überwachung und Marktbeobachtung einrichten

Marktüberwachungssystem nach dem Inverkehrbringen (Artikel 72) einrichten, Prozess zur Meldung schwerwiegender Vorfälle (Artikel 73) etablieren.

Schritt 8: Ihr Team schulen (KI-Kompetenz)

Artikel 4 verlangt KI-Kompetenz beim Personal — bereits seit dem 2. Februar 2025 durchsetzbar. Rollenspezifische Lernziele definieren, Schulungen durchführen, dokumentieren und regelmäßig aktualisieren.

Schritt 9: Alles dokumentieren

Schlüsseldokumente: KI-System-Inventar, Risikoklassifizierungen, Risikomanagementsystem-Aufzeichnungen, Datengovernance-Aufzeichnungen, technische Dokumentation, Konformitätsbewertungsaufzeichnungen, Protokollierungs- und Überwachungsaufzeichnungen, Schulungsunterlagen, QMS-Dokumentation, Marktüberwachungsaufzeichnungen.

Halten Sie sie aktuell. Dokumentation, die den aktuellen Zustand Ihrer KI-Systeme nicht widerspiegelt, ist schlimmer als nutzlos.

Schritt 10: Laufende Compliance planen

Regulatorische Entwicklungen verfolgen, Risikobewertungen überprüfen und aktualisieren, regelmäßig intern auditieren, Lieferkette managen, sich an Durchsetzung anpassen und Compliance-Prüfung in das Änderungsmanagement integrieren.

Compliance-Zeitplan-Überblick

Wo Sie beginnen, wenn Sie im Rückstand sind

Wenn Ihre Organisation noch nicht mit ihrem Compliance-Programm begonnen hat, hier eine pragmatische Priorisierung:

Sofort (diesen Monat):

• Schnelle KI-System-Bestandsaufnahme durchführen
• Auf verbotene Praktiken prüfen — alle qualifizierenden einstellen
• Grundlegendes KI-Kompetenz-Awareness-Programm starten

Kurzfristig (nächstes Quartal):

• Risikoklassifizierung für alle inventarisierten Systeme abschließen
• Ihre Rolle (Anbieter/Betreiber) für jedes System identifizieren
• Mit der Lückenanalyse für Hochrisikosysteme beginnen

Mittelfristig (nächste sechs Monate):

• Erforderliche Kontrollen für Hochrisikosysteme implementieren
• Qualitätsmanagementsystem einrichten
• Konformitätsbewertung vorbereiten

Vor August 2026:

• Konformitätsbewertungen für alle Hochrisikosysteme abschließen
• Marktüberwachungssysteme einrichten
• Sicherstellen, dass alle Dokumentation vollständig und aktuell ist
• Prozess zur Meldung schwerwiegender Vorfälle testen

Die Organisationen, die jetzt beginnen, auch wenn unvollkommen, werden in einer deutlich stärkeren Position sein als diejenigen, die auf vollständige Klarheit warten. Die Verordnung ist geltendes Recht. Die Fristen stehen fest. Die einzige Variable ist, wie gut vorbereitet Ihre Organisation sein wird, wenn die Durchsetzung beginnt.