„Unser Chatbot läuft seit drei Jahren – müssen wir den jetzt wirklich dokumentieren?“ Diese Frage hören wir bei Never Code Alone seit Inkrafttreten des EU AI Acts fast täglich. Mit über 15 Jahren Erfahrung in Softwarequalität, Open Source und Remote Consulting zeigen wir euch, wie ihr mit dem EU AI Act Compliance Checker systematisch prüft, welche Pflichten für eure KI-Anwendungen gelten – und wie ihr Compliance pragmatisch umsetzt, ohne den Entwicklungsalltag lahmzulegen.

Warum der EU AI Act jetzt jedes Unternehmen betrifft

Der EU AI Act ist seit dem 1. August 2024 in Kraft und stellt das weltweit erste umfassende Regelwerk für Künstliche Intelligenz dar. Das Besondere: Die Verordnung folgt einem risikobasierten Ansatz. Je höher das Risikopotenzial eurer KI-Anwendung, desto strenger die Anforderungen. Für euch als Developer und IT-Entscheider bedeutet das konkret: Ihr müsst wissen, in welche Kategorie eure Systeme fallen – und der Compliance Checker hilft euch dabei.

Die Bandbreite ist enorm: Von eurem Spam-Filter, der unter minimales Risiko fällt und praktisch unreguliert bleibt, bis hin zu Bewerbungsmanagement-Tools, die als Hochrisiko-KI strenge Dokumentationspflichten auslösen. Dazwischen liegen Chatbots, die zumindest Transparenzpflichten unterliegen. Ohne systematische Prüfung verliert ihr schnell den Überblick.

1. Was ist der EU AI Act Compliance Checker und wie funktioniert er?

Der EU AI Act Compliance Checker ist ein interaktives Online-Tool, das euch durch einen strukturierten Fragenkatalog führt und am Ende eine Einschätzung liefert, welche Pflichten für euer spezifisches KI-System gelten. Das bekannteste Tool stammt vom Future of Life Institute und ist unter artificialintelligenceact.eu verfügbar. Auch die Europäische Kommission bietet mittlerweile einen eigenen Checker über das AI Office an.

Der Ablauf ist typischerweise dreistufig: Zuerst gebt ihr grundlegende Informationen zu eurem KI-System ein – Anwendungsbereich, eingesetzte Technologien, Nutzergruppen. Dann analysiert das Tool automatisch, in welche Risikokategorie euer System fällt. Abschließend erhaltet ihr eine Übersicht der konkreten Anforderungen, die ihr erfüllen müsst.

Wichtig zu verstehen: Diese Tools liefern eine Erstorientierung, keine rechtlich bindende Bewertung. Gerade bei Grenzfällen oder komplexen Systemen empfehlen wir, die Ergebnisse mit rechtlicher Expertise zu validieren. Aber als Ausgangspunkt für eure Compliance-Strategie sind sie extrem wertvoll.

2. In welche Risikoklasse fällt mein KI-System?

Der EU AI Act definiert vier Risikokategorien, und die Einordnung bestimmt maßgeblich euren Compliance-Aufwand. Verbotene KI-Praktiken bilden die Spitze: Dazu gehören Social Scoring durch Behörden, biometrische Kategorisierung nach sensiblen Merkmalen oder manipulative KI-Systeme. Diese sind in der EU schlicht untersagt – keine Compliance-Option, sondern ein Verbot.

Hochrisiko-KI umfasst Systeme in kritischen Bereichen: Bewerberauswahl, Kreditvergabe, medizinische Diagnoseunterstützung, biometrische Identifikation, Bildung. Hier gelten umfangreiche Anforderungen an Risikomanagement, Datenqualität, Dokumentation und menschliche Aufsicht.

KI mit begrenztem Risiko betrifft vor allem Systeme, die direkt mit Menschen interagieren – also eure Chatbots, Deepfake-Generatoren oder Emotionserkennungssysteme. Hier stehen Transparenzpflichten im Fokus: Nutzer müssen wissen, dass sie mit einer KI interagieren.

