Kurz gesagt. Eine Gap-Analyse zum EU AI Act vergleicht, was die KI-Verordnung von Ihrem Unternehmen verlangt, mit dem, was Sie heute nachweisen können. Sie hat fünf Schritte: KI-Inventur, Rolle und Risikoklasse, Pflichten, Lücken und Fahrplan. Die Fristen haben sich im Sommer geändert. Seit dem Digital-Omnibus gelten die Pflichten für Hochrisiko-KI nach Anhang III ab dem 2. Dezember 2027, für KI in regulierten Produkten ab dem 2. August 2028. Ein Teil gilt aber schon heute: die Verbote, die KI-Kompetenz und die Kennzeichnung nach Artikel 50. Die nächste Frist ist der 2. Dezember 2026.
Was eine Gap-Analyse zum AI Act ist
Die KI-Verordnung, Verordnung (EU) 2024/1689, kennt das Wort Gap-Analyse nicht. Gemeint ist ein Abgleich in zwei Spalten. Links stehen die Pflichten, die für Ihre KI-Systeme gelten. Rechts steht, was Sie heute dazu vorweisen können. Was rechts fehlt, ist eine Lücke.
Am Ende stehen drei Ergebnisse: eine Liste aller KI-Systeme mit Rolle und Risikoklasse, eine Liste der Lücken und ein Fahrplan mit Terminen und Verantwortlichen. Eine Gap-Analyse ist keine Zertifizierung und kein Rechtsgutachten. Sie ist eine Bestandsaufnahme, die Geschäftsführung, IT, Datenschutz und Fachbereiche gemeinsam machen. Für knifflige Einzelfragen, etwa ob ein bestimmtes System hochriskant ist, holen Sie rechtlichen Rat dazu.
Die Fristen des EU AI Act, Stand November 2026
Am 27. Juli 2026 ist der Digital-Omnibus in Kraft getreten, die Verordnung (EU) 2026/1744. Er hat den Zeitplan der KI-Verordnung umgebaut, wenige Tage bevor die Hochrisiko-Pflichten am 2. August 2026 greifen sollten. Die Grafik zeigt, was seitdem wann gilt.
Ab wann welche Pflicht gilt, Zeitachse 2025 bis 2028
Zwei Termine sind neu. Ab dem 2. Dezember 2026 gelten zwei zusätzliche Verbote: KI, die ohne Einwilligung intime Darstellungen echter Personen erzeugt, und KI für Darstellungen von Kindesmissbrauch. Am selben Tag endet eine Schonfrist. Anbieter von Systemen, die Texte, Bilder, Töne oder Videos erzeugen und schon vor dem 2. August 2026 auf dem Markt waren, müssen deren Ausgaben bis dahin maschinenlesbar kennzeichnen.
Für Hochrisiko-Systeme gibt es eine Altfall-Regel. Wurde ein System vor dem jeweiligen Stichtag in Verkehr gebracht oder in Betrieb genommen, gelten die neuen Pflichten nur, wenn es danach in seiner Konzeption erheblich verändert wird (Art. 111 Abs. 2). Ob ein Update des Herstellers eine solche Änderung ist, klären Sie am besten früh mit dem Anbieter.
Die fünf Schritte der Gap-Analyse
Schritt 1: KI-Inventur, welche KI wo läuft
Erfassen Sie jedes KI-System im Unternehmen, auch die, die niemand so nennt. Dazu gehören eigene Anwendungen, KI-Funktionen in gekaufter Software, etwa im Bewerbermanagement, im CRM oder in der Buchhaltung, Assistenten wie ChatGPT oder Microsoft Copilot und Konten, die Mitarbeitende privat für die Arbeit nutzen. Fragen Sie die Fachbereiche und den Einkauf, nicht nur die IT.
Je System reichen am Anfang wenige Felder: Name und Hersteller, Zweck, Fachbereich, wer mit den Ergebnissen entscheidet, welche Daten hineingehen, seit wann es läuft und wer intern verantwortlich ist. Eine Tabelle genügt. Wichtig ist, dass sie gepflegt wird: Jede neue KI bekommt eine Zeile, bevor sie startet.
Schritt 2: Rolle und Risikoklasse bestimmen
Für jedes System stellen Sie zwei Fragen. Die erste: Welche Rolle haben Sie? Anbieter ist, wer ein KI-System entwickelt oder entwickeln lässt und es unter eigenem Namen in Verkehr bringt oder in Betrieb nimmt (Art. 3 Nr. 3). Betreiber ist, wer ein System in eigener Verantwortung beruflich nutzt (Art. 3 Nr. 4). Die meisten Mittelständler sind Betreiber. Wer aber auf Basis eines Sprachmodells einen eigenen Chatbot baut und unter eigenem Namen anbietet, ist dafür in der Regel Anbieter. Nach Artikel 25 wird außerdem zum Anbieter eines Hochrisiko-Systems, wer es mit eigenem Namen versieht, es wesentlich verändert oder ein System für einen Zweck einsetzt, der es hochriskant macht.
