Checkliste: Ihre KI-Inventur in fünf Schritten

Nach der Einigung zum Digital Omnibus vom 7. Mai haben viele Unternehmen mehr Zeit für die Hochrisiko-Pflichten. Die Vorarbeit bleibt dieselbe: Sie müssen wissen, welche KI im Haus eingesetzt wird. Diese Checkliste ist eine Arbeitsvorlage, keine Rechtsberatung. Sie lässt sich in ein bis zwei Wochen abarbeiten, auch ohne eigene Rechtsabteilung.

Schritt 1: Alles erfassen, was KI enthält

Fragen Sie jede Abteilung nach genutzten Werkzeugen. Berücksichtigen Sie nicht nur eingekaufte Software, sondern auch Funktionen in bestehenden Programmen und private Konten, die Mitarbeitende beruflich nutzen. Eine einfache Tabelle genügt: Werkzeug, Abteilung, Zweck, verarbeitete Daten.

Schritt 2: Rolle bestimmen

Die Verordnung unterscheidet unter anderem Anbieter und Betreiber. Wer ein fertiges Werkzeug im eigenen Betrieb einsetzt, ist in der Regel Betreiber. Wer ein System unter eigenem Namen entwickelt oder stark verändert, kann Anbieter sein. Notieren Sie Ihre Einschätzung pro Anwendung und holen Sie sich bei Zweifelsfällen juristischen Rat.

Schritt 3: Risiko einordnen

Prüfen Sie je Anwendung, ob sie in einen der Bereiche fällt, die die Verordnung als hochriskant benennt, zum Beispiel Personalauswahl, Bonitätsbewertung oder Bildung. Ein Textassistent für Marketing ist anders zu bewerten als ein System, das Bewerbungen vorsortiert. Markieren Sie die kritischen Fälle zuerst.

Schritt 4: Verantwortung und Kompetenz festlegen

• Benennen Sie je Anwendung eine verantwortliche Person und eine Vertretung.
• Halten Sie fest, wer in welchem Umfang geschult wurde. Die Pflicht zur KI-Kompetenz gilt bereits.
• Legen Sie fest, wann ein Mensch das Ergebnis prüft, bevor es nach außen geht.

Schritt 5: Kennzeichnung und Dokumentation

Wenn Sie KI-erzeugte Texte, Bilder oder Audio veröffentlichen, klären Sie, wie diese gekennzeichnet werden. Für Systeme, die schon vor dem 2. August 2026 am Markt waren, sieht die vorläufige Einigung eine Übergangsfrist bis 2. Dezember 2026 für die maschinenlesbare Kennzeichnung vor. Dokumentieren Sie außerdem, welche Daten in welche Werkzeuge fließen.

Eine Beispielzeile für Ihr Verzeichnis

Werkzeug: Textassistent im Office-Paket. Abteilung: Vertrieb. Zweck: Entwürfe für Angebote. Daten: Kundennamen und Preise. Rolle: Betreiber. Risiko: gering. Verantwortlich: Vertriebsleitung. Prüfung: Ein Mitarbeiter liest jeden Entwurf vor dem Versand. Typische Funde bei der ersten Runde sind Übersetzungsdienste, Browser-Erweiterungen und Bewerbermanagement-Software mit automatischer Vorauswahl. Gerade die letzte Gruppe verdient einen zweiten Blick.

Am Ende haben Sie ein Verzeichnis von ein bis zwei Seiten. Es ist die Grundlage für Datenschutzprüfung, Einkaufsentscheidungen und jede spätere Nachweispflicht. Aktualisieren Sie es einmal im Quartal.

Quellen

• Rat der EU, Pressemitteilung vom 7. Mai 2026
• Stibbe: AI Act reloaded
• Verordnung (EU) 2024/1689 (KI-Verordnung), EUR-Lex