Ein Softwareunternehmen aus dem Mittelstand führt ein KI-gestütztes Bewerbermanagementsystem ein. Drei Monate später warnt der Datenschutzbeauftragte: Das System könnte als Hochrisiko-Anwendung nach der EU-KI-Verordnung einzustufen sein. Die Compliance-Lücke ist real — und die Haftung trifft den Geschäftsführer persönlich.
Der EU AI Act (Verordnung (EU) 2024/1689, kurz: KI-VO) ist seit August 2024 in Kraft und gilt stufenweise bis 2027 unmittelbar in allen EU-Mitgliedstaaten. Er klassifiziert KI-Systeme nach Risikoklassen, knüpft daran konkrete Pflichten für Anbieter und Betreiber und kann bei Verstößen Bußgelder bis zu 35 Mio. € oder 7 % des weltweiten Jahresumsatzes auslösen. Für Geschäftsführer im Mittelstand bedeutet das: KI-Einsatz ohne rechtliche Grundlagenprüfung ist kein Kavaliersdelikt mehr.
Dieser Beitrag erklärt den Regelungsrahmen der KI-VO, zeigt die praktischen Auswirkungen für mittelständische Unternehmen auf und beschreibt, welche Schritte jetzt rechtlich zwingend sind.
Was regelt die KI-Verordnung — und wer fällt darunter?
Die KI-Verordnung gilt für jedes Unternehmen, das KI-Systeme im EU-Binnenmarkt in Verkehr bringt, in Betrieb nimmt oder nutzt — unabhängig davon, ob es ein Tech-Konzern oder ein 50-köpfiges Mittelstandsunternehmen ist. Das Gesetz unterscheidet zwei zentrale Rollen: Anbieter (Provider), die ein KI-System entwickeln oder unter eigenem Namen vermarkten, und Betreiber (Deployer), die ein fremdes System im eigenen unternehmerischen Kontext einsetzen. In der Mandatspraxis sehen wir, dass viele Geschäftsführer ihre eigene Einordnung zunächst falsch beurteilen: Wer ein Drittanbieter-Tool für die Kreditwürdigkeitsprüfung, Personalauswahl oder Kundensegmentierung nutzt, ist regelmäßig Betreiber — mit eigenständigen Pflichten.
Die Verordnung folgt einem risikobasierten Stufenmodell. Vier Klassen sind zu unterscheiden: verbotene Praktiken (Art. 5 KI-VO), Hochrisiko-KI-Systeme (Art. 6 ff.), Systeme mit begrenztem Risiko (Art. 50) sowie Systeme mit minimalem Risiko. Verbotene Praktiken — etwa Social Scoring durch öffentliche Stellen oder manipulative Techniken — sind seit Februar 2025 sanktionierbar. Für Hochrisiko-Systeme laufen die vollständigen Anforderungen nach einer Übergangsphase ab August 2026 an.
Welche Systeme fallen typischerweise in die Hochrisikokategorie? Die KI-VO nennt in Anhang III unter anderem: KI in der Personalauswahl, Kreditvergabe, biometrische Identifikation, kritische Infrastrukturen sowie Systeme, die Rechtspositionen Betroffener wesentlich beeinflussen. Für einen Geschäftsführer, der solche Systeme einsetzt, ist die Frage keine akademische — sie ist eine Haftungsfrage.
Welche Pflichten treffen Betreiber von Hochrisiko-KI-Systemen?
Betreiber von Hochrisiko-KI-Systemen unterliegen einem eigenständigen Pflichtenkatalog, der über die bisherigen DSGVO-Anforderungen deutlich hinausgeht. Die wichtigsten Pflichten im Überblick — und warum sie in der Praxis Aufmerksamkeit erfordern.
Erstens: Konformitätsbewertung und technische Dokumentation. Bevor ein Hochrisiko-System in Betrieb genommen wird, ist eine Konformitätsbewertung durchzuführen oder für zugekaufte Systeme zu beschaffen. Betreiber müssen sicherstellen, dass die Dokumentation des Anbieters vollständig und zugänglich ist. Nach unserer Erfahrung fehlen genau diese Unterlagen bei zugekaufter Standardsoftware — und die Vertragsverhandlung mit dem Anbieter war nicht auf die KI-VO ausgerichtet.
