Ein Energieversorger im süddeutschen Mittelstand führt ein KI-gestütztes System zur Netzlastprognose ein. Sechs Monate später erreicht den Geschäftsführer eine Anfrage der zuständigen Behörde: Welchen Risikoklassen unterliegt das System? Welche Konformitätsdokumentation liegt vor? Welche internen Aufsichtsprozesse sind eingerichtet? Die Fragen sind präzise – die Antworten stehen aus.
Der KI-Einsatz im Unternehmen unterliegt seit dem stufenweisen Geltungsbeginn der EU-KI-Verordnung (KI-VO, auch EU AI Act) verbindlichen Anforderungen an Transparenz, Risikobewertung und technische Dokumentation. Für die Energiewirtschaft sind diese Anforderungen besonders relevant, weil KI-Systeme dort häufig in kritischer Infrastruktur, im Energiehandel und in der Netzbetriebssteuerung eingesetzt werden – Bereiche, die regulatorisch als hochrisikorelevant eingestuft werden können. Geschäftsführer, die jetzt handeln, sichern nicht nur die Compliance ihres Unternehmens ab, sondern vermeiden empfindliche Bußgelder und persönliche Haftungsrisiken.
Dieser Beitrag erläutert den rechtlichen Rahmen der KI-VO mit Blick auf die Energiebranche, zeigt die Pflichten für Betreiber und Anbieter von KI-Systemen auf und gibt Geschäftsführern eine praxisnahe Orientierung für die nächsten Schritte.
Warum die KI-Verordnung für Energieunternehmen jetzt handlungsrelevant ist
Die KI-Verordnung (Verordnung (EU) 2024/1689) ist im August 2024 in Kraft getreten. Ihr Geltungsbeginn ist gestaffelt: Verbote für inakzeptable Risiken gelten seit Februar 2025; Pflichten für Hochrisiko-KI-Systeme in kritischen Infrastrukturen greifen ab August 2026 vollständig. Diese Übergangsfristen bedeuten keinen Aufschub für die Vorbereitung – sie setzen einen konkreten Fahrplan.
Energieunternehmen sind in mehrfacher Hinsicht betroffen. KI-Systeme, die in der Steuerung kritischer Infrastruktur eingesetzt werden, fallen unter Anhang III der KI-VO und werden als Hochrisiko-KI eingestuft. Wer ein solches System betreibt oder in Verkehr bringt, unterliegt Konformitätsbewertungspflichten, muss ein Risikomanagementsystem einrichten und eine technische Dokumentation vorhalten. In der Mandatspraxis sehen wir, dass viele mittelständische Netzbetreiber und Energieversorger den Unterschied zwischen der Rolle des Anbieters und der des Betreibers eines KI-Systems noch nicht sauber gezogen haben – eine Unterscheidung, die die KI-VO ausdrücklich vorschreibt und an die unterschiedliche Pflichtenkataloge geknüpft sind.
Hinzu tritt der DSGVO-Kontext: Werden Verbrauchsdaten, Smart-Meter-Messwerte oder Verhaltensmuster in KI-Systemen verarbeitet, ist stets zu prüfen, ob eine Datenschutz-Folgenabschätzung (DSFA nach Art. 35 DSGVO) erforderlich ist. KI-VO und DSGVO wirken hier zusammen – nicht alternativ.
Welche Risikoklassen erfasst die KI-VO, und wo steht die Energiewirtschaft?
Die KI-Verordnung ordnet KI-Systeme in ein vierstufiges Risikosystem ein: inakzeptables Risiko (verboten), Hochrisiko, begrenztes Risiko und minimales Risiko. Für Energieunternehmen sind vor allem zwei Kategorien praktisch bedeutsam.
Erstens: KI-Systeme in der Steuerung kritischer Infrastrukturen – hierzu zählen ausdrücklich Strom-, Gas- und Wasserversorgungsnetze – gelten nach Anhang III Nr. 2 der KI-VO als Hochrisiko-KI. Das betrifft beispielsweise KI-gestützte Lastverteilung, automatisierte Schaltentscheidungen oder Algorithmen zur Echtzeit-Netzstabilisierung. Wer solche Systeme betreibt, muss spätestens bis zum vollständigen Geltungsbeginn der Hochrisiko-Pflichten im Jahr 2026 ein konformes Risikomanagementsystem nachweisen können.
