AI Act Readiness Assessment: Selbstcheck für Unternehmen

Das Wichtigste in Kürze: Die KI-Verordnung (VO (EU) 2024/1689) stellt Unternehmen vor weitreichende Compliance-Pflichten – von der KI-Kompetenzpflicht nach Art. 4 (seit 2. Februar 2025 anwendbar) über das Verbot bestimmter KI-Praktiken nach Art. 5 bis hin zu den vollständigen Hochrisiko-Pflichten ab dem 2. August 2026. Unser Readiness Assessment mit 30 Fragen in 6 Bereichen zeigt Ihnen in nur 10 Minuten, auf welchem Reifegrad (Stufe 1–5) sich Ihr Unternehmen befindet – und liefert konkrete Handlungsempfehlungen, damit Sie rechtzeitig compliant werden. Unternehmen ohne ausreichende Vorbereitung riskieren Bußgelder von bis zu 35 Mio. Euro oder 7 % des weltweiten Jahresumsatzes (Art. 99 VO (EU) 2024/1689).

---

Inhaltsverzeichnis

1. Warum ein Readiness Assessment?
2. So funktioniert der Selbstcheck
3. Die 30 Assessment-Fragen
   • Bereich 1: Strategie & Governance
   • Bereich 2: KI-Inventar & Klassifizierung
   • Bereich 3: KI-Kompetenz & Schulung
   • Bereich 4: Datenschutz & Sicherheit
   • Bereich 5: Dokumentation & Prozesse
   • Bereich 6: Monitoring & Continuous Improvement
4. Auswertung: Die 5 Reifegrade
5. Was bedeutet Ihr Ergebnis?
6. Nächste Schritte je nach Reifegrad
7. Häufig gestellte Fragen (FAQ)
8. CTA: Lassen Sie sich von KI Comply unterstützen

---

Warum ein Readiness Assessment? {#warum-ein-readiness-assessment}

Die KI-Verordnung der EU ist kein fernes Zukunftsszenario – sie ist geltendes Recht. Teile des AI Acts sind bereits anwendbar, weitere Pflichten treten im August 2026 und August 2027 in Kraft. Doch viele Unternehmen wissen schlicht nicht, wo sie stehen. Laut einer Studie des Digitalverbands Bitkom haben weniger als 20 % der deutschen Unternehmen bereits konkrete Maßnahmen zur AI-Act-Compliance ergriffen.

Ein strukturiertes Readiness Assessment löst dieses Problem. Es ersetzt vage Einschätzungen durch eine systematische Standortbestimmung und macht den Compliance-Status in konkreten Zahlen messbar. Das Ergebnis ist keine abstrakte Note, sondern ein klarer Reifegrad mit zugehörigem Maßnahmenplan.

Für wen ist dieses Assessment?

Dieses Assessment richtet sich an alle Organisationen, die KI-Systeme einsetzen (Betreiber nach Art. 3 Nr. 4 VO (EU) 2024/1689), anbieten (Art. 3 Nr. 3) oder in die Wertschöpfungskette eingebunden sind. Ob Sie ChatGPT im Kundenservice nutzen, KI-gestütztes Recruiting betreiben oder eigene Modelle trainieren – die Pflichten der KI-Verordnung betreffen Sie.

---

So funktioniert der Selbstcheck {#so-funktioniert-der-selbstcheck}

Beantworten Sie die folgenden 30 Fragen ehrlich mit einer der drei Antwortmöglichkeiten:

Notieren Sie Ihre Punkte pro Bereich und addieren Sie am Ende die Gesamtpunktzahl. Die maximale Punktzahl beträgt 60 (30 Fragen × 2 Punkte). Anhand Ihres Ergebnisses ermitteln Sie Ihren Reifegrad in der Auswertung.

---

Die 30 Assessment-Fragen {#die-30-assessment-fragen}

Bereich 1: Strategie & Governance (max. 10 Punkte) {#bereich-1-strategie-governance}

Eine wirksame KI-Compliance beginnt auf der Führungsebene. Ohne strategische Verankerung bleiben alle operativen Maßnahmen Stückwerk. Art. 26 Abs. 1 VO (EU) 2024/1689 verlangt von Betreibern „geeignete technische und organisatorische Maßnahmen" – das setzt eine Governance-Struktur voraus.

Bereich 2: KI-Inventar & Klassifizierung (max. 10 Punkte) {#bereich-2-ki-inventar-klassifizierung}

Ohne vollständige Übersicht über alle eingesetzten KI-Systeme ist eine Risikoklassifizierung nach Art. 6 VO (EU) 2024/1689 unmöglich. Das KI-Inventar ist die Grundlage jeder Compliance-Maßnahme.

