Die 10-Punkte-Checkliste
Alle Tools im Betrieb auflisten, die KI-Funktionen haben: DMS-Erweiterungen, Chatbot auf der Webseite, Mail-Automatisierung, Termin-Tools. Was davon mit Kunden kommuniziert, fällt unter die Kennzeichnungspflicht.
Eine Zeile genügt: „Diese Antwort wurde KI-gestützt erstellt und vom Werkstatt-Team freigegeben.“ In jeder automatisch generierten Mail an Kunden.
Fragen Sie: „Wo stehen die Server? Wer ist Auftragsverarbeiter?“ EU ist Pflicht. Deutschland ist besser. Wer das nicht sauber beantworten kann, fliegt aus der Auswahl.
Werden alle KI-Interaktionen mit Kunden protokolliert? Im Fall einer Prüfung müssen Sie nachweisen können, was wann an wen gesendet wurde.
Kann ein Mitarbeiter jede ausgehende KI-Nachricht vor dem Versand prüfen? Das ist keine gesetzliche Pflicht, aber die beste Absicherung. Es dokumentiert Ihre Aufsichtspflicht.
Falls Sie einen Chatbot haben: er muss sich beim ersten Kontakt als KI-System zu erkennen geben. „Ich bin der digitale Assistent von [Autohaus]. Für persönliche Beratung: [Telefon].“
Eine A4-Seite: wer informiert wen, wenn die DMS-Datenbank ausfällt oder ein IT-Vorfall eintritt? Telefonnummern, Zuständigkeiten, Eskalation. NIS2 verlangt 24-Stunden-Meldung bei erheblichen Vorfällen.
30 Minuten zu IT-Sicherheit, einmal jährlich, schriftlich festgehalten. Erfüllt die NIS2-Schulungspflicht formal. Kann intern oder mit einem Berater stattfinden.
Auftragsverarbeitungsvertrag vorhanden und aktuell? Deckt er KI-Verarbeitung ab? Bei DSGVO-Prüfung ist das die erste Frage.
Einen Monat vor dem Stichtag alle Punkte nochmal durchgehen. Was erledigt ist, abhaken. Was fehlt, priorisieren. Vier Wochen reichen für die meisten Nachjustierungen.
Was das in der Praxis kostet
Für eine inhabergeführte Werkstatt ohne eigene IT-Abteilung: 0 bis 500 EUR, wenn die eingesetzte Software bereits konform ist. Die meisten Punkte sind organisatorisch, nicht technisch. Das Software-Audit dauert eine Stunde, die Kennzeichnung fünf Minuten pro Tool, der Notfall-Plan einen Nachmittag.
Wenn Sie einen KI-Agenten einsetzen, der ab Tag 1 AI-Act-konform gebaut ist (Kennzeichnung, Audit-Log, Freigabe-Logik, EU-Hosting), entfallen die Punkte 2 bis 6 automatisch. Das ist einer der Vorteile eines spezialisierten Anbieters gegenüber einer Eigenbastel-Lösung.
Für die ausführliche Einordnung mit Bußgeld-Übersicht, NIS2-Details und sechs häufigen Fragen: AI Act + NIS2 für Autohaus & Werkstatt (Langversion)
Hinweis: Dieser Artikel ersetzt keine anwaltliche Beratung. Bei konkreten Compliance-Fragen: Fachanwalt für IT-Recht oder IHK. Stand: Mai 2026.