Ein mittelständisches Pharmaunternehmen setzt seit zwei Jahren einen KI-gestützten Algorithmus zur Qualitätskontrolle in der Wirkstoffproduktion ein. Die zuständige Geschäftsführerin fragt sich, ob dieses System unter die neue EU-KI-Verordnung fällt – und ob sie persönlich haftet, wenn sie die dort geregelten Pflichten versäumt. Die Antwort ist für viele Betriebe der Chemie- und Pharmaindustrie unbequem: Ja, und die Fristen sind bereits angelaufen.
Der EU AI Act (Verordnung (EU) 2024/1689, im Folgenden: KI-Verordnung oder KI-VO) gilt unmittelbar in allen EU-Mitgliedstaaten und stuft zahlreiche KI-Anwendungen in der Chemie- und Pharmaindustrie als Hochrisiko-KI-Systeme ein. Betreiber und Anbieter solcher Systeme unterliegen weitreichenden Konformitätspflichten, Dokumentationsanforderungen und Registrierungspflichten. Wer die Pflichtenphasen verpasst, riskiert Bußgelder von bis zu 35 Mio. € oder – bei juristischen Personen – bis zu 7 % des weltweiten Jahresumsatzes.
Dieser Praxisleitfaden führt Geschäftsführer und Justiziare der Chemie- und Pharmaindustrie in sieben Schritten durch die Kernanforderungen der KI-Verordnung, zeigt branchenspezifische Risikostufen und legt konkrete Handlungsempfehlungen fest.
Schritt 1: Die KI-Verordnung verstehen – was gilt ab wann?
Die KI-VO trat am 1. August 2024 in Kraft; die meisten Kernpflichten werden gestaffelt wirksam. Verbote für inakzeptable Risiko-KI greifen seit dem 2. Februar 2025; Pflichten für Hochrisiko-KI nach Anhang I (regulierte Produkte, darunter Medizinprodukte und In-vitro-Diagnostika) ab dem 2. August 2026; für sonstige Hochrisiko-KI nach Anhang III ab dem 2. August 2027. Für allgemeine KI-Modelle (GPAI) gelten eigene Fristen ab dem 2. August 2025.
Für die Chemie- und Pharmaindustrie sind insbesondere drei Kategorien relevant: Erstens eingebettete KI in Medizinprodukten und In-vitro-Diagnostika (Anhang I der KI-VO), zweitens KI-Systeme in sicherheitskritischen Infrastrukturen und Prozesssteuerung (Anhang III), drittens eigenentwickelte oder zugekaufte Sprachmodelle und Analysewerkzeuge, die intern genutzt werden. In der Mandatspraxis sehen wir häufig, dass Unternehmen die Einstufung ihrer Bestandssysteme nicht systematisch vorgenommen haben – ein Versäumnis, das sich in einem gestaffelten Pflichtensystem als teuer erweisen kann.
Was bedeutet das konkret? Wer heute ein KI-System in der Wirkstoffentwicklung, der Produktionssteuerung oder der pharmazeutischen Qualitätskontrolle betreibt, muss spätestens jetzt prüfen, in welche Risikoklasse dieses System fällt. Die Fristarchitektur der KI-VO lässt dafür wenig Spielraum.
Schritt 2: Risikoklassifizierung – wo steht Ihr KI-System?
Die KI-Verordnung kennt vier Risikoebenen: inakzeptables Risiko (verboten), hohes Risiko (strenge Anforderungen), begrenztes Risiko (Transparenzpflichten) und minimales Risiko (keine spezifischen Pflichten). Für Chemie- und Pharmaunternehmen ist die Abgrenzung zwischen Hochrisiko und begrenztem Risiko oft entscheidend.
Hochrisiko-KI nach Anhang I umfasst KI-Systeme, die als Sicherheitsbauteile von Produkten eingesetzt werden, die ihrerseits dem EU-Harmonisierungsrecht unterfallen – konkret der Medizinprodukteverordnung (MDR, VO (EU) 2017/745) und der IVD-Verordnung (IVDR, VO (EU) 2017/746). Ein KI-gestütztes Diagnosewerkzeug oder eine KI-Komponente in einem Medizinprodukt ist damit quasi automatisch als Hochrisiko-KI eingestuft.
