Leitfaden12 Min. LesezeitAktualisiert am 6. Okt. 2026

Compliance-Checkliste zur EU-KI-Verordnung für 2026

Die EU-KI-Verordnung (Verordnung 2024/1689) ist der weltweit erste umfassende rechtliche Rahmen für künstliche Intelligenz. Sie trat am 1. August 2024 in Kraft, mit einem gestaffelten Umsetzungszeitplan. Dieser Leitfaden gliedert jede Pflicht nach Rolle, Risikostufe und Frist auf.

0 von 20 abgehakt

Die Haken bleiben nur in diesem Browser. Nichts wird gesendet.

Wichtige Fristen

Datum	Was gilt
2. Feb. 2025	Verbotene KI-Praktiken (Artikel 5) und KI-Kompetenz (Artikel 4)
2. Aug. 2025	GPAI-Modellpflichten, Governance-Struktur, Vertraulichkeitsregeln, Sanktionsrahmen
2. Aug. 2026	Allgemeiner Geltungsbeginn: Die Verordnung gilt, außer den Teilen in den anderen Zeilen. Dazu gehören die Transparenzpflichten nach Artikel 50
2. Dez. 2026	Es gelten die neuen Verbote nach Artikel 5 Absatz 1 Buchstaben ba und bb. Anbieter generativer KI-Systeme, die vor dem 2. August 2026 in Verkehr gebracht wurden, müssen die Kennzeichnungspflicht nach Artikel 50 Absatz 2 erfüllen
2. Dez. 2027	Hochrisiko-KI-Systeme nach Anhang III: Es gelten die Artikel 6 bis 27. Sie regeln Einstufung, Anforderungen, Pflichten der Anbieter und Betreiber sowie die Grundrechte-Folgenabschätzung
2. Aug. 2028	Hochrisiko-KI-Systeme nach Artikel 6 Absatz 1 und Anhang I, etwa Sicherheitsbauteile regulierter Produkte. Es gelten die Artikel 6 bis 27
31. Dez. 2030	Legacy-KI-Systeme in großflächigen EU-IT-Systemen (Anhang X) müssen konformitätsgerecht gemacht werden

Verbotene KI-Praktiken (Artikel 5)

Die folgenden KI-Praktiken sind ausnahmslos verboten, mit Geldbußen bis zu 35 Mio. EUR oder 7% des weltweiten Jahresumsatzes:

Unterschwellige Manipulation oder täuschende Techniken, die erheblichen Schaden verursachen
Ausnutzung von Schwachstellen aufgrund von Alter, Behinderung oder sozialer/wirtschaftlicher Lage
Soziale Bewertung von Personen durch öffentliche oder private Akteure, die zu einer Schlechterstellung außerhalb des Kontexts oder in unverhältnismäßiger Weise führt
Echtzeit-Fernidentifikation biometrischer Daten in öffentlichen Räumen zur Strafverfolgung (mit eng begrenzten Ausnahmen)
Ungezieltes Sammeln von Gesichtsbildern aus dem Internet oder Videoüberwachung für Gesichtserkennungsdatenbanken
Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen (mit eng begrenzten Ausnahmen)
Biometrische Kategorisierung zur Ableitung von Rasse, politischen Einstellungen, Gewerkschaftszugehörigkeit, religiösen oder weltanschaulichen Überzeugungen, Sexualleben oder sexueller Ausrichtung
Individuelle Predictive Policing ausschließlich auf Basis von Profiling
Erzeugen oder Manipulieren von nicht einvernehmlichem intimem oder sexuell explizitem Material einer identifizierbaren Person. Ergänzt durch die Verordnung (EU) 2026/1744, verboten ab dem 2. Dezember 2026
Erzeugen oder Manipulieren von Darstellungen sexuellen Kindesmissbrauchs — ergänzt durch die Verordnung (EU) 2026/1744, verboten ab dem 2. Dezember 2026

Anbieterpflichten (Artikel 16)

Anbieter von Hochrisiko-KI-Systemen tragen die größte Compliance-Last. Vor dem Inverkehrbringen oder der Inbetriebnahme eines Systems müssen Anbieter:

Risikomanagementsystem (Art. 9) — Einen kontinuierlichen, iterativen Prozess über den gesamten Lebenszyklus des KI-Systems einrichtenData Governance (Art. 10) — Sicherstellen, dass Trainings-, Validierungs- und Testdatensätze Qualitätskriterien mit angemessenen statistischen Eigenschaften erfüllenTechnische Dokumentation (Art. 11, Anhang IV) — Umfassende Dokumentation für alle 9 erforderlichen Abschnitte vor dem Inverkehrbringen erstellenAufzeichnungen (Art. 12) — Automatische Protokollierungsfunktionen einbauen, die der Zweckbestimmung des Systems angemessen sindTransparenz (Art. 13) — Das System so gestalten, dass Betreiber die Ausgabe interpretieren und das System angemessen einsetzen könnenMenschliche Aufsicht (Art. 14) — Maßnahmen umsetzen, die eine wirksame menschliche Aufsicht während der Nutzung ermöglichenGenauigkeit, Robustheit & Cybersicherheit (Art. 15) — Über den gesamten Lebenszyklus angemessene Niveaus erreichenQualitätsmanagementsystem (Art. 17) — Richtlinien und Verfahren dokumentieren, die fortlaufende Compliance sicherstellenKonformitätsbewertung (Art. 43) — Das geeignete Bewertungsverfahren vor dem Inverkehrbringen abschließenEU-Konformitätserklärung (Art. 47) — Für jedes Hochrisiko-KI-System erstellen und aktuell haltenCE-Kennzeichnung (Art. 48) — Sichtbar, lesbar und unauslöschlich am System anbringenEU-Datenbank-Registrierung (Art. 49) — System und Anbieter vor dem Inverkehrbringen in der EU-Datenbank registrieren

