Automatisierte Qualitätsprüfung am Montageband, vorausschauende Wartungssysteme für Werkzeugmaschinen, KI-gestützte Konstruktionsunterstützung im CAD-Umfeld: Maschinenbauunternehmen integrieren künstliche Intelligenz in einem Tempo, das die Rechtsabteilung selten einholt. Was vielen Geschäftsführern dabei nicht bewusst ist: Mit dem EU AI Act – der Verordnung (EU) 2024/1689 des Europäischen Parlaments und des Rates, kurz KI-Verordnung – tritt ein verbindliches Regelungsregime in Kraft, das je nach Risikoeinstufung des eingesetzten Systems erhebliche Pflichten begründet und bei Verstößen empfindliche Sanktionen vorsieht.
Der KI-Einsatz im Unternehmen unterliegt seit dem Inkrafttreten der KI-Verordnung einem abgestuften Risikosystem: Hochrisiko-KI-Systeme – zu denen typische industrielle Anwendungen im Maschinenbau wie sicherheitsrelevante Steuerungssysteme gehören können – bedürfen umfassender Konformitätsnachweise, Dokumentationspflichten und einer internen Governance-Struktur, bevor sie in Betrieb genommen werden dürfen. Für den Mittelstand ist entscheidend, dass Pflichten nicht erst beim Hersteller, sondern auch beim Betreiber (Deployer) entstehen. Die DSGVO überlagert diese Anforderungen, sofern KI-Systeme personenbezogene Daten verarbeiten.
Dieser Leitfaden erläutert die relevanten Risikokategorien, die sich daraus ergebenden Betreiberpflichten, branchenspezifische Besonderheiten im Maschinenbau sowie die konkreten nächsten Schritte für die Unternehmensleitung.
Schritt 1: Welche Risikokategorien der KI-Verordnung sind für den Maschinenbau relevant?
Die KI-Verordnung unterscheidet vier Risikoklassen: verbotene KI-Praktiken, Hochrisiko-KI-Systeme, KI-Systeme mit begrenztem Risiko und KI-Systeme mit minimalem Risiko. Für Maschinenbauunternehmen ist die Einstufung als Hochrisiko-System die praktisch bedeutsamste Weichenstellung.
Hochrisiko-KI-Systeme sind nach Anhang III der KI-Verordnung unter anderem solche, die in Sicherheitskomponenten von Produkten eingesetzt werden, die ihrerseits unter die in Anhang I der Verordnung aufgeführten Produktsicherheitsrichtlinien und -verordnungen fallen. Dazu gehören exemplarisch die Maschinenverordnung (EU) 2023/1230, die Niederspannungsrichtlinie sowie die Druckgeräterichtlinie. Wer also eine Werkzeugmaschine mit einer KI-gestützten Steuerungskomponente ausstattet, die die Sicherheitsfunktion des Gesamtprodukts beeinflusst, betreibt nach derzeitigem Stand ein Hochrisiko-KI-System.
In der Mandatspraxis sehen wir, dass Maschinenbauunternehmen die Einstufungsfrage häufig zu früh abschließen: Man nimmt an, das eingesetzte System liege unterhalb der Hochrisiko-Schwelle, weil es nur „Empfehlungen" ausgebe. Entscheidend ist jedoch, ob die Empfehlung unmittelbar in einen sicherheitsrelevanten Steuerprozess einfließt – und das ist bei prädiktiver Wartung, die Abschaltvorgänge auslöst, regelmäßig der Fall.
Für KI-Systeme mit lediglich begrenztem Risiko – etwa einen KI-gestützten Chatbot im Kundenservice oder einen Angebotsassistenten – gelten demgegenüber nur Transparenzpflichten: Der Nutzer muss wissen, dass er mit einem automatisierten System interagiert. Dieser Unterschied ist erheblich und sollte im Rahmen einer systematischen KI-Inventarisierung für jedes eingesetzte System dokumentiert werden.
Schritt 2: Was sind die Pflichten als Betreiber (Deployer) eines Hochrisiko-KI-Systems?