Zweitens: KI-Systeme im Energiehandel, in der Preisprognose oder im Kundenbeschwerdemanagement fallen häufig in die Kategorie des begrenzten Risikos. Hier gelten primär Transparenzpflichten: Nutzer müssen wissen, dass sie mit einem KI-System interagieren. Das klingt einfach, wird in der Praxis aber regelmäßig vernachlässigt – insbesondere bei Chatbots in der Kundenhotline oder bei automatisierten Mahnprozessen.
Eine Entscheidungsmatrix zur Orientierung: Konstellation A (KI-System steuert Netzbetrieb direkt) → Hochrisiko-KI → vollständige Konformitätsbewertung, Registrierung in der EU-Datenbank, laufende Überwachungspflicht → externen Rechtsrahmen frühzeitig prüfen lassen. Konstellation B (KI-System unterstützt Vertragsmanagement) → begrenztes Risiko → Transparenzhinweis an Nutzer, vereinfachte Dokumentation → Pflichten intern umsetzen und dokumentieren. Konstellation C (KI-System nur für interne Prozessoptimierung ohne Außenwirkung) → minimales Risiko → empfehlenswert: Kurzgutachten zur Einordnung, um spätere Nachklassifizierungen zu vermeiden.
Welche Pflichten treffen Betreiber und Anbieter im Energiesektor konkret?
Die KI-VO unterscheidet scharf zwischen Anbietern – Unternehmen, die ein KI-System entwickeln oder in Verkehr bringen – und Betreibern – Unternehmen, die ein fremdes System in ihrem Unternehmen einsetzen. Diese Unterscheidung hat erhebliche Praxisrelevanz: Ein Energieversorger, der eine KI-Plattform eines Technologieanbieters für die Netzsteuerung lizenziert, ist Betreiber, nicht Anbieter. Dennoch trifft ihn ein eigener Pflichtenkatalog.
Betreiber von Hochrisiko-KI müssen ein angemessenes Risikomanagementsystem einrichten, die zweckbestimmte Nutzung sicherstellen, menschliche Aufsicht gewährleisten und Protokollierungspflichten erfüllen. Darüber hinaus sind Mitarbeitende, die das System bedienen, angemessen zu schulen. In der Mandatspraxis beraten wir regelmäßig Energieunternehmen, die diese Anforderungen zwar im Grundsatz kennen, deren interne Governance-Strukturen aber noch keine klare Verantwortungszuweisung enthalten.
Anbieter tragen weitergehende Pflichten: Sie müssen vor dem Inverkehrbringen eine Konformitätsbewertung durchführen, eine technische Dokumentation gemäß Anhang IV der KI-VO erstellen, das System in der EU-Datenbank registrieren und ein Qualitätsmanagementsystem vorhalten. Für Energieunternehmen, die eigene KI-Systeme entwickeln – etwa proprietäre Prognosemodelle oder intelligente Messsysteme –, ist diese Anbieterpflicht unmittelbar relevant.
Wo die Grenze zwischen Betreiber und Anbieter liegt, ist im Einzelfall zu prüfen: Nimmt ein Energieversorger wesentliche Änderungen an einem zugekauften KI-System vor, kann er nach Art. 25 KI-VO selbst zum Anbieter werden. Diese Regelung überrascht in der Praxis regelmäßig.
Geschäftsführerhaftung: Welche persönlichen Risiken entstehen durch den KI-Einsatz?
Für Geschäftsführer einer GmbH oder Vorstandsmitglieder einer AG stellt sich bei KI-Projekten eine zentrale Frage: Begründet das Unterlassen einer rechtzeitigen KI-Compliance-Prüfung persönliche Haftung? Nach unserer Erfahrung wird diese Frage in mittelständischen Energieunternehmen noch zu selten gestellt – obwohl die Antwort klar ist.
Die Sorgfaltspflicht des Geschäftsführers (§ 43 GmbHG) umfasst die Pflicht, Risiken des Unternehmens zu erkennen, zu steuern und gegebenenfalls externe Beratung einzuholen. Verstöße gegen die KI-VO können mit erheblichen Bußgeldern belegt werden: Verstöße gegen Verbote für inakzeptable KI-Risiken können nach Art. 99 KI-VO mit Bußgeldern bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes geahndet werden; Verstöße gegen Hochrisiko-Pflichten mit bis zu 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes. Für den Geschäftsführer persönlich ergibt sich daraus das Haftungsrisiko, wenn er die Einführung eines KI-Systems ohne rechtliche Prüfung veranlasst hat und dem Unternehmen dadurch ein Bußgeld oder Reputationsschaden entsteht.