Zweitens: menschliche Aufsicht (Human Oversight, Art. 14 KI-VO). Das Gesetz verlangt, dass geeignete Maßnahmen gewährleisten, dass stets eine natürliche Person die Ausgaben des Systems überwachen und bei Bedarf eingreifen kann. Was bedeutet das konkret? Der Einsatz eines KI-Systems, das Kreditentscheidungen vollautomatisch trifft, ohne dass ein Mitarbeiter die Entscheidung inhaltlich überprüfen kann, genügt dieser Anforderung nicht.
Drittens: Transparenz gegenüber Betroffenen. Personen, die von einer KI-gestützten Entscheidung betroffen sind — etwa im Bewerbungsverfahren — müssen hierüber informiert werden. Diese Pflicht überlagert sich mit Art. 22 DSGVO (Recht auf Erklärung bei automatisierten Entscheidungen) und erfordert koordinierte Umsetzung. Die 72-Stunden-Meldefrist bei Datenschutzverletzungen nach Art. 33 DSGVO gilt parallel weiter.
Viertens: Registerführung und Protokollierung. Betreiber sind verpflichtet, Protokolle über den Betrieb des KI-Systems zu führen und auf Anfrage der Aufsichtsbehörde vorzulegen. Wie lange diese Protokolle aufzubewahren sind, richtet sich nach den jeweils einschlägigen Vorgaben; eine pauschale Frist sollte im Einzelfall anwaltlich geprüft werden.
Fristen und Zeitplan der KI-VO: Was gilt wann?
Die KI-Verordnung tritt nicht als einheitlicher Block in Kraft. Der gestaffelte Zeitplan ist für Geschäftsführer die entscheidende Planungsgröße.
- August 2024: Inkrafttreten der KI-VO (Veröffentlichung im Amtsblatt der EU).
- Februar 2025: Anwendbarkeit der Verbote nach Art. 5 KI-VO (verbotene Praktiken). Ab diesem Zeitpunkt sind entsprechende Systeme sofort einzustellen oder zu entfernen.
- August 2025: Governance-Regeln und Bußgeldrahmen (Kap. III Abschn. 4 und Kap. XII KI-VO) gelten. Die nationalen Marktaufsichtsbehörden nehmen ihre Arbeit auf.
- August 2026: Vollständige Anwendbarkeit der Pflichten für Hochrisiko-KI-Systeme nach Anhang III KI-VO.
- August 2027: Pflichten für KI-Systeme, die in bereits regulierten Produkten (z. B. Medizinprodukte, Maschinen) eingebettet sind.
Was bedeutet dieser Zeitplan für die Unternehmensplanung? Unternehmen, die ab Februar 2025 ein System betrieben haben, das unter die Verbote fällt, riskieren bereits jetzt Sanktionen. Für Hochrisiko-Systeme verbleiben bis August 2026 zwar noch Monate — aber der Aufbau einer ordnungsgemäßen Governance, die Anpassung von Verträgen mit KI-Anbietern und die Schulung des Personals benötigen in der Praxis mehr Zeit als viele Geschäftsführer einplanen.
Überschneidung von KI-VO und DSGVO: Doppelte Pflichten, doppeltes Risiko
KI-Einsatz im Unternehmen ist in der Regel kein rein technikrechtliches Thema. Sobald ein KI-System personenbezogene Daten verarbeitet — und das ist bei den meisten betrieblichen Anwendungen der Fall — greifen KI-VO und DSGVO gleichzeitig. Beide Regelwerke ergänzen sich, ersetzen sich aber nicht.
Die DSGVO stellt Anforderungen an die Rechtmäßigkeit der Datenverarbeitung, die Zweckbindung und die Betroffenenrechte. Die KI-VO fügt systemspezifische Anforderungen hinzu: Robustheit, Genauigkeit, menschliche Kontrolle. In der Mandatspraxis beraten wir regelmäßig Unternehmen, die erst bei der KI-VO-Prüfung feststellen, dass ihre bestehende Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO nicht die KI-spezifischen Risikoaspekte abbildet. Das erfordert eine Überarbeitung — und bei manchen Systemen eine Neubeauftragung des Datenschutzbeauftragten.
