EU KI-Verordnung: 8 Schritte zur Compliance vor August 2026

Die Compliance mit der EU KI-Verordnung erfordert von Organisationen, alle KI-Systeme zu inventarisieren, sie nach Art. 6 und Anhang III nach Risikoniveaus zu klassifizieren, Risikomanagementsysteme einzurichten (Art. 9), Datengouvernanz zu etablieren (Art. 10), technische Dokumentation zu erstellen (Art. 11), menschliche Aufsicht zu gestalten (Art. 14), Konformitätsbewertungen abzuschließen (Art. 43) und Hochrisiko-Systeme in der EU-Datenbank zu registrieren (Art. 49) — alles vor dem 2. August 2026. Mit Bußgeldern von bis zu 35 Mio. EUR oder 7 % des globalen Jahresumsatzes für verbotene Praktiken und 15 Mio. EUR oder 3 % für Hochrisiko-Verstöße schätzt die Europäische Kommission die Compliance-Kosten auf 6.000–7.500 EUR pro Hochrisiko-KI-System. Laut einer Deloitte-Umfrage 2025 haben jedoch nur 29 % der europäischen Organisationen mit strukturierter KI-Verordnungs-Vorbereitung begonnen.

Dieser Leitfaden bietet einen praxisnahen, schrittweisen Implementierungsfahrplan mit Zeitplänen, Kostenschätzungen und konkreten Ergebnissen für jeden Schritt.

Nehmen Sie die kostenlose KI-Act-Readiness-Bewertung vor, um Ihren Ausgangspunkt zu verstehen.

Vor dem Start: Realitätscheck zum Zeitplan

Mit noch ca. 3,5 Monaten bis zur Frist am 2. August 2026 ist hier ein realistischer Implementierungsplan:

Geschätzter Gesamtzeitraum: 16–18 Wochen (4–4,5 Monate). Wenn Sie noch nicht begonnen haben, schließt sich das Fenster rasch.

Schritt 1: Alle KI-Systeme inventarisieren

Ziel: Erstellen Sie ein vollständiges, genaues Inventar aller KI-Systeme, die Ihre Organisation entwickelt, einsetzt oder nutzt.

Warum es wichtig ist: Was Sie nicht sehen können, können Sie nicht klassifizieren. Laut Gartner können 40 % der Organisationen nicht alle KI-Systeme, die sie betreiben, akkurat benennen. Shadow-KI — Systeme, die einzelne Teams ohne zentrale Aufsicht eingeführt haben — ist der größte Compliance-blinde Fleck.

Was für jedes System zu dokumentieren ist:

• Systemname und Version
• Anbieter (intern oder Drittanbieter)
• Zweck und Verwendungszweck
• Dateneingaben und -ausgaben
• Einsatzkontext (welche Abteilung, welche Geografie)
• Entscheidungsumfang (beratend vs. autonom)
• Anzahl der betroffenen Personen

Ergebnis: KI-System-Register — ein lebendes Dokument, das die Grundlage für alle nachfolgenden Compliance-Aktivitäten bildet.

Kostenschätzung: 2.000–5.000 EUR (interner Aufwand) oder 5.000–15.000 EUR (mit externer Unterstützung).

Häufiger Fehler: Sich nur auf ML-Modelle zu konzentrieren. Die KI-Definition der KI-Verordnung (Art. 3(1)) umfasst maschinenlernbasierte Ansätze, logikbasierte Systeme und statistische Ansätze. Stellen Sie sicher, dass Ihr Inventar regelbasierte KI, Expertensysteme und automatisierte Entscheidungstools neben neuronalen Netzen erfasst.

Schritt 2: Jedes System nach Risikoniveau klassifizieren

Ziel: Bestimmen Sie, welcher Risikostufe jedes KI-System nach Art. 5–7 und Anhang III angehört.