Bereich 3: KI-Kompetenz & Schulung (max. 10 Punkte) {#bereich-3-ki-kompetenz-schulung}

Art. 4 VO (EU) 2024/1689 schreibt vor, dass Anbieter und Betreiber Maßnahmen ergreifen müssen, um ein ausreichendes Maß an KI-Kompetenz bei ihrem Personal sicherzustellen. Diese Pflicht gilt seit dem 2. Februar 2025.

Bereich 4: Datenschutz & Sicherheit (max. 10 Punkte) {#bereich-4-datenschutz-sicherheit}

KI-Systeme verarbeiten häufig personenbezogene Daten. Die Anforderungen der DSGVO (VO (EU) 2016/679) und der KI-Verordnung greifen hier ineinander. Für Hochrisiko-KI-Systeme fordert Art. 15 VO (EU) 2024/1689 zudem explizite Maßnahmen zur Cybersicherheit.

Bereich 5: Dokumentation & Prozesse (max. 10 Punkte) {#bereich-5-dokumentation-prozesse}

Die KI-Verordnung ist ein Dokumentationsgesetz. Für Hochrisiko-KI-Systeme verlangen Art. 11–13 VO (EU) 2024/1689 eine lückenlose technische Dokumentation, Aufzeichnungspflichten und Transparenz. Aber auch Betreiber müssen Nachweise führen können (Art. 26 Abs. 5).

Bereich 6: Monitoring & Continuous Improvement (max. 10 Punkte) {#bereich-6-monitoring-continuous-improvement}

Compliance ist kein einmaliges Projekt, sondern ein fortlaufender Prozess. Art. 9 Abs. 9 VO (EU) 2024/1689 verlangt für Hochrisiko-KI-Systeme ein Risikomanagementsystem, das während des gesamten Lebenszyklus betrieben wird. Art. 72 sieht zudem eine Überwachung nach dem Inverkehrbringen (Post-Market Monitoring) vor.

---

Auswertung: Die 5 Reifegrade {#auswertung-die-5-reifegrade}

Addieren Sie Ihre Punkte aus allen 30 Fragen und ordnen Sie sich einem der folgenden Reifegrade zu:

Stufe 1: Nicht vorbereitet (0–12 Punkte)

Beschreibung: Ihr Unternehmen hat sich noch nicht systematisch mit den Anforderungen des AI Acts auseinandergesetzt. Es gibt weder ein KI-Inventar noch eine Governance-Struktur. Die Compliance-Lücke ist erheblich.

Handlungsempfehlung: Sofortige Priorisierung erforderlich. Beginnen Sie mit einer Bestandsaufnahme aller KI-Systeme und der Prüfung auf verbotene Praktiken nach Art. 5 VO (EU) 2024/1689 – diese Pflichten gelten bereits. Setzen Sie einen KI-Beauftragten ein und sichern Sie Managementunterstützung.

Stufe 2: Anfänger (13–24 Punkte)

Beschreibung: Es gibt erste Ansätze – möglicherweise ein teilweises KI-Inventar oder punktuelle Schulungen – aber kein durchgängiges System. Wesentliche Bereiche wie Dokumentation, Risikomanagement oder Monitoring sind noch nicht adressiert.

Handlungsempfehlung: Strukturieren Sie Ihre bestehenden Aktivitäten. Erstellen Sie einen Compliance-Fahrplan mit klaren Meilensteinen bis August 2026. Priorisieren Sie die Bereiche, in denen Sie die niedrigsten Teilpunktzahlen erzielt haben.

Stufe 3: Fortgeschritten (25–36 Punkte)

Beschreibung: Ihr Unternehmen ist auf einem guten Weg. Kernelemente wie KI-Inventar, Risikoklassifizierung und Schulungen sind grundsätzlich vorhanden, aber noch nicht vollständig oder in allen Unternehmensbereichen ausgerollt.

Handlungsempfehlung: Fokussieren Sie sich auf Vollständigkeit und Auditfähigkeit. Schließen Sie Dokumentationslücken, formalisieren Sie Prozesse und führen Sie ein internes Pre-Audit durch. Beginnen Sie mit dem Aufbau eines kontinuierlichen Monitoring-Systems.

Stufe 4: Gut vorbereitet (37–48 Punkte)

Beschreibung: Sie haben die meisten Anforderungen des AI Acts adressiert. Governance, Schulungen, Dokumentation und Prozesse sind weitgehend etabliert. Es verbleiben punktuelle Lücken, insbesondere bei fortgeschrittenen Themen wie KPI-Frameworks oder automatisiertem Monitoring.

