KI-Einsatz im Unternehmen und die KI-Verordnung – Energiewirtschaft: Checkliste

Energieversorgungsunternehmen, Netzbetreiber und Stadtwerke setzen KI-Systeme heute für Lastprognosen, vorausschauende Wartung, automatisierte Handelsstrategien und Kundeninteraktion ein – vielfach ohne belastbare rechtliche Grundlage. Seit dem vollständigen Inkrafttreten der EU-KI-Verordnung (Verordnung (EU) 2024/1689, EU AI Act) gelten gestufte Pflichten, die Geschäftsführer persönlich betreffen.

Die KI-Verordnung klassifiziert KI-Systeme in Risikokategorien und knüpft daran unmittelbare Compliance-Pflichten für Betreiber und Anbieter. Für die Energiewirtschaft sind insbesondere Systeme zur Steuerung kritischer Infrastruktur und zur Beeinflussung von Verbraucherentscheidungen relevant. Wer die gesetzlichen Anforderungen nicht erfüllt, riskiert Bußgelder von bis zu 30 Mio. € oder 6 % des weltweiten Jahresumsatzes – und haftet als Geschäftsführer gegebenenfalls persönlich. Die nachfolgende Checkliste strukturiert die wesentlichen Prüfungsschritte für mittelständische Energieunternehmen und zeigt, wo unmittelbarer Handlungsbedarf besteht.

Der Beitrag gliedert sich in sieben Prüfungsblöcke: Bestandsaufnahme, Risikoeinstufung, Hochrisiko-Pflichten, DSGVO-Überschneidungen, Vertragsgestaltung, interne Governance und konkrete nächste Schritte.

Schritt 1: Bestandsaufnahme – Welche KI-Systeme setzt Ihr Unternehmen ein?

Bevor Risikoeinstufungen vorgenommen werden können, muss das Unternehmen wissen, was es tatsächlich betreibt. In der Mandatspraxis sehen wir regelmäßig, dass mittelständische Energieunternehmen den Begriff „KI-System" im Sinne der Verordnung erheblich enger definieren als die Norm es verlangt.

Die KI-Verordnung definiert ein KI-System in Art. 3 Nr. 1 EU AI Act als maschinenbasiertes System, das aus Eingaben Ausgaben wie Prognosen, Empfehlungen oder Entscheidungen generiert, die reale oder virtuelle Umgebungen beeinflussen. Entscheidend ist nicht die Eigenbezeichnung des Lieferanten, sondern die tatsächliche Funktionsweise. Klassische Regelsteuerungen ohne Lernkomponente fallen nicht darunter – wohl aber adaptive Prognosesysteme, KI-gestützte Leittechnik und automatisierte Handelsalgorithmen.

Prüfungsfragen für Ihren Bestand:

• Welche Softwaresysteme treffen oder bereiten automatisiert Entscheidungen vor (Handelsplattformen, SCADA-Zusatzmodule, Kundenportale, Chatbots)?
• Welche Systeme wurden als „KI", „Machine Learning", „neuronales Netz" oder „predictive analytics" vermarktet?
• Welche Systeme liefern Empfehlungen, auf deren Basis Menschen – oder weitere Systeme – autonom handeln?
• Sind externe Dienstleister eingebunden, die KI-Komponenten als Teil einer Gesamtlösung betreiben?
• Existiert bereits ein internes Verzeichnis aller eingesetzten KI-Anwendungen?

Nach unserer Erfahrung fehlt in vielen mittelständischen Energieunternehmen genau dieses Verzeichnis. Ohne Vollständigkeit der Bestandsaufnahme ist eine rechtssichere Risikoeinstufung unmöglich. Erstellen Sie das Verzeichnis schriftlich – es ist zugleich Grundlage der Dokumentationspflichten nach Art. 12 EU AI Act.

Schritt 2: Risikoeinstufung – Fällt Ihr KI-System in eine regulierte Kategorie?

Die KI-Verordnung ordnet KI-Systeme in vier Kategorien ein: verbotene Praktiken, Hochrisiko-KI, KI mit begrenztem Risiko und KI mit minimalem Risiko. Für die Energiewirtschaft ist die Abgrenzung zwischen Hochrisiko und begrenztem Risiko von unmittelbarer praktischer Bedeutung.

