Ein mittelständisches Softwareunternehmen integriert ein Sprachmodell in seine Kundenservice-Plattform. Ein IT-Dienstleister automatisiert Bewerbungsvorauswahl mit einem Machine-Learning-System. Ein Hersteller von Unternehmenssoftware liefert KI-gestützte Entscheidungsmodule an Bankkunden. Alle drei Konstellationen haben eines gemeinsam: Seit dem gestuften Inkrafttreten der EU-Verordnung über künstliche Intelligenz – der sogenannten KI-Verordnung (EU AI Act) – gelten für sie verbindliche rechtliche Anforderungen, deren Verletzung Bußgelder von bis zu 30 Mio. € oder 6 % des weltweiten Jahresumsatzes nach sich ziehen kann.
Der KI-Einsatz im Unternehmen unterliegt seit dem Wirksamwerden der KI-Verordnung einem differenzierten Risikoklassen-System: Hochrisiko-KI-Systeme erfordern Konformitätsbewertungen, Dokumentationspflichten und eine menschliche Aufsicht; verbotene KI-Praktiken sind unmittelbar untersagt; und Allzweck-KI-Modelle treffen gesonderte Transparenzanforderungen. Für Geschäftsführer in der Software- und IT-Branche bedeutet das: Wer heute KI einsetzt oder entwickelt, muss seinen rechtlichen Status kennen, bevor das Aufsichtssystem vollständig greift.
Dieser Beitrag erläutert die zentralen Pflichten nach der KI-Verordnung und der DSGVO, benennt die kritischen Fristen, zeigt typische Risikozonen für die Software- und IT-Branche und beschreibt, welche anwaltlichen Schritte BRANDT & FALK für mittelständische Unternehmen begleitet.
Was regelt die KI-Verordnung – und seit wann gilt sie?
Die KI-Verordnung (Verordnung (EU) 2024/1689) ist die weltweit erste verbindliche Querschnittsregelung für den Einsatz künstlicher Intelligenz. Sie gilt unmittelbar in allen EU-Mitgliedstaaten und folgt einem Risikoklassen-Ansatz: Je höher das Gefährdungspotenzial eines KI-Systems, desto strenger die Anforderungen.
Das Inkrafttreten erfolgte gestaffelt. Die Verordnung trat am 1. August 2024 in Kraft. Verbote für inakzeptable Risikopraktiken – etwa Social Scoring durch öffentliche Stellen oder KI-gestützte Verhaltensmanipulation – wurden sechs Monate später, also ab dem 2. Februar 2025, unmittelbar anwendbar. Die Pflichten für Hochrisiko-KI-Systeme und Allzweck-KI-Modelle (GPAI) greifen ab dem 2. August 2026. Für bestimmte Bereiche, etwa KI-Systeme in regulierten Produkten (Anhang I der Verordnung), gilt eine verlängerte Übergangsfrist bis 2027.
Für die Software- und IT-Branche ist entscheidend: Die Verordnung adressiert sowohl Anbieter (Hersteller, die ein KI-System in Verkehr bringen oder in Betrieb nehmen) als auch Betreiber (Unternehmen, die ein KI-System im eigenen Geschäftskontext nutzen). Viele mittelständische Unternehmen sind dabei gleichzeitig Anbieter – etwa wenn sie Softwareprodukte mit integrierten KI-Funktionen vertreiben – und Betreiber, wenn sie externe KI-Dienste intern einsetzen. Diese Doppelrolle ist in der Praxis einer der häufigsten Beratungspunkte.
Welche Risikoklasse trifft Ihr Unternehmen?
Die praktisch bedeutsamste Weichenstellung unter der KI-Verordnung ist die Einordnung eines KI-Systems in eine der Risikoklassen. Von dieser Einordnung hängen Umfang und Intensität der rechtlichen Pflichten vollständig ab.