Handlungsempfehlung: Optimieren Sie Ihre bestehenden Prozesse. Investieren Sie in Automatisierung (z. B. automatische Drift-Erkennung, KPI-Dashboards) und bereiten Sie sich auf externe Audits vor. Prüfen Sie, ob Ihre Maßnahmen auch für zukünftige delegierte Rechtsakte ausreichend flexibel sind.

Stufe 5: Exzellent (49–60 Punkte)

Beschreibung: Ihr Unternehmen ist vorbildlich aufgestellt. Sie verfügen über ein vollständiges KI-Inventar, dokumentierte Prozesse, regelmäßige Schulungen, ein Monitoring-System und ein KPI-Framework. Sie sind auditfähig und können Ihre Compliance gegenüber Behörden nachweisen.

Handlungsempfehlung: Halten Sie Ihr Niveau. Etablieren Sie sich als Vorreiter, indem Sie Best Practices teilen und Ihre Prozesse als Wettbewerbsvorteil nutzen. Beobachten Sie proaktiv regulatorische Entwicklungen (Durchführungsverordnungen, harmonisierte Normen, ISO/IEC 42001) und passen Sie Ihre Prozesse vorausschauend an.

---

Was bedeutet Ihr Ergebnis? {#was-bedeutet-ihr-ergebnis}

Ihr Reifegrad bestimmt nicht nur den aktuellen Status, sondern auch die Prioritäten, den Zeitrahmen und die Investitionen, die Sie einplanen sollten.

Stufe 1 – Nicht vorbereitet

• Prioritäten: Prüfung auf verbotene Praktiken (Art. 5), KI-Inventar erstellen, KI-Beauftragten benennen, Grundlagen-Schulungen für die Geschäftsleitung
• Timeline: Sofortstart notwendig. Die Pflichten nach Art. 4 und Art. 5 gelten bereits. Planen Sie 6–12 Monate für den Aufbau der Grundlagen ein.
• Budget-Indikation: Rechnen Sie mit einem signifikanten initialen Investment. Für KMU ab ca. 15.000–30.000 EUR (externe Beratung, Schulungen, Tools), für größere Unternehmen entsprechend mehr.

Stufe 2 – Anfänger

• Prioritäten: Risikoklassifizierung aller KI-Systeme, KI-Richtlinie erstellen, systematisches Schulungskonzept aufsetzen, DSFA für KI-Systeme mit personenbezogenen Daten
• Timeline: Strukturierter Aufbau über 4–8 Monate. Setzen Sie Zwischen-Meilensteine (z. B. KI-Inventar in Monat 1, Risikoklassifizierung in Monat 2, Schulungsstart in Monat 3).
• Budget-Indikation: Für KMU ca. 10.000–20.000 EUR, wobei ein Großteil in Schulungen und Prozessaufbau fließt.

Stufe 3 – Fortgeschritten

• Prioritäten: Dokumentationslücken schließen, Monitoring-System einführen, Prozesse für Incident Response und regulatorische Updates formalisieren
• Timeline: Vervollständigung in 3–6 Monaten. Nutzen Sie ein internes Pre-Audit als Meilenstein.
• Budget-Indikation: Für KMU ca. 5.000–15.000 EUR, primär für spezialisierte Schulungen und technische Monitoring-Lösungen.

Stufe 4 – Gut vorbereitet

• Prioritäten: KPI-Framework aufbauen, Automatisierung vorantreiben, externe Auditfähigkeit sicherstellen, delegierte Rechtsakte monitoren
• Timeline: Feinschliff über 2–4 Monate. Planen Sie ein externes Pre-Audit ein.
• Budget-Indikation: Für KMU ca. 3.000–8.000 EUR für Automatisierungstools und externen Audit.

Stufe 5 – Exzellent

• Prioritäten: Niveau halten, regulatorische Entwicklungen vorausschauend einarbeiten, Zertifizierung nach ISO/IEC 42001 anstreben, interne Audits verstetigen
• Timeline: Laufende Optimierung. Planen Sie vierteljährliche Reviews ein.
• Budget-Indikation: Laufende Kosten für Monitoring, Schulungsauffrischungen und regulatorisches Tracking – für KMU ca. 2.000–5.000 EUR pro Jahr.

---

Nächste Schritte je nach Reifegrad {#naechste-schritte-je-nach-reifegrad}

Unabhängig von Ihrem Reifegrad gibt es drei universelle nächste Schritte:

1. Ergebnis dokumentieren und teilen Teilen Sie die Ergebnisse des Assessments mit der Geschäftsleitung und den relevanten Abteilungen. Compliance ist eine Querschnittsaufgabe – ohne organisationsweite Awareness scheitert die Umsetzung.

2. Schwächste Bereiche zuerst adressieren Schauen Sie sich die Teilpunktzahlen pro Bereich an. Der Bereich mit der niedrigsten Punktzahl sollte als Erstes bearbeitet werden – hier liegt das größte Risiko.

