Ein mittelständischer Maschinenbauer integriert eine KI-gestützte Qualitätskontrolle in die Produktion. Ein Handelsunternehmen nutzt algorithmische Preisoptimierung. Ein Personaldienstleister setzt auf automatisierte Bewerbungsscreening-Tools. Alle drei Szenarien verbindet eine Gemeinsamkeit: Die Europäische KI-Verordnung – die sogenannte KI-VO oder EU AI Act – greift, erzeugt Pflichten und eröffnet Haftungsrisiken, über die Geschäftsführerinnen und Geschäftsführer heute informiert sein müssen.
Die EU-KI-Verordnung (Verordnung (EU) 2024/1689, kurz: KI-VO) ist seit August 2024 in Kraft und entfaltet ihre Wirkung stufenweise bis 2027. Sie klassifiziert KI-Systeme nach Risikoklassen – von verbotenen Praktiken bis zu Hochrisiko-KI – und verknüpft damit konkrete Betreiber- und Anbieterpflichten. Für den Mittelstand bedeutet das: Wer KI-Systeme einsetzt, ist in aller Regel als „Betreiber" im Sinne der KI-VO einzustufen und unterliegt unmittelbaren Compliance-Anforderungen, deren Nichterfüllung Bußgelder von bis zu 35 Mio. Euro oder 7 % des weltweiten Jahresumsatzes nach sich ziehen kann.
Der folgende Beitrag analysiert die wesentlichen Pflichten, benennt die kritischen Fristen der Einführungsphase, ordnet Wechselwirkungen mit der DSGVO ein und zeigt, welche unternehmerischen Entscheidungen jetzt zwingend getroffen werden müssen.
Was ist die KI-Verordnung und wen betrifft sie im Mittelstand?
Die KI-VO ist das weltweit erste umfassende Rechtswerk zur Regulierung von KI-Systemen. Sie unterscheidet nicht danach, ob ein Unternehmen Technologieanbieter oder klassischer Mittelständler ist: Maßgeblich ist allein die Rolle im Lebenszyklus des Systems. Wer ein KI-System unter eigener Verantwortung in der beruflichen Tätigkeit einsetzt – auch wenn er es zugekauft hat – ist Betreiber (englisch: Deployer) im Sinne von Art. 3 Nr. 4 KI-VO und unterliegt unmittelbaren Rechtspflichten.
Die Verordnung gilt unmittelbar in allen EU-Mitgliedstaaten ohne Umsetzungsgesetz. Ihr räumlicher Anwendungsbereich ist bewusst weit gefasst: Sie erfasst auch Unternehmen außerhalb der EU, wenn der Output des KI-Systems in der Union genutzt wird. Für den deutschen Mittelstand mit europäischem Vertriebsnetz ergibt sich daraus eine nahezu lückenlose Abdeckung.
In der Mandatspraxis sehen wir häufig eine erste Fehleinschätzung: Unternehmen glauben, die KI-VO betreffe nur Softwarehersteller oder Technologiekonzerne. Das ist falsch. Wer einen zugekauften KI-Chatbot zur Kundenkommunikation betreibt, wer ein HR-Tool zur Bewerberauswahl lizenziert, wer prädiktive Wartungssoftware in der Produktion einsetzt – all diese Unternehmen sind Betreiber und damit direkte Adressaten der Verordnung. Die Abgrenzung von Anbieter (Provider) und Betreiber ist in jedem Mandat sorgfältig zu prüfen, da manche Pflichten exklusiv dem Anbieter obliegen, andere wiederum den Betreiber belasten.
Das Risikoklassensystem: Welche KI-Systeme fallen unter welche Anforderungen?
Das Herzstück der KI-VO ist ein vierstufiges Risikomodell, das die Anforderungen an KI-Systeme nach ihrem Gefährdungspotenzial staffelt. Die Einstufung entscheidet über den gesamten Compliance-Aufwand eines Unternehmens.
Verbotene KI-Praktiken (Art. 5 KI-VO) sind seit dem 2. Februar 2025 untersagt. Darunter fallen Systeme zur subliminalen Beeinflussung, zur biometrischen Echtzeit-Fernidentifikation im öffentlichen Raum ohne behördliche Ermächtigung sowie Social-Scoring-Systeme. Unternehmen, die solche Systeme betreiben – was in der Praxis seltener vorkommt, aber bei bestimmten Kundenbindungsprogrammen oder Kreditwürdigkeitsbewertungen näher zu prüfen ist –, müssen diese umgehend einstellen.