Als Hochrisiko-KI gelten nach Anhang III EU AI Act insbesondere Systeme, die in der Verwaltung und dem Betrieb kritischer Infrastruktur eingesetzt werden – explizit benannt sind Strom-, Gas- und Wasserversorgung sowie Verkehr. Ein System zur automatisierten Netzlaststeuerung oder ein KI-gestütztes Ausfallprognosesystem für eine Mittelspannungsanlage fällt damit grundsätzlich in diese Kategorie.

Daneben ist zu prüfen, ob das eingesetzte System verbotene Praktiken nach Art. 5 EU AI Act berührt – etwa unterschwellige Beeinflussung von Verbraucherentscheidungen oder Social-Scoring-Mechanismen in Kundenbonusprogrammen. Verbotene Praktiken können nicht durch technische oder vertragliche Vorkehrungen legalisiert werden.

Orientierungsmatrix:

• KI zur Netzsteuerung oder Ausfallprognose (kritische Infrastruktur) → Hochrisiko, Anhang III EU AI Act → vollständige Konformitätsbewertung erforderlich
• KI-gestützte Handelsalgorithmen (Energie-Börsenhandel) → Prüfung auf Hochrisiko, Überschneidung mit MiFID II / REMIT → im Einzelfall anwaltlich prüfen
• Automatisierte Kundeninteraktion (Chatbot, virtuelle Assistenten) → begrenztes Risiko, Transparenzpflichten nach Art. 50 EU AI Act
• Predictive-Maintenance-Systeme ohne Einwirkung auf kritische Versorgungsleistungen → im Zweifel Hochrisiko, wenn Ausfall die Versorgungssicherheit beeinträchtigt
• Interne HR-Systeme (Bewerberauswahl, Leistungsbeurteilung) → Hochrisiko nach Anhang III, separate Compliance-Prüfung

Welche Kategorie trifft zu, wenn ein System sowohl Handelsentscheidungen unterstützt als auch Netzmanagementfunktionen übernimmt? Diese Frage beantwortet die Verordnung nicht abschließend – hier ist juristische Würdigung im Einzelfall unerlässlich.

Schritt 3: Hochrisiko-Pflichten – Was ist konkret zu tun?

Wer ein Hochrisiko-KI-System betreibt, trägt die Betreiberpflichten nach Art. 26 EU AI Act. Hinzu kommen – sofern das Unternehmen das System selbst entwickelt oder wesentlich angepasst hat – die Anbieterpflichten nach Art. 16 ff. EU AI Act. Beide Pflichtenkreise können gleichzeitig bestehen.

Die Kernanforderungen für Hochrisiko-Systeme umfassen nach der Verordnung insbesondere: ein Risikomanagementsystem, qualitätsgesichertes Training und eine belastbare Datenverwaltung, technische Dokumentation, Protokollierungsfähigkeit, Transparenz gegenüber Betreibern, menschliche Aufsicht sowie Robustheit und Cybersicherheit.

• Risikomanagementsystem (Art. 9 EU AI Act): Risiken müssen vor Inbetriebnahme identifiziert, bewertet und durch geeignete Maßnahmen minimiert werden. Dies ist kein einmaliger Vorgang, sondern ein fortlaufender Prozess über den gesamten Lebenszyklus des Systems.
• Datenverwaltung (Art. 10 EU AI Act): Trainings-, Validierungs- und Testdaten müssen bestimmte Qualitätskriterien erfüllen. Für Energieunternehmen, die Systeme auf Basis eigener Netz- und Verbrauchsdaten trainieren, sind zugleich Datenschutzanforderungen nach DSGVO zu beachten – dazu Schritt 4.
• Technische Dokumentation (Art. 11, Anhang IV EU AI Act): Vor Inbetriebnahme muss eine umfassende technische Dokumentation vorliegen. Sie muss auf Anfrage der Marktüberwachungsbehörde vorgelegt werden können.
• Protokollierungsfähigkeit (Art. 12 EU AI Act): Das System muss automatisch Ereignisse protokollieren, die für die nachträgliche Überprüfung relevant sind – insbesondere bei kritischer Infrastruktur.
• Menschliche Aufsicht (Art. 14 EU AI Act): Das System muss so gestaltet sein, dass menschliche Aufsicht effektiv möglich ist. Personen, die die Aufsicht ausüben, müssen nachweislich ausgebildet und befähigt sein, in die Systemlogik einzugreifen.
• Konformitätsbewertung (Art. 43 EU AI Act): Für viele Hochrisiko-Systeme genügt die Selbstbewertung des Anbieters – für bestimmte Kategorien ist hingegen eine Konformitätsbewertung durch eine notifizierte Stelle vorgeschrieben. Welches Verfahren gilt, richtet sich nach dem konkreten System.
• EU-Konformitätserklärung und CE-Kennzeichnung (Art. 47, 48 EU AI Act): Der Anbieter muss eine EU-Konformitätserklärung ausstellen und das System mit der CE-Kennzeichnung versehen, bevor es in Verkehr gebracht wird.
• Registrierung in der EU-Datenbank (Art. 49 EU AI Act): Hochrisiko-KI-Systeme müssen in der von der EU-Kommission geführten Datenbank registriert werden.