Das Klassifizierungsframework:

Wichtige Entscheidungspunkte:

1. Fällt das System unter ein Art.-5-Verbot? → Wenn ja, sofort den Betrieb einstellen.
2. Ist das System in Anhang III gelistet oder ein Sicherheitsbauteil eines Anhang-I-Produkts? → Wenn ja, hochriskant.
3. Gilt die Art.-6(3)-Ausnahme? → Das System ist nicht hochriskant, wenn es kein signifikantes Schadensrisiko darstellt, keine wesentliche Entscheidungsbeeinflussung und kein Profiling von Personen vorliegt.
4. Interagiert das System mit Personen oder generiert Inhalte? → Wenn ja, Art.-50-Transparenzpflichten prüfen.

Ergebnis: Risikoklassifizierungsregister mit dokumentierter Begründung für jede Klassifizierungsentscheidung.

Kostenschätzung: 3.000–8.000 EUR je nach Größe des KI-Portfolios.

Schritt 3: Verbotene Praktiken prüfen

Ziel: Stellen Sie sicher, dass kein KI-System in Ihrem Portfolio gegen Art.-5-Verbote verstößt.

Dieser Schritt ist dringend: Verbotene Praktiken sind seit dem 2. Februar 2025 verboten. Wenn Sie noch verbotene KI betreiben, sind Sie bereits in Verstoß mit Risiken von 35 Mio. EUR oder 7 % des Umsatzes.

Art.-5-Verbote-Checkliste:

• Kein KI-System nutzt unterschwellige Techniken zur Verhaltensmanipulation, die Schaden verursachen
• Kein Social-Scoring-System ist im Einsatz
• Keine Echtzeit-Biometrie im öffentlichen Raum (es sei denn, enge Strafverfolgungsausnahme gilt)
• Kein System nutzt Schwachstellen spezifischer Gruppen (Alter, Behinderung, wirtschaftliche Situation) aus
• Keine Emotionserkennung an Arbeitsplätzen oder in Bildungseinrichtungen (es sei denn für medizinische oder Sicherheitszwecke)
• Keine ungezielte Sammlung von Gesichtsbildern für Erkennungsdatenbanken
• Keine biometrische Kategorisierung nach sensiblen Attributen
• Keine vorhersagende Polizeiarbeit ausschließlich auf Basis von Profiling

Ergebnis: Art.-5-Compliance-Zertifikat — formale Bestätigung, dass keine verbotenen Praktiken im Einsatz sind.

Schritt 4: Risikomanagementsysteme einrichten (Art. 9)

Ziel: Aufbau eines kontinuierlichen, iterativen Risikomanagementsystems für jedes Hochrisiko-KI-System.

Art. 9 erfordert vier Phasen:

1. Risikoidentifizierung: Bekannte und vernünftigerweise vorhersehbare Risiken aus bestimmungsgemäßem Gebrauch und vorhersehbarem Missbrauch identifizieren
2. Risikoanalyse: Wahrscheinlichkeit und Schwere jedes identifizierten Risikos abschätzen
3. Risikobewertung: Bestimmen, ob Restrisiken angesichts der Vorteile akzeptabel sind
4. Risikominderung: Technische und organisatorische Maßnahmen zur Risikoreduktion implementieren

Wichtige Anforderungen:

• Das Risikomanagementsystem muss den gesamten KI-Lebenszyklus abdecken — Entwurf, Entwicklung, Deployment und Post-Market
• Es muss regelmäßig aktualisiert werden auf Basis von Post-Market-Monitoring-Daten
• Tests müssen validieren, dass Restrisiken akzeptabel sind (Art. 9(7))
• Tests müssen gegen vorab definierte Metriken durchgeführt werden, die dem Zweck des Systems angemessen sind

Ergebnis: Risikomanagementsystem pro Hochrisiko-KI-System, einschließlich Risikoregister, Minderungsmaßnahmen und Testprotokolle.