Die praktisch bedeutsamste Kategorie für den Mittelstand ist die der Hochrisiko-KI-Systeme (Art. 6, Anhang III KI-VO). Hier sind die Anforderungen am weitreichendsten. Als Hochrisiko-KI eingestuft werden unter anderem Systeme, die in kritischen Infrastrukturen eingesetzt werden, automatisierte Personalentscheidungen treffen (Einstellung, Beförderung, Kündigung), Kreditwürdigkeit natürlicher Personen bewerten oder in der beruflichen Aus- und Weiterbildung genutzt werden. Wer solche Systeme betreibt, muss ein Risikomanagement-System einrichten, technische Dokumentationspflichten erfüllen, Maßnahmen zur menschlichen Aufsicht implementieren und die Nutzenden informieren. Hochrisiko-Systeme dürfen von Betreibern grundsätzlich erst nach Durchführung einer Konformitätsbewertung eingesetzt werden.
KI-Systeme mit begrenztem Risiko (Art. 52 KI-VO) – etwa Chatbots oder Deepfake-generierende Systeme – unterliegen primär Transparenzpflichten. Nutzer müssen darüber informiert werden, dass sie mit einem KI-System interagieren. Diese Anforderung ist operativ vergleichsweise schlank, wird aber in der Praxis oft übersehen. Systeme mit minimalem Risiko sind ohne besondere Anforderungen einsetzbar, wobei die KI-VO freiwillige Verhaltenskodizes fördert.
Nach unserer Erfahrung ist die Erstklassifizierung des eigenen KI-Portfolios der anspruchsvollste, weil rechtlich folgenreichste Schritt. Eine fehlerhafte Einstufung – etwa die irrtümliche Annahme, ein HR-Screening-Tool sei kein Hochrisiko-System – kann unmittelbar Bußgelder und Haftungsrisiken auslösen.
Welche Fristen gelten: Der Zeitplan der KI-VO bis 2027
Die KI-VO sieht ein gestaffeltes Inkrafttreten vor, das Unternehmen eine Vorlaufzeit gibt – ohne diese jedoch zu verlängern, wenn die internen Vorbereitungen ausbleiben. Die Fristen sind verbindlich.
Die Verordnung ist am 1. August 2024 in Kraft getreten. Verbotene KI-Praktiken nach Art. 5 KI-VO sind seit dem 2. Februar 2025 untersagt. Wer solche Systeme zu diesem Zeitpunkt noch betrieb, befand sich ab diesem Datum im rechtswidrigen Zustand. Die Pflichten für Hochrisiko-KI-Systeme greifen zum 2. August 2026. Die vollständige Anwendung der Verordnung einschließlich der Anforderungen an KI-Systeme allgemeiner Verwendung (General Purpose AI, GPAI) ist zum 2. August 2027 vorgesehen.
Für mittelständische Betreiber bedeutet das: Der August 2026 ist die zentrale Handlungsfrist. Bis dahin müssen Hochrisiko-Betreiber ihr Risikomanagement-System etabliert, die Konformität ihrer Systeme dokumentiert und – wo erforderlich – notifiziert haben. Diese Frist klingt komfortabel. Sie ist es nicht. Die organisatorischen Voraussetzungen – Inventur des KI-Portfolios, Klassifizierung, Dokumentation, Schulung der Verantwortlichen, Anpassung von Verträgen mit KI-Anbietern – erfordern erfahrungsgemäß sechs bis zwölf Monate.
Wer jetzt, im Jahr 2026, noch keine Bestandsaufnahme vorgenommen hat, bewegt sich auf eine Compliance-Lücke zu. Die Konsequenzen sind nicht theoretischer Natur: Datenschutzbehörden in Deutschland haben bereits signalisiert, bei der Durchsetzung der KI-VO aktiv zu werden, und die DSGVO-Erfahrung zeigt, wie schnell erste Verfahren eingeleitet werden, sobald eine neue Verordnung scharf gestellt ist.