Minimales Risiko gilt für alles andere: Spam-Filter, Empfehlungssysteme, Spiele-KI. Diese Systeme können frei eingesetzt werden, unterliegen aber freiwilligen Verhaltenskodizes.

3. Welche Pflichten habe ich als Betreiber von KI-Systemen?

Die Rolle des Betreibers – im EU AI Act als „Deployer“ bezeichnet – trifft die meisten Unternehmen. Ihr seid Betreiber, wenn ihr ein KI-System in eigener Verantwortung nutzt, auch wenn ihr es nicht selbst entwickelt habt. Das gilt für die Microsoft Copilot-Integration genauso wie für den zugekauften Chatbot.

Bei Hochrisiko-KI müsst ihr als Betreiber sicherstellen, dass das System bestimmungsgemäß und unter menschlicher Aufsicht eingesetzt wird. Ihr müsst die vom Anbieter bereitgestellte Dokumentation beachten und Input-Daten relevant und repräsentativ halten. Außerdem seid ihr für das Monitoring verantwortlich: Treten Risiken oder Vorfälle auf, müsst ihr den Anbieter und die Behörden informieren.

Bei KI mit begrenztem Risiko gelten primär Transparenzpflichten. Nutzer müssen klar erkennen können, dass sie mit einer KI interagieren. Das klingt trivial, wird aber oft vernachlässigt – gerade bei ausgefeilten Chatbots, die menschliche Kommunikation täuschend echt imitieren.

Seit Februar 2025 gilt zusätzlich die KI-Kompetenzpflicht nach Artikel 4: Alle Mitarbeiter, die mit KI-Systemen arbeiten, müssen ausreichend geschult sein. Das betrifft praktisch jedes Unternehmen.

4. Was bedeutet Hochrisiko-KI und welche Anforderungen gelten dafür?

Hochrisiko-KI ist der Kern des EU AI Acts und bringt den größten Compliance-Aufwand mit sich. Die Einstufung erfolgt entweder über Produktkategorien – etwa wenn eure KI Teil eines bereits regulierten Produkts wie eines Medizingeräts ist – oder über Anwendungsbereiche, die in Anhang III des Acts aufgelistet sind.

Klassische Hochrisiko-Szenarien: KI-gestützte Bewerbervorauswahl, automatisierte Kreditwürdigkeitsprüfung, biometrische Identifikation, KI in kritischer Infrastruktur, Bildungsbewertungssysteme oder KI-Unterstützung für Richter und Behörden.

Die Anforderungen für Anbieter von Hochrisiko-KI sind umfangreich: Ein dokumentiertes Risikomanagementsystem muss etabliert sein. Die Trainingsdaten müssen auf Qualität, Repräsentativität und Bias geprüft werden. Eine umfassende technische Dokumentation ist Pflicht. Das System muss automatisch protokollieren, was es tut. Transparenz- und Informationspflichten gegenüber Nutzern greifen. Menschliche Aufsicht muss gewährleistet sein. Genauigkeit, Robustheit und Cybersicherheit müssen nachgewiesen werden.

Für Betreiber bedeutet Hochrisiko-KI: Ihr müsst verstehen, was ihr einsetzt, und nachweisen können, dass ihr das System ordnungsgemäß betreibt.

5. Ab wann muss mein Unternehmen den EU AI Act umsetzen?

Der EU AI Act folgt einem gestaffelten Zeitplan, und einige Fristen sind bereits verstrichen. Seit dem 2. Februar 2025 sind verbotene KI-Praktiken untersagt und die KI-Kompetenzpflicht nach Artikel 4 gilt. Das heißt: Wenn ihr bis heute keine Schulungen für eure Mitarbeiter durchgeführt habt, seid ihr bereits im Verzug.

