KI-Governance / Readiness-Assessment
Readiness-Assessment zur EU-KI-Verordnung
Ein Assessment mit festem Umfang, das Ihnen genau zeigt, wo Sie unter der EU-KI-Verordnung stehen: welche Ihrer KI-Systeme in den Anwendungsbereich fallen, welche Rolle Sie jeweils innehaben, welche Risikoklasse gilt und was vor jeder gestaffelten Frist zu beheben ist — beginnend mit den Transparenzpflichten, die ab dem 2. August 2026 gelten.
Entwickelt für KI-Produktverantwortliche, Recht, Compliance und Datenschutzbeauftragte, die eine belastbare Antwort brauchen und nicht ein weiteres Framework-Diagramm.
Die Uhr läuft gestaffelt — und die erste Frist ist jetzt
Die KI-Verordnung tritt schrittweise in Kraft. Zwei Stufen binden bereits; die nächste kommt in Wochen, nicht Jahren.
Verbotene Praktiken & KI-Kompetenz
Verbote für KI mit inakzeptablem Risiko und die Pflicht, die KI-Kompetenz der Mitarbeitenden sicherzustellen, gelten bereits.
Transparenzpflichten (Art. 50)
Chatbots müssen offenlegen, dass sie KI sind; synthetische Medien und Deepfakes müssen gekennzeichnet werden. Wenn Sie einen kundenorientierten Assistenten einsetzen, ist dies Ihre Frist.
Hochrisiko-KI-Systeme (Anhang III)
Vollständige Pflichten für Hochrisiko-Anwendungen — Personalauswahl, Kreditvergabe, Bildung, wesentliche Dienste — einschließlich Risikomanagement, Daten-Governance und menschlicher Aufsicht.
Hochrisiko in regulierten Produkten (Anhang I)
KI, die in Maschinen, Medizinprodukte und andere regulierte Produkte eingebettet ist, schließt die Übergangsphase ab.
Was das Assessment abdeckt
KI-System-Inventar
Jedes KI-System, das Sie entwickeln, einkaufen oder einbetten — einschließlich der Assistenten in SaaS-Tools, die Ihre Teams bereits nutzen — katalogisiert mit Verantwortlichem, Zweck und berührten Daten.
Rollenklassifizierung
Anbieter, Betreiber, Einführer oder Händler — Ihre Pflichten hängen von der Rolle ab, und viele Organisationen nehmen für verschiedene Systeme unterschiedliche Rollen ein.
Zuordnung der Risikoklasse
Jedes System wird den Kategorien verboten / Hochrisiko / Transparenzrisiko / minimales Risiko zugeordnet, mit dokumentierter Begründung, damit die Einstufung belastbar ist.
Lückenliste & Umsetzungsfahrplan
Was die geltenden Pflichten verlangen, was Sie bereits nachweisen können, und ein priorisierter Fahrplan mit klaren Verantwortlichkeiten, um die Differenz vor der jeweiligen Frist zu schließen.
Was Sie erhalten
- KI-System-Inventar (Arbeitsmappe, die Sie behalten und pflegen)
- Rollen- und Risikoklassifizierung je System, mit Begründung
- Pflichtenübersicht gegenüber den gestaffelten Fristen, die für Sie gelten
- Gap-Analyse mit Schweregrad und Fristenrisiko
- Priorisierter Umsetzungsfahrplan mit vorgeschlagenen Verantwortlichen
- Vorstandsreife Zusammenfassung von Risikoexposition und nächsten Schritten
Beauftragung mit festem Umfang und einem Angebot nach dem Scoping-Gespräch. Typischer Abschluss innerhalb von 2–4 Wochen nach dem Scoping.
Ein Inventar, zwei Regelwerke
Wenn KI personenbezogene Daten berührt, laufen DSGVO und KI-Verordnung parallel — und doppelte Programme verschwenden die Nachweise, die Sie bereits besitzen. Das Assessment nutzt die Ergebnisse Ihres DSGVO-Audits weiter, erweitert Ihre DSFAs zu KI-Risikobewertungen, wo dasselbe System in den Anwendungsbereich fällt, und hält ein einziges Inventar, das beide Regelwerke speist — damit Ihr Verarbeitungsverzeichnis, Ihr DSFA-Register und Ihr KI-System-Inventar jeder anfragenden Aufsichtsbehörde eine konsistente Geschichte erzählen.
