AI-Act-Check: Ihren KI-Workflow einordnen

Beantworten Sie die Fragen für einen konkreten Workflow, etwa die Angebotserstellung oder die Prüfung von Eingangsrechnungen. Das Ergebnis ist eine erste Einordnung nach der KI-Verordnung (EU) 2024/1689.

01Ihre Rolle
Wir nutzen ein eingekauftes System eines Anbieters in unserem AblaufRolle: Betreiber nach Art. 3 Nr. 4. Wer das System wesentlich verändert, kann selbst Anbieter werden.Wir entwickeln das System selbst oder lassen es für uns entwickeln und nehmen es unter eigenem Namen in BetriebAuch wenn es nur im eigenen Unternehmen läuft. Rolle: Anbieter nach Art. 3 Nr. 3 und Nr. 11, zugleich Betreiber.
02Verbotene Praktiken (Art. 5)
Beeinflusst Menschen mit manipulativen oder täuschenden Techniken so, dass ihnen erheblicher Schaden drohtBewertet Personen nach ihrem Sozialverhalten oder ihrer Persönlichkeit mit nachteiligen Folgen (Social Scoring)Erkennt Emotionen von Beschäftigten am Arbeitsplatz, außer aus medizinischen oder SicherheitsgründenKategorisiert Personen biometrisch nach sensiblen Merkmalen wie Herkunft, politischer Meinung oder sexueller OrientierungLegt Gesichtsdatenbanken durch ungezieltes Auslesen von Bildern aus dem Internet oder aus Videoüberwachung anNichts davon
03Sicherheitsbauteil eines Produkts (Art. 6 Abs. 1)Ist das KI-System ein Sicherheitsbauteil eines Produkts, etwa einer Maschine, eines Aufzugs oder eines Medizinprodukts, oder selbst ein solches Produkt, für das nach EU-Recht eine Konformitätsbewertung durch Dritte nötig ist?
JaNein
04Einsatzbereiche nach Anhang III
Beschäftigung: Auswahl von Bewerbungen, Entscheidungen über Beförderung oder Kündigung, Zuweisung von Aufgaben nach Verhalten, Überwachung oder Bewertung von LeistungKreditwürdigkeit natürlicher Personen oder Risiko und Preis bei Lebens- und KrankenversicherungenSicherheitsbauteil in Betrieb und Steuerung kritischer Infrastruktur: digitale Infrastruktur, Straßenverkehr, Wasser, Gas, Wärme, StromBiometrische Fernidentifizierung, biometrische Kategorisierung oder EmotionserkennungZugang zu Bildung oder Bewertung in der Aus- und WeiterbildungÖffentliche Leistungen, Notrufe, Strafverfolgung, Migration, Justiz oder WahlenNichts davon
05Transparenz (Art. 50)
Menschen interagieren direkt mit dem System, etwa in einem Chat oder per E-Mail ohne menschliche PrüfungDas System erzeugt Texte, Bilder, Audio oder Video, die ohne menschliche redaktionelle Kontrolle veröffentlicht werdenNichts davon

Einordnung

Die Einordnung erscheint, sobald alle Fragen beantwortet sind.

Wie der Check aufgebaut ist

Der Check folgt dem Aufbau der KI-Verordnung (EU) 2024/1689. Zuerst klärt er Ihre Rolle: Betreiber setzen ein System in eigener Verantwortung ein, Anbieter entwickeln es oder lassen es entwickeln und bringen es unter eigenem Namen in Verkehr oder in Betrieb, auch für den eigenen Gebrauch. Danach prüft er die verbotenen Praktiken nach Art. 5, den Produktbezug nach Art. 6 Abs. 1, die Einsatzbereiche nach Anhang III mit der Ausnahme nach Art. 6 Abs. 3 und zuletzt die Transparenzpflichten nach Art. 50.

Die Antworten bleiben in Ihrem Browser. Das Ergebnis nennt die Kategorie, die wichtigsten Pflichten und die Termine, ab denen sie gelten.