Verbotene KI-Praktiken (Art. 5 KI-VO) sind seit Februar 2025 untersagt. Dazu zählen unter anderem KI-Systeme, die unterschwellige Techniken zur Beeinflussung einsetzen, die Schwächen vulnerabler Personengruppen ausnutzen oder biometrische Kategorisierungssysteme für bestimmte Zwecke betreiben. Für Anbieter im deutschen Mittelstand sind diese Verbote in der Regel weniger unmittelbar relevant als für Plattformbetreiber; gleichwohl ist eine Prüfung geboten.
Hochrisiko-KI-Systeme (Art. 6, Anhänge II und III KI-VO) sind der rechtlich anspruchsvollste Bereich. Darunter fallen unter anderem KI-Systeme im Bereich Personalentscheidungen (Einstellung, Beförderung, Kündigung), Kreditwürdigkeitsprüfungen, Systeme im Bereich kritischer Infrastruktur und in der Strafverfolgung. Für IT-Unternehmen, die Software für HR-Prozesse, Finanzdienstleister oder öffentliche Auftraggeber entwickeln oder betreiben, ist das zentrale Prüffeld.
Allzweck-KI-Modelle (GPAI) – also Modelle mit breitem Einsatzspektrum wie große Sprachmodelle – unterliegen ab August 2026 eigenen Transparenz- und Dokumentationspflichten. Wer solche Modelle bereitstellt oder integriert, benötigt eine eigene rechtliche Bewertung.
Begrenzte Risikosysteme (z. B. Chatbots, Deep-Fake-Generatoren) haben primär Transparenzpflichten gegenüber Nutzern: Das System muss sich als KI zu erkennen geben.
In der Mandatspraxis sehen wir regelmäßig, dass Unternehmen die Einordnung ihrer Systeme zu optimistisch vornehmen – und dabei übersehen, dass ein KI-basiertes HR-Tool oder ein automatisiertes Kreditscoring-Modul in eine Hochrisikokategorie fällt. Die rechtlichen Folgen einer Fehleinordnung können erheblich sein.
Welche Pflichten gelten für Hochrisiko-KI-Systeme in der Praxis?
Wer ein Hochrisiko-KI-System betreibt oder als Anbieter in Verkehr bringt, unterliegt einem umfassenden Pflichtenkatalog. Die wesentlichen Anforderungen lassen sich in vier operative Cluster zusammenfassen.
Erstens: Risikomanagement-System. Anbieter müssen ein kontinuierliches Risikomanagementsystem einrichten, das den gesamten Lebenszyklus des KI-Systems begleitet. Das bedeutet: Risikoidentifikation vor Inbetriebnahme, laufende Überwachung und Dokumentation von Maßnahmen zur Risikominderung. Diese Anforderung ist strukturell mit einem ISO-27001-Informationssicherheits-Managementsystem vergleichbar – die Dokumentationstiefe ist jedoch spezifisch geregelt.
Zweitens: technische Dokumentation und Konformitätsbewertung. Vor der Inbetriebnahme eines Hochrisiko-Systems ist eine Konformitätsbewertung durchzuführen. Für die meisten Systeme genügt die Selbstbewertung (interne Kontrolle); bei bestimmten biometrischen Systemen oder sicherheitskritischen Bereichen ist eine Drittprüfung erforderlich. Die technische Dokumentation muss dabei den gesamten Entwicklungsprozess, Trainingsdaten, Leistungsparameter und Maßnahmen zur Bias-Erkennung abdecken.
Drittens: menschliche Aufsicht. Hochrisiko-KI-Systeme müssen so gestaltet sein, dass natürliche Personen die Ausgaben des Systems wirksam überwachen, verstehen und bei Bedarf außer Kraft setzen können. Diese Anforderung stellt viele Softwareentwickler vor konzeptionelle Herausforderungen, weil sie tief in die Architektur des Produkts eingreift.
Viertens: Registrierung in der EU-Datenbank. Anbieter von Hochrisiko-KI-Systemen sind verpflichtet, ihre Systeme in einer von der EU-Kommission geführten Datenbank (EUAI-Datenbank) zu registrieren, bevor sie das System in Betrieb nehmen.
