AI Act Checkliste & Dokumentation: Was Deployer erfassen müssen

Wie die DSGVO wird der EU AI Act über Dokumentation nachgewiesen, nicht über Absichten. Als Deployer - ein Unternehmen, das KI-Tools nutzt statt sie zu bauen - bündeln sich Ihre Pflichten um drei Artikel: AI Literacy (Art. 4), Deployer-Pflichten (Art. 26) und Transparenz (Art. 50). Diese Checkliste macht daraus eine konkrete Dokumentationsliste und zeigt, wo sich die AI-Dokumentation mit Ihren DSGVO-Unterlagen überschneidet. Den vollständigen Hintergrund finden Sie auf der EU AI Act Compliance (Pillar).

Die Deployer-Dokumentations-Checkliste

Was muss ich konkret erfassen?

• AI-System-Inventar - jedes genutzte KI-Tool, sein Zweck und die verarbeiteten Daten.
• Risikoklassifizierung je Anwendungsfall - die Klasse je Nutzung, mit Begründung.
• AI-Literacy-Nachweise (Art. 4) - wer wurde worin und wann geschult.
• Menschliche Aufsicht (Art. 26) - wie eine Person die Kontrolle über automatisierte Entscheidungen behält, je Hochrisiko-Nutzung dokumentiert.
• Zweckbindung (Art. 26) - jedes System nur für seinen dokumentierten Zweck.
• DPIA (Art. 35 DSGVO) - bei Hochrisiko-Nutzung; ergänzt um eine FRIA (Art. 27 AI Act) nur für öffentliche Stellen, private Anbieter öffentlicher Dienstleistungen sowie bei Kreditwürdigkeits- oder Versicherungsrisikobewertung.
• Transparenzmaßnahmen (Art. 50) - wo Sie KI-Einsatz offenlegen (Chatbots, KI-Inhalte, automatisierte Entscheidungen).
• Anbieterinformationen - was Ihre KI-Anbieter über ihre Systeme bereitstellen.

Kein Punkt leer: eine Lücke ist ein Befund, genau wie unter der DSGVO.

Wo AI Act und DSGVO-Dokumentation überlappen

Führe ich zwei getrennte Unterlagen-Sätze?

Nein - und das sollten Sie nicht. Die meiste KI-Nutzung verarbeitet personenbezogene Daten, also erweitert Ihre KI-Dokumentation die DSGVO-Unterlagen. Das AI-System-Inventar baut auf Ihrem ROPA auf; die DPIA für risikoreiche Verarbeitung wird durch eine FRIA ergänzt; Ihre AI-Literacy-Schulung verbindet sich mit der DSGVO-Mitarbeiterschulung. Beides in einem Workflow vermeidet die Widersprüche, die zwei getrennte Systeme erzeugen - siehe integrierte DSGVO- + AI-Act-Compliance.

Wie konkret muss es sein?

Reicht eine allgemeine Aussage?

Nein - derselbe Maßstab wie bei der DSGVO. „Wir beaufsichtigen unsere KI“ ist ein Platzhalter; „eine benannte Person prüft jede KI-vorgefilterte Bewerbung vor der Absage, protokolliert im Bewerbersystem“ ist Dokumentation. Je folgenreicher die Nutzung, desto konkreter der Nachweis. Eine Behörde fragt nach Belegen, nicht nach Zusicherungen.

Quellen & weiterführende Links