EU AI Act umsetzen: Checkliste, Rollen und KI-Kompetenz-Pflicht
Die Übersicht kennen die meisten — bei der Umsetzung hakt es. Dieser Praxis-Leitfaden liefert die 6-Punkte-Checkliste, klärt die Rollen und erklärt die oft übersehene KI-Kompetenz-Pflicht aus Artikel 4.
Den EU AI Act setzt man im Mittelstand über eine 6-Punkte-Checkliste um: KI-Inventar erstellen, Risikoklassen zuordnen, Rollen benennen, KI-Kompetenz nach Artikel 4 schulen, Transparenz und Dokumentation umsetzen, Monitoring aufsetzen. Die Gesamtverantwortung trägt die Geschäftsführung; IT, Datenschutz und Fachbereiche teilen sich die Umsetzung. Die oft übersehene KI-Kompetenz-Pflicht (Art. 4) gilt bereits seit Februar 2025 ohne Übergangsfrist — für jedes Unternehmen, das KI nutzt.
Die Risikoklassen, die Fristen, die Bußgelder — das alles ist inzwischen bekannt. Die eigentliche Frage im Mittelstand lautet längst nicht mehr „Was steht im EU AI Act?“, sondern: Wer macht jetzt konkret was — und wie weisen wir das nach?
Dieser Beitrag ist die praktische Folge zu unserer EU-AI-Act-Übersicht. Er liefert eine abhakbare 6-Punkte-Checkliste, verteilt die Verantwortlichkeiten auf klare Rollen und beleuchtet die Pflicht, die am häufigsten übersehen wird: die KI-Kompetenz-Pflicht aus Artikel 4, die schon seit Februar 2025 ohne Übergangsfrist gilt.
Die übersehene Pflicht: KI-Kompetenz nach Artikel 4
Während alle auf die Hochrisiko-Fristen im August 2026 schauen, gilt eine Pflicht schon heute: Seit dem 2. Februar 2025 verlangt Artikel 4, dass Unternehmen für ein ausreichendes Maß an KI-Kompetenz bei allen Mitarbeitenden sorgen, die mit KI arbeiten — unabhängig von der Risikoklasse und ohne Übergangsfrist.
Das betrifft praktisch jedes Unternehmen, in dem ChatGPT, Copilot oder ein KI-gestütztes Tool genutzt wird. Mitarbeitende müssen verstehen, wie die KI funktioniert, wo ihre Grenzen liegen und welche Risiken entstehen. Und das Unternehmen muss es nachweisen können — durch dokumentierte, rollenspezifische Schulungen.
Woran die Umsetzung im Mittelstand scheitert
Niemand ist klar verantwortlich — Compliance liegt zwischen IT, Datenschutz und Geschäftsführung.
Die KI-Kompetenz-Pflicht (Art. 4) ist unbekannt, obwohl sie bereits gilt.
Schulungen finden statt, werden aber nicht dokumentiert — und zählen damit im Audit nicht.
Es fehlt eine abhakbare Checkliste; die Übersicht bleibt abstrakt.
Von der Pflicht zur Audit-Readiness.
Nach dem KI-Inventar werden Rollen verteilt, die KI-Kompetenz-Pflicht aus Artikel 4 erfüllt und alles dokumentiert — bis das Unternehmen prüfsicher ist.
EU AI Act Checkliste: die sechs Punkte für den Mittelstand
KI-Inventar erstellen
Alle eingesetzten KI-Systeme erfassen — inklusive eingekaufter Tools wie ChatGPT, Copilot oder Scoring-Modelle. Ohne vollständiges Inventar ist keine Bewertung möglich.
Risikoklassen zuordnen
Jedes System einer der vier Klassen zuordnen (verboten, hoch, begrenzt, minimal). Die meisten Mittelstands-Anwendungen sind begrenzt oder minimal.
Rollen benennen
Verantwortlichkeiten festlegen: Geschäftsführung trägt die Gesamtverantwortung, IT die Technik, Datenschutz die rechtliche Bewertung, Fachbereich den Einsatz.
KI-Kompetenz aufbauen (Art. 4)
Mitarbeitende rollenspezifisch zu Funktionsweise, Grenzen und Risiken der genutzten KI schulen — nachweisbar dokumentiert. Diese Pflicht gilt seit Februar 2025.
