KI-Compliance-Checkliste für Unternehmen 2026

KI ist im Arbeitsalltag angekommen, oft schneller als die Regeln dafür. Beschäftigte lassen Texte formulieren, fassen Protokolle zusammen und recherchieren, während in vielen Unternehmen noch niemand geprüft hat, welche Pflichten der Einsatz eigentlich auslöst. Genau hier setzt diese Checkliste an. Sie übersetzt die beiden zentralen Regelwerke, die KI-Verordnung (KI-VO, auch EU AI Act) und die DSGVO, in konkrete Punkte, die Sie abarbeiten können.

Die Liste ist bewusst praktisch gehalten. Jeder Block nennt zuerst die Pflicht, dann die konkreten Aufgaben. Arbeiten Sie sie einmal vollständig durch und legen Sie ein festes Datum für die nächste Überprüfung fest. Eine tiefere Einordnung des Regelwerks, mit Fristen und Risikoklassen, liefert unser Leitfaden zum EU AI Act.

Bevor Sie anfangen: Ihre Rolle klären

Die KI-VO unterscheidet zwei Rollen. Ein Anbieter entwickelt ein KI-System oder bringt es unter eigenem Namen auf den Markt. Ein Betreiber nutzt ein KI-System in eigener Verantwortung. Die allermeisten Unternehmen, die fertige Werkzeuge einsetzen, sind Betreiber. Auch als Betreiber haben Sie Pflichten, vor allem bei KI-Kompetenz, Transparenz und menschlicher Aufsicht. Prüfen Sie zuerst, in welcher Rolle Sie stehen, denn davon hängt ab, welche Punkte dieser Liste für Sie besonders scharf gelten.

Rolle bestimmt: Betreiber, Anbieter oder beides.
Eine verantwortliche Person für das Thema KI benannt.
Ein zentrales Verzeichnis der eingesetzten KI-Werkzeuge angelegt.

Block 1: KI-Kompetenz nach Artikel 4

Seit dem 2. Februar 2025 verlangt Artikel 4 der KI-VO, dass Unternehmen für ausreichende KI-Kompetenz ihrer Beschäftigten sorgen. Gemeint ist kein Zertifikat, sondern ein sachkundiger Umgang: Menschen sollen verstehen, was ein KI-System kann, wo es Fehler macht und welche Daten sie hineingeben dürfen. Diese Pflicht ist bereits scharf gestellt, hier gibt es keinen Aufschub.

Beschäftigte, die KI einsetzen, haben eine kurze, praxisnahe Einweisung erhalten.
Die Einweisung deckt ab, dass KI Fakten, Quellen und Zahlen erfinden kann.
Es ist klar geregelt, welche Daten in welches Werkzeug dürfen.
Die Schulung ist datiert dokumentiert, damit die Erfüllung nachweisbar ist.
Neue Beschäftigte durchlaufen die Einweisung im Onboarding.

Block 2: Risikoklasse jeder Anwendung bestimmen

Die KI-VO reguliert nicht die Technik, sondern den Zweck. Für jede Anwendung ist deshalb die Risikoklasse zu bestimmen: unannehmbar (verboten), hoch, begrenzt (Transparenzpflichten) oder minimal. Die meisten alltäglichen Assistenten und Chatbots fallen unter begrenztes Risiko. Sobald ein System aber in sensiblen Bereichen über Menschen mitentscheidet, etwa bei Beschäftigung, Kreditwürdigkeit oder medizinischer Behandlung, kann es als Hochrisiko gelten und löst deutlich strengere Pflichten aus.

Für jeden Anwendungsfall ist die Risikoklasse notiert.
Kein Werkzeug wird für einen verbotenen Zweck genutzt, etwa Emotionserkennung am Arbeitsplatz.
Anwendungen mit hohem Risiko sind gesondert gekennzeichnet und geprüft.
Bei Unsicherheit über die Einstufung wurde fachlicher Rat eingeholt.

Block 3: Transparenzpflicht nach Artikel 50

Artikel 50 verlangt, dass Menschen erkennen können, wenn sie mit einer KI sprechen oder wenn Inhalte künstlich erzeugt wurden. Für viele Unternehmen ist das die praktisch wichtigste Pflicht, weil sie den direkten Kundenkontakt betrifft. Ein Chatbot auf der Website muss sich als solcher zu erkennen geben. KI-generierte Texte und Bilder, die nach außen gehen, sollten als solche kenntlich sein, wo dies erwartet wird.