Hochrisiko-KI nach Anhang III erfasst unter anderem KI-Systeme, die in kritischen Infrastrukturen eingesetzt werden, sowie KI in der Steuerung sicherheitskritischer Industrieprozesse. Hier ist für Chemieunternehmen besondere Vorsicht geboten: Prozessleitsysteme mit KI-Komponenten in der Produktion gefährlicher Stoffe können in diese Kategorie fallen.
Begrenztes Risiko besteht etwa bei KI-gestützten Chatbots im Kundendienst oder bei automatisierten Analysesystemen ohne sicherheitskritischen Einsatz. Hier greifen lediglich Transparenzpflichten – Nutzer müssen darüber informiert werden, dass sie mit einem KI-System interagieren. Nach unserer Erfahrung unterschätzen viele mittelständische Unternehmen, wie schnell eine intern entwickelte Analyseanwendung durch veränderte Einsatzkontexte in die Hochrisikokategorie rutscht.
Welche Dokumentation brauchen Sie für die Einstufung? Mindestens eine Systemarchitekturbeschreibung, eine Zweckbestimmung und eine Beurteilung des bestimmungsgemäßen Verwendungszwecks. Ohne diese Grundlagen ist eine verlässliche Klassifizierung nicht möglich.
Schritt 3: Pflichten für Betreiber und Anbieter im Überblick
Die KI-Verordnung unterscheidet scharf zwischen Anbietern (Hersteller oder Entwickler des KI-Systems) und Betreibern (Nutzer des Systems im beruflichen Kontext). Viele Chemie- und Pharmaunternehmen sind gleichzeitig Betreiber zugekaufter KI und Anbieter selbstentwickelter Systeme – die Pflichten unterscheiden sich erheblich.
Anbieter von Hochrisiko-KI-Systemen tragen die schwersten Lasten: Sie müssen ein Qualitätsmanagementsystem einrichten, eine technische Dokumentation erstellen, eine Konformitätsbewertung durchführen, das System in der EU-Datenbank registrieren und eine EU-Konformitätserklärung ausstellen. Darüber hinaus sind Post-Market-Monitoring-Systeme und – bei sicherheitsrelevanten Vorfällen – unverzügliche Meldepflichten gegenüber Marktüberwachungsbehörden vorgesehen.
Betreiber müssen das KI-System gemäß den Herstellervorgaben einsetzen, Logs aufbewahren (soweit technisch möglich), eine Folgenabschätzung für bestimmte Anwendungsfälle durchführen und sicherstellen, dass die zuständigen Mitarbeiter hinreichend geschult sind. Für Betreiber, die KI-Systeme in Bereichen einsetzen, die natürliche Personen erheblich betreffen, schreibt Art. 26 KI-VO eine menschliche Aufsicht vor.
DSGVO und KI-VO greifen in der Chemie- und Pharmaindustrie häufig parallel. Werden mit KI-Systemen personenbezogene Daten von Patienten, Probanden oder Mitarbeitern verarbeitet, ist zusätzlich Art. 22 DSGVO (automatisierte Entscheidungen) zu beachten. Meldepflichten bei Datenschutzverletzungen bleiben binnen 72 Stunden nach Art. 33 DSGVO bestehen.
Schritt 4: Branchenspezifische Risikoprofile – wo liegen die Schwerpunkte?
Die Chemie- und Pharmaindustrie weist gegenüber anderen Sektoren eine besonders dichte Überlagerung von KI-VO-Anforderungen und sektoralem Fachrecht auf. Das schafft erhebliche Komplexität, die eine rein IT-rechtliche Betrachtung nicht abbildet.