Die KI-Verordnung unterscheidet zwischen dem Anbieter (Provider), der das System auf den Markt bringt oder in Betrieb nimmt, und dem Betreiber (Deployer), der es im eigenen unternehmerischen Kontext einsetzt. Wer eine fertige KI-Lösung eines Drittanbieters in seiner Fertigung oder Konstruktionsabteilung verwendet, ist Betreiber – und unterliegt eigenständigen Pflichten.
Betreiber von Hochrisiko-KI-Systemen müssen nach Art. 26 KI-Verordnung insbesondere sicherstellen, dass das System zweckkonform gemäß der Betriebsanleitung eingesetzt wird, eine angemessene menschliche Aufsicht gewährleistet ist, relevante Eingangsdaten der Kontrolle unterliegen und Vorfälle bzw. Fehlfunktionen dem Anbieter gemeldet werden. Darüber hinaus sind Betreiber verpflichtet, eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO durchzuführen, sofern personenbezogene Daten verarbeitet werden – was bei Systemen mit Gesichtserkennung, Verhaltensüberwachung am Arbeitsplatz oder Leistungsbewertung von Mitarbeitern regelmäßig der Fall ist.
Nach unserer Erfahrung stellt die Pflicht zur menschlichen Aufsicht viele mittelständische Maschinenbauunternehmen vor operative Herausforderungen: Sie setzt voraus, dass qualifizierte Mitarbeiter die Systemausgaben tatsächlich nachvollziehen und im Zweifelsfall eingreifen können. Das erfordert nicht nur technisches Verständnis, sondern auch Schulungen, die dokumentiert und aktuell gehalten werden müssen.
Eine häufig übersehene Pflicht betrifft die Führung von Aufzeichnungen: Betreiber müssen Protokolle, die das Hochrisiko-KI-System automatisch erzeugt (Logs), für die nach dem einschlägigen Recht vorgeschriebene Dauer aufbewahren. Die genaue Frist ist im Einzelfall zu prüfen; qualitativ gilt, dass die Aufbewahrungspflicht in aller Regel nicht kürzer sein sollte als die Verjährungsfristen für Produkthaftungsansprüche nach dem Produkthaftungsgesetz.
Schritt 3: Wie verhalten sich KI-Verordnung und DSGVO im Maschinenbaukontext?
Die KI-Verordnung und die DSGVO sind keine konkurrierenden, sondern komplementäre Regime – mit unterschiedlichen Schutzrichtungen und Sanktionskorridoren, die kumulativ zur Anwendung kommen können. Wer im Maschinenbau KI-Systeme betreibt, die Mitarbeiterdaten verarbeiten – etwa Predictive-Maintenance-Systeme, die Maschinenbediener identifizieren, oder Qualitätssicherungssysteme mit Kameraerfassung am Arbeitsplatz –, bewegt sich in beiden Regelungsrahmen gleichzeitig.
Aus dem DSGVO-Rahmen entstehen insbesondere drei Anforderungen, die mit den KI-VO-Pflichten in Wechselwirkung stehen: Erstens die Pflicht zur Durchführung einer Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO, wenn ein System voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen erzeugt – was bei Hochrisiko-KI-Systemen, die Arbeitnehmerdaten verarbeiten, regelmäßig anzunehmen ist. Zweitens die Pflicht zur Dokumentation der Verarbeitungstätigkeit nach Art. 30 DSGVO. Drittens der Grundsatz der Zweckbindung nach Art. 5 Abs. 1 lit. b DSGVO, der einer zweckfremden Nachnutzung von Produktionsdaten für KI-Training ohne gesonderte Rechtsgrundlage entgegensteht.
Bei einem Datenschutzverstoß im Zusammenhang mit einem KI-System können Bußgelder nach Art. 83 DSGVO bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes erreichen – je nachdem, welcher Betrag höher ist. Diese Sanktion tritt neben etwaige Bußgelder nach der KI-Verordnung selbst. Für einen mittelständischen Maschinenbauer mit einem Jahresumsatz im dreistelligen Millionenbereich können die Risiken rasch existenzielle Dimensionen annehmen.
Praktisch empfehlen wir, DSFA und die Risikobewertung nach KI-Verordnung in einem integrierten Verfahren zusammenzuführen: Das spart Ressourcen, vermeidet Widersprüche in den Dokumenten und schafft eine einheitliche Grundlage für die Aufsichtsbehörden – seien es die Datenschutzaufsichtsbehörden der Länder oder die für die KI-Verordnung noch einzurichtende nationale Marktüberwachungsbehörde.