Welche Bußgelder drohen im Worst Case? Nach Art. 83 DSGVO können Verstöße mit bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes geahndet werden. Die KI-VO sieht einen eigenen Bußgeldrahmen vor — je nach Verstoßkategorie bis zu 35 Mio. € oder 7 % des Jahresumsatzes. Kumulierung beider Sanktionsstränge ist rechtlich nicht ausgeschlossen. Für ein mittelständisches Unternehmen mit einem Umsatz von 50 Mio. € kann das existenzielle Dimensionen annehmen.
Welche Schritte sind für Geschäftsführer jetzt zwingend?
Angesichts des laufenden Zeitplans ist ein geordnetes Vorgehen keine Option, sondern eine Pflicht. Die folgenden Schritte beschreiben den Fahrplan, den wir in der Beratung mittelständischer Unternehmen empfehlen.
Schritt 1 — KI-Inventar erstellen. Erfassen Sie alle eingesetzten KI-Systeme und Tools, einschließlich solcher, die von einzelnen Abteilungen eigenständig beschafft wurden (sog. Shadow IT). Ohne vollständige Bestandsaufnahme ist eine Risikoklassifizierung nicht möglich.
Schritt 2 — Risikoklassifizierung nach KI-VO. Ordnen Sie jedes System einer Risikokategorie zu. Für Hochrisiko-Systeme prüfen Sie, ob die erforderliche Dokumentation des Anbieters vorliegt. Fehlt sie, ist der Anbietervertrag nachzuverhandeln oder das System ist zu ersetzen.
Schritt 3 — Datenschutz-Folgenabschätzung überprüfen und aktualisieren. Bestehende DSFAs sind auf KI-VO-Kompatibilität zu prüfen. Wo KI-Systeme personenbezogene Daten verarbeiten, ist die DSFA zu ergänzen.
Schritt 4 — Interne Richtlinien und Nutzungsregeln einführen. Mitarbeiter benötigen klare Vorgaben, welche KI-Tools zu welchem Zweck genutzt werden dürfen und welche Ausgaben nicht ungeprüft übernommen werden dürfen. Die menschliche Aufsichtspflicht (Art. 14 KI-VO) muss organisatorisch verankert sein.
Schritt 5 — Vertragsüberprüfung mit KI-Anbietern. Standardverträge von Softwareanbietern sind selten KI-VO-konform gestaltet. Klauseln zur Haftungsverteilung, zur Bereitstellung technischer Dokumentation und zur Unterstützung bei Audits sollten ausdrücklich verhandelt werden. Nach unserer Erfahrung ist dieser Punkt der am häufigsten vernachlässigte.
Schritt 6 — Zuständigkeit und Governance festlegen. Wer im Unternehmen trägt die Verantwortung für KI-Compliance? Die KI-VO sieht keine explizite Pflicht zur Benennung eines „KI-Beauftragten" vor — wohl aber einen klaren internen Verantwortungsrahmen. In Gesellschaften, in denen die Geschäftsführung unmittelbar haftet, empfiehlt sich eine schriftliche Zuständigkeitsregelung.
Mikro-Fall aus der Beratungspraxis
In einem aktuellen Mandat beriet die Kanzlei ein Software-Vertriebsunternehmen mit rund 120 Mitarbeitern aus der IT-Branche. Ausgangslage: Das Unternehmen hatte ein KI-gestütztes Tool zur automatisierten Priorisierung von Bewerbungseingängen eingeführt, ohne die Einordnung unter die KI-VO zu prüfen. Nach Hinweis des Datenschutzbeauftragten sollte die Rechtslage rasch geklärt werden. Vorgehen: Wir haben eine Risikoklassifizierung vorgenommen, die fehlende Anbieterdokumentation identifiziert und das Vertragswerk mit dem Softwareanbieter nachverhandelt. Ergebnis: Das System wird weiterhin genutzt — nun mit angepassten Prozessen für menschliche Aufsicht, ergänzter DSFA und einer vertraglich gesicherten Dokumentationspflicht des Anbieters. Der Zeitaufwand für Klassifizierung und Vertragsanpassung betrug mehrere Wochen; eine frühere Einbindung hätte ihn deutlich reduziert.
