Beginnt man mit der Arbeit an einer rechtssicheren, verantwortungsvollen und strategischen Implementierung von KI-Lösungen im Unternehmen ist es angeraten zuerst ein KI-Inventar zu erstellen: Wie wird KI bei uns eingesetzt, welche KI-Lösungen nutzen welche Abteilungen jetzt schon? Bevor es an die KI Compliance und Governance geht braucht man häufig Klarheit über zwei zentrale Fragen:
- Welche Rolle habe ich? Anbieter oder Betreiber?
- Welches Risiko hat mein System? Hochrisiko, begrenzt, minimal?
Die Antworten auf diese Fragen bestimmen:
- Welche Pflichten greifen
- Welche Fristen gelten
- Welche Kosten auf dich zukommen
- Ob du überhaupt betroffen bist
Dieser Artikel liefert dir zwei praxiserprobte Checklisten, die dir schnell Orientierung geben.
Aktueller Stand: Am 11. Februar 2026 hat das Bundeskabinett den Regierungsentwurf für das KI-MIG beschlossen – Deutschlands nationales Durchführungsgesetz zum EU AI Act. Bundestag und Bundesrat müssen noch zustimmen, aber die Richtung ist klar: Die Bundesnetzagentur wird zentrale Marktüberwachungsbehörde, und der Countdown läuft. Der entscheidende Stichtag für Unternehmen bleibt der 2. August 2026 – ab dann gelten die vollen Hochrisiko-Pflichten.
Checkliste 1: Bin ich KI-Anbieter oder KI-Betreiber?
Warum ist das überhaupt wichtig?
Die Unterscheidung zwischen Anbieter (Provider) und Betreiber (Deployer) ist keine Formalität – sie ist die Scheidelinie zwischen:
| Aspekt | Anbieter | Betreiber |
| Pflichten | Art. 9-15, 16-24, 43-51, 72-73 (umfassend) | Art. 26, 27 (überschaubar) |
| Kosten | €50.000 – mehrere Mio. (initial)€20.000-150.000+ (jährlich) | €10.000-50.000 (initial)€5.000-20.000 (jährlich) |
Zu beachten ist: Die Rollen ergeben sich aus der tatsächlichen Funktion im AI-Lifecycle – nicht aus der Vertragsbezeichnung. Entscheidend ist, wie das KI-Tool tatsächlich eingesetzt bzw. genutzt wird.
Die 5-Fragen-Methode
Gehe diese Fragen der Reihe nach durch. Sobald eine Frage mit „Ja“ beantwortet ist, hast du deine Antwort.
✅ Frage 1: Entwickle ich das KI-System selbst oder lasse ich es entwickeln?
Wenn JA:
- Du bist wahrscheinlich Anbieter
- Gilt unabhängig davon, ob Entwicklung intern oder durch Auftragnehmer erfolgt
- Gilt auch, wenn du Open-Source-Komponenten nutzt, aber das Gesamtsystem zusammenstellst
Wenn NEIN: → Weiter zu Frage 2
✅ Frage 2: Bringe ich ein bestehendes KI-System unter meinem Namen/meiner Marke in Verkehr?
Wichtig: Dies gilt nur für Hochrisiko-Systeme!
Wenn JA + Hochrisiko:
- Du wirst definitiv zum Anbieter
- Auch wenn du technisch nichts geändert hast
- „White-Label“-Modelle sind betroffen
Wenn NEIN: → Weiter zu Frage 3
✅ Frage 3: Modifiziere ich ein bestehendes Hochrisiko-System wesentlich?
„Wesentliche Änderung“ ist der heikelste Punkt – hier wird es kompliziert. Diese Kriterien sind Praxisindikatoren, keine gesetzliche Definition. Prüfe diese Kriterien (wenn ≥ 2 zutreffen, ist es wahrscheinlich wesentlich):
A) Änderung des Zwecks?
- Das System wird für einen anderen Use Case genutzt als vorgesehen
B) Umfangreiches Fine-Tuning/Retraining (bei GPAI)?
- umfangreiches Retraining / Fine-Tuning, das das Modellverhalten wesentlich verändert (mit ≥ 1/3 der ursprünglichen FLOPs)
C) Integration eigener Algorithmen/Modelle (BYOM)?
- Du fügst dein eigenes ML-Modell hinzu, das wesentlich zur Funktionalität beiträgt
D) Änderung der Sicherheitsarchitektur?
- Du entfernst oder änderst Sicherheitsmechanismen
E) Neue Risiken, die ursprünglich nicht bewertet wurden?
