Ressourcen
Die Compliance-Checkliste zur KI-Verordnung auf dieser Seite ist eine kostenlose Excel-Arbeitsmappe, die die Verordnung (EU) 2024/1689 in eine Liste verwandelt, die sich tatsächlich abarbeiten lässt. Stufen Sie mit dieser Compliance-Checkliste zur KI-Verordnung zuerst Ihr KI-System nach Risikoklasse ein und haken Sie dann die daraus folgenden Pflichten ab; der umfangreichste Block - 62 Punkte - deckt die Pflichten ab, die auf Anbieter von Hochrisiko-Systemen entfallen. Sie ist gebaut für Compliance-Verantwortliche, CISOs oder Product Owner, denen "macht uns fit für die KI-Verordnung" auf den Tisch gelegt wurde und die einen belastbaren Ausgangspunkt wollen, der ihnen das kalte Durchlesen einer 100-seitigen Verordnung erspart. Laden Sie die Datei unten herunter, öffnen Sie sie in Excel oder Google Sheets und beginnen Sie mit dem Einstufungs-Tab. Kein Vertriebsgespräch steht dazwischen, und die Datei gehört Ihnen zur freien Anpassung.
Was die Compliance-Checkliste zur KI-Verordnung abdeckt
Die Arbeitsmappe ist die Readiness-Checkliste zur KI-Verordnung und so aufgebaut, dass die Einstufung zuerst kommt und die Pflichten daraus folgen. Der erste Tab führt Sie durch die vier Risikoklassen, die die Verordnung definiert - verbotene Praktiken, Hochrisiko-Systeme (einschließlich der Anwendungsfälle aus Anhang III), Systeme mit begrenztem Risiko und Transparenzpflichten sowie minimales Risiko - damit Sie in der richtigen Klasse landen, bevor Sie eine einzige Kontrolle anfassen.
Von dort aus bilden die 62 Punkte die Anbieterpflichten für Hochrisiko-Systeme ab. Jede Zeile trägt dieselben Spalten, sodass die Datei zugleich als Arbeits-Tracker dient:
- Punkt und die Artikelreferenz, auf die er zurückgeht, damit jede Zeile eine Quelle hat.
- Pflicht in Klartext, von Risikomanagementsystem, Daten-Governance, technischer Dokumentation, Aufzeichnungen und Logs über Transparenz und menschliche Aufsicht bis zu Genauigkeit und Robustheit, Konformitätsbewertung und Beobachtung nach dem Inverkehrbringen.
- Gilt für, mit der Angabe, ob die Pflicht beim Anbieter oder in der enger gefassten Betreiberrolle liegt.
- Spalten für Status, Verantwortlichen und Nachweis, die Sie beim Arbeiten ausfüllen, plus ein Notizen-Feld für Scoping-Entscheidungen.
Die KI-Verordnung ehrlich betrachtet: worauf es wirklich ankommt
Zunächst ein faires Wort zur Verordnung selbst. Die Struktur ist stimmig und die Risikoklassifizierung der richtige Instinkt, aber der Wortlaut verlangt jedem, der ihn auf ein reales Produkt anwendet, einiges ab, und die Normen und Leitlinien, die die Streitfragen klären würden, holen erst noch auf. Planen Sie Interpretationsspielraum ein und schreiben Sie die Begründung hinter jeder Ihrer Entscheidungen auf, denn am Ende verteidigen Sie genau diese Begründung.
Der wichtigste einzelne Schritt unter der KI-Verordnung ist die Einstufung, denn aus ihr folgt jede Pflicht. Die Verordnung sortiert KI-Systeme in verbotene Praktiken, Hochrisiko-Systeme (einschließlich der Anwendungsfälle aus Anhang III), Systeme mit begrenztem Risiko und Transparenzpflichten sowie Systeme mit minimalem Risiko. Liegt die Klasse falsch, ist alles Nachgelagerte entweder vergebliche Mühe oder eine Lücke, und genau deshalb lässt die Checkliste Sie hier beginnen. Investieren Sie echte Zeit und holen Sie eine zweite Meinung zu allem ein, was nahe am Rand der Hochrisiko-Definitionen liegt. Die Einstufung ist eine juristische Leseübung mit einem Produktmanager im Raum. Alles danach ist Umsetzung; dieser Teil ist Urteilsvermögen.