Betreiberpflichten im Einzelnen: Was Unternehmen konkret tun müssen
Die KI-VO unterscheidet die Pflichten von Betreibern (Deployern) klar von jenen der Anbieter. Für den Mittelstand, der zugekaufte Systeme nutzt, sind folgende Betreiberpflichten unmittelbar relevant.
Erstens die Risikoanalyse und Zweckbindung: Betreiber dürfen Hochrisiko-KI-Systeme nur für die Zwecke einsetzen, für die sie vom Anbieter bestimmt wurden. Eine eigenmächtige Erweiterung des Anwendungsbereichs – etwa der Einsatz eines für HR konzipierten Screening-Tools auch für Kreditentscheidungen – kann den Betreiber in die Rolle des Anbieters drängen und damit erheblich weitergehende Pflichten auslösen.
Zweitens die menschliche Aufsicht (Human Oversight): Hochrisiko-KI-Systeme müssen so eingesetzt werden, dass eine natürliche Person die Ausgaben des Systems überwachen, hinterfragen und ggf. außer Kraft setzen kann. Der Betreiber muss sicherstellen, dass die zuständigen Mitarbeiterinnen und Mitarbeiter entsprechend geschult und organisatorisch befähigt sind. Hier entsteht eine unmittelbare Geschäftsführerpflicht: Die Delegation an IT-Abteilungen ohne klare Governance-Struktur genügt nicht.
Drittens die Protokollierungs- und Dokumentationspflichten: Betreiber von Hochrisiko-Systemen sind verpflichtet, Protokolldaten zu speichern, soweit dies in ihrer Kontrolle liegt. Die Aufbewahrungsdauer richtet sich nach dem jeweiligen Anwendungsfall, beträgt jedoch mindestens sechs Monate. Diese Anforderung überschneidet sich mit den Löschpflichten der DSGVO – auf die damit verbundene Kollisionsproblematik wird weiter unten eingegangen.
Viertens die Transparenz gegenüber natürlichen Personen: Werden natürliche Personen unmittelbar von einem Hochrisiko-KI-System bewertet, klassifiziert oder anderweitig betroffen, sind sie hierüber zu informieren. Dies gilt beispielsweise für Bewerber, die durch ein KI-gestütztes Screening-System vorausgewählt werden. Die Informationspflicht geht über die bereits bestehenden DSGVO-Anforderungen hinaus und schafft eigene Haftungsgrundlagen.
Fünftens die Registrierungspflicht: Betreiber bestimmter Hochrisiko-Systeme sind verpflichtet, ihre Nutzung in einer von der EU-Kommission geführten Datenbank zu registrieren. Diese Pflicht ist für bestimmte Sektoren – darunter Bildung, Beschäftigung und kritische Infrastrukturen – besonders relevant.
Schnittstelle DSGVO: Wo beide Regime kollidieren und wie Unternehmen damit umgehen
Der KI-Einsatz im Unternehmen ist selten ein datenschutzfreier Raum. Nahezu jedes KI-System, das personenbezogene Daten verarbeitet – und das ist bei HR-Anwendungen, Kundenkommunikation, Kreditbewertungen und Ähnlichem stets der Fall –, unterliegt gleichzeitig den Anforderungen der DSGVO. Das Zusammenspiel beider Regime erzeugt Spannungen, die in der Praxis sorgfältig aufgelöst werden müssen.
Ein zentrales Spannungsfeld betrifft die Zweckbindung und Datensparsamkeit nach Art. 5 DSGVO einerseits und das Erfordernis umfangreicher Trainingsdaten sowie Protokollierung nach der KI-VO andererseits. Wer ein Hochrisiko-KI-System betreibt und gesetzlich verpflichtet ist, Protokolldaten zu speichern, muss gleichzeitig sicherstellen, dass diese Datenspeicherung eine Rechtsgrundlage nach Art. 6 DSGVO aufweist und mit den Grundsätzen der Datensparsamkeit vereinbar ist. Eine pauschale Berufung auf die KI-VO als Rechtsgrundlage für die DSGVO ist nicht statthaft.