Schritt 4: Welche Fristen und Übergangszeiträume gelten für den Maschinenbau?
Die KI-Verordnung trat am 1. August 2024 in Kraft und wird stufenweise anwendbar. Diese gestaffelte Anwendbarkeit ist für die Unternehmensplanung entscheidend – und wird in der Praxis häufig falsch eingeschätzt.
Verbotene KI-Praktiken nach Art. 5 der Verordnung gelten seit dem 2. Februar 2025. Ab diesem Datum sind bestimmte Systeme – etwa solche, die Personen anhand biometrischer Merkmale in öffentlichen Räumen in Echtzeit identifizieren – unionsrechtswidrig, sofern keine der engen Ausnahmen greift.
Für Hochrisiko-KI-Systeme, die unter Anhang I der Verordnung fallen (Produktsicherheits-Regelungen, also der für den Maschinenbau primär relevante Bereich), gilt eine Übergangsfrist bis zum 2. August 2027. Systeme, die ausschließlich unter Anhang III fallen, müssen ab dem 2. August 2026 konform sein. Die Verpflichtungen für Allzweck-KI-Modelle (GPAI) sind seit dem 2. August 2025 anwendbar.
Was bedeutet das in der Praxis? Für einen Maschinenbauer, der eine KI-gestützte Steuerungskomponente gemäß der neuen Maschinenverordnung in eine Produktlinie integriert, läuft die Uhr bis August 2027 – das klingt großzügig. In der Mandatspraxis beraten wir regelmäßig Unternehmen, die unterschätzt haben, wie viel Zeit interne Inventarisierung, Risikobewertung, technische Dokumentation, Konformitätsbewertungsverfahren und ggf. externe Audits in Anspruch nehmen. Zwölf bis achtzehn Monate vor dem Stichtag zu beginnen, ist keine Überreaktion – es ist Minimalstandard.
Wer hingegen KI-Systeme einsetzt, die ausschließlich intern wirken und weder unter Anhang I noch unter Anhang III fallen, ist mit den Transparenzpflichten und allgemeinen Grundsätzen konfrontiert, die teils bereits gelten. Auch hier besteht Handlungsbedarf.
Schritt 5: Governance-Struktur und interne Organisation – was muss der Geschäftsführer einrichten?
Die KI-Verordnung ist kein Selbstvollzugsrecht. Sie setzt voraus, dass Unternehmen proaktiv eine interne Governance-Struktur aufbauen, die Risiken bewertet, dokumentiert und beherrschbar macht. Für den Geschäftsführer eines mittelständischen Maschinenbauunternehmens bedeutet das konkret: Organisationsverantwortung, die er nicht vollständig delegieren kann.
Zunächst ist eine vollständige Inventarisierung aller eingesetzten KI-Systeme erforderlich. Das klingt trivial, ist es aber nicht: In der Praxis sind KI-Funktionen häufig in Standardsoftware (ERP-Systeme, CAD-Tools, Condition-Monitoring-Lösungen) eingebettet, ohne dass dies im Einkaufsprozess explizit als „KI" kommuniziert wurde. Die Abgrenzung zwischen regelbasierter Automatisierung und einem KI-System im Sinne des Art. 3 Nr. 1 KI-VO – nämlich einem maschinengestützten System, das für einen oder mehrere der dort genannten Zwecke entwickelt wurde und mit Techniken wie maschinellem Lernen arbeitet – ist dabei nicht trivial und muss im Einzelfall sorgfältig vorgenommen werden.
Empfehlenswert ist die Einrichtung eines interdisziplinären KI-Governance-Teams, das mindestens die Bereiche Technik/IT, Recht/Compliance, Arbeitssicherheit (HSE) und Personalwesen umfasst. Dieses Team ist verantwortlich für die laufende Risikobewertung, die Pflege der technischen Dokumentation, die Überwachung des Anbieterverhaltens und die Schulung der mit dem System arbeitenden Mitarbeiter.