Kostenschätzung: 6.000–7.000 EUR pro System (Schätzung der Europäischen Kommission).

Schritt 5: Datengouvernanz etablieren (Art. 10)

Ziel: Sicherstellen, dass Trainings-, Validierungs- und Testdatensätze die Qualitätsanforderungen der Verordnung erfüllen.

Art. 10 schreibt vor:

• Datenqualität, -relevanz und -repräsentativität
• Untersuchung auf potenzielle Vorurteile, insbesondere bezüglich geschützter Merkmale
• Angemessene statistische Eigenschaften für den beabsichtigten geografischen, verhaltensbasierten oder funktionalen Rahmen
• Identifizierung und Behebung von Datenlücken
• Schutzmaßnahmen für personenbezogene Daten, wo Bias-Monitoring dies erfordert

Praktische Umsetzung:

1. Herkunft aller Trainingsdatensätze dokumentieren
2. Datenqualitätsprüfungen implementieren (Vollständigkeit, Genauigkeit, Konsistenz)
3. Bias-Analysen über geschützte Merkmale (Geschlecht, Alter, Ethnizität, Behinderung) durchführen
4. Validieren, dass Datensätze die Zielpopulation repräsentieren
5. Datenversionierung und Lineage-Tracking etablieren

Ergebnis: Datengouvernanz-Framework mit Qualitätsmetriken, Bias-Berichten und Datensatzdokumentation.

Schritt 6: Technische Dokumentation erstellen (Art. 11, Anhang IV)

Ziel: Umfassende technische Dokumentation für jedes Hochrisiko-KI-System erstellen, bevor es in Verkehr gebracht wird.

Anhang IV erfordert Dokumentation zu:

• Allgemeine Beschreibung (Zweck, Entwickler, Version, Systemarchitektur)
• Detaillierte Beschreibung der Elemente und des Entwicklungsprozesses
• Monitoring-, Funktions- und Kontrollmechanismen
• Informationen zum Risikomanagementsystem
• Datengouvernanz-Praktiken und Datensatzbeschreibungen
• Metriken zur Messung von Genauigkeit, Robustheit und Cybersicherheit
• A-priori-bestimmte Leistungsmetriken
• Beschreibung der menschlichen Aufsichtsmaßnahmen
• Erwartete Lebensdauer und Wartungsverfahren

Dokumentation muss:

• Vor der Markteinführung des Systems erstellt werden
• Über den gesamten Lebenszyklus des Systems aktuell gehalten werden
• Den nationalen zuständigen Behörden auf Anfrage zur Verfügung stehen

Ergebnis: Anhang-IV-Technische-Dokumentationspaket pro Hochrisikosystem.

Kostenschätzung: 2.000–5.000 EUR pro System (deutlich weniger mit automatisierten Dokumentationstools).

Matproof automatisiert die Anhang-IV-Dokumentationserstellung — sehen Sie, wie es funktioniert.

Schritt 7: Konformitätsbewertung abschließen (Art. 43)

Ziel: Nachweisen, dass Ihr Hochrisiko-KI-System alle anwendbaren Anforderungen erfüllt.

Zwei Wege existieren:

Die Europäische Kommission schätzt, dass 85 % der Hochrisiko-KI-Systeme dem Selbstbewertungsweg folgen werden.

Selbstbewertungsschritte:

1. Qualitätsmanagementsystem-Compliance prüfen (Art. 17)
2. Vollständigkeit der technischen Dokumentation prüfen (Anhang IV)
3. Verifizieren, dass alle Art. 9–15 Anforderungen erfüllt sind
4. EU-Konformitätserklärung vorbereiten (Anhang V)
5. CE-Kennzeichnung anbringen
6. In EU-Datenbank registrieren (Art. 49)

Ergebnis: EU-Konformitätserklärung + CE-Kennzeichnungsdokumentation.

Kostenschätzung: 3.000–7.500 EUR pro System (Schätzung der Europäischen Kommission).