Für mittelständische Energieunternehmen, die Hochrisiko-Systeme von Drittanbietern beziehen, gilt: Die Betreiberpflichten werden nicht durch den Einkauf bei einem zertifizierten Anbieter vollständig übertragen. Betreiber tragen eigenständige Verantwortung für Implementierung, Schulung und Aufsicht.

Schritt 4: Überschneidung mit DSGVO und Datenschutz – Wo bestehen doppelte Anforderungen?

KI-Einsatz im Unternehmen berührt in der Energiewirtschaft regelmäßig personenbezogene Daten – Verbrauchsprofile, Smart-Meter-Daten, Kundensegmentierungen, Mitarbeiterdaten in HR-Systemen. Hier überlagern sich die Anforderungen der DSGVO und der EU AI Act. Beide Regelwerke sind kumulativ anzuwenden.

Die DSGVO verlangt unter anderem: eine Rechtsgrundlage für die Datenverarbeitung (Art. 6 DSGVO), Transparenz gegenüber Betroffenen (Art. 13, 14 DSGVO), eine Datenschutz-Folgenabschätzung (DSFA) bei voraussichtlich hohem Risiko (Art. 35 DSGVO) sowie das Recht, nicht ausschließlich automatisierten Entscheidungen unterworfen zu werden (Art. 22 DSGVO). Letzteres ist bei vollautomatisierten Angebotssystemen oder Bonitätsbewertungen in Lieferverträgen unmittelbar relevant.

Prüfungspunkte Datenschutz × KI:

• Liegt für jede KI-gestützte Verarbeitung personenbezogener Daten eine Rechtsgrundlage nach Art. 6 DSGVO vor?
• Wurden die Betroffenen im Rahmen der Transparenzpflichten über den KI-Einsatz informiert?
• Wurde für Hochrisiko-KI-Systeme, die personenbezogene Daten verarbeiten, eine DSFA nach Art. 35 DSGVO durchgeführt?
• Trifft das Unternehmen automatisierte Entscheidungen mit rechtlicher Wirkung gegenüber Kunden oder Mitarbeitern? Falls ja: Besteht ein Verfahren zur menschlichen Überprüfung nach Art. 22 Abs. 3 DSGVO?
• Sind Datenschutzverletzungen durch KI-Systeme innerhalb von 72 Stunden an die zuständige Aufsichtsbehörde zu melden (Art. 33 DSGVO)?
• Wurden Auftragsverarbeitungsverträge nach Art. 28 DSGVO mit KI-Dienstleistern geschlossen?

Nach unserer Erfahrung werden DSGVO-Anforderungen und KI-Verordnungspflichten in vielen Unternehmen in getrennten Silos bearbeitet. Sinnvoll ist eine integrierte Prüfung durch eine gemeinsame Arbeitsgruppe aus Datenschutzbeauftragtem, IT-Leitung und Rechtsabteilung – oder mit externer anwaltlicher Unterstützung.

Welche Vertragsklauseln schützen Ihr Unternehmen beim KI-Einkauf?

Wer KI-Systeme von externen Anbietern bezieht, schließt im Regelfall Software-as-a-Service-Verträge, Lizenzverträge oder Systemintegrationsverträge ab. Die Standardbedingungen vieler Anbieter sind auf die Anforderungen der EU AI Act noch nicht angepasst – oder sie versuchen, Betreiberpflichten einseitig auf den Kunden abzuwälzen.

Entscheidend ist, dass der Vertrag die Verantwortungssphären klar trennt: Was leistet der Anbieter im Rahmen seiner Anbieterpflichten? Welche Pflichten übernimmt der Betreiber? Wo sind Mitwirkungspflichten des Betreibers definiert, und welche Folgen hat deren Verletzung?