Die technische Dokumentation für Hochrisiko-KI-Systeme ist nach Art. 11 KI-VO umfangreich: Sie muss u. a. eine allgemeine Beschreibung des Systems, Angaben zu Trainings-, Validierungs- und Testdaten, eine Beschreibung der Architektur sowie die Leistungsmetriken und Grenzen des Systems enthalten. Für Betreiber, die keine Anbieter sind, sind die Anforderungen zwar reduziert – aber die Pflicht, systembezogene Informationen aktiv beim Anbieter einzufordern und in die eigene Dokumentation zu integrieren, besteht.
Nach unserer Erfahrung führt die Kombination aus technischen Dokumentationsanforderungen, Datenschutz-Folgenabschätzung und arbeitsrechtlicher Betriebsratsanhörungspflicht (sofern eine Interessenvertretung besteht) zu einem Projektaufwand, den mittelständische Unternehmen ohne externe Unterstützung selten vollständig abbilden. Eine frühzeitige anwaltliche Begleitung reduziert Doppelarbeit und verhindert Lücken in der Compliance-Dokumentation.
Schritt 6: Vertragsgestaltung mit KI-Anbietern – was ist beim Einkauf zu beachten?
Wer als Maschinenbauunternehmen KI-Systeme von Drittanbietern bezieht, ist gut beraten, die Lieferantenbeziehung nicht nur technisch, sondern auch vertraglich so zu gestalten, dass die eigenen Compliance-Pflichten nach der KI-Verordnung erfüllbar sind. Das ist ein häufig unterschätzter Aspekt in Einkaufsverhandlungen.
Konkret empfehlen wir, mit KI-Anbietern folgende Regelungskomplexe vertraglich zu verankern: Erstens eine Informationspflicht des Anbieters, die sicherstellt, dass das Unternehmen zeitnah über Änderungen am System, bekannte Fehlfunktionen und sicherheitsrelevante Updates informiert wird. Zweitens eine Gewährleistungszusage, die die Konformität des Systems mit den zum Zeitpunkt der Lieferung anwendbaren Anforderungen der KI-VO umfasst – einschließlich der Bereitstellung der für die Betreiberpflichten erforderlichen technischen Unterlagen. Drittens eine Regelung zur Übertragung von Logdaten und Protokollen, damit der Betreiber seiner Aufbewahrungspflicht nachkommen kann.
Besondere Aufmerksamkeit verdient die Haftungsverteilung: Die KI-Verordnung weist Anbieter und Betreiber eigenständige Pflichtenkreise zu, ohne eine zivilrechtliche Haftungsregelung zwischen ihnen zu treffen – das bleibt dem nationalen Vertragsrecht und dem noch verhandelten europäischen KI-Haftungsrahmen überlassen. Wer im Einkaufsvertrag keine explizite Haftungsfreistellung für Schäden vereinbart, die aus Fehlinformationen des Anbieters über die Systemfähigkeiten resultieren, trägt dieses Risiko selbst.
In der Mandatspraxis begleiten wir regelmäßig Verhandlungen, in denen Anbieterstandard-AGB einseitig die Gewährleistung für KI-Konformität ausschließen und den Betreiber mit dem gesamten Compliance-Risiko alleinlassen. Eine Prüfung der einschlägigen AGB-Klauseln vor Vertragsabschluss ist daher keine Formalität – sie ist Teil des unternehmerischen Risikomanagements.
Aus der Mandatspraxis: In einem aktuellen Mandat beriet die Kanzlei ein mittelständisches Unternehmen aus der Maschinenbaubranche mit rund 300 Mitarbeitern, das ein KI-gestütztes Predictive-Maintenance-System eines europäischen Softwareanbieters in seine Fertigungslinien integriert hatte. Ausgangslage: Das Unternehmen hatte das System ohne vertragliche Regelung zur Dokumentationsbereitstellung beschafft und war nun nicht in der Lage, die für die Betreiberpflichten nach der KI-Verordnung erforderliche technische Dokumentation vom Anbieter einzufordern – der Anbieter berief sich auf Geschäftsgeheimnisse. Vorgehen: Die Kanzlei analysierte zunächst, ob das System nach dem konkreten Einsatzprofil als Hochrisiko-KI einzustufen war, und entwarf eine Nachtragsvereinbarung, die die Mindestanforderungen an Dokumentationszugang und Logdatenverwaltung vertragsrechtlich absicherte. Parallel wurde eine DSFA für die miterfassten Maschinenführerdaten eingeleitet. Ergebnis: Eine belastbare Grundlage für die Compliance-Dokumentation des Unternehmens gegenüber der Marktüberwachungsbehörde konnte etabliert werden; die Beschaffungsrichtlinien des Unternehmens wurden für zukünftige KI-Einkäufe grundlegend überarbeitet.
