EU-KI-Verordnung Compliance-Leitfaden: 10 Schritte zur Vorbereitung

Die Einhaltung der EU-KI-Verordnung (Verordnung 2024/1689) ist keine einzelne Maßnahme — es ist ein strukturiertes Programm, das Technologie, Governance, Rechts- und operative Funktionen in Ihrer gesamten Organisation berührt. Dieser Leitfaden führt durch zehn wesentliche Schritte zum Aufbau eines umfassenden Compliance-Programms, von der ersten Bestandsaufnahme bis zur laufenden Überwachung.

Die Pflichten sind bereits wirksam. Die Verbote des Artikels 5 sind seit dem 2. Februar 2025 durchsetzbar, die Pflichten für KI-Modelle mit allgemeinem Verwendungszweck seit dem 2. August 2025. Seit dem 2. August 2026 ist die KI-Verordnung allgemein anwendbar und wird durchgesetzt — dazu gehören insbesondere die Transparenzpflichten des Artikels 50. Die Anforderungen an Hochrisiko-KI-Systeme nach Kapitel III Abschnitte 1 bis 3 wurden im Juli 2026 verschoben und gelten nun ab dem 2. Dezember 2027 (Anhang III) beziehungsweise ab dem 2. August 2028 (Anhang I). Für die erste dieser Fristen bleiben damit rund 16 Monate. Unabhängig davon, wo Sie im Prozess stehen — jetzt ist die Zeit zu handeln.

Was sich im Juli 2026 geändert hat

Die Verordnung (EU) 2026/1744 ist die erste Änderung der KI-Verordnung. An den Fristen verschiebt sie allein die genannten Hochrisiko-Termine und die Reallabor-Frist; Artikel 6 Absatz 5 ist von der Verschiebung ausdrücklich ausgenommen.

Die Verschiebung ist unbedingt. Der ursprüngliche Kommissionsvorschlag hätte die neuen Daten an eine Feststellung der Kommission zur Verfügbarkeit harmonisierter Normen gekoppelt — einen „Stop-the-Clock"-Mechanismus. Die Mitgesetzgeber haben ihn gestrichen. Im verabschiedeten Text gibt es keinen Normen-Vorbehalt und keine weitere automatische Verschiebung.

Ebenso wichtig ist, was nicht verschoben wurde. Der 2. August 2026 blieb der allgemeine Geltungsbeginn, und die Durchsetzung der KI-Verordnung hat an diesem Tag begonnen. Die Transparenzpflichten des Artikels 50 — Offenlegung bei Chatbots, Kennzeichnung von Deepfakes und maschinenlesbare Markierung synthetischer Inhalte — gelten seither unverändert, da Artikel 50 in Kapitel IV steht und von der Verschiebung nicht erfasst ist. Auch die Registrierungspflicht nach Artikel 49 gehört zu Kapitel III Abschnitt 5 und gilt seit dem 2. August 2026.

Neu hinzugekommen sind zwei Verbote in Artikel 5, die ab dem 2. Dezember 2026 gelten: Artikel 5 Absatz 1 Buchstabe ba erfasst KI-Systeme, die realistische intime Bilder identifizierbarer Personen ohne deren Einwilligung erzeugen oder manipulieren; Buchstabe bb erfasst Systeme, die Material über sexuellen Kindesmissbrauch erzeugen oder manipulieren. Zum selben Datum endet die Übergangsfrist des neuen Artikels 111 Absatz 4: generative KI-Systeme, die vor dem 2. August 2026 in Verkehr gebracht wurden, müssen die maschinenlesbare Markierung nach Artikel 50 Absatz 2 bis zum 2. Dezember 2026 erfüllen.

Schritt 1: Erfassen Sie Ihre KI-Systeme

Sie können eine Verordnung nicht einhalten, wenn Sie nicht wissen, worauf sie sich bezieht. Der erste Schritt ist die Erstellung eines umfassenden Inventars aller KI-Systeme in Ihrer Organisation.

Was als KI-System gilt

Die Definition der KI-Verordnung (Artikel 3 Absatz 1) ist weit gefasst: ein maschinenbasiertes System, das mit unterschiedlichem Grad an Autonomie operiert und Ausgaben wie Vorhersagen, Inhalte, Empfehlungen oder Entscheidungen generiert. Dies erfasst Machine-Learning-Modelle, Deep-Learning-Systeme, statistische Ansätze, logik- und wissensbasierte Systeme sowie hybride Systeme.