Transparenz & Doku umsetzen
Nutzer auf KI-Interaktion hinweisen, Transparenzpflichten erfüllen und alle Nachweise strukturiert ablegen.
Monitoring & Audit-Readiness
Laufende Überwachung etablieren, Schulungen bei neuen Systemen wiederholen, Dokumentation aktuell halten — damit Sie jederzeit prüfsicher sind.
Die Checkliste zum Abhaken: Verantwortung und Nachweis je Punkt
Eine Checkliste ist erst dann prüfsicher, wenn zu jedem Punkt feststeht, wer ihn verantwortet und welches Dokument ihn belegt. Diese sechs Nachweise sind es, die ein Prüfer sehen will.
| Punkt | Verantwortlich | Nachweis |
|---|---|---|
| 01KI-Inventar erstellen | IT / KI-Team | Liste aller KI-Systeme mit Zweck, Anbieter und Nutzergruppe — auch eingekaufte Tools wie ChatGPT oder Copilot. |
| 02Risikoklassen zuordnen | Datenschutz / Compliance | Klassifizierung je System (verboten, hoch, begrenzt, minimal) mit kurzer Begründung. |
| 03Rollen benennen | Geschäftsführung | Mandat und Benennung der koordinierenden Person, Verantwortungsmatrix über die vier Rollen. |
| 04KI-Kompetenz aufbauen (Art. 4) | Geschäftsführung, Fachbereiche | Schulungsnachweis je Rolle: Teilnehmende, Inhalte, Datum — seit Februar 2025 ohne Übergangsfrist. |
| 05Transparenz & Doku umsetzen | IT / KI-Team, Fachbereiche | Transparenzhinweise gegenüber Nutzern; strukturierte Ablage aller Nachweise an einem Ort. |
| 06Monitoring & Audit-Readiness | KI-Koordinator | Wiederholungsplan für Schulungen bei neuen Systemen oder Mitarbeitenden, Änderungsprotokoll des Inventars. |
Wer macht was? Die vier Rollen
| Rolle | Verantwortung im EU AI Act |
|---|---|
| Geschäftsführung | Trägt die Gesamtverantwortung, gibt Budget und Mandat frei, benennt den KI-Koordinator. |
| IT / KI-Team | Kennt die Systeme technisch, pflegt das KI-Inventar, setzt Transparenz- und Monitoring-Maßnahmen um. |
| Datenschutz / Compliance | Bewertet rechtlich, ordnet Risikoklassen zu, integriert den EU AI Act in das bestehende GRC-System. |
| Fachbereiche | Kennen den konkreten KI-Einsatz, melden neue Tools, nehmen an den Kompetenz-Schulungen teil. |
EU AI Act umsetzen — in Zahlen
Der pragmatische Weg zur KI-Kompetenz: der Workshop
Die Kompetenz-Pflicht aus Artikel 4 lässt sich am schnellsten über einen strukturierten KI-Workshop erfüllen — wenn er drei Dinge leistet: rollenspezifische Inhalte (Geschäftsführung braucht anderes Wissen als die Sachbearbeitung), praktische Vermittlung von Funktionsweise, Grenzen und Risiken der konkret genutzten Tools — und eine saubere Dokumentation von Teilnehmern, Inhalten und Datum.
Genau so wird aus einer Pflicht ein nachweisbarer Baustein der Audit-Readiness. Wichtig ist die Wiederholung: Kommen neue KI-Systeme oder neue Mitarbeitende hinzu, muss die Schulung aktualisiert werden.
Für wen ist dieser Leitfaden gedacht?
Geschäftsführer, die wissen wollen, wer im Haus die EU-AI-Act-Verantwortung trägt
Compliance- und Datenschutzbeauftragte, die eine konkrete Checkliste brauchen
IT-Leiter, die KI-Inventar und Kompetenz-Schulungen aufsetzen müssen
Personalverantwortliche, die die KI-Kompetenz-Pflicht (Art. 4) operativ erfüllen
Technologie-Stack
KI-Kompetenz-Pflicht nachweisbar erfüllen?
Wir schulen Ihr Team rollenspezifisch zu Artikel 4 und liefern die Dokumentation, die im Audit zählt — pragmatisch statt bürokratisch.
Workshop anfragen