AI-Act-Quick-Check

Mit diesem Selbsttest prüfen Sie in wenigen Minuten, welche Teile der KI-Verordnung (EU) 2024/1689 für Ihr Unternehmen relevant sind. Er richtet sich an Geschäftsleitungen, Compliance-, IT- und Rechtsabteilungen, die KI-Systeme entwickeln, einkaufen oder im Betrieb einsetzen. Gehen Sie die fünf Blöcke für jedes KI-System gesondert durch: Jede mit Ja beantwortete Frage zeigt einen Pflichtenbereich, den Sie vertieft prüfen sollten.

Der Quick-Check berücksichtigt den Rechtsstand nach dem Digital Omnibus on AI (Verordnung (EU) 2026/1744, in Kraft seit 27. Juli 2026). Die einzelnen Geltungstermine finden Sie in unserer Übersicht AI-Act-Fristen.

So nutzen Sie den Selbsttest

Legen Sie zuerst eine Liste aller KI-Systeme an, die im Unternehmen genutzt oder angeboten werden, einschließlich KI-Funktionen in Standardsoftware. Hilfestellung bietet unser Beitrag zum KI-Inventar.
Beantworten Sie die Fragen je System und je Einsatzzweck. Dasselbe Werkzeug kann im Marketing unkritisch und in der Personalauswahl hochriskant sein.
Notieren Sie Unsicherheiten als „unklar“. Eine offene Frage ist für die weitere Prüfung ebenso aussagekräftig wie ein Ja.

Block 1: Ihre Rolle nach der KI-Verordnung

Die Pflichten der KI-VO knüpfen an Rollen an (Art. 3 KI-VO). Ein Unternehmen kann für verschiedene Systeme unterschiedliche Rollen innehaben.

Prüffrage	Bedeutung bei Ja
Entwickeln Sie ein KI-System oder lassen Sie es entwickeln und bringen es unter eigenem Namen oder eigener Marke in Verkehr bzw. nehmen es in Betrieb?	Sie sind Anbieter (Art. 3 Nr. 3 KI-VO) und tragen die umfangreichsten Pflichten, bei Hochrisiko-Systemen insbesondere Risikomanagement, technische Dokumentation, Qualitätsmanagement und Konformitätsbewertung.
Setzen Sie ein KI-System eines Dritten in eigener Verantwortung beruflich ein?	Sie sind Betreiber (Art. 3 Nr. 4 KI-VO). Bei Hochrisiko-Systemen gelten die Betreiberpflichten nach Art. 26 KI-VO, unabhängig davon Transparenzpflichten nach Art. 50 Abs. 3 und 4 KI-VO.
Verändern Sie ein zugekauftes System wesentlich, ändern Sie seine Zweckbestimmung oder vertreiben Sie es unter eigener Marke?	Sie können nach Art. 25 KI-VO selbst zum Anbieter werden und übernehmen dann dessen Pflichten.
Bringen Sie ein KI-System eines außerhalb der EU niedergelassenen Anbieters erstmals in der EU in Verkehr oder vertreiben Sie KI-Systeme weiter?	Sie sind Einführer oder Händler mit eigenen Prüfpflichten (Art. 23, 24 KI-VO).
Stellen Sie ein KI-Modell mit allgemeinem Verwendungszweck (GPAI) bereit?	Es gelten die Modellpflichten nach Art. 53 ff. KI-VO, die seit dem 2. August 2025 anwendbar sind.

Vertiefung: Rolle nach dem AI Act.

Block 2: Verbotene Praktiken

Die Verbote nach Art. 5 KI-VO gelten seit dem 2. Februar 2025. Verstöße sind mit Geldbußen bis zu 35 Mio. Euro oder 7 Prozent des weltweiten Jahresumsatzes bedroht (Art. 99 KI-VO).

Prüffrage	Bedeutung bei Ja
Beeinflusst das System Personen mit unterschwelligen, manipulativen oder täuschenden Techniken oder nutzt es Schwächen aufgrund von Alter, Behinderung oder sozialer Lage aus, sodass erheblicher Schaden droht?	Möglicher Verstoß gegen Art. 5 Abs. 1 lit. a oder b KI-VO. Der Einsatz ist bis zur Klärung zu stoppen.
Bewertet das System Personen anhand ihres Sozialverhaltens oder ihrer Persönlichkeitsmerkmale mit nachteiligen Folgen in anderen Zusammenhängen (Social Scoring)?	Verbotene Praxis nach Art. 5 Abs. 1 lit. c KI-VO.
Erkennt das System Emotionen von Beschäftigten oder Lernenden am Arbeitsplatz oder in Bildungseinrichtungen?	Grundsätzlich verboten nach Art. 5 Abs. 1 lit. f KI-VO; Ausnahmen nur aus medizinischen oder Sicherheitsgründen.
Werden Gesichtsbilder ungezielt aus dem Internet oder aus Videoüberwachung ausgelesen, um Gesichtserkennungsdatenbanken aufzubauen, oder werden aus biometrischen Daten sensible Merkmale wie Herkunft, politische Meinung oder sexuelle Orientierung abgeleitet?	Verbotene Praxis nach Art. 5 Abs. 1 lit. e bzw. lit. g KI-VO.
Kann das System nicht einvernehmliche intime Bilder realer Personen („Nudification“) oder Darstellungen sexuellen Kindesmissbrauchs erzeugen?	Durch den Digital Omnibus ab dem 2. Dezember 2026 ausdrücklich verboten. Schutzmaßnahmen und Nutzungsbedingungen sind umgehend zu prüfen.