Schritt 7: Nächste Schritte – was sollte die Geschäftsführung jetzt veranlassen?
Für einen Geschäftsführer im Maschinenbau, der die beschriebenen Anforderungen ernst nimmt, lassen sich die nächsten Schritte in einer strukturierten Reihenfolge benennen. Die Frage ist nicht, ob Handlungsbedarf besteht – sondern wie er priorisiert wird.
Erster Schritt: KI-Inventarisierung. Dokumentieren Sie alle im Unternehmen eingesetzten Systeme, die KI-Funktionen aufweisen könnten. Beziehen Sie dabei explizit die in Standard-Software-Lösungen integrierten KI-Funktionen ein. Das Ergebnis ist ein KI-Register, das als Grundlage für alle weiteren Schritte dient.
Zweiter Schritt: Risikoeinstufung. Nehmen Sie für jedes inventarisierte System eine Einstufung nach der Risikokategorie der KI-Verordnung vor. Die entscheidende Frage lautet: Fällt das System unter Anhang I oder Anhang III der KI-VO? Bei Unklarheiten – insbesondere bei Systemen, die als Steuerungskomponente in Maschinen eingebettet sind – ist die Einstufung anwaltlich abzusichern.
Dritter Schritt: Governance-Struktur aufbauen. Richten Sie das interdisziplinäre KI-Governance-Team ein. Definieren Sie Verantwortlichkeiten, Eskalationswege und den Turnus für die Überprüfung der KI-Systeme. Stellen Sie sicher, dass der oder die Datenschutzbeauftragte einbezogen ist.
Vierter Schritt: Dokumentation und DSFA. Erstellen Sie für Hochrisiko-KI-Systeme die erforderliche Betreiberdokumentation und führen Sie ggf. die DSFA durch. Fordern Sie vom Anbieter die technische Dokumentation und die Betriebsanleitung ein – und dokumentieren Sie, wenn der Anbieter dies verweigert oder nur unvollständig erfüllt.
Fünfter Schritt: Vertragsreview. Prüfen Sie bestehende Beschaffungsverträge für KI-Systeme auf Lücken und passen Sie künftige Einkaufsbedingungen an. Ergänzen Sie Ihre Standard-Lieferantenbedingungen um einen KI-spezifischen Abschnitt.
Sechster Schritt: Schulung. Schulen Sie die mit Hochrisiko-KI-Systemen arbeitenden Mitarbeiter gemäß Art. 26 Abs. 6 KI-VO. Dokumentieren Sie Inhalt, Datum und Teilnehmer der Schulungen.
Besteht ein Betriebsrat im Unternehmen, ist zu beachten, dass der Einsatz von KI-Systemen, die das Verhalten oder die Leistung von Arbeitnehmern überwachen oder bewerten, mitbestimmungspflichtig nach § 87 Abs. 1 Nr. 6 BetrVG sein kann. Die Einleitung einer entsprechenden Beteiligung gehört daher in aller Regel in die Schrittfolge, bevor das System produktiv genutzt wird.
Die vorstehende Darstellung betrifft die Regelfälle nach dem derzeitigen Stand der KI-Verordnung. Ihr konkreter Fall erfordert die Prüfung der spezifischen Systemfunktionen, der eingesetzten Technologien sowie der einschlägigen Produktsicherheitsvorschriften. Für eine erste Durchsicht Ihrer Unterlagen – KI-Register, Beschaffungsverträge, bestehende Datenschutzdokumentation – erreichen Sie uns unter info@brandtfalk.com.