Dieser Zusammenhang gilt unabhängig von der Unternehmensgröße. Auch ein Stadtwerk mit 200 Mitarbeitenden, das ein KI-gestütztes Störungsmanagement einführt, muss die Klassifizierungsfrage stellen. Wer das versäumt, handelt nach den Grundsätzen der Business Judgment Rule pflichtwidrig – denn die Norm war bekannt und anwendbar.
Rhetorisch gefragt: Können Sie als Geschäftsführer heute belegen, welche KI-Systeme in Ihrem Unternehmen im Einsatz sind, wie sie klassifiziert wurden und welche Compliance-Maßnahmen umgesetzt sind? Wenn nicht, ist Handlungsbedarf unmittelbar.
DSGVO und KI-VO im Zusammenspiel: Datenschutzrisiken in der Energiewirtschaft
KI-Systeme in der Energiewirtschaft verarbeiten in aller Regel personenbezogene Daten. Smart-Meter-Daten erlauben Rückschlüsse auf das Verhalten und die Lebensgewohnheiten von Haushaltskunden. KI-gestützte Verbrauchsanalysen können als Profiling einzustufen sein. Hier greift die DSGVO unmittelbar und ergänzt die Anforderungen der KI-VO.
Automatisierte Einzelentscheidungen nach Art. 22 DSGVO – etwa eine KI, die selbstständig Vertragskündigungen wegen Zahlungsrückständen auslöst – sind grundsätzlich unzulässig, sofern keine Ausnahme greift. Liegt eine solche vor, müssen Betroffene eine menschliche Überprüfung verlangen können. In der Praxis fehlen diese Widerspruchsmechanismen bei automatisierten Mahnprozessen häufig.
Daneben gilt: Verarbeitet ein KI-System Daten in einem Umfang, der zu einem hohen Risiko für Betroffene führt, ist eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO obligatorisch. Die genaue Schwelle ist im Einzelfall zu prüfen; die Aufsichtsbehörden haben jedoch Negativlisten veröffentlicht, die als Orientierungsrahmen dienen. Meldepflichten bei Datenschutzverletzungen bestehen nach Art. 33 DSGVO binnen 72 Stunden gegenüber der Aufsichtsbehörde. Diese Frist gilt auch dann, wenn der Sicherheitsvorfall durch ein fehlerhaftes KI-System ausgelöst wurde.
Für Energieunternehmen empfehlen wir, die DSGVO-Compliance und die KI-VO-Compliance nicht in getrennten Projekten zu behandeln. Ein integriertes Prüfprotokoll, das beide Regelwerke abbildet, spart Ressourcen und vermeidet blinde Flecken.
Branchenspezifische Herausforderungen: KI im Energiemarkt 2025/2026
Die Energiewirtschaft ist 2025 und 2026 einem regulatorischen Doppeldruck ausgesetzt: Einerseits treiben Anforderungen der Energiewende – Sektorkopplung, dezentrale Erzeugung, volatile Einspeisung aus erneuerbaren Quellen – den KI-Einsatz voran. Andererseits verschärft der Geltungsbeginn der KI-VO den Compliance-Rahmen erheblich.
Besonders relevant sind fünf Anwendungsfelder, die in der Beratungspraxis regelmäßig auftauchen:
- Netzlastprognose und automatisierte Schaltentscheidungen: Häufig Hochrisiko-KI nach Anhang III; vollständige Konformitätsbewertung erforderlich.
- KI-gestützte Preis- und Beschaffungsoptimierung im Energiehandel: Einordnung abhängig von der konkreten Systemarchitektur; Transparenzpflichten jedenfalls anwendbar.
- Predictive Maintenance an Windkraft- und Photovoltaikanlagen: Häufig minimales oder begrenztes Risiko; Klassifizierungsdokumentation dennoch empfehlenswert.
- Chatbots und automatisiertes Beschwerdemanagement im Kundenkontakt: Transparenzpflichten nach Art. 50 KI-VO zwingend; Nutzer müssen über KI-Einsatz informiert werden.