Vertiefung: Verbotene KI-Praktiken.

Block 3: Hochrisiko-Bereich

Hochrisiko-KI-Systeme ergeben sich aus Anhang I (KI als Sicherheitsbauteil regulierter Produkte) und Anhang III (eigenständige Einsatzbereiche) in Verbindung mit Art. 6 KI-VO. Nach dem Digital Omnibus gelten die Pflichten für Anhang-III-Systeme ab dem 2. Dezember 2027 und für Anhang-I-Systeme ab dem 2. August 2028.

Prüffrage	Bedeutung bei Ja
Setzen Sie KI in Personalauswahl, Beförderung, Kündigung, Aufgabenzuweisung oder Leistungsüberwachung ein?	Anhang III Nr. 4 KI-VO. Es gelten die Betreiberpflichten nach Art. 26 KI-VO, unter anderem menschliche Aufsicht, Protokollaufbewahrung und Information der Beschäftigtenvertretung.
Prüft das System Kreditwürdigkeit oder Bonität natürlicher Personen oder bewertet es Risiken und Preise in der Lebens- und Krankenversicherung?	Anhang III Nr. 5 KI-VO. Zusätzlich kann eine Grundrechte-Folgenabschätzung nach Art. 27 KI-VO erforderlich sein.
Entscheidet das System über Zugang zu Bildung, bewertet es Prüfungsleistungen oder steuert es kritische Infrastruktur?	Anhang III Nr. 3 (Bildung) bzw. Nr. 2 (kritische Infrastruktur) KI-VO.
Ist die KI Sicherheitsbauteil eines Produkts, das unter Harmonisierungsrecht nach Anhang I fällt, etwa Maschinen oder Medizinprodukte?	Hochrisiko nach Art. 6 Abs. 1 KI-VO, eingebettet in die Konformitätsbewertung des Produkts.
Führt das System in einem Anhang-III-Bereich nur eine eng begrenzte vorbereitende Aufgabe aus, ohne das Ergebnis wesentlich zu beeinflussen?	Eine Ausnahme nach Art. 6 Abs. 3 KI-VO ist möglich. Sie ist zu dokumentieren und gilt nicht, wenn das System Profiling natürlicher Personen vornimmt.

Vertiefung: Hochrisiko-KI und Risikoklassen.

Block 4: Transparenzpflichten

Die Transparenzpflichten nach Art. 50 KI-VO gelten seit dem 2. August 2026 unabhängig von der Risikoklasse.

Prüffrage	Bedeutung bei Ja
Kommunizieren Kunden oder Nutzer direkt mit einem KI-System, etwa einem Chatbot oder Sprachassistenten?	Als Anbieter müssen Sie das System so gestalten, dass Personen erkennen, dass sie mit KI interagieren (Art. 50 Abs. 1 KI-VO).
Erzeugt Ihr System synthetische Audio-, Bild-, Video- oder Textinhalte?	Anbieter müssen die Ausgaben maschinenlesbar markieren (Art. 50 Abs. 2 KI-VO). Für Systeme, die vor dem 2. August 2026 in Verkehr gebracht wurden, läuft eine Übergangsfrist bis 2. Dezember 2026.
Veröffentlichen Sie Bild-, Ton- oder Videoinhalte, die realen Personen, Orten oder Ereignissen täuschend ähneln (Deepfakes)?	Als Betreiber müssen Sie offenlegen, dass die Inhalte künstlich erzeugt oder verändert wurden (Art. 50 Abs. 4 KI-VO).
Veröffentlichen Sie KI-generierte Texte zur Information der Öffentlichkeit über Angelegenheiten von öffentlichem Interesse?	Offenlegungspflicht nach Art. 50 Abs. 4 KI-VO, es sei denn, die Texte wurden menschlich überprüft oder redaktionell kontrolliert und eine natürliche oder juristische Person trägt die redaktionelle Verantwortung.
Setzen Sie Emotionserkennung oder biometrische Kategorisierung ein, soweit diese zulässig ist?	Betroffene Personen sind zu informieren (Art. 50 Abs. 3 KI-VO); die DSGVO gilt daneben.

Vertiefung: Kennzeichnungspflicht.