Haftung des Geschäftsführers: Persönliches Risiko bei KI-Verstößen
Die KI-Verordnung richtet sich an Unternehmen — aber die Haftungsverantwortung trifft im Ergebnis die handelnden Personen. Geschäftsführer einer GmbH sind nach § 43 GmbHG verpflichtet, die Gesellschaft mit der Sorgfalt eines ordentlichen Geschäftsmanns zu führen. Regulatorische Verstöße, die auf einem Organisations- oder Kontrollversagen beruhen, können eine persönliche Haftung gegenüber der Gesellschaft begründen.
Hinzu tritt das Bußgeldrisiko gegenüber der Gesellschaft selbst. Bei existenzbedrohenden Sanktionen — im Extremfall Bußgelder in mehrfacher Millionenhöhe — trägt der Geschäftsführer die Verantwortung dafür, die erforderlichen Compliance-Maßnahmen rechtzeitig veranlasst zu haben. Fehlt ein entsprechender Beschluss oder eine dokumentierte Prüfung, wird die Haftungsfrage schwierig zu entkräften sein.
Was sollte der Geschäftsführer daher konkret tun? Die Einholung einer anwaltlichen Risikoeinschätzung und deren Dokumentation schafft keine absolute Haftungsbefreiung — aber sie ist ein wesentliches Element der Sorgfaltspflichterfüllung. Wer eine rechtliche Prüfung nachweislich in Auftrag gegeben und die empfohlenen Maßnahmen umgesetzt hat, steht in einem Haftungsstreit deutlich besser als jemand, der auf eigene Einschätzung vertraut hat.
Die vorstehende Darstellung betrifft die Regelfälle. Ihr konkreter Fall erfordert die Prüfung der von Ihnen eingesetzten Systeme, der bestehenden Vertragswerke und der bereits laufenden Datenschutz-Dokumentation. Zur Klärung, wie die KI-VO auf Ihr Unternehmen wirkt, wenden Sie sich an info@brandtfalk.com.
KI-Einsatz im Mittelstand: Typische Fehler und wie sie sich vermeiden lassen
Wer sich mit der KI-VO befasst, stellt fest, dass viele Fehler nicht aus böser Absicht entstehen, sondern aus strukturellen Lücken — fehlender Koordination zwischen IT, Recht und Geschäftsleitung. Die häufigsten Fehlerquellen aus der Beratungspraxis:
- Beschaffung ohne Rechts-Check: KI-Tools werden von Fachabteilungen eingeführt, ohne dass die Geschäftsführung oder der Datenschutzbeauftragte einbezogen wird. Das führt zu unkontrolliertem Hochrisiko-Einsatz.
- Ungeprüfte Anbieterdokumentation: Anbieter stellen häufig nur allgemeine Terms & Conditions bereit, die nicht den Anforderungen der KI-VO entsprechen. Betreiber müssen aktiv nachfragen und ggf. nachverhandeln.
- Fehlende Abstimmung zwischen KI-VO und DSGVO: Datenschutz-Folgenabschätzungen wurden ohne Blick auf KI-spezifische Risiken erstellt. Eine isolierte Betrachtung genügt nicht mehr.
- Überschätzung der Anbieterpflichten: Viele Geschäftsführer gehen davon aus, dass der Anbieter eines KI-Systems sämtliche Compliance-Pflichten trägt. Das ist falsch — Betreiberpflichten sind eigenständig.
- Fehlende interne Governance: Keine schriftliche Regelung, wer für KI-Compliance verantwortlich ist, welche Systeme zugelassen sind und wie Ausgaben von KI-Systemen zu behandeln sind.
Typischerweise entsteht der größte Handlungsbedarf nicht bei offensichtlichen Hochrisiko-Systemen, sondern bei Standardsoftware, die KI-Funktionen als Zusatzfeature enthält — CRM-Systeme mit Prognosemodellen, HR-Plattformen mit Matching-Algorithmen, Buchhaltungssoftware mit Anomalieerkennung. Die Einordnung dieser Systeme ist im Einzelfall zu prüfen; eine pauschale Aussage ist nicht möglich.
Verwandte Leistungen
Häufige Fragen zur KI-VO und zum KI-Einsatz im Unternehmen
Ab wann gilt die KI-Verordnung für mein Unternehmen?