Chatbots und automatisierte Assistenten weisen erkennbar auf die KI hin.
Es ist intern geregelt, wann KI-erzeugte Inhalte gekennzeichnet werden.
Kundinnen und Kunden werden nicht über die Beteiligung einer KI getäuscht.

Block 4: DSGVO-Grundlage sichern

Sobald personenbezogene Daten in ein KI-Werkzeug gelangen, greift die DSGVO in voller Breite. Der häufigste Fehler ist der Griff zu einem kostenlosen Consumer-Tool, in das Kundendaten, Verträge oder Personaldaten kopiert werden, ohne dass eine vertragliche Grundlage besteht. Drei Punkte bilden das Fundament: ein Auftragsverarbeitungsvertrag mit dem Anbieter, Hosting in der EU und die Zusicherung, dass Ihre Eingaben nicht zum Training des Modells verwendet werden. Was eine Plattform darüber hinaus DSGVO-konform einsetzbar macht, vertieft der Überblick zu DSGVO-konformer KI.

Für jedes Werkzeug, das personenbezogene Daten verarbeitet, liegt ein AVV (DPA) vor.
Der Anbieter hostet in der EU oder bietet eine belastbare EU-Verarbeitung.
Der Anbieter sichert zu, Ihre Eingaben nicht zum Modelltraining zu nutzen.
Die eingesetzten Werkzeuge sind im Verzeichnis der Verarbeitungstätigkeiten erfasst.
Bei Verarbeitung außerhalb der EU liegen geeignete Garantien vor, etwa Standardvertragsklauseln.
Technische und organisatorische Maßnahmen (Verschlüsselung, Zugriffsrechte, Löschkonzept) sind dokumentiert.
Betroffenenrechte wie Auskunft und Löschung sind auch für die KI-Verarbeitung umsetzbar.
Wo Artikel 35 DSGVO es verlangt, ist eine Datenschutz-Folgenabschätzung (DSFA) erstellt.
Für Berufe mit besonderer Verschwiegenheit gilt: Der kontrollierte Einsatz mit AVV, EU-Hosting und Zero Data Retention hilft, das Haftungsrisiko nach §203 StGB zu senken.

Block 5: Dokumentation und Nachweisbarkeit

Compliance, die nicht dokumentiert ist, lässt sich im Zweifel nicht nachweisen. Sie brauchen keine Aktenberge, aber einige wenige, gepflegte Dokumente. Kern ist eine KI-Nutzungsrichtlinie, die festhält, welche Werkzeuge erlaubt sind, welche Daten hineindürfen und wo eine Person prüfen muss. Eine anpassbare Gliederung dafür finden Sie in unserer Vorlage für eine KI-Nutzungsrichtlinie.

Eine KI-Nutzungsrichtlinie ist erstellt und allen Beschäftigten zugänglich.
Das Werkzeugverzeichnis nennt je Tool Zweck, Anbieter, AVV-Status und Risikoklasse.
Schulungen sind mit Datum und Teilnehmerkreis festgehalten.
Ein festes Überprüfungsdatum und eine verantwortliche Person sind hinterlegt.
Wesentliche Entscheidungen, etwa zur Freigabe eines Werkzeugs, sind kurz begründet.

Block 6: Menschliche Aufsicht und Freigabe

KI liefert Entwürfe, keine fertigen Ergebnisse. Die menschliche Aufsicht nach Artikel 14 der KI-VO und die schlichte Sorgfaltspflicht verlangen, dass eine verantwortliche Person prüft, bevor etwas nach außen geht. Das gilt besonders dort, wo Fehler teuer werden: in Angeboten, Gutachten, Briefen und Kundenkommunikation. Legen Sie eindeutig fest, an welchen Stellen eine Freigabe zwingend ist.

Es ist definiert, welche KI-Ergebnisse vor dem Versand von einer Person geprüft werden.
Bei rechtlicher oder medizinischer Recherche werden Aussagen an belegbare Quellen geknüpft.
Niemand übernimmt KI-Ausgaben ungeprüft in verbindliche Dokumente.
Die Prüfpflicht ist Teil der Richtlinie und wird in der Schulung erklärt.