Als Anbieter eines Hochrisiko-KI-Systems sind die materiellen Pflichten konkret. Sie müssen ein Risikomanagementsystem betreiben (Artikel 9), Daten-Governance auf die Datensätze hinter dem System anwenden, technische Dokumentation erstellen, Logs führen, Transparenz und menschliche Aufsicht sicherstellen und Anforderungen an Genauigkeit und Robustheit erfüllen. Vor dem Marktgang durchlaufen Sie eine Konformitätsbewertung, und im Einsatz betreiben Sie die Beobachtung nach dem Inverkehrbringen. Betreiber von Hochrisiko-Systemen tragen einen eigenen, enger gefassten Pflichtenkatalog, und genau deshalb zählt die Spalte "Gilt für".
Aus dieser Liste ist die Daten-Governance der Punkt, der wehtut. Ein Risikomanagementsystem aufzuschreiben ist Schreibarbeit. Zu zeigen, woher Ihre Trainingsdaten stammen und dass sie für den Zweck geeignet sind, heißt, Entscheidungen wieder zu öffnen, die das Engineering vor Jahren getroffen hat, manchmal über Datensätze, für die niemand die Unterlagen aufbewahrt hat. Fangen Sie früh an und rechnen Sie mit unbequemen Antworten. Die technische Dokumentation dagegen besteht überwiegend aus dem Zusammentragen von Material, das verstreut bereits existiert - mühsam, aber selten blockiert.
Die Behandlung von Vorfällen ist zeitlich eng gefasst. Schwerwiegende Vorfälle werden nach Artikel 73 spätestens nach 15 Tagen gemeldet, verkürzt auf 10 Tage, wenn eine Person gestorben ist, und auf 2 Tage bei einem weitverbreiteten Verstoß oder einer schwerwiegenden Störung kritischer Infrastrukturen. Und schließlich schalten sich diese Pflichten zeitversetzt scharf: Sie greifen zu gestaffelten Geltungsterminen, ein Teil der Vorbereitung besteht also darin zu wissen, welche Pflichten für Ihr System bereits gelten und welche noch bevorstehen. Lesen Sie gestaffelte Termine bitte als knappe Vorgabe statt als Atempause. Konformitätsbewertung und Beobachtung nach dem Inverkehrbringen brauchen Quartale statt Wochen, weil sie in Ihren Release-Prozess, Ihr Support-Modell und Ihre Engineering-Kapazität hineinreichen. Liegt ein Termin noch vor Ihnen, ist das Ihr gesamtes Budget, und es ist kleiner, als es aussieht.
So verwenden Sie die Readiness-Checkliste zur KI-Verordnung
- Stufen Sie zuerst ein. Öffnen Sie den Einstufungs-Tab und ordnen Sie jedes KI-System, das Sie betreiben, einer Klasse zu. Nehmen Sie die Einstufung pro System vor, denn eine Organisation kann Systeme in mehreren Klassen halten.
- Filtern Sie auf Ihre Klasse. Ist ein System Hochrisiko, arbeiten Sie die 62 Anbieterpunkte ab. Trägt es begrenztes Risiko, konzentrieren Sie sich auf die Transparenzpflichten, also auf einen deutlich kleineren Ausschnitt.
- Benennen Sie pro Zeile einen Verantwortlichen. Risikomanagement, Daten-Governance und technische Dokumentation liegen selten bei einer einzigen Person, benennen Sie also den rechenschaftspflichtigen Verantwortlichen in der Owner-Spalte.