• Klassifikation und Dokumentation: Verpflichten Sie den Anbieter vertraglich, das System in der EU-Datenbank zu registrieren und Ihnen die technische Dokumentation nach Art. 11 EU AI Act zugänglich zu machen.
• Konformitätsnachweise: Fordern Sie die EU-Konformitätserklärung und – wo vorgeschrieben – das Prüfzertifikat einer notifizierten Stelle als Lieferpflicht.
• Auditrechte: Vereinbaren Sie das Recht, die Konformität des Anbieters regelmäßig zu prüfen oder durch Dritte prüfen zu lassen.
• Änderungsmanagement: KI-Systeme werden kontinuierlich aktualisiert. Klären Sie, ob wesentliche Änderungen eine neue Konformitätsbewertung auslösen und wie der Anbieter Sie darüber informiert.
• Haftungsverteilung: Stellen Sie sicher, dass Haftungsbeschränkungsklauseln nicht dazu führen, dass Sie als Betreiber für Schäden haften, die aus Anbieterverschulden entstanden sind.
• Datenschutz: Prüfen Sie, ob der Auftragsverarbeitungsvertrag nach Art. 28 DSGVO korrekt abgeschlossen ist und den Anforderungen beider Regelwerke genügt.
• Exit-Klauseln: Regeln Sie die Rückgabe oder Löschung von Daten bei Vertragsende – insbesondere bei Trainings- und Validierungsdaten, die Betriebsgeheimnisse oder personenbezogene Daten enthalten.

In einem aktuellen Mandat beriet die Kanzlei ein mittelständisches Stadtwerk aus der Energiewirtschaft. Ausgangslage: Das Unternehmen hatte ein KI-gestütztes Lastprognosesystem eines deutschen Softwareanbieters eingeführt; der Vertrag enthielt keine Regelungen zur technischen Dokumentation nach EU AI Act, keine Konformitätsnachweise und eine weitgehende Haftungsbeschränkung zugunsten des Anbieters. Vorgehen: Die Kanzlei analysierte den bestehenden Vertrag, identifizierte die Regelungslücken und verhandelte ein Vertragsaddendum, das den Anbieter zur Vorlage der technischen Dokumentation, zur Registrierung in der EU-Datenbank und zur Information bei wesentlichen Systemänderungen verpflichtete. Ergebnis: Das Stadtwerk erhielt eine vertraglich gesicherte Compliance-Grundlage – ohne dass der laufende Betrieb unterbrochen werden musste.

Schritt 6: Interne Governance – Wer ist im Unternehmen verantwortlich?

Die EU AI Act verlangt keine formale Bestellung eines „KI-Beauftragten" – anders als die DSGVO für den Datenschutzbeauftragten in bestimmten Fällen. Sie verlangt aber, dass für jedes Hochrisiko-System eine menschliche Aufsicht sichergestellt ist und dass die Personen, die diese Aufsicht ausüben, die Fähigkeit und die Befugnis haben, in die Systemlogik einzugreifen und das System erforderlichenfalls abzuschalten.

Für Geschäftsführer mittelständischer Energieunternehmen bedeutet das: Die Delegation von KI-Compliance an IT-Abteilungen oder externe Dienstleister entbindet nicht von der Leitungsverantwortung. Wer als Geschäftsführer wesentliche Compliance-Pflichten der Gesellschaft verletzt, riskiert eine persönliche Haftung nach den allgemeinen gesellschaftsrechtlichen Grundsätzen.

• Ist für jedes Hochrisiko-KI-System eine konkrete verantwortliche Person im Unternehmen benannt?
• Verfügt diese Person über die nötige Sachkunde, um die Systemlogik kritisch zu beurteilen?
• Gibt es ein Verfahren, mit dem die Aufsichtsperson das System sofort abschalten oder in den Manualbetrieb überführen kann?
• Sind Schulungen für alle Mitarbeiter dokumentiert, die mit Hochrisiko-KI-Systemen arbeiten?
• Gibt es eine interne Meldestelle für KI-bezogene Vorfälle – analog zu Datenschutzverletzungen?
• Wurde die KI-Governance in das bestehende Compliance-System des Unternehmens integriert?
• Überprüft das Management die KI-Systeme regelmäßig auf Konformität – insbesondere nach wesentlichen Softwareupdates?

Wir beraten regelmäßig Unternehmen, die ein etabliertes Datenschutz-Managementsystem besitzen, aber noch keine analogen Strukturen für den KI-Einsatz aufgebaut haben. Eine schrittweise Integration in bestehende Governance-Strukturen ist in der Regel effizienter als ein vollständiger Neuaufbau.