Die zweite Frage: In welche Klasse fällt das System? Die Verordnung kennt vier Stufen.
- Verboten (Art. 5). Zum Beispiel Social Scoring oder das Ableiten von Emotionen am Arbeitsplatz, außer aus medizinischen oder Sicherheitsgründen.
- Hochriskant (Art. 6). KI als Sicherheitsbauteil in Produkten nach Anhang I, etwa Maschinen oder Medizinprodukten. Oder ein Einsatz aus Anhang III, etwa die Auswahl von Bewerbern, Entscheidungen über Beschäftigte oder die Kreditwürdigkeit von Privatpersonen.
- Transparenzpflichtig (Art. 50). Chatbots, erzeugte Bilder, Töne, Videos und Texte, Emotionserkennung und biometrische Kategorisierung.
- Alles andere. Hier bleibt es bei der KI-Kompetenz.
Vorsicht bei der Ausnahme in Artikel 6 Absatz 3. Danach gilt ein System aus Anhang III nicht als hochriskant, wenn es kein erhebliches Risiko birgt und das Ergebnis einer Entscheidung nicht wesentlich beeinflusst. Diese Bewertung muss der Anbieter vorher dokumentieren, und er muss das System registrieren (Art. 6 Abs. 4). Beruft sich Ihr Lieferant darauf, lassen Sie sich die Bewertung zeigen.
Schritt 3: Pflichten zuordnen
Aus Rolle und Klasse folgen die Pflichten. Die Tabelle zeigt die wichtigsten für Unternehmen im Mittelstand.
| Pflicht | Gilt für | Ab wann | Typischer Nachweis |
|---|---|---|---|
| Keine verbotenen Praktiken (Art. 5) | alle | 02.02.2025, zwei neue Verbote ab 02.12.2026 | Prüfvermerk je System im Register |
| KI-Kompetenz fördern (Art. 4) | Anbieter und Betreiber | 02.02.2025, seit 27.07.2026 neu gefasst | Schulungsplan, Teilnahmen, Richtlinie für Mitarbeitende |
| Hinweis bei Chatbots, maschinenlesbare Kennzeichnung (Art. 50 Abs. 1, 2) | Anbieter | 02.08.2026, ältere Systeme bis 02.12.2026 | Hinweis im Dialog, technische Beschreibung |
| Deepfakes und KI-Texte zu öffentlichen Themen offenlegen (Art. 50 Abs. 4) | Betreiber | 02.08.2026 | Regel für Veröffentlichungen |
| Betreiberpflichten für Hochrisiko-KI (Art. 26) | Betreiber | 02.12.2027, bei Anhang I 02.08.2028 | benannte Aufsicht, Protokolle, Information der Belegschaft |
| Grundrechte-Folgenabschätzung (Art. 27) | öffentliche Stellen, private mit öffentlichen Diensten, Kredit- sowie Kranken- und Lebensversicherungsbewertung | 02.12.2027 | Abschätzung, Mitteilung an die Behörde |
| Anbieterpflichten für Hochrisiko-KI (Art. 9 bis 17, 43, 49) | Anbieter | 02.12.2027, bei Anhang I 02.08.2028 | Risikomanagement, technische Dokumentation, Konformitätsbewertung, Registrierung |
Für Betreiber eines Hochrisiko-Systems nennt Artikel 26 im Kern sieben Aufgaben: das System nach der Betriebsanleitung nutzen, die Aufsicht Personen mit Kompetenz und Befugnis übertragen, für passende Eingabedaten sorgen, soweit Sie diese steuern, den Betrieb überwachen und Risiken melden, automatisch erzeugte Protokolle mindestens sechs Monate aufbewahren, Arbeitnehmervertretung und Beschäftigte vorab informieren und betroffene Personen über den Einsatz informieren. Was Anbieter zusätzlich leisten müssen, zeigt unser Beitrag zum Risikomanagement nach Artikel 9.
Schritt 4: Lücken bewerten
Jetzt kommt der eigentliche Abgleich. Tragen Sie je System und Pflicht ein, was heute vorliegt: erfüllt, teilweise erfüllt oder fehlt. Als erfüllt zählt nur, was Sie mit einem Dokument belegen können, das Sie auch einer Behörde zeigen würden. Eine Schulung ohne Teilnehmerliste ist eine Lücke.
Gewichten Sie jede Lücke nach zwei Größen: wie nah die Frist ist und wie hoch der Bußgeldrahmen. Den legt Artikel 99 in drei Stufen fest.
Höchstbeträge nach Artikel 99 der KI-Verordnung
Zuständig für die Aufsicht ist in Deutschland seit dem 29. Juli 2026 die Bundesnetzagentur. So regelt es das KI-Marktüberwachungsgesetz (KI-MIG). Für KI in Produkten wie Maschinen oder Medizinprodukten bleiben die bisherigen Marktüberwachungsbehörden zuständig, für KI in regulierten Finanzgeschäften die BaFin.
