Compliance-Check: EU AI Act & DSGVO
Seit 2026 gelten die Pflichten des EU AI Act für den laufenden Betrieb. Wir prüfen, welche Ihrer KI-Anwendungen betroffen sind, in welche Risikoklasse sie fallen und was Sie dokumentieren müssen – bevor jemand anderes fragt.
Die vier Risikoklassen – und was sie für Sie bedeuten
Unannehmbares Risiko
Anwendungen, die gar nicht eingesetzt werden dürfen – etwa Emotionserkennung am Arbeitsplatz oder soziale Bewertung von Menschen.
Typisch im Mittelstand: Software zur Stimmungsanalyse in Bewerbungsgesprächen.
Strenge Pflichten
Zulässig, aber mit Risikomanagement, Dokumentation, menschlicher Aufsicht und Protokollierung. Hier entsteht der meiste Aufwand.
Typisch im Mittelstand: KI-gestützte Vorauswahl im Bewerbungsprozess, Bonitätsbewertung.
Hinweispflichten
Sie müssen kennzeichnen, dass KI im Spiel ist – bei Chatbots und bei erzeugten Texten, Bildern und Stimmen.
Typisch im Mittelstand: Chatbot auf der Website, KI-generierte Produkttexte im Shop.
Freier Einsatz
Der größte Teil dessen, was Betriebe tatsächlich nutzen. Keine besonderen Pflichten – aber Datenschutz gilt trotzdem.
Typisch im Mittelstand: Angebotstexte formulieren, Protokolle zusammenfassen, Übersetzungen.
Acht Punkte, ein Protokoll
Sie erhalten ein unterschriftsreifes Prüfprotokoll, das Sie Kunden, Auftraggebern und Aufsichtsbehörden vorlegen können.
- 01Bestandsaufnahme: welche KI-Werkzeuge im Betrieb tatsächlich genutzt werden – auch die inoffiziellen.
- 02Risikoeinstufung jeder Anwendung nach EU AI Act.
- 03Prüfung der Rolle: Anbieter oder Betreiber – daran hängen unterschiedliche Pflichten.
- 04Datenschutz: Rechtsgrundlage, Auftragsverarbeitung, Drittlandtransfer.
- 05Verzeichnis der Verarbeitungstätigkeiten aktualisieren.
- 06KI-Kompetenz der Beschäftigten nachweisen (Art. 4 EU AI Act).
- 07Interne Nutzungsrichtlinie: was erlaubt ist, was nie in ein Werkzeug gehört.
- 08Prüfprotokoll und Maßnahmenplan mit Fristen und Verantwortlichen.
Häufige Fragen
Wir nutzen nur ChatGPT – betrifft uns der EU AI Act überhaupt?
Ja, als Betreiber. Die Pflichten sind überschaubar, aber Kennzeichnung, Mitarbeiterkompetenz und Datenschutz müssen sitzen.
Wie lange dauert der Check?
Zwei bis drei Wochen. Für Sie sind es etwa drei Stunden: ein Gespräch, eine Rückfragerunde, eine Abschlussbesprechung.
Ersetzt das unseren Anwalt?
Nein. Ich bringe Ihre Anwendungen in eine prüffähige Form. Für die rechtsverbindliche Bewertung arbeite ich mit Fachanwälten in der Region zusammen.
Was, wenn wir etwas Verbotenes einsetzen?
Dann erfahren Sie es von mir und nicht von der Aufsichtsbehörde – mit Vorschlag für eine zulässige Alternative.