Die Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO ist für KI-Systeme, die systematische Bewertungen oder Profiling von natürlichen Personen durchführen, nahezu immer erforderlich. Die KI-VO fordert ihrerseits eine Grundrechte-Folgenabschätzung für bestimmte Hochrisiko-Systeme. Obwohl beide Instrumente ähnliche Ziele verfolgen, sind sie nicht deckungsgleich. Unternehmen sollten beide Verfahren koordiniert, aber nicht identisch behandeln und die jeweiligen Ergebnisse separat dokumentieren.
Praktisch bedeutsam ist außerdem die Betroffenenrechte-Frage: DSGVO-Auskunftsansprüche nach Art. 15 DSGVO sind grundsätzlich binnen eines Monats zu erfüllen. Wer ein KI-System einsetzt, das Entscheidungen über Betroffene trifft oder vorbereitet, muss sicherstellen, dass diese Auskunftsfähigkeit organisatorisch gewährleistet ist – also dass das Unternehmen tatsächlich erklären kann, auf welcher Grundlage das KI-System zu einem bestimmten Ergebnis gekommen ist. Black-Box-Systeme, die keine nachvollziehbaren Ausgaben produzieren, sind hier strukturell problematisch.
Nach unserer Erfahrung empfiehlt sich für Unternehmen mit einem breiteren KI-Portfolio ein integriertes AI-Governance-Dokument, das DSGVO- und KI-VO-Anforderungen zusammenführt, ohne sie zu vermischen. Dies erleichtert nicht nur die interne Kontrolle, sondern auch die Kommunikation mit Aufsichtsbehörden.
Aus der Mandatspraxis: In einem aktuellen Mandat beriet die Kanzlei ein mittelständisches Logistikunternehmen mit rund 450 Mitarbeitern, das ein zugekauftes KI-System zur Tourenoptimierung und zur automatisierten Leistungsbewertung von Fahrern einsetzte. Ausgangslage: Das Unternehmen hatte das System im Glauben eingeführt, es handele sich um ein einfaches Analyse-Tool ohne besondere Regulierungsrelevanz. Vorgehen: Im Zuge einer KI-VO-Erstbewertung stellte sich heraus, dass das Leistungsbewertungsmodul als Hochrisiko-KI-System im Sinne von Anhang III KI-VO einzustufen war, da es unmittelbar beschäftigungsrelevante Entscheidungen vorbereitete. Zusätzlich bestand eine DSFA-Pflicht nach Art. 35 DSGVO, die bislang nicht erfüllt worden war. Die Kanzlei begleitete die Klassifizierung, erstellte die notwendige Dokumentation, passte den Lieferantenvertrag hinsichtlich der Anbieter-Pflichten an und erarbeitete ein Human-Oversight-Konzept. Ergebnis: Das Unternehmen konnte das System nach Umsetzung der erforderlichen Maßnahmen weiterhin nutzen und ist für die August-2026-Frist dokumentarisch vorbereitet.
Bußgelder und Haftungsrisiken: Was Geschäftsführer persönlich treffen kann
Die KI-VO schreibt ein dreistufiges Bußgeldsystem fest, das sich an der Schwere des Verstoßes orientiert. Bei Verstößen gegen verbotene KI-Praktiken (Art. 5 KI-VO) drohen Bußgelder von bis zu 35 Mio. Euro oder 7 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Verstöße gegen sonstige Kernpflichten – etwa die Anforderungen an Hochrisiko-Systeme – können mit bis zu 15 Mio. Euro oder 3 % des weltweiten Jahresumsatzes geahndet werden. Falsche oder irreführende Angaben gegenüber Behörden sind mit bis zu 7,5 Mio. Euro oder 1,5 % belegt.
Für mittelständische Unternehmen mit einem weltweiten Umsatz zwischen 50 und 500 Mio. Euro bedeutet das: Selbst der mittlere Bußgeldrahmen kann existenzgefährdende Dimensionen annehmen. Hinzu kommt: Die zuständigen nationalen Marktüberwachungsbehörden – in Deutschland voraussichtlich eine Koordination zwischen Bundesnetzagentur, Bundesamt für Sicherheit in der Informationstechnik (BSI) und Datenschutzbehörden – können bei Hochrisiko-Systemen Prüfungen einleiten und den Betrieb eines Systems untersagen.