Ab dem 2. August 2025 gelten die Pflichten für Anbieter von General Purpose AI Models – also für Unternehmen, die Foundation Models oder Large Language Models entwickeln und bereitstellen. Das betrifft primär die großen KI-Anbieter, aber auch Unternehmen, die eigene Modelle trainieren.

Die wichtigste Frist für die meisten Unternehmen ist der 2. August 2026: Ab dann gelten alle Anforderungen für Hochrisiko-KI-Systeme vollumfänglich. Bis dahin müsst ihr eure Systeme klassifiziert, dokumentiert und eure Compliance-Strukturen aufgebaut haben.

Wer jetzt noch nicht angefangen hat, sollte also dringend Gas geben. Die Erfahrung zeigt: Compliance-Projekte dieser Größenordnung brauchen Zeit – plant realistisch mit sechs bis zwölf Monaten.

6. Welche Strafen drohen bei Nicht-Compliance?

Die Bußgeldrahmen des EU AI Acts gehören zu den höchsten im europäischen Regulierungsrecht. Bei Verstößen gegen verbotene KI-Praktiken drohen bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes – je nachdem, welcher Betrag höher ist.

Für Verstöße gegen Anforderungen an Hochrisiko-KI, etwa mangelhafte Dokumentation oder unzureichendes Risikomanagement, können Bußgelder bis zu 15 Millionen Euro oder 3 Prozent des Jahresumsatzes verhängt werden.

Andere Verstöße, etwa gegen Transparenzpflichten oder die Bereitstellung falscher Informationen, können mit bis zu 7,5 Millionen Euro oder 1 Prozent des Umsatzes geahndet werden.

Für KMU und Startups gelten die gleichen Regeln, aber die Bußgelder werden verhältnismäßig angepasst. Das bedeutet nicht, dass ihr als kleines Unternehmen weniger aufpassen müsst – es bedeutet nur, dass die absolute Höhe der Strafe eure Existenz nicht automatisch gefährdet.

7. Was hat es mit der KI-Kompetenzpflicht nach Artikel 4 auf sich?

Seit dem 2. Februar 2025 gilt Artikel 4 des EU AI Acts: Anbieter und Betreiber von KI-Systemen müssen sicherstellen, dass ihr Personal über ausreichende KI-Kompetenz verfügt. Das klingt zunächst vage, hat aber konkrete Auswirkungen auf euren Unternehmensalltag.

KI-Kompetenz bedeutet: Mitarbeiter, die mit KI-Systemen arbeiten, müssen deren Funktionsweise, Grenzen und Risiken verstehen. Sie müssen in der Lage sein, die Ergebnisse kritisch zu bewerten und zu erkennen, wann menschliches Eingreifen notwendig ist. Für Entwickler gilt: Ihr müsst die ethischen und rechtlichen Implikationen eurer Arbeit kennen.

Die praktische Umsetzung variiert je nach Rolle: Ein Sachbearbeiter, der einen KI-gestützten Entscheidungsassistenten nutzt, braucht andere Schulungen als ein Data Scientist, der Modelle trainiert. Der gemeinsame Nenner ist ein Grundverständnis dafür, was KI kann und was nicht.

Dokumentiert eure Schulungsmaßnahmen. Im Zweifelsfall müsst ihr nachweisen können, dass ihr die Kompetenzpflicht erfüllt habt.

8. Gilt der EU AI Act auch für KMU und Startups?

Ja, der EU AI Act gilt grundsätzlich für alle Unternehmen, die KI-Systeme in der EU entwickeln, vertreiben oder einsetzen – unabhängig von der Größe. Allerdings enthält die Verordnung in Artikel 55 spezifische Unterstützungsmaßnahmen für kleine und mittlere Unternehmen.