Schritt 5: den Fahrplan bauen
Der Fahrplan ordnet die Lücken nach Fristen. Eine sinnvolle Reihenfolge sieht so aus:
- Bis zum 2. Dezember 2026. Alle Systeme gegen die Verbote prüfen, auch gegen die zwei neuen. Den KI-Hinweis bei eigenen Chatbots und die Kennzeichnung erzeugter Inhalte klären, bei Voice-Agents am Telefon genauso wie im Chat.
- Laufend ab jetzt. KI-Kompetenz mit Schulungen nach Rolle und einer kurzen Richtlinie fördern und belegen. Das Register pflegen.
- Bis Mitte 2027. Für jedes Hochrisiko-System Betriebsanleitung und Unterlagen beim Anbieter anfordern, Aufsichtspersonen benennen, Protokollierung einrichten, den Betriebsrat einbinden.
- Bis zum 2. Dezember 2027. Die Pflichten für Hochrisiko-KI nach Anhang III erfüllen, wo nötig mit Grundrechte-Folgenabschätzung. Teile einer vorhandenen Datenschutz-Folgenabschätzung dürfen Sie dort übernehmen.
- Bis zum 2. August 2028. KI in eigenen Produkten nach Anhang I konform machen. Das betrifft vor allem Hersteller von Maschinen und Medizinprodukten.
Jeder Punkt bekommt eine verantwortliche Person und einen Termin. Wiederholen Sie die Analyse mindestens einmal im Jahr und bei jeder neuen KI-Beschaffung. Die Regeln werden weiter ergänzt, etwa durch Leitlinien der Kommission.
Checkliste: Was Sie jetzt tun sollten
- Eine verantwortliche Person benennen. Jemand muss die KI-Regeln im Haus zusammenhalten, meist in Abstimmung mit Datenschutz und IT.
- Das KI-Register anlegen. Alle Systeme, auch KI in gekaufter Software und privat genutzte Konten.
- Jedes System gegen die Verbote prüfen. Die zwei neuen Verbote ab dem 2. Dezember 2026 eingeschlossen.
- Rolle und Risikoklasse festhalten. Bei Zweifeln die Bewertung des Anbieters anfordern.
- KI-Kompetenz belegen. Schulung nach Rolle, Teilnahmen, eine kurze Richtlinie für Mitarbeitende.
- Den Fahrplan terminieren. Mit Meilensteinen bis Dezember 2027 und August 2028, jährlich und bei jeder neuen KI prüfen.
Häufige Fragen zur AI Act Gap-Analyse
Muss jedes Unternehmen eine Gap-Analyse zum AI Act machen?
Vorgeschrieben ist sie nicht. Aber jedes Unternehmen, das KI beruflich nutzt, ist Betreiber und muss zum Beispiel die KI-Kompetenz seiner Leute fördern. Ohne Überblick über die eigenen Systeme können Sie nicht zeigen, dass Sie Ihre Pflichten kennen. Die Gap-Analyse ist der kürzeste Weg zu diesem Überblick.
Gilt der AI Act auch, wenn wir nur ChatGPT oder Copilot nutzen?
Ja, als Betreiber. Im normalen Büroeinsatz bleibt es meist bei der KI-Kompetenz. Dazu kommt die Offenlegung, wenn Sie Deepfakes veröffentlichen oder KI-Texte zu Themen von öffentlichem Interesse ohne redaktionelle Prüfung. Anders wird es, wenn Sie das Werkzeug für einen Zweck aus Anhang III einsetzen, etwa um Bewerbungen zu sortieren. Dann kann das System hochriskant werden und Sie nach Artikel 25 zum Anbieter machen.
Was hat der Digital-Omnibus am AI Act geändert?
Die Verordnung (EU) 2026/1744 gilt seit dem 27. Juli 2026. Sie hat die Hochrisiko-Fristen verschoben, für Anhang III auf den 2. Dezember 2027 und für Anhang I auf den 2. August 2028. Sie hat zwei Verbote ergänzt und die Pflicht zur KI-Kompetenz entschärft: Unternehmen müssen Maßnahmen ergreifen, aber kein bestimmtes Niveau garantieren. Kleine und mittlere Unternehmen und kleine Midcaps werden unter anderem bei Bußgeldern entlastet.
Wer kontrolliert den AI Act in Deutschland?
Seit dem 29. Juli 2026 die Bundesnetzagentur, festgelegt im KI-Marktüberwachungsgesetz. Ausnahmen gelten für KI in Produkten wie Maschinen oder Medizinprodukten, dort bleiben die bisherigen Marktüberwachungsbehörden zuständig, und für KI in regulierten Finanzgeschäften, die die BaFin beaufsichtigt.
Eine Gap-Analyse wird kein Großprojekt, wenn Sie mit der Inventur beginnen und den Rest an den Fristen ausrichten. Wenn Sie dabei einen zweiten Blick auf Ihre Liste möchten, schauen wir gern gemeinsam darauf.