Verwandte Leistungen
Häufige Fragen zum KI-Einsatz im Maschinenbau und der KI-Verordnung
Was versteht die KI-Verordnung unter einem „Hochrisiko-KI-System" im Maschinenbau?
Ein KI-System gilt nach der KI-Verordnung als hochriskant, wenn es als Sicherheitskomponente in einem Produkt eingesetzt wird, das unter die in Anhang I der KI-VO genannten Produktsicherheitsvorschriften fällt – darunter die neue Maschinenverordnung (EU) 2023/1230. Für Maschinenbauunternehmen bedeutet das: KI-gestützte Steuerungs-, Überwachungs- oder Schutzfunktionen in Maschinen sind regelmäßig als hochriskant einzustufen. Die genaue Qualifikation hängt vom konkreten Systemdesign und dem Einsatzprofil ab und sollte anwaltlich abgeklärt werden.
Gilt die KI-Verordnung auch, wenn ein Maschinenbauunternehmen KI nur intern – also nicht im verkauften Produkt – einsetzt?
Ja. Die KI-Verordnung erfasst nicht nur KI in vermarkteten Produkten, sondern auch den Einsatz von KI durch Betreiber im eigenen betrieblichen Kontext. Wer also ein KI-System zur internen Qualitätskontrolle, Produktionsplanung oder Mitarbeiterüberwachung betreibt, unterliegt den Betreiberpflichten nach Art. 26 KI-VO. Handelt es sich um ein Hochrisiko-System, treffen den Betreiber umfangreiche Dokumentations-, Schulungs- und Aufsichtspflichten, auch wenn das System nicht weiterverkauft wird.
Bis wann müssen Maschinenbauunternehmen die Anforderungen für Hochrisiko-KI-Systeme erfüllen?
Für Hochrisiko-KI-Systeme, die unter die in Anhang I der KI-VO genannten Produktsicherheitsvorschriften fallen (also den für den Maschinenbau zentralen Bereich), gilt als Übergangsfrist der 2. August 2027. Für Systeme, die ausschließlich unter Anhang III einzustufen sind, endet die Übergangsfrist am 2. August 2026. Angesichts des Aufwands für Inventarisierung, Dokumentation und Konformitätsbewertung sollten Unternehmen jetzt beginnen.
Müssen wir den Betriebsrat einbeziehen, bevor wir ein KI-System in der Produktion einsetzen?
Das hängt vom konkreten Einsatzprofil ab. Bewertet oder überwacht das KI-System das Verhalten oder die Leistung von Mitarbeitern, ist in der Regel die Mitbestimmung des Betriebsrats nach § 87 Abs. 1 Nr. 6 BetrVG erforderlich. Das gilt etwa für Kamerasysteme mit KI-Auswertung am Arbeitsplatz oder KI-gestützte Leistungserfassung. Die Einleitung des Beteiligungsverfahrens sollte vor der produktiven Inbetriebnahme des Systems erfolgen, um Unterlassungsansprüche des Betriebsrats zu vermeiden.
Was passiert, wenn ein KI-Anbieter die für unsere Betreiberpflichten erforderliche Dokumentation nicht herausgibt?
Die KI-Verordnung verpflichtet Anbieter, Betreibern die zur Erfüllung ihrer Pflichten erforderlichen Informationen zur Verfügung zu stellen. Verweigert ein Anbieter dies, stellt sich zunächst die vertragliche Frage: Ist eine entsprechende Herausgabepflicht im Beschaffungsvertrag verankert? Ist das nicht der Fall, bleiben gewährleistungsrechtliche Ansprüche zu prüfen. Unabhängig davon sollte die Verweigerung dokumentiert werden, da sie für eine etwaige Aufsichtsprüfung relevant sein kann. Zukünftige Beschaffungsverträge sollten eine explizite Dokumentationspflicht des Anbieters enthalten.
Die vorstehende Darstellung betrifft die typischen Fallkonstellationen im Maschinenbau nach dem derzeitigen Entwicklungsstand der KI-Verordnung. Ihr konkreter Fall erfordert die Prüfung Ihrer Systemlandschaft, Ihrer Vertragsunterlagen und der anwendbaren Produktsicherheitsvorschriften. Für eine erste Durchsicht Ihrer Unterlagen wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.