So führen Sie ein KI-Inventar durch

Befragen Sie jede Abteilung. KI-Systeme werden oft abteilungsweise eingeführt — Marketing, HR, Finanzen, Kundenservice, Produkt, Betrieb.

Berücksichtigen Sie Drittanbieter-KI. Systeme, die Sie über API nutzen, in Ihre Produkte einbetten oder über SaaS-Plattformen nutzen, sind im Anwendungsbereich.

Prüfen Sie eingebettete KI. Viele Softwareprodukte enthalten KI-Komponenten, die nicht prominent gekennzeichnet sind.

Dokumentieren Sie jedes System. Name und Anbieter, Zweck und Funktion, verarbeitete Daten, erzeugte Ausgaben, betroffene Personen, nutzende Abteilung.

Schritt 2: Risikoniveaus klassifizieren

Prüfen Sie zunächst auf verbotene Praktiken (Artikel 5), dann auf Hochrisiko-Klassifizierung (Artikel 6, Anhänge I und III), dann auf Transparenzpflichten (Artikel 50), und klassifizieren Sie den Rest als minimales Risiko.

Achten Sie dabei auf die unterschiedliche Dringlichkeit: Die Verbote des Artikels 5 und die Transparenzpflichten des Artikels 50 sind heute durchsetzbar, die Hochrisiko-Anforderungen greifen ab dem 2. Dezember 2027 beziehungsweise dem 2. August 2028. Anhang III selbst wurde nicht geändert; die acht Anwendungsfall-Kategorien gelten unverändert fort. In Anhang I wurde der Eintrag zur Maschinenverordnung von Abschnitt A nach Abschnitt B verschoben.

Schritt 3: Identifizieren Sie Ihre Rolle

Anbieter, Betreiber, Einführer oder Händler — Ihre Pflichten unterscheiden sich je nach Rolle. Sie können für verschiedene Systeme unterschiedliche Rollen einnehmen.

Schritt 4: Lückenanalyse durchführen

Für jedes Hochrisiko-KI-System vergleichen Sie aktuelle Praktiken mit den Anforderungen der Artikel 8-15: Risikomanagement, Datengovernance, technische Dokumentation, Protokollierung, Transparenz, menschliche Aufsicht, Genauigkeit und Robustheit.

Schritt 5: Erforderliche Kontrollen implementieren

Risikomanagementsystem (Artikel 9)

Risiken identifizieren, bewerten, managen, testen und dokumentieren — als fortlaufender iterativer Prozess.

Datengovernance (Artikel 10)

Trainings-, Validierungs- und Testdaten müssen angemessener Governance unterliegen, einschließlich Bias-Erkennung und -Minderung.

Technische Dokumentation (Artikel 11)

Alle Elemente gemäß Anhang IV erstellen und aktuell halten.

Protokollierungsfähigkeiten (Artikel 12)

Automatische Protokollierung mit angemessenen Aufbewahrungsfristen (mindestens sechs Monate).

Transparenzbestimmungen (Artikel 13)

System für hinreichende Transparenz gestalten und Gebrauchsanweisungen bereitstellen.

Design für menschliche Aufsicht (Artikel 14)

Human-in-the-loop, Human-on-the-loop oder Human-in-command — je nach Risikoniveau.

Schritt 6: Konformitätsbewertung vorbereiten

Interne Konformitätsbewertung (Anhang VI) für die meisten Systeme oder Drittbewertung (Anhang VII) für biometrische Identifizierung und kritische Infrastruktur. Danach CE-Kennzeichnung und Registrierung in der EU-Datenbank.

Planen Sie diesen Schritt trotz der verschobenen Fristen früh ein. Bislang wurde keine harmonisierte Norm im Amtsblatt veröffentlicht, sodass noch keine CEN-CENELEC-Arbeit eine Konformitätsvermutung nach Artikel 40 begründet; der Normungsauftrag M/613 läuft bis zum 28. Februar 2027. Notifizierte Stellen, die bereits nach sektoralem Recht des Anhangs I Abschnitt A notifiziert sind, müssen die Benennung nach Kapitel III Abschnitt 4 der KI-Verordnung bis zum 28. Januar 2028 beantragen (Artikel 43 Absatz 3).