Betreiber – also Unternehmen, die ein fremdes Hochrisiko-System im eigenen Kontext einsetzen – tragen die Pflicht, das System gemäß der Betreiberdokumentation zu verwenden, die menschliche Aufsicht sicherzustellen und bei wesentlichen Änderungen am Verwendungszweck den Anbieter zu informieren. Was viele Geschäftsführer unterschätzen: Wer ein KI-System jenseits des ursprünglich bestimmten Zwecks einsetzt, rückt rechtlich in die Rolle des Anbieters.
Schnittstelle zur DSGVO: Wo überlagern sich die Anforderungen?
KI-Systeme verarbeiten in aller Regel personenbezogene Daten – Trainings- und Inferenzdaten, Nutzerprofile, Entscheidungsgrundlagen. Damit entsteht eine rechtliche Gemengelage: Die KI-Verordnung definiert systemspezifische Anforderungen, die DSGVO schützt personenbezogene Daten umfassend. Beide Regelwerke stehen nebeneinander; die Einhaltung eines Regelwerks entbindet nicht von Pflichten aus dem anderen.
Praktisch bedeutsam ist vor allem das automatisierte Entscheidungsverbot nach Art. 22 DSGVO: Betroffene haben grundsätzlich das Recht, nicht einer ausschließlich automatisierten Entscheidung unterworfen zu werden, die ihnen gegenüber rechtliche oder ähnlich erhebliche Wirkung entfaltet. Für KI-basierte Kreditentscheidungen, automatisierte Absagen im Bewerbungsverfahren oder algorithmenbasierte Preisdifferenzierungen entsteht daraus ein erhebliches Haftungsrisiko, sofern kein Ausnahmetatbestand greift und keine angemessene menschliche Prüfung stattfindet.
Hinzu kommt die Pflicht zur Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO, die bei systematischer Verarbeitung sensibler Daten oder beim großflächigen Einsatz von Profiling-Techniken verpflichtend ist. In der Software- und IT-Branche, die häufig mit Beschäftigtendaten oder Kundenprofilen arbeitet, ist die DSFA ein eigenständiges Instrument – und zugleich eine wertvolle Grundlage für die KI-Verordnungs-Risikoanalyse.
Nach unserer Erfahrung lassen sich die Dokumentationsstrukturen für KI-Verordnung und DSGVO sinnvoll zusammenführen: Eine gemeinsam aufgesetzte technische Dokumentation, die beide Anforderungsprofile abdeckt, reduziert den Implementierungsaufwand erheblich und schafft eine belastbare Grundlage für eventuelle Aufsichtsverfahren. Wir empfehlen, diesen integrierten Ansatz von Beginn an zu wählen.
Typische Risikozonen für die Software- und IT-Branche
Die Software- und IT-Branche ist durch die KI-Verordnung in besonderer Weise herausgefordert. Sie ist häufig gleichzeitig Entwickler, Integrator und Betreiber – und damit in mehreren Rollen adressiert. Aus der Beratungspraxis lassen sich fünf besonders kritische Risikozonen benennen.
HR-Software mit KI-Komponenten. Systeme, die Bewerbungsunterlagen sichten, Kandidaten bewerten oder Beförderungsentscheidungen unterstützen, fallen in den Hochrisiko-Bereich (Anhang III Nr. 4 KI-VO). Wer solche Systeme anbietet oder einsetzt, muss Konformitätsbewertung, Trainingsdaten-Dokumentation und menschliche Kontrollmechanismen nachweisen können.
KI in Finanzdienstleistungs-Software. Scoring-Modelle, Risikobeurteilungssysteme und automatisierte Kreditentscheidungen sind ebenfalls als Hochrisiko eingestuft. Für Softwareanbieter, die Bankensoftware oder Versicherungsplattformen beliefern, entstehen hieraus erhebliche vertragliche und regulatorische Schnittflächen.
Chatbots und generative KI im Kundenkontakt. Auch wenn Chatbots regelmäßig nur als begrenzte Risikosysteme eingestuft werden, gilt die Transparenzpflicht: Der Nutzer muss wissen, dass er mit einem KI-System interagiert. Verletzungen dieser Pflicht sind bußgeldbewehrt.