Für Geschäftsführerinnen und Geschäftsführer ist ein weiterer Aspekt kritisch: Die Einführung eines KI-Systems ohne die gebotene Compliance-Prüfung kann als Verletzung der organschaftlichen Sorgfaltspflicht nach § 43 GmbHG gewertet werden. Die Business Judgment Rule schützt nur denjenigen, der auf der Grundlage angemessener Informationen handelt. Wer die KI-VO-Klassifizierung nicht vornimmt, handelt nicht auf angemessener Informationsbasis – mit der Folge, dass er im Schadensfall persönlich haftet. Existiert ein Gesellschafterschaden – etwa weil Behörden ein einträgliches KI-gestütztes Produkt untersagen –, ist der Rückgriff auf den Geschäftsführer rechtlich möglich.
Hinzu treten zivilrechtliche Haftungsrisiken gegenüber Dritten. Die KI-Haftungsrichtlinie (AI Liability Directive), über die auf EU-Ebene noch verhandelt wird, sieht ergänzende Haftungsregeln vor. Bereits heute gilt: Wer ein fehlerhaftes Produkt in den Verkehr bringt oder einen Betrieb gefährdend führt, kann nach bestehendem deutschen Delikts- und Produkthaftungsrecht in Anspruch genommen werden. Die KI-VO-Compliance ist insoweit nicht nur regulatorisches Gebot, sondern auch Haftungsschutzinstrument.
Handlungsempfehlung: Der strukturierte Weg zur KI-Compliance im Mittelstand
Wie können mittelständische Unternehmen angesichts der genannten Anforderungen strukturiert vorgehen? Die folgende Entscheidungsmatrix orientiert sich an den typischen Unternehmenskonstellationen.
Konstellation A – Unternehmen mit wenigen zugekauften Standardlösungen (etwa CRM mit KI-Modul, einfache Chatbots): Priorität liegt auf der Klassifizierung (minimal risk vs. limited risk vs. Hochrisiko), der Transparenzpflicht-Erfüllung nach Art. 52 KI-VO sowie der Überprüfung, ob Anbieterverträge die notwendige Dokumentation und Informationspflicht abdecken. Zeithorizont: kurzfristig, bis Anfang 2026.
Konstellation B – Unternehmen mit Hochrisiko-KI (HR, Kreditwesen, Infrastruktur): Vollständige Compliance-Roadmap erforderlich: Risikomanagementsystem, technische Dokumentation, Human-Oversight-Konzept, Registrierung, DSFA. Der August 2026 ist die harte Frist. Zeithorizont: unverzüglich, Projektlaufzeit sechs bis zwölf Monate.
Konstellation C – Unternehmen, die eigene KI-Systeme entwickeln oder wesentlich anpassen: Diese Unternehmen wechseln in die Anbieterrolle und unterliegen dem vollständigen Anforderungskatalog für Anbieter, inklusive Konformitätsbewertungsverfahren, CE-Kennzeichnung (bei Hochrisiko) und Notifizierungspflichten. Zeithorizont: sofort; der regulatorische Aufwand ist erheblich.
In allen drei Konstellationen ist der erste Schritt eine systematische KI-Inventur: Welche Systeme werden im Unternehmen eingesetzt? Welche Daten verarbeiten sie? Welchen Zweck erfüllen sie? Welche Entscheidungen bereiten sie vor oder treffen sie autonom? Erst auf dieser Basis ist eine verlässliche Klassifizierung möglich.
Der zweite Schritt ist die Vertragsreview: Bestehende Lizenz- und Dienstleistungsverträge mit KI-Anbietern enthalten in aller Regel keine Regelungen, die die KI-VO-spezifischen Pflichten der Anbieter gegenüber dem Betreiber abbilden. Hier besteht typischerweise erheblicher Nachverhandlungsbedarf – insbesondere hinsichtlich der Bereitstellung technischer Dokumentation, der Informationspflichten und der Wartungs- und Updatepflichten.
Der dritte Schritt ist die organisatorische Verankerung: KI-Governance ist keine IT-Aufgabe allein. Sie erfordert eine unternehmensweite Zuständigkeitsstruktur, in der Rechts-, IT-, HR- und Fachabteilungen zusammenwirken und die Geschäftsführung die Gesamtverantwortung trägt.