Der konkrete Verwendungszweck entscheidet

Die Hochrisiko-Einstufung richtet sich nach Art. 6 und den Anhängen I und III. Relevant sind beispielsweise Personalauswahl, Kreditwürdigkeitsprüfung und sicherheitsrelevante Anwendungen. Ein Agent zur Angebotsvorbereitung ist anders zu bewerten als ein System, das Bewerbungen auswählt.

Dokumentieren Sie deshalb Aufgaben und Verwendungszweck für jeden Workflow einzeln. Dass ein Werkzeug in einem anderen Bereich bereits eingesetzt wird, ersetzt diese Prüfung nicht. Die rechtliche Bewertung übernimmt Ihre Compliance oder Rechtsberatung.

Was Betreiber eines Hochrisiko-Systems tun müssen

Art. 26 verlangt vom Betreiber, das System nach der Gebrauchsanweisung des Anbieters zu verwenden, die menschliche Aufsicht kompetenten Personen zu übertragen, die Eingabedaten auf Relevanz zu prüfen, den Betrieb zu überwachen und die automatisch erzeugten Protokolle mindestens sechs Monate aufzubewahren. Vor dem Einsatz am Arbeitsplatz sind die Beschäftigten und ihre Vertretung zu informieren.

Vieles davon deckt ein sauberer Kontrollrahmen ohnehin ab: Berechtigungen, Schwellenwerte, Prüfpunkte, Protokollierung und Eskalation. Der Unterschied liegt in der Dokumentation, die eine Marktüberwachung prüfen kann.

Welche Termine gelten

Die Verbote und die Regel zur KI-Kompetenz gelten seit dem 2. Februar 2025, die Pflichten für Allzweck-KI-Modelle seit dem 2. August 2025 und die Transparenzpflichten nach Art. 50 seit dem 2. August 2026. Für die Hochrisiko-Pflichten hat die Verordnung (EU) 2026/1744 feste neue Termine gesetzt: den 2. Dezember 2027 für Anhang III und den 2. August 2028 für Produkte nach Anhang I. Der Leitfaden AI-Act-Fristen führt alle Termine mit Quelle auf.

Häufige Fragen

Ist der Check eine Rechtsberatung?

Nein. Er gibt eine erste Orientierung entlang des Gesetzestextes. Die verbindliche Einstufung eines Systems liegt bei Ihrer Compliance oder Ihrer Rechtsberatung.

Sind wir Betreiber oder Anbieter?

Wer ein eingekauftes System eines Anbieters im eigenen Ablauf nutzt, ist Betreiber nach Art. 3 Nr. 4. Wer ein System selbst entwickelt oder für sich entwickeln lässt und unter eigenem Namen in Betrieb nimmt, ist nach Art. 3 Nr. 3 und Nr. 11 Anbieter, auch wenn es nur im eigenen Unternehmen läuft, und zugleich Betreiber. Auch eine wesentliche Veränderung eines eingekauften Systems kann die Anbieterrolle auslösen.

Gilt die Pflicht zur KI-Kompetenz auch für uns?

Ja, wenn Sie KI-Systeme anbieten oder einsetzen. Seit der Änderung durch die Verordnung (EU) 2026/1744 verlangt Art. 4, Maßnahmen zur Förderung der KI-Kompetenz Ihres Personals zu ergreifen; ein bestimmtes Kompetenzniveau müssen Sie nicht garantieren. Eine eigene Geldbuße sieht weder die Verordnung noch das deutsche KI-MIG dafür vor.

Gibt es offizielle Prüfwerkzeuge?

Ja. Die EU-Kommission bietet im AI Act Service Desk einen ausführlichen Compliance Checker an, die Bundesnetzagentur den KI-Compliance-Kompass in ihrem KI-Service-Desk. Unser Check ist kürzer und auf einzelne Workflows mit KI-Agenten zugeschnitten.

AI-Act-Check: Erste Einordnung Ihres KI-Workflows

Wie der Check aufgebaut ist

Der konkrete Verwendungszweck entscheidet

Was Betreiber eines Hochrisiko-Systems tun müssen

Welche Termine gelten

Häufige Fragen

Passend zum Thema

Welcher Ablauf kostet Ihr Team zu viel Zeit?