- Deine Änderung führt zu neuen Diskriminierungsrisiken
Wenn ≥ 2 Kriterien zutreffen: → Du wirst wahrscheinlich zum Anbieter
Wenn NEIN: → Weiter zu Frage 4
✅ Frage 4: Ändere ich den Zweck eines Nicht-Hochrisiko-Systems, sodass es Hochrisiko wird?
Entscheidend: Der neue Verwendungszweck, nicht die ursprüngliche Konzeption!
Wenn JA: → Du wirst zum Anbieter eines Hochrisiko-Systems
Wenn NEIN: → Weiter zu Frage 5
✅ Frage 5: Integriere ich ein eigenes Modell in ein System eines Dritten?
Wenn JA + dein Modell trägt wesentlich zur Funktionalität bei + Hochrisiko:
→ Du wirst zum Anbieter des Gesamtsystems
Wenn NEIN: → Du bist wahrscheinlich Betreiber
Pro-Tipp: In der Praxis sind ca. 80–90 % der Unternehmen Betreiber, nicht Anbieter.
Checkliste 2: Ist mein KI-System Hochrisiko?
Warum die Risikoklassifizierung alles entscheidet
Der EU AI Act folgt einem risikobasierten Ansatz:
| Kategorie | Beispiele | Pflichten | Anwendbar ab |
| Unannehmbares Risiko | Social Scoring, manipulative KI | VERBOTEN | 2. Feb 2025 |
| Hochrisiko | HR-Screening, Kreditscoring | Umfassend (Art. 9-15) | 2. Aug 2026 |
| Begrenztes Risiko | Chatbots | Transparenzpflicht | 2. Aug 2025 |
| Minimales Risiko | Spam-Filter, KI-Videospiele | Keine | – |
Die kritische Frage:
Ist dein System Hochrisiko? Denn dann greifen die vollen Compliance-Pflichten und du musst eine Konformitätsbewertung durchführen und brauchst du eine CE-Kennzeichnung. Bitte beachte: Compliance Nachlässigkeit können €50.000 bis mehrere Millionen kosten.
Beachte: Ohne ein strukturiertes KI-Inventar ist weder eine Risikoklassifizierung noch eine Rollenzuordnung sinnvoll möglich.
Der Entscheidungsbaum: 4 Schritte zur Klarheit
Schritt 1: Prüfe auf unannehmbares Risiko (VERBOTEN)
Falls dein System folgendes tut, ist es VERBOTEN:
- Social Scoring – Bewertung von Personen nach Sozialverhalten
- Manipulation – Gezielte Ausnutzung von Schwächen
- Emotionserkennung – am Arbeitsplatz oder in Bildungseinrichtungen
- Biometrische Kategorisierung – zur Ableitung sensibler Merkmale
Wenn auch nur EINES zutrifft: → STOP! Das System ist verboten.
Wenn KEINES zutrifft:
→ Weiter zu Schritt 2
Schritt 2: Prüfe Annex III – Hochrisiko-Anwendungen
Fällt dein System in einen dieser Bereiche?
1. Beschäftigung, HR (Annex III Nr. 4):
- Einstellung & Auswahl: Bewerbungsfilterung, Kandidatenbewertung
- Entscheidungen über Beförderung und Kündigung
- Überwachung und Bewertung von Leistung und Verhalten
2. Zugang zu Diensten & Leistungen (Annex III Nr. 5):
- Kreditwürdigkeitsprüfung (Kreditscoring)
- Festsetzung von Versicherungsprämien
3. Bildung (Annex III Nr. 3):
- Zugang zu Bildungseinrichtungen
- Bewertung von Lernleistungen
Wenn MINDESTENS EIN Punkt zutrifft:
→ Dein System ist wahrscheinlich Hochrisiko
Wenn KEIN Punkt zutrifft: → Weiter zu Schritt 3
Fazit: Klarheit ist der erste Schritt
Die beiden Checklisten geben dir Orientierung, aber sie ersetzen keine:
- Detaillierte rechtliche Prüfung
- Technische Risikobewertung
- Individuelle Beratung
Aber: Mit diesen Tools kannst du 80% der Fälle selbst einschätzen und weißt:
- Welche Rolle du hast
- Welches Risiko vorliegt
- Welche Pflichten greifen
- Welches Budget du brauchst
Wenn du dir bei der Einordnung deines Systems unsicher bist, unterstütze ich dich gerne – von der Use-Case-Analyse über erste GAP-Analysen bis zur Reifegradbestimmung deiner KI-Governance.
Über das Kontaktformular kannst du jederzeit ein unverbindliches Erstgespräch anfragen.
___
Disclaimer: Rechtsstand: Januar 2026. Die Checklisten basieren auf dem EU AI Act (Regulation 2024/1689). Für rechtssichere Bewertung konsultiere spezialisierte Rechtsberatung.