Gewerblicher Rechtsschutz und KI: Urheberrecht, Patentrecht und Markenschutz in der KI-Ära
Neben der KI-VO berührt der Einsatz von KI im Unternehmen weitere Bereiche des gewerblichen Rechtsschutzes, die in der Praxis zunehmend relevant werden.
Beim Urheberrecht stellt sich die Frage, wer Urheber von KI-generierten Werken ist. Nach geltendem deutschen Urheberrecht (UrhG) setzt Urheberschaft eine natürliche Person voraus. KI-generierte Inhalte ohne hinreichenden menschlichen Gestaltungsbeitrag sind damit urheberrechtlich nicht schutzfähig – was bedeutet, dass Wettbewerber diese Inhalte grundsätzlich frei verwenden dürfen. Unternehmen, die auf KI-generierte Texte, Bilder oder Designs als Marketinginstrument setzen, sollten dieses Schutzlückenrisiko kennen und strategisch berücksichtigen.
Beim Patentrecht gilt nach herrschender Auffassung europäischer Patentämter: KI-Systeme können nicht als Erfinder eingetragen werden; natürliche Erfinder bleiben zwingend erforderlich. Ein Unternehmen, das mit KI-Unterstützung Innovationen entwickelt, muss die menschlichen Erfinderbeiträge sorgfältig dokumentieren, um Patentansprüche zu sichern. Der Schutz besteht ab Anmeldung für maximal 20 Jahre.
Im Markenschutz entstehen KI-spezifische Risiken bei der Nutzung generativer KI zur Entwicklung von Markennamen, Logos oder Slogans: Die KI kann auf Trainingsdaten zurückgreifen, die bestehende Markenrechte enthalten, und so unbeabsichtigt Kollisionen mit eingetragenen Marken erzeugen. Eine Kollisionsrecherche vor Eintragung – der Markenschutz besteht nach § 47 MarkenG für 10 Jahre, verlängerbar – ist daher unerlässlich. Die Widerspruchsfrist gegen eine neue Markeneintragung beträgt nach § 42 MarkenG 3 Monate ab Veröffentlichung.
Die vorstehende Darstellung betrifft die wesentlichen Regelkonflikte. Ihr konkreter Fall erfordert die Prüfung Ihrer eingesetzten Systeme, Ihrer bestehenden Schutzrechtslage und der einschlägigen behördlichen Praxis.
Für eine erste Durchsicht Ihrer KI-Systemlandschaft und der damit verbundenen Compliance-Anforderungen nach KI-VO und DSGVO erreichen Sie uns unter info@brandtfalk.com.
Verwandte Leistungen
Häufige Fragen: KI-Einsatz im Unternehmen und die KI-Verordnung
Was ist die KI-Verordnung (EU AI Act) und seit wann gilt sie?
Die Verordnung (EU) 2024/1689 – KI-Verordnung oder EU AI Act – ist am 1. August 2024 in Kraft getreten. Sie entfaltet ihre Wirkung stufenweise: Verbotene KI-Praktiken sind seit dem 2. Februar 2025 untersagt, die Pflichten für Hochrisiko-KI-Systeme greifen ab dem 2. August 2026, die vollständige Anwendung ist ab dem 2. August 2027 vorgesehen. Die Verordnung gilt unmittelbar in allen EU-Mitgliedstaaten ohne gesondertes nationales Umsetzungsgesetz.
Bin ich als mittelständisches Unternehmen, das KI-Software zukauft, Betreiber im Sinne der KI-VO?
Ja, in aller Regel. Wer ein KI-System unter eigener Verantwortung in der beruflichen Tätigkeit einsetzt – auch wenn er es lizenziert und nicht selbst entwickelt hat –, ist Betreiber (Deployer) im Sinne von Art. 3 Nr. 4 KI-VO. Als Betreiber unterliegen Sie unmittelbaren Pflichten: Risikoanalyse, menschliche Aufsicht, Protokollierung und Transparenz gegenüber Betroffenen. Die genauen Anforderungen hängen von der Risikoklasse des jeweiligen Systems ab.
Was gilt als Hochrisiko-KI-System?