KMU und Startups erhalten bevorzugten Zugang zu regulatorischen Sandboxes – geschützten Testumgebungen, in denen ihr eure KI-Systeme unter Aufsicht entwickeln und testen könnt, ohne sofort alle Compliance-Anforderungen erfüllen zu müssen. Die Gebühren für Konformitätsbewertungen werden für kleinere Unternehmen reduziert. Außerdem werden dedizierte Kommunikationskanäle für Beratung und Unterstützung eingerichtet.

Was das praktisch bedeutet: Die Anforderungen selbst sind die gleichen, aber die Hürden für die Compliance werden niedriger gehängt. Ein Startup, das ein Hochrisiko-System entwickelt, muss die gleiche Dokumentation erstellen wie ein Konzern – aber es bekommt mehr Unterstützung dabei.

Nutzt diese Angebote. Die Regulatory Sandboxes sind eine echte Chance, innovative KI-Projekte unter kontrollierten Bedingungen voranzutreiben.

9. Wie dokumentiere ich meine KI-Systeme richtig?

Die Dokumentationspflichten gehören zu den aufwendigsten Anforderungen des EU AI Acts – zumindest für Hochrisiko-Systeme. Die gute Nachricht: Vieles davon solltet ihr als professionelle Developer ohnehin tun.

Die technische Dokumentation muss folgende Elemente enthalten: Eine allgemeine Beschreibung des Systems, seiner Funktionsweise und seines Verwendungszwecks. Detaillierte Informationen zu den verwendeten Algorithmen und Modellen. Angaben zu Trainingsdaten, Validierungsdaten und Testdaten. Beschreibung der Risikomanagementmaßnahmen. Informationen zur Genauigkeit und Robustheit. Angaben zur menschlichen Aufsicht.

Für Betreiber gilt: Ihr müsst die vom Anbieter bereitgestellte Dokumentation nutzen und um eigene Informationen ergänzen – insbesondere wie ihr das System konkret einsetzt, wer Zugang hat und wie ihr die menschliche Aufsicht gewährleistet.

Unser Tipp: Integriert die Dokumentation in eure bestehenden Entwicklungsprozesse. ADRs (Architecture Decision Records), Readme-Dateien und Wikis sind gute Ausgangspunkte. Macht Compliance zum Teil eurer Definition of Done, nicht zum nachträglichen Audit-Problem.

10. Was ist der Unterschied zwischen Anbieter, Betreiber und Importeur?

Der EU AI Act unterscheidet mehrere Rollen mit unterschiedlichen Pflichten, und es ist wichtig zu verstehen, welche auf euch zutrifft – oder ob ihr mehrere Rollen gleichzeitig innehabt.

Anbieter (Provider) ist, wer ein KI-System entwickelt oder entwickeln lässt und es unter eigenem Namen auf den Markt bringt oder in Betrieb nimmt. Das trifft auf Softwarehersteller zu, aber auch auf Unternehmen, die bestehende Modelle so stark anpassen, dass sie praktisch ein neues System schaffen.

Betreiber (Deployer) ist, wer ein KI-System in eigener Verantwortung nutzt – außer im rein privaten, nicht-beruflichen Kontext. Wenn ihr als Unternehmen ChatGPT oder Copilot einsetzt, seid ihr Betreiber.

Importeur ist, wer KI-Systeme von Anbietern außerhalb der EU auf den europäischen Markt bringt. Diese Rolle betrifft primär Distributoren und Handelsunternehmen.

Produkthersteller sind Unternehmen, die KI-Systeme in ihre Produkte integrieren und unter eigenem Namen vertreiben – etwa ein Automobilhersteller, der ein KI-basiertes Fahrassistenzsystem einbaut.

Beachtet: Ihr könnt mehrere Rollen gleichzeitig einnehmen. Ein Unternehmen, das ein Open-Source-Modell nimmt, es anpasst und dann intern einsetzt, ist sowohl Anbieter des modifizierten Systems als auch Betreiber.