- KI-gestützte Bonitätsprüfung und Lieferantenauswahl: DSGVO-Profiling-Risiko; Art. 22 DSGVO prüfen; in bestimmten Konstellationen Hochrisiko-KI.
Was unterscheidet die Energiewirtschaft von anderen Branchen in diesem Regulierungsumfeld? Die Kombination aus KRITIS-Regulierung (Kritische Infrastrukturen), NIS-2-Richtlinie, IT-Sicherheitsrecht und nun der KI-VO schafft ein besonders dichtes Pflichtengefüge. Unternehmen, die diese Stränge nicht koordiniert bearbeiten, riskieren Doppelarbeit, Widersprüche in der Dokumentation und Lücken in der Compliance.
Aus der Mandatspraxis: In einem aktuellen Mandat beriet die Kanzlei ein mittelständisches Stadtwerk aus der Energiewirtschaft mit rund 300 Mitarbeitenden. Ausgangslage: Das Unternehmen hatte ein KI-gestütztes System zur automatisierten Steuerung von Umspannwerken eines Softwareanbieters lizenziert und produktiv gestellt, ohne eine förmliche Klassifizierung nach der KI-VO vorgenommen zu haben. Vorgehen: Die Kanzlei führte zunächst eine strukturierte Klassifizierungsanalyse durch, identifizierte das System als Hochrisiko-KI nach Anhang III und erarbeitete gemeinsam mit dem Softwareanbieter eine Verantwortungsabgrenzung nach Art. 25 KI-VO. Parallel wurden die internen Governance-Dokumente – Risikomanagementsystem, Protokollierungsprotokoll, Schulungsnachweis – auf den Anforderungsstand der Verordnung gebracht. Ergebnis: Das Unternehmen konnte die behördliche Anfrage fristgerecht und vollständig beantworten; die erforderlichen Anpassungen blieben im kalkulierbaren Rahmen, weil sie frühzeitig koordiniert wurden.
Praktischer Fahrplan: Wie Energieunternehmen KI-Compliance jetzt aufbauen
KI-Compliance ist kein einmaliges Projekt, sondern ein fortlaufender Prozess. Dennoch lässt sich ein strukturierter Einstieg in drei Phasen beschreiben, die wir in der Beratungspraxis bewährt sehen.
Phase 1 – Inventarisierung (sofort): Erstellen Sie eine vollständige Liste aller KI-Systeme, die in Ihrem Unternehmen eingesetzt werden – produktiv, im Pilotbetrieb oder in der Evaluierung. Erfassen Sie für jedes System: Anbieter, Einsatzzweck, verarbeitete Daten, Automatisierungsgrad. Ohne diesen Überblick ist keine belastbare Klassifizierung möglich.
Phase 2 – Klassifizierung (innerhalb von sechs bis acht Wochen): Ordnen Sie jedes System einer Risikoklasse nach der KI-VO zu. Für die Energiewirtschaft ist dabei besonders zu prüfen, ob ein System unter Anhang III (kritische Infrastruktur) fällt. Die Einordnung sollte anwaltlich begleitet werden, weil Fehlklassifizierungen unmittelbar bußgeldrelevant sind.
Phase 3 – Compliance-Umsetzung (bis zum vollständigen Geltungsbeginn der Hochrisiko-Pflichten): Für jedes identifizierte Hochrisiko-System sind Risikomanagementsystem, technische Dokumentation, Protokollierungsinfrastruktur und Schulungsnachweise einzurichten. Für Systeme begrenzten Risikos sind Transparenzhinweise zu implementieren. Für alle Systeme empfiehlt sich eine Governance-Richtlinie, die Verantwortlichkeiten, Überprüfungszyklen und Eskalationswege regelt.
Dieser Fahrplan lässt sich nur dann realistisch umsetzen, wenn intern klare Verantwortung zugewiesen ist – typischerweise beim Chief Information Officer, beim Datenschutzbeauftragten oder in einem eigens eingerichteten KI-Compliance-Ausschuss. Nach unserer Erfahrung sind Projekte, bei denen die Zuständigkeit ungeklärt bleibt, regelmäßig mit erheblichen Verzögerungen verbunden.
Die vorstehende Darstellung betrifft die Regelfälle und den Stand der KI-VO zum Zeitpunkt der Veröffentlichung. Ihr konkreter Fall erfordert die Prüfung Ihrer Systemlandschaft, der einschlägigen Übergangsfristen und der spezifischen regulatorischen Anforderungen in der Energiewirtschaft. Zur Klärung, wie die KI-Verordnung auf Ihr Unternehmen wirkt und welche Schritte prioritär sind, wenden Sie sich an info@brandtfalk.com.