Schritt 8: Registrieren und laufendes Monitoring einrichten

Ziel: Hochrisikosysteme registrieren und kontinuierliche Compliance-Prozesse etablieren.

Registrierung (Art. 49):

• Jedes Hochrisiko-KI-System vor der Markteinführung in der EU-Datenbank registrieren
• Systembeschreibung, Verwendungszweck, Konformitätsbewertungsergebnisse und Kontaktinformationen einschließen
• Registrierungsinformationen aktuell halten

Post-Market-Monitoring (Art. 72):

• Proportionales Post-Market-Monitoring-System einrichten
• Daten zur KI-System-Performance unter realen Bedingungen sammeln und analysieren
• Schwerwiegende Vorfälle dokumentieren und analysieren

Meldung schwerwiegender Vorfälle (Art. 73):

• Vorfälle melden, die zu Tod, schweren Gesundheitsschäden, Unterbrechung kritischer Infrastruktur oder ernsthaften Schäden für Grundrechte führen
• Meldefrist: innerhalb von 15 Tagen nach Bekanntwerden des Vorfalls

Ergebnis: Post-Market-Monitoring-Plan + Incident-Response-Verfahren.

Kostenzusammenfassung

Organisationen mit 5–10 Hochrisiko-KI-Systemen sollten 100.000–400.000 EUR für Compliance budgetieren. Automatisierungstools wie Matproof können dies um 40–70 % reduzieren.

Häufig gestellte Fragen

Wie lange dauert die Compliance mit der EU KI-Verordnung?

Für eine Organisation, die von Grund auf anfängt, rechnen Sie mit 4–6 Monaten für ein vollständiges Compliance-Programm, das Inventar, Klassifizierung, Risikomanagement, Dokumentation und Konformitätsbewertung umfasst. Organisationen mit bestehenden GRC-Frameworks können dies oft in 2–3 Monaten abschließen.

Benötige ich für jedes KI-System eine Konformitätsbewertung?

Nein — nur für Hochrisiko-KI-Systeme nach Art. 6 und Anhang III. Minimal riskante und begrenzt riskante Systeme erfordern keine Konformitätsbewertungen. Die Europäische Kommission schätzt, dass nur 15 % der KI-Systeme in der EU als hochriskant eingestuft werden.

Kann ich nach dem 2. August 2026 mit der Compliance beginnen?

Die Verordnung hat keine Übergangsfrist. Ab dem 2. August 2026 sind alle Hochrisiko-KI-Anforderungen durchsetzbar. Bereits auf dem Markt befindliche Systeme müssen compliant sein. Neue Systeme können nicht ohne abgeschlossene Konformitätsbewertung auf den Markt gebracht werden.

Was, wenn mein KI-System von einem Drittanbieter bereitgestellt wird?

Als Betreiber haben Sie separate Pflichten nach Art. 26 — einschließlich der Nutzung des Systems gemäß den Anweisungen des Anbieters, Implementierung menschlicher Aufsicht, Monitoring des Systembetriebs und Meldung von Vorfällen. Sie müssen die Konformitätsbewertung des Anbieters nicht wiederholen, aber Sie müssen verifizieren, dass er eine abgeschlossen hat.

Gibt es einen Unterschied zwischen EU-KI-Verordnungs-Compliance und ISO-42001-Zertifizierung?

Ja. ISO 42001 ist ein freiwilliger KI-Managementsystemstandard. Die EU-KI-Verordnungs-Compliance ist eine rechtliche Anforderung mit durchsetzbaren Strafen. Die ISO-42001-Zertifizierung kann Ihren Compliance-Fall unterstützen, garantiert ihn aber nicht — die KI-Verordnung hat spezifische Anforderungen (Konformitätsbewertungen, CE-Kennzeichnung, EU-Datenbankregistrierung), die über ISO 42001 hinausgehen.