So läuft es ab
1. Scoping-Gespräch
Systeme, Teams und Zeitpläne — wir legen den Umfang des Assessments und die benötigten Ansprechpartner fest.
2. Inventar & Klassifizierung
Strukturierte Erhebung über Produkt, Entwicklung und Betrieb hinweg; jedes System erhält eine Rolle und eine Risikoklasse.
3. Lückenbewertung
Geltende Pflichten werden gegen Ihre aktuelle Dokumentation, Ihre Maßnahmen und Verträge geprüft.
4. Fahrplan & Ergebnisbericht
Priorisierter Umsetzungsplan, Fristenrisiko und ein vorstandsreifer Ergebnisbericht — in der Regel innerhalb von 2–4 Wochen nach dem Scoping.
Fragen, beantwortet
Brauchen wir das, wenn wir KI-Tools nur nutzen und nicht selbst entwickeln?
In der Regel ja. Betreiber haben eigene Pflichten — Transparenz gegenüber den Menschen, die mit der KI interagieren, menschliche Aufsicht und Verantwortung für die Eingabedaten. Das Assessment zeigt Ihnen, welche Ihrer Tools Pflichten auslösen und welche tatsächlich risikoarm sind.
Was verlangt die Frist zum 2. August 2026 konkret?
Ab diesem Datum müssen Menschen darüber informiert werden, wenn sie mit einem KI-System interagieren (sofern es nicht offensichtlich ist), und KI-generierte oder manipulierte Inhalte — einschließlich Deepfakes — müssen gekennzeichnet werden. Wenn Sie einen kundenorientierten Chatbot betreiben oder synthetische Medien veröffentlichen, müssen diese Hinweise vorhanden sein.
Hat das Vereinfachungspaket von 2025 alles verschoben?
Nein. Der Digital-Omnibus hat die Hochrisiko-Phasen verschoben (nun 2. Dezember 2027 für Anhang III und 2. August 2028 für Anhang-I-Produkte), aber die Transparenzpflichten behielten ihr Datum vom 2. August 2026, und die Verbote sowie die KI-Kompetenz gelten bereits seit 2025. Die Frist, die die meisten KMU zuerst betrifft, hat sich nicht verschoben.
Wie hängt das mit der DSGVO-Arbeit zusammen, die wir bereits geleistet haben?
Eng — und das spart Ihnen Aufwand. Ihr Verarbeitungsverzeichnis, Ihre DSFAs und Ihr Dienstleisterverzeichnis beschreiben bereits einen Großteil dessen, was die KI-Verordnung abfragt. Wir nutzen diese Nachweise weiter: Ein Inventar speist beide Regelwerke, und DSFAs lassen sich natürlich zu KI-Risikobewertungen erweitern, statt bei null anzufangen.
Was, wenn das Assessment Hochrisiko-Systeme findet?
Genau deshalb macht man es jetzt: Die Hochrisiko-Pflichten sind die aufwendigsten, und die Frist im Dezember 2027 ist machbar, wenn Sie mit einem Fahrplan beginnen — und sehr knapp, wenn Sie die Einstufung spät entdecken. Der Fahrplan ordnet die Arbeit so, dass die Nachweise vor dem Datum vorliegen, nicht danach.
Wie lange dauert es, und was benötigen Sie von uns?
Ein typischer Umfang ist innerhalb von 2–4 Wochen abgeschlossen: ein Scoping-Gespräch, Zugang zu den Verantwortlichen der Systeme und vorhandene Dokumentation, soweit vorhanden. Kein Systemzugriff erforderlich — das Assessment arbeitet mit Interviews und Dokumenten.
Beratung zur KI-Verordnungs-Readiness buchen
Sagen Sie uns, was Sie entwickeln oder einsetzen, und wir melden uns innerhalb eines Werktags mit einem klar umrissenen Angebot zum Festpreis. Kein Systemzugriff erforderlich; NDAs willkommen.
Lieber per E-Mail? info@privacycoreservices.com