Im Bereich Arzneimittelentwicklung und klinische Forschung gewinnen KI-gestützte Systeme zur Auswertung klinischer Studiendaten, zur Patientenrekrutierung oder zur Wirkstoffdesignoptimierung rasch strategische Bedeutung. Solche Systeme können als Hochrisiko-KI nach Anhang I oder III einzustufen sein, insbesondere wenn sie in den Zulassungsprozess nach der Richtlinie 2001/83/EG (Gemeinschaftskodex für Humanarzneimittel) eingebunden sind. Die Europäische Arzneimittelagentur (EMA) hat bereits Reflexionspapiere zu KI/ML-basierten Zulassungsunterlagen veröffentlicht; die Konvergenz von EMA-Anforderungen und KI-VO-Konformität ist eine Gestaltungsaufgabe, die frühzeitige anwaltliche Begleitung verlangt.
In der chemischen Prozessindustrie treffen KI-gestützte Steuerungssysteme auf REACH (VO (EG) Nr. 1907/2006) und die Seveso-III-Richtlinie (2012/18/EU) für Betriebe mit erheblichen Mengen gefährlicher Stoffe. Wird ein KI-System in der Prozesssteuerung eines Seveso-III-Betriebs eingesetzt, kann es als KI in kritischer Infrastruktur unter Anhang III der KI-VO fallen. Nach unserer Beratungspraxis haben viele Unternehmen diesen Zusammenhang noch nicht in ihrer internen Compliance-Landschaft verankert.
Für Laborautomatisierung und Qualitätskontrolle (etwa KI-gestützte spektroskopische Analyse oder bildgebende Qualitätsprüfung) hängt die Hochrisikoeinstufung von der konkreten Zweckbestimmung ab. Entscheidend ist, ob das System Entscheidungen mit erheblicher Auswirkung auf die Produktsicherheit trifft oder lediglich unterstützend tätig ist.
Schritt 5: Persönliche Haftung der Geschäftsführung – was ist zu beachten?
Für Geschäftsführer einer GmbH ergibt sich das Haftungsrisiko aus mehreren Schichten. Die KI-VO selbst richtet sich an das Unternehmen als Rechtssubjekt; Bußgelder werden gegen die juristische Person verhängt. Bußgelder für Verstöße gegen Hochrisiko-KI-Pflichten erreichen bis zu 15 Mio. € oder 3 % des weltweiten Jahresumsatzes; für Verbotsverstöße (inakzeptable Risiken) bis zu 35 Mio. € oder 7 %. Für GPAI-Verstöße sind bis zu 15 Mio. € oder 3 % vorgesehen.
Die gesellschaftsrechtliche Innenhaftung nach § 43 GmbHG greift zusätzlich: Verletzt der Geschäftsführer die Pflicht zur ordnungsgemäßen Organisation des Compliance-Systems und entsteht der Gesellschaft dadurch ein Schaden – etwa durch ein verhängtes Bußgeld – kann die Gesellschaft Rückgriff nehmen. Das gilt erst recht, wenn KI-Systeme ohne hinreichende Prüfung und Dokumentation eingeführt wurden.
Daneben besteht für leitende Mitarbeiter, die konkrete Organisationspflichten verletzt haben, ein Bußgeldrisiko nach nationalem Ordnungswidrigkeitenrecht. Die genaue Ausgestaltung nationaler Sanktionsregime wird durch das noch zu erlassende deutsche KI-Durchführungsgesetz geregelt; der Stand der Gesetzgebung sollte im Einzelfall anwaltlich geprüft werden.
Was bedeutet das für den Mittelstand? Inhabergeführte Chemie- und Pharmaunternehmen tragen die Haftungsrisiken unmittelbarer als Konzernstrukturen, die über dedizierte Rechts- und Compliance-Abteilungen verfügen. Wer KI-Systeme ohne strukturierte Überwachung und Dokumentation betreibt, setzt sich und die Gesellschaft erheblichen Risiken aus.
Schritt 6: Compliance-System aufbauen – die sieben Bausteine
Ein tragfähiges KI-Compliance-System für die Chemie- und Pharmaindustrie besteht aus sieben miteinander verzahnten Bausteinen. Dieser Abschnitt beschreibt die Architektur; die konkrete Ausgestaltung hängt vom jeweiligen Unternehmens- und Systemportfolio ab.
Baustein 1 – KI-Inventar: Vollständige Erfassung aller KI-Systeme im Unternehmen, einschließlich zugekaufter Softwarekomponenten mit KI-Anteil. Ohne belastbares Inventar ist keine Klassifizierung möglich.