Schritt 7: Überwachung und Marktbeobachtung einrichten

Marktüberwachungssystem nach dem Inverkehrbringen (Artikel 72) einrichten, Prozess zur Meldung schwerwiegender Vorfälle (Artikel 73) etablieren.

Schritt 8: Ihr Team schulen (KI-Kompetenz)

Artikel 4 verlangt ein ausreichendes Maß an KI-Kompetenz beim Personal und gilt seit dem 2. Februar 2025. Die Verordnung (EU) 2026/1744 hat die Vorschrift neu gefasst und abgeschwächt — sie ist keine harte, prüfungspflichtige Nachweispflicht. Rollenspezifische Lernziele definieren, Schulungen durchführen, dokumentieren und regelmäßig aktualisieren bleibt dennoch die praktikabelste Umsetzung.

Schritt 9: Alles dokumentieren

Schlüsseldokumente: KI-System-Inventar, Risikoklassifizierungen, Risikomanagementsystem-Aufzeichnungen, Datengovernance-Aufzeichnungen, technische Dokumentation, Konformitätsbewertungsaufzeichnungen, Protokollierungs- und Überwachungsaufzeichnungen, Schulungsunterlagen, QMS-Dokumentation, Marktüberwachungsaufzeichnungen.

Halten Sie sie aktuell. Dokumentation, die den aktuellen Zustand Ihrer KI-Systeme nicht widerspiegelt, ist schlimmer als nutzlos.

Schritt 10: Laufende Compliance planen

Regulatorische Entwicklungen verfolgen, Risikobewertungen überprüfen und aktualisieren, regelmäßig intern auditieren, Lieferkette managen, sich an Durchsetzung anpassen und Compliance-Prüfung in das Änderungsmanagement integrieren.

Compliance-Zeitplan-Überblick

Wo Sie beginnen, wenn Sie im Rückstand sind

Wenn Ihre Organisation noch nicht mit ihrem Compliance-Programm begonnen hat, hier eine pragmatische Priorisierung:

Sofort (diesen Monat):

• Schnelle KI-System-Bestandsaufnahme durchführen
• Auf verbotene Praktiken prüfen — alle qualifizierenden einstellen
• Erfüllung der Transparenzpflichten des Artikels 50 sicherstellen, denn diese sind bereits durchsetzbar
• Grundlegendes KI-Kompetenz-Awareness-Programm starten

Kurzfristig (nächstes Quartal):

• Risikoklassifizierung für alle inventarisierten Systeme abschließen
• Ihre Rolle (Anbieter/Betreiber) für jedes System identifizieren
• Registrierungspflichten nach Artikel 49 prüfen
• Mit der Lückenanalyse für Hochrisikosysteme beginnen

Bis Dezember 2026:

• Prüfen, ob eines Ihrer Systeme unter die neuen Verbote nach Artikel 5 Absatz 1 Buchstaben ba oder bb fällt
• Maschinenlesbare Markierung nach Artikel 50 Absatz 2 für generative Systeme umsetzen, die vor dem 2. August 2026 in Verkehr gebracht wurden

Mittelfristig (2027):

• Erforderliche Kontrollen für Hochrisikosysteme implementieren
• Qualitätsmanagementsystem einrichten
• Konformitätsbewertung vorbereiten

Vor Dezember 2027 (Anhang III) beziehungsweise August 2028 (Anhang I):

• Konformitätsbewertungen für alle Hochrisikosysteme abschließen
• Marktüberwachungssysteme einrichten
• Sicherstellen, dass alle Dokumentation vollständig und aktuell ist
• Prozess zur Meldung schwerwiegender Vorfälle testen

Die Organisationen, die jetzt beginnen, auch wenn unvollkommen, werden in einer deutlich stärkeren Position sein als diejenigen, die auf vollständige Klarheit warten. Die Verordnung ist geltendes Recht und wird seit dem 2. August 2026 durchgesetzt. Die verschobenen Hochrisiko-Fristen sind unbedingt und an keine weitere Bedingung geknüpft. Die einzige Variable ist, wie gut vorbereitet Ihre Organisation sein wird, wenn diese Anforderungen greifen.