Wie eine EU-gehostete Plattform die Checkliste stützt

Viele dieser Punkte lassen sich technisch tragen, statt sie allein der Disziplin einzelner Beschäftigter zu überlassen. Wysor ist als privater, EU-gehosteter KI-Arbeitsplatz genau dafür gebaut und deckt mehrere Blöcke der Liste zugleich ab:

DSGVO-Grundlage (Block 4): Zero Data Retention, kein Training auf Ihren Daten, EU-Hosting und ein AVV je Modellanbieter bilden die vertragliche Basis, die die Checkliste verlangt.
Ein Werkzeug statt vieler: Mehrere Modelle (Claude, GPT, Gemini und weitere) in einer Oberfläche verringern den Anreiz, für einzelne Aufgaben auf ungeprüfte Consumer-Dienste auszuweichen. Das erleichtert Werkzeugverzeichnis und Schulung.
Prüfbare Ergebnisse (Block 6): In der juristischen Recherche verweist die integrierte Rechtsdatenbank auf reale Rechtsprechung und Gesetzestexte mit Fundstellen und markiert überholte Entscheidungen. In der medizinischen Recherche durchsucht die Plattform offene Fachliteratur und Arzneimittelinformationen. So sind Aussagen an nachprüfbare Quellen gebunden.
Menschliche Freigabe eingebaut: Bei der Dokumentenerstellung, etwa Briefen, Berichten oder Arztbriefen aus Notizen oder Diktat, entsteht ein Entwurf, den die verantwortliche Person prüft und freigibt.

Damit wird aus einer Liste von Pflichten eine Beschreibung dessen, wie im Unternehmen ohnehin sicher gearbeitet werden kann.

Häufige Fragen

Ist eine KI-Compliance-Checkliste gesetzlich vorgeschrieben? Ein Gesetz, das genau dieses Dokument verlangt, gibt es nicht. Die einzelnen Pflichten dahinter sind aber verbindlich: Artikel 4 der KI-VO zur KI-Kompetenz gilt seit Februar 2025, die Transparenzpflichten nach Artikel 50 und die DSGVO ebenso. Eine Checkliste ist der praktischste Weg, diese Pflichten strukturiert und nachweisbar abzuarbeiten.

Ab welcher Unternehmensgröße ist das relevant? Die Pflichten knüpfen nicht an eine Mindestgröße, sondern an den Einsatz von KI. Auch ein kleines Team, das personenbezogene Daten in ein Tool gibt, braucht eine vertragliche Grundlage und eine Prüfpflicht. Für kleinere Teams reicht dafür oft ein einfacher Plan ohne Enterprise-Vertrag.

Was ist der häufigste Fehler bei der KI-Compliance? Der Griff zu einem kostenlosen Consumer-Tool ohne AVV, in das vertrauliche oder personenbezogene Daten kopiert werden. Wirksamer ist, eine freigegebene Alternative mit AVV, EU-Hosting und ohne Training auf Ihren Daten bereitzustellen und die Datenregeln klar zu erklären.

Wie oft sollte die Checkliste überprüft werden? Mindestens halbjährlich, da sich Werkzeuge und die Rechtslage rund um die KI-VO schnell entwickeln. Hinterlegen Sie ein festes Überprüfungsdatum und eine verantwortliche Person, die es im Blick behält.

Reicht ein kostenloses KI-Tool für den geschäftlichen Einsatz? Für allgemeine, unbedenkliche Aufgaben kann das genügen. Sobald personenbezogene oder vertrauliche Daten ins Spiel kommen, braucht es eine Plattform mit AVV, EU-Hosting und ohne Training auf Ihren Daten. Details dazu im Leitfaden zum EU AI Act und im Überblick zu DSGVO-konformer KI.

Eine KI-Compliance-Checkliste ist kein Selbstzweck, sondern die Bedingung dafür, dass KI im Unternehmen produktiv und ruhig eingesetzt werden kann. Arbeiten Sie die Blöcke einmal vollständig durch, wählen Sie ein Werkzeug, das die Datenregeln technisch trägt, und tragen Sie ein festes Datum für die nächste Überprüfung ein.

Fragen zur Umsetzung in Ihrem Unternehmen? Schreiben Sie an [email protected] oder nutzen Sie das Kontaktformular in der App. Zum Einstieg gibt es einen kostenlosen Plan, Plus für 19,99 EUR/Monat und Premium für 29,99 EUR/Monat, ganz ohne Enterprise-Vertrag.