Checkliste KI-Compliance für Unternehmen

Die meisten Unternehmen stehen vor derselben Frage: Wo müssen wir anfangen, wenn KI eingesetzt wird und zugleich der EU KI-Verordnung und der DSGVO unterliegen? Eine Checkliste beantwortet das in überschaubarer Reihenfolge.

Die folgende Checkliste ist bewusst praxisnah gehalten. Sie verbindet rechtliche Schritte mit technischen Voraussetzungen und endet bei einer Frage, die in vielen Firmen fehlt: Sind die Belege aktuell und auffindbar?

Schritt 1: Bestandsaufnahme und Verzeichnis

Beginnen Sie mit einer vollständigen Liste aller KI-Systeme im Unternehmen. Dazu gehören auch Werkzeuge, die Mitarbeitende eigenständig abonniert haben. Diese Sammlung bildet die Grundlage für jede weitere Entscheidung.

Für jedes System werden Zweck, Anbieter, Datenkategorien, betroffene Personengruppen und die Rolle im Sinne der Verordnung festgehalten. Das Ergebnis ist Ihr KI-Systemverzeichnis, das zugleich als Grundlage für das Verzeichnis der Verarbeitungstätigkeiten dient.

Alle KI-Systeme erfassen, auch private Zugänge.
Zweck, Anbieter und Datenkategorien je System notieren.
Rolle als Anbieter oder Betreiber bestimmen.
Verzeichnis pflegen und bei Änderungen aktualisieren.

Schritt 2: Einstufung und Transparenz

Bestimmen Sie für jedes System die Risikoklasse. Die Einstufung entscheidet über den Pflichtenumfang und sollte schriftlich mit einer kurzen Begründung festgehalten werden.

Prüfen Sie anschließend die Transparenzanforderungen. Bei Chatbots und Assistenten braucht es einen sichtbaren Hinweis auf die KI-Natur der Antwort. Bei erzeugten Texten, Bildern und Audiodateien ist eine eindeutige Kennzeichnung erforderlich.

Risikoklasse je System mit Begründung dokumentieren
Transparenzhinweise in allen Oberflächen ergänzen
Kennzeichnung synthetischer Inhalte etablieren
Verbotene Anwendungsfälle ausschließen

Schritt 3: Verträge, Datenschutz und Sicherheit

Prüfen Sie alle Verträge mit KI-Anbietern. Erforderlich sind Angaben zur Verarbeitung, zu Standorten, zu Unterauftragsverarbeitern und zur Gewährleistung. Für externe Verarbeitung personenbezogener Daten braucht es einen AVV nach Art. 28 DSGVO.

Parallel dazu prüfen Sie die Informationssicherheit. Zugriffskontrolle, Protokollierung, Patch-Prozess und Notfallplanung sollten für KI-Systeme ausdrücklich geregelt sein. Beziehen Sie dabei auch NIS2- und BSI-Grundschutz-Anforderungen mit ein, sofern Ihr Unternehmen betroffen ist.

AVV nach Art. 28 DSGVO mit allen Auftragsverarbeitern schließen.
Standorte der Verarbeitung und Subunternehmer prüfen.
Zugriffsrechte nach Rollen vergeben und dokumentieren.
Protokollierung und Notfallplanung für KI-Systeme einrichten.
Lieferantenbewertung für die NIS2 vorbereiten.

Schritt 4: Betrieb und Nachweis

Der letzte Schritt ist der laufende Betrieb. Hier schlägt sich die Checkliste in eine Routine: regelmäßige Prüfung des Systemverzeichnisses, Nachweis der Modelle und Versionen, Kontrolle der Protokolle sowie eine Schulung der Mitarbeitenden.

Für die Nachweisführung hilft eine lokale Architektur. Der STRATRONIX STA-100 führt das Sprachmodell auf dem Gerät aus, ohne Cloud-Zugriff und offline nutzbar. Protokolle und Daten liegen damit im eigenen Haus. Der Preis liegt bei €399 pro Stück, das Zehnerpaket bei €3.990 (10 Stück), es gibt kein Abo, und die Hardware-Garantie beträgt zwei Jahre.

Eine Checkliste ist nur so gut wie das letzte Update. Planen Sie die Durchsicht jährlich ein.

KI-Compliance-Checkliste im Überblick

Prüfpunkt	Maßnahme	Nachweis
Systemverzeichnis	alle KI-Systeme erfassen	aktualisiertes Register
Risikoklasse	Einstufung mit Begründung	Dokument zur Einstufung
Transparenz	Hinweise und Kennzeichnung	Screenshot der Oberfläche
Verträge und AVV	AVV nach Art. 28 schließen	unterzeichneter Vertrag
Informationssicherheit	Zugriff und Protokollierung regeln	Rollen- und Protokollkonzept
Personal	Schulungen durchführen	Schulungsnachweise

Häufige Fragen

Wo starten wir, wenn bisher kein KI-Verzeichnis existiert?
Mit einer einfachen Bestandsaufnahme. Fragen Sie alle Abteilungen, welche KI-Werkzeuge genutzt werden, und erfassen Sie auch private Zugänge von Mitarbeitenden. Das Ergebnis muss nicht sofort perfekt sein. Es braucht einen Verantwortlichen, ein Format und einen festen Termin für die nächste Aktualisierung. Diese drei Elemente machen das Verzeichnis langfristig nutzbar.

Wie oft sollte die Checkliste durchlaufen werden?
Bei wesentlichen Änderungen, spätestens jährlich. Typische Auslöser sind ein neues Modell, ein neuer Anwendungsfall, ein Anbieterwechsel oder eine geänderte Rechtsgrundlage. Halten Sie die Ergebnisse schriftlich fest, damit auch bei Personalwechsel der Stand nachvollziehbar bleibt und neue Zuständigkeiten ohne Verzögerung übernommen werden können.

Was davon können wir einem externen Dienstleister überlassen?
Viele Unternehmen scheitern an fehlendem Personal für Datenschutz und Informationssicherheit. Eine Beratung kann bei Einstufung, Vertragsprüfung und Aufbau des Verzeichnisses helfen. Die technische Umsetzung und die Verantwortung für den laufenden Betrieb bleiben beim Unternehmen, auch wenn Unterstützung eingebunden wird. Die Freigabeverantwortung lässt sich dabei klar trennen.

Was kostet die technische Seite der Checkliste?
Der STRATRONIX STA-100 kostet €399 pro Stück, zehn Stück kosten €3.990 (10 Stück); der Preis wird bei der Bestellung verbindlich bestätigt. Es gibt kein Abo und keine laufende Abrechnung. Auf die Hardware gewährt STRATRONIX zwei Jahre Garantie, die Installation dauert 8–10 Minuten. Damit ist die technische Seite der Checkliste schnell abgedeckt.

Weiterführende Seiten

STA-100 in Ihrem Unternehmen testen

On-Premise-KI: Deutschsprachig, ohne Cloud-Zugriff, 2 Jahre Garantie, 399 € pro Gerät.

sales@stratronix.ai Zum Produkt Kontakt