Fallstudie · KI-Compliance-Check
Pilotkunde Nummer eins waren wir selbst.
Bevor wir das erste Unternehmen durch die Pflichten der KI-Verordnung begleitet haben, haben wir unser eigenes Verfahren an uns selbst angewendet. Vollständig, mit denselben Dokumenten, die auch Sie bekommen, und ohne die unbequemen Stellen auszulassen.
Warum wir mit uns selbst angefangen haben
Dafür gab es zwei Gründe. Der erste ist Selbstachtung. Wer Unternehmen erklärt, dass sie ihren KI-Einsatz dokumentieren müssen, sollte den eigenen dokumentiert haben.
Der zweite ist praktischer. Ein Verfahren zeigt erst dann, wo es hakt, wenn man es an einem echten Betrieb durchspielt statt an einem gedachten. Das Ergebnis ist eine vollständige Nachweismappe. Sie liegt vor, sie ist von der Geschäftsführung unterschrieben, und wir zeigen sie Ihnen im Gespräch.
Wie der Check abläuft
Fünf Schritte, und sie sind bei jedem Kunden dieselben.
KI-Inventar
Wir erfassen jeden Punkt, an dem in Ihrem Unternehmen künstliche Intelligenz im Spiel ist. Nicht nur die offensichtlichen Werkzeuge, sondern auch die Assistenzfunktionen in Software, die längst im Haus ist, und die generativen Werkzeuge, mit denen Inhalte entstehen.
Risiko-Einstufung
Jeder Eintrag wird gegen die verbotenen Praktiken geprüft, gegen die Hochrisiko-Kriterien und gegen die Transparenzpflichten. Wir arbeiten mit einer Ampel. Wichtiger als die Farbe ist die Begründung darunter, denn die ist es, die einer Nachfrage der Aufsicht standhalten muss.
Lücken-Report
Der Abgleich zwischen dem, was gilt, und dem, was tatsächlich da ist. Hier trennt sich, was heute Pflicht ist, von dem, was erst 2027 oder 2028 kommt. Der Digital Omnibus hat die Fristen für Hochrisiko-Systeme verschoben, die Transparenzpflichten nach Artikel 50 aber ausdrücklich nicht. Wer das durcheinanderbringt, arbeitet entweder an der falschen Baustelle oder verpasst den Stichtag.
Maßnahmenplan
Jede Lücke bekommt eine Maßnahme, eine Frist, einen Verantwortlichen und eine ehrliche Aufwandsschätzung. Keine Empfehlung ohne Datum.
Die Dokumente, die am Ende im Ordner liegen müssen
Eine KI-Richtlinie, die in Kraft gesetzt und unterschrieben ist. Ein Schulungskonzept für die Kompetenzpflicht aus Artikel 4. Und die konkrete Umsetzung der Transparenzpflichten aus Artikel 50.
Was bei uns herauskam
Von unseren dreizehn Einträgen waren fünf unkritisch, fünf brauchten Transparenz- oder Prozessregeln, und zwei sind Hochrisiko-Kandidaten mit Fristen, die erst Ende 2027 greifen. Verbotene Praktiken: keine. Ein Fall war echt strittig, und den haben wir als Zweifelsfall dokumentiert und einer Kanzlei zur Klärung vorgelegt, statt uns eine bequeme Antwort zu geben.
Und dann gab es genau eine Lücke mit dem Stichtag 2. August: der explizite Hinweis, dass der Nutzer mit einer KI spricht, in unseren dialogfähigen Oberflächen. Aufwand zur Behebung: unter einer Stunde.
Das ist der Befund, der sich wiederholt. Die meisten Unternehmen sind weniger weit von der Pflicht entfernt, als sie fürchten, aber sie wissen es nicht, und sie können es nicht belegen. Was fehlt, ist selten die Technik. Es ist der Nachweis.
Drei Dinge, die wir dabei gelernt haben
Der Aufwand steckt im Inventar, nicht in der Bewertung
Die juristische Einordnung geht schnell, wenn die Liste stimmt. Das Sammeln der Liste ist die Arbeit, und es ist der Schritt, den Unternehmen unterschätzen, weil KI längst in Werkzeugen steckt, die niemand als KI verbucht.
Die Zweifelsfälle sind das eigentliche Produkt
Ein Dossier, das überall Grün meldet, ist wertlos. Wertvoll ist die dokumentierte Begründung, warum etwas so eingestuft wurde, inklusive der Punkte, an denen man sich ehrlich unsicher ist. Genau das ist es, was eine Nachfrage der Aufsicht beantwortet.
Ein Stichtag klärt die Prioritäten
Wer alle Pflichten gleichzeitig sieht, macht nichts. Wer weiß, dass vor dem 2. August genau eine Sache zu tun ist, macht diese eine Sache.
Was Sie am Ende in der Hand halten
Eine Nachweismappe mit sieben Dokumenten: Deckblatt mit Änderungsprotokoll, KI-Inventar, Risiko-Selbsteinstufung, Lücken-Report, Maßnahmenplan mit Management-Summary, KI-Richtlinie zur Inkraftsetzung, Schulungskonzept nach Artikel 4 und die Umsetzung der Transparenzpflichten nach Artikel 50. Alles mit Stand, Review-Datum und benannter Pflegeverantwortung.
Was wir ausdrücklich nicht behaupten.
Es gibt kein AI-Act-Zertifikat. Für die KI-Verordnung ist bislang keine notifizierte Stelle benannt, und niemand kann ein Unternehmen heute als konform zertifizieren. Wer das verspricht, verkauft ein Siegel, das es nicht gibt.
Wir liefern eine belastbare Selbstbewertung mit dokumentierter Begründung, und wir sagen dazu, wo die Grenzen liegen. Rechtsberatung leisten wir nicht. Offene Rechtsfragen markieren wir als solche und übergeben sie an eine Kanzlei. Das ist unbequemer als ein Siegel, aber es ist das, was im Ernstfall trägt.
Wollen Sie wissen, wie viele Einträge Ihr KI-Inventar hat? Der Selbstcheck gibt Ihnen in fünf Minuten eine erste Einordnung, das Webinar am 22. oder 27. Juli die vollständige Erklärung. Oder schreiben Sie uns direkt für ein kostenloses Erstgespräch, 20 Minuten, online.