3. Maßnahmenplan mit Fristen erstellen Definieren Sie für jeden offenen Punkt eine konkrete Maßnahme, eine verantwortliche Person und eine Deadline. Orientieren Sie sich dabei an den gesetzlichen Fristen:

• Bereits geltend: KI-Kompetenzpflicht (Art. 4), verbotene Praktiken (Art. 5)
• Ab 2. August 2026: Vollständige Pflichten für Hochrisiko-KI-Systeme (Art. 6, 9–15, 26), Notifizierungsstellen, Governance-Struktur
• Ab 2. August 2027: Pflichten für KI-Systeme, die in Anhang I aufgelistete Unionsharmonisierungsrechtsvorschriften betreffen

Konkrete Empfehlungen je Stufe

---

Häufig gestellte Fragen (FAQ) {#faq}

Ist dieses Assessment rechtsverbindlich?

Nein. Dieses Readiness Assessment dient als Orientierungshilfe und ersetzt keine individuelle Rechtsberatung. Es basiert auf den Anforderungen der VO (EU) 2024/1689 und gibt Ihnen eine strukturierte Einschätzung Ihres Compliance-Status. Für eine verbindliche rechtliche Bewertung sollten Sie einen spezialisierten Rechtsberater hinzuziehen.

Wie oft sollte ich das Assessment wiederholen?

Wir empfehlen eine Wiederholung alle sechs Monate – mindestens aber bei wesentlichen Veränderungen wie der Einführung neuer KI-Systeme, Änderungen der Risikoklassifizierung oder dem Inkrafttreten neuer Durchführungsverordnungen. Der AI Act ist ein lebendiges Regulierungswerk, und Ihr Compliance-Status muss mit ihm Schritt halten.

Unser Unternehmen nutzt nur ChatGPT – müssen wir das Assessment trotzdem machen?

Ja. Auch der Einsatz von General Purpose AI (GPAI) wie ChatGPT löst Pflichten aus – insbesondere die KI-Kompetenzpflicht nach Art. 4 VO (EU) 2024/1689 und die Transparenzpflichten nach Art. 50 (Kennzeichnung KI-generierter Inhalte). Wenn Sie ChatGPT für Entscheidungen einsetzen, die Personen betreffen (z. B. Bewerbungsscreening), können zusätzlich die DSGVO-Anforderungen an automatisierte Einzelentscheidungen (Art. 22 DSGVO) greifen.

Was passiert, wenn wir auf Stufe 1 oder 2 landen?

Ein niedriger Reifegrad ist kein Grund zur Panik, aber ein klarer Handlungsaufruf. Die gute Nachricht: Sie haben die Lücke erkannt, bevor eine Aufsichtsbehörde es tut. Beginnen Sie sofort mit den Grundlagen – KI-Inventar und Prüfung auf verbotene Praktiken – und arbeiten Sie sich systematisch durch die Bereiche. Bei konsequenter Umsetzung können Sie innerhalb von 6–12 Monaten auf Stufe 3 oder höher gelangen.

Reicht ein internes Assessment oder brauchen wir eine externe Prüfung?

Für den Anfang ist ein internes Assessment absolut ausreichend und sogar empfehlenswert – es schafft Awareness und Ownership in der Organisation. Sobald Sie Stufe 3 oder höher erreichen, empfehlen wir jedoch ein externes Pre-Audit, um blinde Flecken aufzudecken. Spätestens bei Hochrisiko-KI-Systemen, die einer Konformitätsbewertung nach Art. 43 VO (EU) 2024/1689 unterliegen, ist eine externe Prüfung durch eine notifizierte Stelle in vielen Fällen verpflichtend.

---

Lassen Sie sich von KI Comply unterstützen {#unterstuetzung}

Sie wissen jetzt, wo Ihr Unternehmen steht – und wir helfen Ihnen, den nächsten Schritt zu gehen. KI Comply bietet Ihnen:

• KI-Kompetenzschulungen gemäß Art. 4 VO (EU) 2024/1689 – für alle Mitarbeitergruppen, mit Zertifikat und Audit-Nachweis
• Individuelle Readiness-Workshops, in denen wir Ihren Compliance-Status gemeinsam vertiefen und einen konkreten Maßnahmenplan erarbeiten
• Laufende Compliance-Begleitung mit regelmäßigen Updates zu delegierten Rechtsakten und Durchführungsverordnungen

Starten Sie jetzt – denn die Fristen des AI Acts warten nicht.

Kostenloses Erstgespräch vereinbaren oder erfahren Sie mehr über unsere KI-Schulungen für Unternehmen.