Eine praktische Checkliste zur EU-KI-Gesetz-Bereitschaft

Das EU-KI-Gesetz kommt mit dem Ruf, riesig, komplex und beängstigend zu sein — für die meisten Organisationen ist dieser Ruf weitgehend unverdient. Das Gesetz ist risikobasiert, das heißt: die große Mehrheit der KI-Systeme fällt in Kategorien, die wenig oder nichts über das hinaus verlangen, was ein verantwortungsvolles Team ohnehin täte. Die eigentliche Arbeit ist kein Compliance-Theater, sondern ehrlich herauszufinden, welche Ihrer Systeme wirklich im Geltungsbereich sind und in welcher Stufe. Ist das klar, sind die Pflichten meist weit leichter als die Schlagzeilen.

Dies ist eine praktische Anleitung zur Vorbereitung ohne Panik — geschrieben von Ingenieuren, die Teams dabei helfen, nicht von Anwälten. Ziel ist, das Problem richtig zu umreißen, damit Ihre Anwälte effizient freigeben statt bei null zu beginnen.

Beginnen Sie mit einem ehrlichen Inventar

Sie können nicht klassifizieren, was Sie nicht gelistet haben. Der erste Schritt ist ein vollständiges Inventar jedes Systems, das KI nutzt — auch die von Anbietern gekauften, in SaaS eingebetteten oder still einem Produkt hinzugefügten, nicht nur selbst trainierte Modelle. Teams unterschätzen diese Liste routinemäßig um die Hälfte.

Erfassen Sie je Eintrag, was es tut, welche Daten es nutzt, wer von den Ausgaben betroffen ist und wie autonom es ist. Dieses Inventar ist das Fundament für alles Weitere — und ohnehin gute Praxis: man kann nicht steuern, was man nicht sieht.

Gegen die Risikostufen klassifizieren

Das Gesetz sortiert Systeme in Stufen, und fast alles landet in den unteren. Eine kleine Menge Nutzungen ist verboten. Eine definierte Liste von Hochrisiko-Nutzungen — Beschäftigung, Kredit, wesentliche Dienste, Biometrie, Sicherheitskomponenten — trägt echte Pflichten. Alles andere ist begrenztes Risiko (Hauptpflicht Transparenz) oder minimales Risiko (praktisch nichts zu tun).

Der wertvollste Schritt ist, jedes System der richtigen Stufe zuzuordnen, denn das bestimmt den gesamten Aufwand. Die meisten sind minimal oder begrenzt. Zu vermeiden ist beides: ein Minimalrisiko-Werkzeug wie Hochrisiko zu behandeln (Verschwendung) oder zu übersehen, dass ein System wirklich Hochrisiko ist (echtes Risiko).

Transparenz, wo sie gilt

Für Systeme mit begrenztem Risiko — Chatbots, Content-Generierung — ist die Kernpflicht Ehrlichkeit gegenüber den Nutzern. Menschen sollten wissen, wenn sie mit einer KI statt einem Menschen sprechen, und KI-Inhalte erkennbar sein. Das ist meist eine bescheidene Änderung: eine klare Offenlegung, etwas Kennzeichnung, eine Zeile Interface-Text.

Was Hochrisiko wirklich verlangt

Landet ein System in der Hochrisiko-Stufe, werden die Pflichten konkret: Risikomanagement, angemessene Data-Governance, technische Dokumentation, Aufzeichnung und Logging, sinnvolle menschliche Aufsicht und angemessene Genauigkeit, Robustheit und Sicherheit. Nichts davon ist exotisch für ein Team, das ohnehin verantwortungsvoll baut.

Die Arbeit ist, dies zu einer kohärenten, pflegbaren Konformitätsakte zusammenzufügen statt zum Sprint vor dem Audit. Kontinuierlich geschriebene Dokumentation ist weit günstiger als unter Frist rekonstruierte.

Menschliche Aufsicht, die real ist

Ein wiederkehrendes Thema ist sinnvolle menschliche Aufsicht — das Wort „sinnvoll" zählt. Ein Mensch, der jede Entscheidung abstempelt ohne Fähigkeit oder Information einzugreifen, ist keine Aufsicht, sondern Theater. Echte Aufsicht heißt, einer Person Kontext, Autorität und praktische Fähigkeit zu geben, das System zu prüfen, zu überstimmen oder zu stoppen.

Das ist ebenso Design- wie Compliance-Problem und lohnt sich unabhängig vom Gesetz, denn ein System, das ein Mensch nicht sinnvoll überwachen kann, ist in jeder Hinsicht ein Risiko.

Dokumentation als Nebenprodukt, nicht Projekt

Schmerzhaft ist das Gesetz für Teams, die Dokumentation als separates Endprojekt behandeln. Handhabbar für die, die Evidenz laufend bauen: Model Cards, Datenherkunft, Evaluierungsergebnisse, Entscheidungslogs — natürliche Ausgabe guten Engineerings statt nachträglich rekonstruiert.

Wie wir helfen, und wo wir aufhören

Wir sind Ingenieure, keine Anwälte, und achten auf diese Grenze. Wir machen die technische Vorbereitung: Inventar, Risikoklassifizierung, Data-Governance, Aufsichtsdesign und das Zusammenstellen von Dokumentation und Evidenz zu einer strukturierten Akte. Das finale Rechtsurteil überlassen wir bewusst Ihren Anwälten. Gut strukturiert, lässt die Evidenz sie effizient freigeben.