Die KI-Verordnung (Verordnung (EU) 2024/1689) ist im August 2024 in Kraft getreten. Die Verbote nach Art. 5 KI-VO gelten seit Februar 2025. Pflichten für Hochrisiko-Systeme nach Anhang III KI-VO sind ab August 2026 vollständig anwendbar. Unternehmen sollten bereits jetzt eine Bestandsaufnahme aller eingesetzten KI-Systeme durchführen, da Governance-Strukturen und Vertragsanpassungen erhebliche Vorlaufzeit erfordern.
Was ist ein Hochrisiko-KI-System nach der KI-VO?
Hochrisiko-Systeme sind in Anhang III der KI-VO abschließend aufgezählt. Dazu gehören unter anderem KI-Systeme in der Personalauswahl und -bewertung, im Kreditwesen, in der Strafverfolgung, in kritischen Infrastrukturen sowie Systeme zur biometrischen Identifikation. Auch Systeme, die wesentliche Rechtspositionen Betroffener beeinflussen, können darunter fallen. Die Einordnung ist im Einzelfall zu prüfen, da die Abgrenzung zwischen Hochrisiko und begrenztem Risiko erhebliche Compliance-Konsequenzen hat.
Welche Pflichten treffen mich als Betreiber eines KI-Systems?
Als Betreiber (Deployer) eines Hochrisiko-KI-Systems sind Sie verpflichtet, die technische Dokumentation des Anbieters zu prüfen und aufzubewahren, geeignete Maßnahmen zur menschlichen Aufsicht einzurichten, Betroffene über den KI-Einsatz zu informieren und Protokolle über den Systembetrieb zu führen. Diese Pflichten sind eigenständig — sie greifen unabhängig davon, ob der Anbieter seinerseits die KI-VO einhält.
Wie verhält sich die KI-VO zur DSGVO?
KI-VO und DSGVO schließen sich nicht aus, sondern ergänzen sich. Sobald ein KI-System personenbezogene Daten verarbeitet, gelten beide Regelwerke gleichzeitig. Die DSGVO stellt Anforderungen an die Datenverarbeitung als solche; die KI-VO fügt systemspezifische Anforderungen hinzu — etwa zur Robustheit, Genauigkeit und menschlichen Kontrolle. Bestehende Datenschutz-Folgenabschätzungen sind daher auf KI-spezifische Risiken zu überprüfen und ggf. zu ergänzen.
Welche Bußgelder sieht die KI-VO vor?
Die KI-VO sieht einen abgestuften Bußgeldrahmen vor. Verstöße gegen verbotene Praktiken nach Art. 5 können mit bis zu 35 Mio. € oder 7 % des weltweiten Jahresumsatzes sanktioniert werden, je nachdem, welcher Betrag höher ist. Verstöße gegen Pflichten für Hochrisiko-Systeme können mit bis zu 15 Mio. € oder 3 % des Jahresumsatzes geahndet werden. Die DSGVO sieht parallel dazu Bußgelder bis zu 20 Mio. € oder 4 % des Jahresumsatzes vor. Eine Kumulierung beider Sanktionsstränge ist nicht ausgeschlossen.
Muss ich einen KI-Beauftragten benennen?
Die KI-VO schreibt keine ausdrückliche Pflicht zur Benennung eines „KI-Beauftragten" vor. Für Betreiber von Hochrisiko-Systemen empfiehlt sich jedoch eine schriftliche interne Zuständigkeitsregelung, die festlegt, wer die Einhaltung der KI-VO-Pflichten verantwortet. Dies ist auch aus Haftungsgründen geboten: Geschäftsführer einer GmbH haften persönlich, wenn sie Compliance-Maßnahmen nicht rechtzeitig veranlasst haben.
Die vorstehende Darstellung betrifft die Regelfälle des KI-Einsatzes im Unternehmen. Ihr konkreter Fall erfordert die Prüfung Ihrer Systeme, Ihrer Anbieterverträge und Ihrer bestehenden Datenschutz-Dokumentation. Für eine erste Durchsicht Ihrer Unterlagen erreichen Sie uns unter info@brandtfalk.com.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag ist eine allgemeine Information und stellt keine Rechtsberatung dar. Für eine Prüfung Ihres Falls kontaktieren Sie info@brandtfalk.com.