Hochrisiko-KI-Systeme sind in Anhang III der KI-VO aufgeführt. Dazu zählen unter anderem Systeme, die automatisierte Personalentscheidungen (Einstellung, Kündigung, Beförderung) vorbereiten, Kreditwürdigkeit natürlicher Personen bewerten, in kritischen Infrastrukturen eingesetzt werden oder in der beruflichen Bildung genutzt werden. Für diese Systeme gelten ab August 2026 besonders strenge Anforderungen, darunter Risikomanagement, Dokumentationspflichten und die Pflicht zur menschlichen Aufsicht.
Welche Bußgelder drohen bei Verstößen gegen die KI-VO?
Die KI-VO sieht ein dreistufiges Bußgeldsystem vor. Bei Verstößen gegen verbotene KI-Praktiken nach Art. 5 KI-VO sind Bußgelder von bis zu 35 Mio. Euro oder 7 % des weltweiten Jahresumsatzes möglich. Verstöße gegen Kernpflichten für Hochrisiko-Systeme können mit bis zu 15 Mio. Euro oder 3 % des Jahresumsatzes geahndet werden. Irreführende Angaben gegenüber Behörden sind mit bis zu 7,5 Mio. Euro oder 1,5 % belegt.
Wie verhalten sich KI-VO und DSGVO zueinander?
Beide Regelwerke können gleichzeitig anwendbar sein. Die DSGVO greift, sobald personenbezogene Daten verarbeitet werden – was bei den meisten KI-Anwendungen in HR, Kundenkommunikation oder Kreditbewertung der Fall ist. Die KI-VO fügt eigene Anforderungen hinzu, ersetzt die DSGVO jedoch nicht. Unternehmen müssen beide Regime parallel erfüllen. Insbesondere bei der Protokollierung (KI-VO-Pflicht) und der Datenlöschung (DSGVO-Pflicht) entstehen Spannungen, die im Einzelfall aufgelöst werden müssen.
Muss ich mein KI-System bei einer Behörde registrieren?
Betreiber bestimmter Hochrisiko-KI-Systeme – insbesondere in den Bereichen Beschäftigung, Bildung und kritische Infrastrukturen – sind zur Registrierung in einer EU-Datenbank verpflichtet. Die genauen Registrierungspflichten hängen vom Anwendungsbereich des Systems ab. Ob und wie diese Pflicht auf Ihr System zutrifft, ist im Einzelfall anwaltlich zu prüfen.
Was muss ich bei KI-Systemen und gewerblichem Rechtsschutz beachten?
KI-generierte Inhalte sind nach deutschem Urheberrecht mangels natürlicher Urheberschaft in der Regel nicht schutzfähig. Bei der Entwicklung von Marken, Logos oder Produktbezeichnungen mit generativer KI besteht das Risiko unbeabsichtigter Kollisionen mit bestehenden Markenrechten. Patentansprüche erfordern zwingend natürliche Erfinder. Eine vorgelagerte Schutzrechts- und Kollisionsrecherche ist daher unerlässlich.
Welche konkreten ersten Schritte empfehlen sich für ein mittelständisches Unternehmen?
Der erste Schritt ist eine systematische KI-Inventur: Welche Systeme sind im Einsatz, welche Daten verarbeiten sie, welche Entscheidungen bereiten sie vor? Darauf folgt die rechtliche Klassifizierung nach KI-VO-Risikoklassen und – bei Hochrisiko-Systemen – die Einleitung eines vollständigen Compliance-Projekts. Parallel sollten bestehende Anbieterverträge auf KI-VO-Konformität geprüft und ggf. nachverhandelt werden. Für die August-2026-Frist empfiehlt sich eine unverzügliche Bestandsaufnahme.
Die vorstehende Darstellung betrifft die wesentlichen Regelkonflikte und Standardkonstellationen nach aktuellem Stand der KI-VO. Ihr konkreter Fall erfordert die Prüfung Ihrer eingesetzten Systeme, Ihrer Vertragswerke und der einschlägigen behördlichen Praxis. Für eine erste Durchsicht Ihrer Unterlagen und KI-Systemlandschaft erreichen Sie uns unter info@brandtfalk.com.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag ist eine allgemeine Information und stellt keine Rechtsberatung dar. Für eine Prüfung Ihres Falls kontaktieren Sie info@brandtfalk.com.