Baustein 2 – Risikoklassifizierung: Für jedes inventarisierte System eine strukturierte Klassifizierungsentscheidung nach den Anhängen I, II und III der KI-VO, dokumentiert und nachvollziehbar. Bei Grenzfällen schriftliche Begründung der Einstufungsentscheidung.
Baustein 3 – Technische Dokumentation und Konformitätsunterlagen: Für Hochrisiko-KI-Systeme Erstellung oder Einholung der erforderlichen technischen Dokumentation; bei selbstentwickelten Systemen Aufbau eines internen Verfahrens analog zum Muster der MDR-Technischen Dokumentation.
Baustein 4 – Qualitätsmanagementsystem: Soweit noch nicht vorhanden, Erweiterung des bestehenden QMS (etwa ISO 9001 oder GMP-konformes QMS) um KI-spezifische Prozesse: Änderungsmanagement für KI-Modelle, Versionierung, Validierungsverfahren.
Baustein 5 – Menschliche Aufsicht (Human Oversight): Einrichtung klarer Aufsichtsprozesse; Dokumentation, welche Entscheidungen durch KI-Systeme vorbereitet werden und wo die menschliche Letztentscheidung liegt. Für Hochrisiko-KI nach Art. 14 KI-VO zwingend.
Baustein 6 – Schulung und Awareness: KI-Literacy-Programme für die Mitarbeiter, die mit Hochrisiko-KI-Systemen arbeiten. Art. 26 Abs. 2 KI-VO verpflichtet Betreiber, sicherzustellen, dass zuständige Mitarbeiter die erforderliche KI-Kompetenz aufweisen.
Baustein 7 – Governance und Monitoring: Benennung eines KI-Verantwortlichen (intern oder extern), Einrichtung eines Post-Market-Monitoring-Prozesses für selbst entwickelte Systeme, regelmäßige interne Audits und Anpassung bei Systemveränderungen oder neuer Rechtsprechung.
Die vorstehende Darstellung betrifft die typische Compliance-Architektur. Ihr konkreter Fall erfordert die Prüfung Ihrer Systemlandschaft, der einschlägigen Risikoklassifizierung und der im Einzelfall geltenden Fristen. Für eine erste Durchsicht Ihrer Unterlagen erreichen Sie uns unter info@brandtfalk.com.
Schritt 7: Gewerblicher Rechtsschutz, IP-Strategie und KI – Besonderheiten für Chemie und Pharma
Die Einführung von KI-Systemen in Forschung und Entwicklung wirft neben den regulatorischen auch gewerblichrechtliche Fragen auf. Wer ist Erfinder, wenn ein KI-System einen Beitrag zur Entwicklung eines neuen Wirkstoffs leistet? Nach geltendem deutschen und europäischen Patentrecht ist nur eine natürliche Person als Erfinder anerkennungsfähig – KI-generierte Erfindungen sind ohne menschlichen Erfinderbeitrag derzeit nicht patentfähig. Die patentrechtliche Beurteilung von KI-assistierten Entwicklungsprozessen erfordert daher eine sorgfältige Dokumentation des menschlichen Beitrags.
Patentschutz läuft nach § 16 PatG für maximal 20 Jahre ab dem Anmeldetag; ergänzende Schutzzertifikate (SPC) können in der Pharmaindustrie diese Frist für Wirkstoffe verlängern. KI-gestützte Patentrecherche und Freedom-to-operate-Analysen sind heute verbreitet; diese Systeme fallen in der Regel in die Kategorie begrenztes oder minimales Risiko, soweit sie keine sicherheitskritischen Entscheidungen treffen.
Für den Schutz proprietärer KI-Modelle selbst empfiehlt sich eine Kombination aus Urheberrechtsschutz für den Quellcode (§§ 69a ff. UrhG) und dem Schutz als Geschäftsgeheimnis nach dem GeschGehG. Markenschutz für Produktbezeichnungen, die KI-bezogene Elemente enthalten, ist nach § 47 MarkenG für 10 Jahre (verlängerbar) gesichert.
