EU-AI-Act-Selbsttest für Unternehmen

1. Wir haben geprüft, ob wir im Sinne des AI Act Anbieter, Betreiber, Importeur oder Händler sind — und für welche Systeme in welcher Rolle.

2. Wir kennen die extraterritoriale Reichweite: auch KI-Ausgaben, die in der EU verwendet werden, können Pflichten auslösen — unabhängig vom Firmensitz.

3. Bei jeder Eigenentwicklung oder wesentlichen Anpassung eines KI-Systems prüfen wir bewusst, ob wir damit vom Betreiber zum Anbieter werden.

4. Wir haben ein aktuelles Inventar aller eingesetzten KI-Systeme, inklusive eingebetteter KI in Drittanwendungen (z. B. Office-Suiten, CRM, Recruiting-Tools).

5. Jedes System ist nach Risikoklasse eingeordnet (verboten / hochrisiko / begrenzt-transparenzpflichtig / minimal) und die Einordnung ist begründet dokumentiert.

6. Wir haben einen definierten Prozess, wie neue KI-Systeme vor Einführung klassifiziert werden — nicht erst im Nachhinein.

7. Wir setzen keine Systeme ein, die Emotionen am Arbeitsplatz oder in Bildungseinrichtungen auswerten — und haben das aktiv geprüft, auch in eingekauften Tools.

8. Wir betreiben kein Social Scoring und keine biometrische Kategorisierung nach sensiblen Merkmalen (z. B. Ethnie, politische Meinung, Gewerkschaftszugehörigkeit).

9. Wir nutzen keine Systeme, die Schutzbedürftigkeit (Alter, Behinderung, soziale Lage) zur Verhaltensbeeinflussung ausnutzen oder manipulative Techniken unterhalb der Bewusstseinsschwelle einsetzen.

10. Für Hochrisiko-Systeme haben wir ein dokumentiertes Risikomanagement, das den Lebenszyklus abdeckt (nicht nur ein einmaliges Assessment).

11. Menschliche Aufsicht ist nicht nur beschrieben, sondern operativ wirksam: benannte Personen können Entscheidungen überprüfen, korrigieren und den Betrieb stoppen.

12. Wir erfüllen die Pflichten für unsere Rolle: als Anbieter halten wir technische Dokumentation (Anhang IV), Datenqualitätsnachweise (Art. 10) und automatisches Logging (Art. 12) vor; als Betreiber nutzen wir die Systeme nach Anleitung, sichern menschliche Aufsicht, überwachen den Betrieb, bewahren Logs im Rahmen unserer Kontrolle auf und melden schwerwiegende Vorfälle (Art. 26).

13. Nutzer unserer Chatbots und Sprachagenten erkennen klar, dass sie mit einer KI interagieren — ohne nachschauen zu müssen.

14. Synthetische oder manipulierte Inhalte werden nach Art. 50 sauber behandelt: KI-generierte Audios, Bilder, Videos und Texte maschinenlesbar gekennzeichnet; Deepfakes für das Publikum offengelegt; KI-erzeugte oder -manipulierte Texte, die der Information der Öffentlichkeit dienen, entsprechend kenntlich gemacht.

15. Wenn wir Emotionserkennung oder biometrische Kategorisierung einsetzen (auch außerhalb verbotener Kontexte), informieren wir die betroffenen Personen aktiv.

16. Wir haben ein belastbares AI-Literacy-Programm — nicht eine einmalige Schulung, sondern laufende Befähigung, zugeschnitten auf die jeweilige Rolle.

17. Verantwortlichkeiten für KI-Einsatz sind klar geregelt: es gibt eine benannte Stelle (Person oder Gremium), die Freigaben entscheidet und Vorfälle meldet.

18. Wir haben einen funktionierenden Prozess, um schwerwiegende Vorfälle intern zu erkennen und — wo gesetzlich gefordert — fristgerecht an Aufsichtsbehörden zu melden.

19. Wir wissen, welche Foundation Models (GPAI) in unseren Systemen stecken — auch indirekt über eingekaufte SaaS-Lösungen.

20. Unsere Verträge mit KI-Anbietern regeln, welche Informationen wir zur Erfüllung unserer Betreiberpflichten bekommen (z. B. technische Doku, Trainingsdaten-Zusammenfassung, Einstufung systemisches Risiko).

21. Wir haben eine Policy für den Umgang mit GPAI, die Sensitivitätsstufen, zulässige Eingaben, Datenabfluss und Prüfpflichten klar regelt — und halten uns daran.

22. Wir wissen, welche personenbezogenen Daten in KI-Tools verarbeitet werden: in Prompts (Eingaben), hochgeladenen Dateien, Antworten, angebundenen Wissensquellen wie M365/CRM/ERP und Logs (technischen Protokollen) — inklusive Beschäftigten-, Kunden- und Bewerberdaten.

23. Für KI-Nutzungen mit personenbezogenen Daten sind Zweck, Rechtsgrundlage, zulässige Datenkategorien und Informationspflichten geklärt — ebenso, ob eine DSFA (Datenschutz-Folgenabschätzung) nötig ist, also eine strukturierte Datenschutz-Risikoprüfung vor dem Einsatz.

24. Für KI-Anbieter und KI-Funktionen in SaaS-Lösungen ist geklärt, welche datenschutzrechtliche Rolle der Anbieter hat. Falls er als Auftragsverarbeiter handelt, sind AVV, Unterauftragsverarbeiter, Löschfristen und Aufbewahrung von Prompts/Antworten geregelt; falls nicht, ist dokumentiert, auf welcher Grundlage die Nutzung zulässig ist und ob Eingaben für Training oder Produktverbesserung verwendet werden.

25. Datenresidenz und Drittlandtransfer sind geprüft: Wo Daten gespeichert und verarbeitet werden, wer aus Support oder Subprozessoren zugreifen kann und welche Garantien dafür gelten, ist dokumentiert — nicht nur aus Anbieter-Marketing abgeleitet.

26. Mitarbeitende haben klare Leitplanken: freigegebene KI-Tools, No-Go-Daten, Berechtigungen, Vertraulichkeitslabels, PII-Masking (automatisches Entfernen personenbezogener Daten), Audit-Logs und Eskalation bei Unsicherheit.