Die KI-Act-Checkliste für den Betrieb

Eine förmliche Pflicht zur KI-Inventur kennt die KI-Verordnung nicht — aber jede ihrer Pflichten setzt voraus, dass bekannt ist, was im Haus läuft. In der Praxis findet sich fast überall mehr als gedacht: Übersetzungsdienste, Diktier-Apps, das private ChatGPT-Konto. Erst diese Liste zeigt, welche der folgenden Punkte überhaupt betroffen sind. Sie ist in einer Stunde erstellt und spart später Tage.

Artikel 5 der KI-Verordnung verbietet bestimmte Anwendungen vollständig, und zwar schon seit Februar 2025. Dazu gehören Emotionserkennung am Arbeitsplatz, Social Scoring und manipulative Techniken, die Menschen gezielt schaden. Für die meisten Betriebe ist diese Prüfung in Minuten erledigt — relevant wird sie etwa bei Software, die Stimmung oder Aufmerksamkeit von Beschäftigten auswerten soll. Auf Verstöße stehen die höchsten Bußgelder der gesamten Verordnung.

Hier gilt weniger die KI-Verordnung als die DSGVO: Wer personenbezogene Daten in einen Cloud-Dienst gibt, braucht eine Rechtsgrundlage und in der Regel einen Auftragsverarbeitungsvertrag (Art. 28 DSGVO). Gratis-Versionen vieler KI-Dienste verwenden Eingaben zudem für das Training ihrer Modelle — Kundendaten, Kalkulationen und Verträge gehören dort nicht hinein. Eine einfache Einteilung genügt: öffentlich, intern, vertraulich — und je Klasse die Festlegung, welche Werkzeuge erlaubt sind.

Eine KI-Richtlinie schreibt die KI-Verordnung nicht ausdrücklich vor. Sie ist aber das praktischste Instrument, um die Pflichten aus Artikel 4 (KI-Kompetenz) und Artikel 50 (Transparenz) im Alltag umzusetzen — und arbeitsrechtlich die Grundlage, auf die sich alle berufen können. Wichtiger als juristische Eleganz ist Verständlichkeit: Ein Regelwerk, das niemand liest, regelt nichts.

Einen „KI-Beauftragten“ verlangt das Gesetz nicht. Trotzdem braucht das Thema einen Kümmerer: jemanden, der neue Werkzeuge freigibt, Fragen beantwortet und die Richtlinie aktuell hält. In kleineren Betrieben übernimmt das oft die Person, die schon Datenschutz oder IT verantwortet. Entscheidend ist nur, dass der Name im Haus bekannt ist.

Artikel 4 der KI-Verordnung verlangt seit Februar 2025 „KI-Kompetenz“: Wer KI einsetzt, muss dafür sorgen, dass die Beschäftigten sachkundig damit umgehen können. Der nötige Umfang richtet sich nach dem Einsatz — für übliche Büroanwendungen genügt eine kurze, dokumentierte Einweisung: was die Werkzeuge können, wo sie irren, welche Daten hinein dürfen. Der Nachweis gehört in ein einfaches Schulungsprotokoll.

Artikel 50 Absatz 1 der KI-Verordnung gilt seit dem 2. August 2026: Wer Menschen mit einem KI-System interagieren lässt, muss das offenlegen — es sei denn, es ist ohnehin offensichtlich. Für den Kundenchat auf der Webseite genügt ein klarer Hinweis zu Gesprächsbeginn. Verstecken gilt nicht: Ein Chatbot, der sich „Herr Müller“ nennt, ist genau das Problem, das dieser Artikel meint.

Ebenfalls Artikel 50: Täuschend echte, KI-erzeugte Bilder, Videos und Tonaufnahmen — sogenannte Deepfakes — müssen als solche erkennbar sein. Für Systeme, die vor dem 2. August 2026 auf dem Markt waren, läuft eine Übergangsfrist für die technische Kennzeichnung bis Dezember 2026. Praktisch heißt das: Wo KI-Bilder in Werbung oder Kommunikation für echt gehalten werden könnten, gehört ein Hinweis dazu. Erkennbare Illustrationen sind nicht das Problem.

Dafür braucht es keinen eigenen KI-Artikel: Für Fehler haftet der Betrieb nach den allgemeinen Regeln — ob ein Text von Mensch oder Maschine stammt, interessiert weder Kunden noch Gerichte. Sprachmodelle formulieren falsche Angaben genauso überzeugend wie richtige. Deshalb werden Zahlen, Zusagen und Rechtsauskünfte geprüft, bevor sie das Haus verlassen. Die KI liefert den Entwurf; die Verantwortung bleibt beim Absender.

Zwei Vertragsfragen entscheiden über die spätere Handlungsfreiheit. Erstens: Wo werden die Daten verarbeitet und gespeichert, und gibt es einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO? Zweitens: Lassen sich Daten und Ergebnisse vollständig mitnehmen, wenn der Anbieter wechselt oder kündigt? Wer zusätzlich auf Protokollierung und menschliche Aufsicht achtet, ist auch für die Pflichten vorbereitet, die ab Ende 2027 auf Hochrisiko-Anwendungen zukommen.

Die Rechtslage ist in Bewegung: Der „Digital Omnibus“ der EU hat 2026 zentrale Fristen verschoben — die Pflichten für Hochrisiko-Systeme gelten nun ab Dezember 2027, für KI in regulierten Produkten ab August 2028. Weitere Anpassungen sind absehbar. Ein fester Termin im Jahr genügt, um Liste, Richtlinie und Werkzeug-Register aktuell zu halten.