- Hinterlegen Sie belastbare Nachweise. Markieren Sie eine Zeile erst dann als erledigt, wenn die Nachweis-Spalte auf ein echtes Artefakt zeigt - eine freigegebene Verfahrensanweisung, ein Log-Beispiel, einen Konformitätsbewertungsnachweis.
- Stellen Sie Ihre Vorfallsuhr. Notieren Sie die Fristen aus Artikel 73 von 15, 10 und 2 Tagen an Ihrem Meldeprozess, damit die Frist schon vor einem Vorfall bekannt ist und im Ernstfall niemand nachschlagen muss.
- Wiederholen Sie die Prüfung, wenn Termine greifen. Weil die Pflichten zu gestaffelten Terminen greifen, nehmen Sie die Datei jedes Quartal wieder zur Hand und verschieben neu geltende Punkte von "künftig" auf "im Scope". Wiederholen Sie die Prüfung auch bei jeder Produktänderung. Ein Modellwechsel oder ein neues Feature kann ein System über eine Klassengrenze schieben, und so wird man weit eher kalt erwischt als von einem Kalendertermin, den man kommen sehen konnte.
Automatisieren Sie das in Venvera
Die manuelle Datei ist ein starker Ausgangspunkt, aber ein Spreadsheet veraltet in dem Moment, in dem sich Ihre Systeme oder die gestaffelten Termine bewegen. In Venvera lebt dieselbe Arbeit im Framework zur KI-Verordnung als gepflegtes Kontrollset: Einstufung, die Risikomanagementpflichten aus Artikel 9, Daten-Governance, technische Dokumentation, menschliche Aufsicht, Konformitätsbewertung und Beobachtung nach dem Inverkehrbringen bleiben aktuell, und angehängte Nachweise werden über die anderen Frameworks wiederverwendet, die Sie bereits betreiben. Wenn Sie Tools abwägen, legt der Vergleich Alternative zu Vanta für die Compliance mit der KI-Verordnung die Unterschiede offen dar. Die Preise beginnen bei 399 EUR/Monat.
Häufig gestellte Fragen
Ist die Compliance-Checkliste zur KI-Verordnung wirklich kostenlos?
Ja. Die Compliance-Checkliste zur KI-Verordnung lädt sich als Excel-Datei über das Formular auf dieser Seite herunter, ohne Kauf und ohne Vertriebsgespräch. Sie können sie bearbeiten, intern teilen und behalten.
Warum hat die Checkliste 62 Punkte?
Die 62 Punkte decken die Pflichten ab, die auf einen Anbieter eines Hochrisiko-KI-Systems entfallen: Risikomanagementsystem, Daten-Governance, technische Dokumentation, Logging, Transparenz, menschliche Aufsicht, Genauigkeit und Robustheit, Konformitätsbewertung und Beobachtung nach dem Inverkehrbringen. Fällt Ihr System in die Klasse mit begrenztem oder minimalem Risiko, arbeiten Sie eine kleinere Teilmenge ab, und genau deshalb kommt die Einstufung zuerst.
Was ist der Unterschied zwischen Anbieter und Betreiber?
Ein Anbieter bringt ein Hochrisiko-KI-System in Verkehr und trägt den oben beschriebenen vollen Pflichtenkatalog. Ein Betreiber nutzt ein solches System und hat einen enger gefassten Pflichtenkreis. Die Checkliste kennzeichnet in der Spalte "Gilt für", für welche Rolle jeder Punkt gilt, damit Sie nur die Zeilen bearbeiten, die Ihre sind.
Wie schnell müssen schwerwiegende Vorfälle gemeldet werden?
Nach Artikel 73 wird ein schwerwiegender Vorfall spätestens nach 15 Tagen gemeldet, verkürzt auf 10 Tage, wenn eine Person gestorben ist, und auf 2 Tage bei einem weitverbreiteten Verstoß oder einer schwerwiegenden Störung kritischer Infrastrukturen. Die Checkliste hält diese Fristen direkt neben Ihrem Meldeprozess fest.
