Fallstudie · KI-Compliance-Check

Pilotkunde Nummer eins waren wir selbst.

Bevor wir das erste Unternehmen durch die Pflichten der KI-Verordnung begleitet haben, haben wir unser eigenes Verfahren an uns selbst angewendet. Vollständig, mit denselben Dokumenten, die auch Sie bekommen, und ohne die unbequemen Stellen auszulassen.

Warum wir mit uns selbst angefangen haben

Dafür gab es zwei Gründe. Der erste ist Selbstachtung. Wer Unternehmen erklärt, dass sie ihren KI-Einsatz dokumentieren müssen, sollte den eigenen dokumentiert haben.

Der zweite ist praktischer. Ein Verfahren zeigt erst dann, wo es hakt, wenn man es an einem echten Betrieb durchspielt statt an einem gedachten. Das Ergebnis ist eine vollständige Nachweismappe. Sie liegt vor, sie ist von der Geschäftsführung unterschrieben, und wir zeigen sie Ihnen im Gespräch.

Wie der Check abläuft

Fünf Schritte, und sie sind bei jedem Kunden dieselben.

Was bei uns herauskam

Von unseren dreizehn Einträgen waren fünf unkritisch, fünf brauchten Transparenz- oder Prozessregeln, und zwei sind Hochrisiko-Kandidaten mit Fristen, die erst Ende 2027 greifen. Verbotene Praktiken: keine. Ein Fall war echt strittig, und den haben wir als Zweifelsfall dokumentiert und einer Kanzlei zur Klärung vorgelegt, statt uns eine bequeme Antwort zu geben.

Und dann gab es genau eine Lücke mit dem Stichtag 2. August: der explizite Hinweis, dass der Nutzer mit einer KI spricht, in unseren dialogfähigen Oberflächen. Aufwand zur Behebung: unter einer Stunde.

Das ist der Befund, der sich wiederholt. Die meisten Unternehmen sind weniger weit von der Pflicht entfernt, als sie fürchten, aber sie wissen es nicht, und sie können es nicht belegen. Was fehlt, ist selten die Technik. Es ist der Nachweis.

Drei Dinge, die wir dabei gelernt haben

Der Aufwand steckt im Inventar, nicht in der Bewertung

Die juristische Einordnung geht schnell, wenn die Liste stimmt. Das Sammeln der Liste ist die Arbeit, und es ist der Schritt, den Unternehmen unterschätzen, weil KI längst in Werkzeugen steckt, die niemand als KI verbucht.

Die Zweifelsfälle sind das eigentliche Produkt

Ein Dossier, das überall Grün meldet, ist wertlos. Wertvoll ist die dokumentierte Begründung, warum etwas so eingestuft wurde, inklusive der Punkte, an denen man sich ehrlich unsicher ist. Genau das ist es, was eine Nachfrage der Aufsicht beantwortet.

Ein Stichtag klärt die Prioritäten

Wer alle Pflichten gleichzeitig sieht, macht nichts. Wer weiß, dass vor dem 2. August genau eine Sache zu tun ist, macht diese eine Sache.

Was Sie am Ende in der Hand halten

Eine Nachweismappe mit sieben Dokumenten: Deckblatt mit Änderungsprotokoll, KI-Inventar, Risiko-Selbsteinstufung, Lücken-Report, Maßnahmenplan mit Management-Summary, KI-Richtlinie zur Inkraftsetzung, Schulungskonzept nach Artikel 4 und die Umsetzung der Transparenzpflichten nach Artikel 50. Alles mit Stand, Review-Datum und benannter Pflegeverantwortung.