Mikro-Fall aus der Beratungspraxis (anonymisiert)
In einem aktuellen Mandat beriet die Kanzlei ein mittelständisches Pharmaunternehmen aus der Wirkstoffentwicklung. Ausgangslage: Das Unternehmen hatte einen ML-basierten Algorithmus zur Auswertung klinischer Phase-II-Daten intern entwickelt und genutzt, ohne eine formale Risikoklassifizierung nach der KI-VO durchgeführt zu haben. Der zuständige Compliance-Beauftragte hatte den Algorithmus als „nur unterstützendes Werkzeug" eingestuft, ohne Prüfung gegen Anhang I und III der KI-VO. Vorgehen: Die Kanzlei erstellte gemeinsam mit dem internen IT-Team eine Systemarchitekturbeschreibung und Zweckbestimmung, führte eine strukturierte Klassifizierungsanalyse durch und identifizierte Überschneidungen mit den MDR-Anforderungen. Ergebnis: Das System wurde als Hochrisiko-KI nach Anhang I eingestuft; die Kanzlei begleitete den Aufbau der erforderlichen technischen Dokumentation und die Entwicklung eines internen Änderungsmanagementprozesses. Zeitplan: Konformitätsziel vor dem Stichtag August 2026 erreichbar.
Schritt 8: Nächste Schritte und Entscheidungsmatrix
Für Geschäftsführer, die heute mit der KI-Compliance beginnen, empfiehlt sich folgende Priorisierung:
Konstellation A – Kein KI-Inventar vorhanden: Sofortige Bestandsaufnahme aller KI-Systeme; Frist: vor Ablauf des laufenden Geschäftsjahres. Folge bei Versäumnis: Klassifizierungsfehler mit Bußgeldrisiko nach KI-VO-Stichtagen. Empfehlung: IT-Audit mit anwaltlicher Begleitung der Klassifizierungsentscheidungen.
Konstellation B – KI-Systeme in Medizinprodukten oder IVD-Bereich: Instrument: Konformitätsbewertung nach Anhang I KI-VO in Verbindung mit MDR/IVDR-Anforderungen. Frist: 2. August 2026. Folge: Marktzugang für das Medizinprodukt kann ohne KI-VO-Konformität gefährdet sein. Empfehlung: Frühzeitige Verzahnung von MDR-Notified-Body-Prozess und KI-VO-Dokumentation.
Konstellation C – Zugekaufte KI-Software (Drittanbieter): Instrument: Vertragliche Ausgestaltung der Lieferantenbeziehung; Einholung von Konformitätserklärungen und technischer Dokumentation vom Anbieter. Frist: Abhängig von Produktkategorie (August 2026 oder 2027). Empfehlung: Überprüfung bestehender Lizenz- und Wartungsverträge auf KI-VO-konforme Klauseln.
Konstellation D – Eigenentwicklung eines GPAI-Modells: Instrument: GPAI-Code-of-Practice (in Entwicklung); technische Dokumentation; Transparenzpflichten ab 2. August 2025. Für systemische Risiko-GPAI: zusätzliche Anforderungen (Adversarial Testing, Incident Reporting). Empfehlung: Frühzeitige Beurteilung, ob das Modell die Schwelle für systemisches Risiko überschreitet.
Zwei Fragen, die sich jeder Geschäftsführer jetzt stellen sollte: Wissen Sie, welche KI-Systeme in Ihrem Unternehmen als Hochrisiko-KI einzustufen sind? Und wer in Ihrem Unternehmen trägt die Verantwortung, wenn die Stichtage der KI-Verordnung versäumt werden?
Die vorstehende Darstellung betrifft die typischen Konstellationen. Ihr konkreter Fall erfordert die Prüfung Ihrer Systemlandschaft, Ihrer Vertragsbeziehungen zu KI-Anbietern und der für Ihr Unternehmen geltenden Fristen. Für eine erste Durchsicht Ihrer Unterlagen wenden Sie sich an info@brandtfalk.com.
Verwandte Leistungen
Häufige Fragen zum KI-Einsatz in der Chemie- und Pharmaindustrie
Wann gilt die KI-Verordnung für Medizinprodukte mit KI-Anteil?