Verwandte Leistungen
Häufige Fragen zum KI-Einsatz in der Energiewirtschaft und zur KI-Verordnung
Was ist die KI-Verordnung (EU AI Act) und seit wann gilt sie?
Die KI-Verordnung (Verordnung (EU) 2024/1689) ist im August 2024 in Kraft getreten. Ihr Geltungsbeginn ist gestaffelt: Verbote für inakzeptable Risiken gelten seit Februar 2025; vollständige Pflichten für Hochrisiko-KI-Systeme in kritischen Infrastrukturen – einschließlich der Energieversorgung – greifen ab August 2026. Die KI-VO gilt unmittelbar in allen EU-Mitgliedstaaten und verdrängt insoweit nationales Recht.
Gilt die KI-VO auch für kleine und mittelständische Energieunternehmen?
Ja. Die KI-VO differenziert nicht nach Unternehmensgröße, sondern nach Risikoklasse des eingesetzten Systems. Ein Stadtwerk, das ein KI-System zur Netzsteuerung betreibt, unterliegt denselben Hochrisiko-Pflichten wie ein großer Übertragungsnetzbetreiber. Für KMU sieht die Verordnung lediglich vereinfachte Registrierungsmodalitäten vor; materielle Pflichten bleiben unberührt.
Wann wird ein KI-System in der Energiewirtschaft als Hochrisiko-KI eingestuft?
KI-Systeme, die in der Steuerung oder dem Betrieb kritischer Infrastrukturen eingesetzt werden – insbesondere in der Strom-, Gas- und Wärmeversorgung – fallen nach Anhang III Nr. 2 der KI-VO in die Hochrisikokategorie. Entscheidend ist der tatsächliche Einsatzzweck, nicht die Produktbezeichnung. Die Einordnung sollte anwaltlich begleitet werden, da Fehlklassifizierungen unmittelbar bußgeldrelevant sind.
Was unterscheidet Anbieter von Betreibern eines KI-Systems?
Anbieter sind Unternehmen, die ein KI-System entwickeln oder in Verkehr bringen. Betreiber sind Unternehmen, die ein fremdes KI-System in ihrem Geschäftsbetrieb einsetzen. Energieunternehmen, die KI-Lösungen lizenzieren, sind typischerweise Betreiber. Nehmen sie jedoch wesentliche Anpassungen vor, können sie nach Art. 25 KI-VO selbst zum Anbieter werden – mit deutlich weitergehenden Pflichten.
Welche Bußgelder drohen bei Verstößen gegen die KI-VO?
Die KI-VO sieht ein abgestuftes Bußgeldsystem vor. Verstöße gegen Verbote für inakzeptable KI-Risiken können mit bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes geahndet werden. Verstöße gegen Pflichten für Hochrisiko-KI sind mit bis zu 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes bewehrt. Falsche oder irreführende Angaben gegenüber Behörden können zusätzlich sanktioniert werden.
Wie verhält sich die KI-VO zur DSGVO?
KI-VO und DSGVO stehen nebeneinander und ergänzen sich. KI-Systeme, die personenbezogene Daten verarbeiten – etwa Smart-Meter-Daten oder Kundenprofile – müssen beide Regelwerke erfüllen. Die DSGVO stellt zusätzliche Anforderungen an automatisierte Entscheidungen (Art. 22), Profiling und die Datenschutz-Folgenabschätzung. Eine koordinierte Compliance-Prüfung beider Regelwerke ist dringend empfehlenswert.
Die vorstehende Darstellung betrifft die typischen Konstellationen des KI-Einsatzes in der Energiewirtschaft. Ihr konkreter Fall erfordert die Prüfung Ihrer Systeme, Verträge und internen Prozesse gegen die Anforderungen der KI-VO und der DSGVO. Für eine erste Durchsicht Ihrer Unterlagen und eine fachliche Einschätzung Ihrer KI-Compliance-Situation erreichen Sie uns unter info@brandtfalk.com.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag ist eine allgemeine Information und stellt keine Rechtsberatung dar. Für eine Prüfung Ihres Falls kontaktieren Sie info@brandtfalk.com.