Praktische Tipps aus über 15 Jahren Consulting-Erfahrung

Die Arbeit mit dem EU AI Act Compliance Checker ist der erste Schritt – aber danach beginnt die eigentliche Arbeit. Aus unserer langjährigen Erfahrung haben wir folgende Best Practices entwickelt.

Startet mit einem vollständigen Inventar aller KI-Systeme in eurem Unternehmen. Oft sind mehr KI-Komponenten im Einsatz, als den meisten bewusst ist – eingebettet in Standardsoftware, versteckt in Cloud-Diensten. Eine systematische Bestandsaufnahme ist die Grundlage für alles Weitere.

Bildet ein cross-funktionales Team. Compliance ist nicht nur ein Rechtsthema. Ihr braucht Developer, die die technischen Details verstehen, Compliance-Experten, die die regulatorischen Anforderungen kennen, und Management, das Ressourcen bereitstellt und Entscheidungen trifft.

Priorisiert nach Risiko. Nicht alle KI-Systeme müssen sofort vollständig compliant sein. Fokussiert euch zuerst auf Hochrisiko-Anwendungen und verbotene Praktiken, dann auf Transparenzpflichten, dann auf den Rest.

Dokumentiert von Anfang an. Nachträgliche Dokumentation ist aufwendiger und fehleranfälliger als begleitende Dokumentation. Integriert Compliance-Anforderungen in eure Sprint-Planung und Definition of Done.

Der entscheidende Vorteil für euer Unternehmen

Der EU AI Act ist keine Bürokratie um der Bürokratie willen. Er schafft einen Rahmen für vertrauenswürdige KI in Europa – und Unternehmen, die diesen Rahmen ernst nehmen, gewinnen langfristig.

Compliance ist Wettbewerbsvorteil. Kunden und Partner achten zunehmend darauf, ob KI verantwortungsvoll eingesetzt wird. Wer nachweisen kann, dass die eigenen Systeme den EU AI Act erfüllen, schafft Vertrauen.

Compliance ist Risikomanagement. Die systematische Prüfung eurer KI-Systeme deckt nicht nur regulatorische Lücken auf, sondern auch technische Risiken und ethische Probleme. Das macht eure Systeme robuster.

Compliance ist Zukunftssicherheit. Der EU AI Act wird Schule machen – ähnliche Regulierungen entstehen weltweit. Wer jetzt solide Compliance-Strukturen aufbaut, ist für kommende Anforderungen gerüstet.

Direkte Unterstützung für euer Team

Ihr wollt eure KI-Systeme systematisch prüfen und braucht Unterstützung bei der Umsetzung? Oder steht ihr vor der Frage, wie ihr Compliance in eure bestehenden Entwicklungsprozesse integriert? Mit über 15 Jahren Expertise in Softwarequalität und Remote Consulting helfen wir euch gerne weiter.

Kontakt: roland@nevercodealone.de

Gemeinsam bringen wir eure KI-Compliance auf den Punkt – pragmatisch, entwicklerfreundlich und ohne Compliance-Theater.

Fazit: Jetzt handeln statt später aufräumen

Der EU AI Act Compliance Checker ist euer Einstiegspunkt in die Welt der KI-Regulierung. Nutzt ihn, um einen ersten Überblick zu gewinnen – aber versteht ihn als Startpunkt, nicht als Endpunkt.

Die Fristen laufen. Verbotene Praktiken sind bereits untersagt, die KI-Kompetenzpflicht gilt, und bis August 2026 müssen Hochrisiko-Systeme vollständig compliant sein. Wer jetzt anfängt, hat noch genug Zeit für eine solide Umsetzung. Wer wartet, wird irgendwann in Panik verfallen.

Fangt heute an: Macht eine Bestandsaufnahme eurer KI-Systeme, führt den Compliance Check durch und plant die nächsten Schritte. Euer zukünftiges Ich wird es euch danken.

Never Code Alone – Gemeinsam für bessere Software-Qualität!