KI-Systeme, die als Sicherheitskomponenten in Medizinprodukten nach der MDR (VO (EU) 2017/745) oder als IVD nach der IVDR (VO (EU) 2017/746) eingesetzt werden, fallen unter Anhang I der KI-Verordnung und gelten als Hochrisiko-KI. Die einschlägigen Pflichten – Konformitätsbewertung, technische Dokumentation, EU-Datenbankregistrierung – sind ab dem 2. August 2026 anzuwenden. Betreiber und Anbieter sollten die Verzahnung mit dem laufenden MDR/IVDR-Notified-Body-Prozess frühzeitig planen.
Was sind die Pflichten eines Betreibers (Nutzers) von Hochrisiko-KI-Systemen?
Betreiber müssen das KI-System bestimmungsgemäß nach den Herstellervorgaben einsetzen, Betriebslogs aufbewahren (soweit technisch möglich), menschliche Aufsicht sicherstellen und zuständige Mitarbeiter angemessen schulen. Für bestimmte Anwendungen ist eine Folgenabschätzung erforderlich. Weicht der Betreiber vom bestimmungsgemäßen Verwendungszweck ab oder nimmt er wesentliche Änderungen vor, kann er selbst zum Anbieter im Sinne der KI-VO werden – mit entsprechend schwereren Pflichten.
Welche Bußgelder sieht die KI-Verordnung vor?
Die KI-VO sieht ein dreistufiges Bußgeldsystem vor: Verstöße gegen Verbote für inakzeptable Risiko-KI werden mit bis zu 35 Mio. € oder 7 % des weltweiten Jahresumsatzes sanktioniert; Verstöße gegen Hochrisiko-KI-Pflichten mit bis zu 15 Mio. € oder 3 %; falsche oder irreführende Angaben gegenüber Behörden mit bis zu 7,5 Mio. € oder 1,5 %. Bei KMU und Start-ups gelten der jeweils niedrigere Betrag.
Müssen KI-Systeme zur Prozesssteuerung in Chemiewerken als Hochrisiko-KI eingestuft werden?
Das hängt von der konkreten Zweckbestimmung ab. KI-Systeme, die als Sicherheitssysteme in kritischen Infrastrukturen oder in der Steuerung sicherheitskritischer industrieller Prozesse eingesetzt werden, können unter Anhang III Nr. 2 der KI-VO fallen. Bei Betrieben unter der Seveso-III-Richtlinie besteht ein erhöhtes Klassifizierungsrisiko. Die Einstufungsentscheidung sollte schriftlich dokumentiert und anwaltlich begleitet werden, um im Behördenverfahren belastbar zu sein.
Wie verhält sich die KI-Verordnung zur DSGVO?
KI-VO und DSGVO sind komplementäre Regelwerke, die parallel anwendbar sind. Verarbeitet ein KI-System personenbezogene Daten – etwa Patientendaten, Probandendaten oder Mitarbeiterdaten –, gelten zusätzlich die Anforderungen der DSGVO, insbesondere Art. 22 (automatisierte Entscheidungsfindung) und die Pflicht zur Datenschutz-Folgenabschätzung nach Art. 35 DSGVO. Die Meldepflicht bei Datenschutzverletzungen bleibt binnen 72 Stunden bestehen.
Gilt die KI-VO auch für zugekaufte KI-Software von Drittanbietern?
Ja. Als Betreiber eines zugekauften Hochrisiko-KI-Systems tragen Sie eigene Compliance-Pflichten. Sie müssen sicherstellen, dass der Anbieter eine gültige EU-Konformitätserklärung ausgestellt hat und das System in der EU-KI-Datenbank registriert ist. Bestehende Lizenz- und Wartungsverträge sollten auf entsprechende Zusicherungspflichten des Anbieters geprüft werden. Fehlen solche Klauseln, kann bei Verstößen ein Haftungsrisiko beim Betreiber verbleiben.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag ist eine allgemeine Information und stellt keine Rechtsberatung dar. Für eine Prüfung Ihres Falls kontaktieren Sie info@brandtfalk.com.