Schritt 7: Fristen, Inkrafttreten und nächste Schritte – Was gilt wann?

Die EU AI Act trat am 1. August 2024 in Kraft und gilt zeitlich gestaffelt. Verbotene KI-Praktiken nach Art. 5 EU AI Act sind seit dem 2. Februar 2025 unmittelbar anwendbar. Die Pflichten für Hochrisiko-KI-Systeme nach Anhang III gelten ab dem 2. August 2026. Für Hochrisiko-Systeme, die unter Anhang I (bestehende Produktsicherheitsrichtlinien) fallen, gilt eine verlängerte Übergangsfrist bis zum 2. August 2027.

Für die Praxis bedeutet das: Die Zeit bis August 2026 ist begrenzt. Wer die Bestandsaufnahme, die Risikoeinstufung und die Vertragsgestaltung jetzt beginnt, kann die Anforderungen planmäßig umsetzen. Wer wartet, wird unter Zeitdruck handeln müssen.

• Sofort (2025): Bestandsaufnahme aller KI-Systeme (Schritt 1); Prüfung auf verbotene Praktiken nach Art. 5 EU AI Act; Sichtung bestehender Verträge mit KI-Dienstleistern
• Bis Ende 2025: Risikoeinstufung aller identifizierten Systeme (Schritt 2); Identifikation von Hochrisiko-Systemen; Beginn der technischen Dokumentation
• Bis Mitte 2026: Vollständige Konformitätsbewertung für Hochrisiko-Systeme (Schritt 3); Vertragsverhandlungen mit Anbietern abschließen (Schritt 5); interne Governance einrichten (Schritt 6)
• Ab August 2026: Hochrisiko-Pflichten nach Anhang III vollständig erfüllt; laufendes Monitoring und jährliche Überprüfung
• Fortlaufend: DSGVO-Compliance parallel sicherstellen (Schritt 4); Schulungen wiederholen; Systemänderungen auf Konformitätsrelevanz prüfen

Liegt das Unternehmen mit der Umsetzung bereits im Rückstand? Dann empfiehlt sich eine priorisierte Prüfung: Systeme mit dem höchsten Risikopotenzial zuerst, gefolgt von Systemen mit unmittelbarem Kundenkontakt. Eine vollständige Compliance auf einen Schlag ist für den Mittelstand selten realistisch – ein dokumentierter, glaubhafter Fahrplan kann bei Aufsichtsbehörden jedoch bereits vertrauensbildend wirken.

Die vorstehende Darstellung betrifft die Regelfälle der KI-Verordnung im Kontext der Energiewirtschaft. Ihr konkreter Fall erfordert die Prüfung Ihrer eingesetzten Systeme, bestehenden Verträge und der einschlägigen Übergangspflichten.

Für eine erste Durchsicht Ihrer Unterlagen – insbesondere Systemübersichten, Lieferantenverträge und vorliegende Dokumentationen – erreichen Sie uns unter info@brandtfalk.com. Wir prüfen, welche Pflichten für Ihr Unternehmen konkret gelten und wo Handlungsbedarf besteht.

Verwandte Leistungen

• Haftung beim Einsatz von KI-Systemen im Überblick – Grundlagen der Haftungsverteilung zwischen Anbieter, Betreiber und Nutzer
• Haftung beim Einsatz von KI-Systemen: Rechtliche Würdigung – Vertiefte Analyse aktueller Haftungsfragen und Rechtsprechungslinien
• Haftung beim Einsatz von KI-Systemen: Rechtslage und Optionen – Gestaltungsoptionen zur Haftungsminimierung im Unternehmen

Häufige Fragen zum KI-Einsatz in der Energiewirtschaft

Die vorstehende Checkliste gibt einen strukturierten Überblick über die wesentlichen Prüfungsschritte. Ihr konkretes Unternehmen erfordert die individuelle Bewertung der eingesetzten Systeme, der bestehenden Verträge und der internen Governance-Strukturen. Für eine erste Durchsicht Ihrer Unterlagen schreiben Sie an info@brandtfalk.com – wir melden uns kurzfristig.

Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.

Dieser Beitrag ist eine allgemeine Information und stellt keine Rechtsberatung dar. Für eine Prüfung Ihres Falls kontaktieren Sie info@brandtfalk.com.