Betreiberpflichten (Artikel 26)

Organisationen, die Hochrisiko-KI-Systeme verwenden (Betreiber), haben eigene Pflichten:

Nutzung gemäß Anweisung — Geeignete technische und organisatorische Maßnahmen umsetzen, um das System gemäß der Betriebsanleitung des Anbieters einzusetzenMenschliche Aufsicht — Qualifizierte Personen mit der erforderlichen Kompetenz, Schulung, Befugnis und Unterstützung benennen, um den Systembetrieb zu überwachenEingabedaten-Relevanz — Wenn der Betreiber die Eingabedaten kontrolliert, sicherstellen, dass sie für die Zweckbestimmung relevant und ausreichend repräsentativ sindÜberwachung (Art. 26 Abs. 5) — Den Betrieb des Systems anhand der Betriebsanleitung überwachen. Birgt es ein Risiko, die Verwendung aussetzen und den Anbieter oder Händler sowie die Marktüberwachungsbehörde informieren. Einen schwerwiegenden Vorfall zuerst dem Anbieter melden, dann dem Einführer oder Händler und der BehördeLog-Aufbewahrung — Automatisch erzeugte Logs für mindestens 6 Monate aufbewahrenArbeitnehmerinformation — Arbeitnehmervertreter und betroffene Arbeitnehmer informieren, bevor ein Hochrisiko-KI-System am Arbeitsplatz verwendet wirdGrundrechte-Folgenabschätzung (Art. 27) — Vor der ersten Verwendung die Auswirkungen des Systems auf die Grundrechte abschätzen. Das gilt für Einrichtungen des öffentlichen Rechts und private Einrichtungen, die öffentliche Dienste erbringen. Es gilt auch für Betreiber von Systemen zur Bonitätsbewertung oder zur Preisbildung bei Lebens- und KrankenversicherungenKI-Kompetenz (Artikel 4) — Maßnahmen ergreifen, um die KI-Kompetenz des Personals und anderer Personen zu unterstützen, die in Ihrem Auftrag KI-Systeme betreiben oder nutzen. Ein bestimmtes Niveau ist nicht vorgeschrieben. Die Pflicht gilt für jedes KI-System, nicht nur für Hochrisiko-KI-Systeme

Checkliste zum Mitnehmen

Dieselbe Checkliste als DOCX-Datei: in Word abhaken oder für ein Meeting drucken.

Checkliste herunterladen (DOCX)Unsicher, welche Pflichten Ihre sind? Machen Sie die kostenlose Bewertung.

Kostenlos, ohne E-Mail. Die Datei spiegelt diese Seite.

Pflichten der Einführer und Händler

Einführer (Artikel 23) müssen überprüfen, dass der Anbieter die Konformitätsbewertung abgeschlossen, die technische Dokumentation erstellt, die CE-Kennzeichnung angebracht und einen Bevollmächtigten benannt hat. Ein nicht konformes System dürfen sie nicht in Verkehr bringen.

Händler (Artikel 24) müssen das Vorhandensein von CE-Kennzeichnung, EU-Konformitätserklärung und Gebrauchsanweisung überprüfen. Sie müssen sicherstellen, dass Lagerungs- und Transportbedingungen die Konformität nicht beeinträchtigen.

Sanktionsstruktur (Artikel 99)

Verstoß	Maximale Geldbuße
Verbotene KI-Praktiken (Art. 5)	35 Mio. EUR oder 7% des weltweiten Umsatzes
Pflichten von Anbieter, Betreiber, Einführer, Händler	15 Mio. EUR oder 3% des weltweiten Umsatzes
Unrichtige oder irreführende Angaben gegenüber Behörden	7,5 Mio. EUR oder 1% des weltweiten Umsatzes

Für KMU und Start-ups sind Geldbußen auf den jeweils niedrigeren Wert (Prozentsatz oder Festbetrag) begrenzt. Mildernde Umstände sind etwa Selbstanzeige, Grad der Kooperation und bereits umgesetzte technische Maßnahmen.

Häufige Fragen

Gibt es die EU-KI-Checkliste als kostenlose Datei?

Ja. Die DOCX-Datei auf dieser Seite spiegelt die Checkliste und ist kostenlos, ohne E-Mail. In Word abhaken oder drucken.

Gilt die Pflicht zur KI-Kompetenz nach Artikel 4 auch für Betreiber?

Ja. Artikel 4 gilt seit dem 2. Februar 2025 für Anbieter und Betreiber aller KI-Systeme. Sie ergreifen Maßnahmen, um die KI-Kompetenz des Personals zu unterstützen, das die Systeme betreibt oder nutzt. Ein bestimmtes Niveau an KI-Kompetenz ist nicht vorgeschrieben.

Ab wann gelten die Hochrisiko-Pflichten?

Für Hochrisiko-KI-Systeme nach Anhang III ab dem 2. Dezember 2027. Für Hochrisiko-KI-Systeme nach Artikel 6 Absatz 1 und Anhang I, etwa Sicherheitsbauteile regulierter Produkte, ab dem 2. August 2028.