Block 5: KI-Kompetenz und Organisation

Prüffrage	Bedeutung bei Ja
Arbeiten Beschäftigte oder Dienstleister in Ihrem Auftrag mit KI-Systemen?	Art. 4 KI-VO verpflichtet Anbieter und Betreiber, die KI-Kompetenz dieser Personen zu fördern. Nach dem Digital Omnibus ist kein bestimmtes Niveau mehr sicherzustellen; Schulungen und deren Dokumentation bleiben aber der praktische Nachweis.
Fehlt eine schriftliche Regelung, welche KI-Werkzeuge mit welchen Daten genutzt werden dürfen?	Es besteht Handlungsbedarf bei Geschäftsgeheimnisschutz, Datenschutz und Urheberrecht. Eine KI-Richtlinie schafft verbindliche Regeln.
Verarbeiten KI-Systeme personenbezogene Daten, insbesondere von Beschäftigten oder Kunden?	Rechtsgrundlage (Art. 6 DSGVO), Informationspflichten, gegebenenfalls Datenschutz-Folgenabschätzung (Art. 35 DSGVO) und Grenzen automatisierter Entscheidungen (Art. 22 DSGVO) sind zu prüfen.
Haben Sie einen Betriebsrat und führen KI-Systeme ein, die Verhalten oder Leistung von Beschäftigten auswerten können?	Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG und Unterrichtung nach § 90 Abs. 1 Nr. 3 BetrVG. Ohne Beteiligung drohen Unterlassungsansprüche.
Ist nicht festgelegt, wer im Unternehmen für KI-Entscheidungen und KI-Risiken zuständig ist?	Es fehlt eine Governance-Struktur. Zuständigkeiten sollten dokumentiert und der Geschäftsleitung berichtet werden.

Vertiefung: KI-Kompetenz nach Art. 4 und AI Governance.

Ergebnis richtig einordnen

Ein Ja in Block 2 hat Vorrang vor allen anderen Fragen. Prüfen Sie den Einsatz sofort.
Ein Ja in Block 3 bedeutet nicht automatisch Hochrisiko. Ausnahmen und die genaue Einordnung nach Art. 6 KI-VO sollten dokumentiert geprüft werden.
Blöcke 4 und 5 betreffen nahezu jedes Unternehmen, das KI nutzt, und sind bereits heute anwendbar.
Der Selbsttest ersetzt keine Einzelfallprüfung. Er zeigt, wo Sie ansetzen sollten.

Quick-Check anfordern

Sie möchten Ihre Antworten rechtlich prüfen lassen? Schildern Sie uns kurz, welche KI-Systeme Sie wofür einsetzen, und nennen Sie Ihre Fragen aus dem Selbsttest, die Sie mit Ja oder „unklar“ beantwortet haben. Wir melden uns mit einer ersten rechtlichen Einordnung Ihres KI-Einsatzes zurück und besprechen mit Ihnen, ob und in welchem Umfang eine vertiefte Prüfung sinnvoll ist.

Beratung anfragen

Kontakt aufnehmen

So unterstützen wir Sie

Gemeinsame Bestandsaufnahme Ihrer KI-Systeme und Einordnung von Rolle und Risikoklasse
Prüfung von Verbotstatbeständen und Hochrisiko-Ausnahmen nach Art. 6 Abs. 3 KI-VO mit Dokumentation
Umsetzung der Transparenzpflichten nach Art. 50 KI-VO in Produkten, Websites und Kommunikation
Schulungen zur KI-Kompetenz nach Art. 4 KI-VO für Geschäftsleitung und Fachabteilungen
Entwurf einer KI-Richtlinie und Begleitung der Verhandlungen mit dem Betriebsrat

Häufige Fragen

Wie lange dauert der Selbsttest?

Für ein einzelnes KI-System genügen in der Regel 10 bis 15 Minuten, sofern Einsatzzweck und Anbieter bekannt sind. Länger dauert meist die vorgelagerte Bestandsaufnahme, welche Systeme überhaupt genutzt werden.

Gilt die KI-Verordnung auch für die bloße Nutzung von ChatGPT oder Copilot?

Ja. Wer solche Werkzeuge beruflich einsetzt, ist Betreiber. Für allgemeine Büroanwendungen greifen vor allem die Förderung der KI-Kompetenz nach Art. 4 KI-VO und gegebenenfalls Transparenzpflichten nach Art. 50 KI-VO. Hochrisiko-Pflichten entstehen erst, wenn das Werkzeug in einem Anhang-III-Bereich wie der Personalauswahl eingesetzt wird.

Sind kleine und mittlere Unternehmen ausgenommen?

Nein. Die KI-VO sieht für KMU Erleichterungen vor, etwa bei Bußgeldern, für die jeweils der niedrigere der beiden Höchstbeträge gilt. Die materiellen Pflichten gelten aber grundsätzlich unabhängig von der Unternehmensgröße.

Wer überwacht die Einhaltung in Deutschland?

Nach dem KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG), in Kraft seit 29. Juli 2026, ist die Bundesnetzagentur zentrale Marktüberwachungsbehörde; für den Finanzsektor ist die BaFin zuständig. Näheres unter Aufsicht und Bußgelder.