Biometrische Erkennungssysteme. Gesichtserkennung, Emotionserkennungssysteme und andere biometrische Fernidentifikationssysteme unterliegen teils vollständigen Verboten, teils strengsten Hochrisiko-Anforderungen. Für Sicherheitsanwendungen, Zugangskontrollen oder Stimmungsanalyse-Tools in HR-Kontexten ist dies eine der empfindlichsten Normbereiche.
KI in kritischer Infrastruktur. Software für Energie, Wasser, Verkehr oder digitale Infrastruktur fällt unter Anhang III Nr. 2 KI-VO. Für IT-Dienstleister, die öffentliche Auftraggeber oder Versorgungsunternehmen bedienen, ist dies ein unmittelbares Prüffeld.
Wir beraten regelmäßig Unternehmen, die erst im Zuge einer Due-Diligence-Prüfung – etwa vor einem Investoreneinstieg oder einer Unternehmensveräußerung – feststellen, dass ihre KI-gestützten Produkte ohne vollständige Compliance-Dokumentation vermarktet wurden. Der Nachrüstungsaufwand ist dann erheblich größer als eine vorausschauende rechtliche Begleitung von Beginn an.
Aus der Mandatspraxis: In einem aktuellen Mandat beriet die Kanzlei ein mittelständisches Softwareunternehmen aus der HR-Tech-Branche mit rund 80 Mitarbeitenden. Ausgangslage: Das Unternehmen hatte ein KI-gestütztes Bewerbermanagement-Tool entwickelt und an mehrere Unternehmenskunden vertrieben. Im Rahmen einer Investorenanfrage stellte sich heraus, dass das System nach Anhang III Nr. 4 KI-VO als Hochrisiko-System einzustufen war, eine Konformitätsbewertung jedoch fehlte und die technische Dokumentation lückenhaft war. Vorgehen: Die Kanzlei begleitete die Erstellung der technischen Dokumentation, koordinierte die Abstimmung mit dem zuständigen Datenschutzbeauftragten für die DSFA und entwarf angepasste Nutzungsvereinbarungen für bestehende Kundenverhältnisse. Ergebnis: Die Dokumentationslücke wurde vor Abschluss der Investorentransaktion vollständig geschlossen; die vertraglichen Risiken gegenüber Bestandskunden wurden durch angepasste AGB und Informationspflichten erheblich reduziert.
Sanktionen und Haftungsrisiken für Geschäftsführer
Die Sanktionsstruktur der KI-Verordnung ist erheblich und richtet sich unmittelbar an Anbieter und Betreiber. Für Verstöße gegen Verbote inakzeptabler KI-Praktiken sieht die Verordnung Bußgelder von bis zu 35 Mio. € oder 7 % des weltweiten Jahresumsatzes vor. Für Verstöße gegen sonstige Verpflichtungen, insbesondere die Hochrisiko-Anforderungen, beträgt der Bußgeldrahmen bis zu 15 Mio. € oder 3 % des weltweiten Jahresumsatzes. Für das Bereitstellen falscher, unvollständiger oder irreführender Informationen gegenüber Behörden drohen bis zu 7,5 Mio. € oder 1 %.
Hinzu treten die DSGVO-Bußgeldrisiken: bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes (Art. 83 DSGVO). Beide Bußgeldsysteme können nebeneinander verhängt werden.
Für Geschäftsführer einer GmbH stellt sich die Frage der persönlichen Haftung. Nach der gesellschaftsrechtlichen Generalklausel (§ 43 GmbHG) haftet der Geschäftsführer der Gesellschaft gegenüber für jede schuldhaft pflichtwidrige Handlung. Unterlässt er es, angemessene Compliance-Strukturen für den KI-Einsatz zu etablieren – also Klassifizierungen vorzunehmen, Konformitätsbewertungen zu veranlassen und Dokumentationspflichten zu erfüllen –, kann das eine Verletzung der Sorgfaltspflicht darstellen. Kommt es infolge dieser Unterlassung zu Bußgeldern oder Schadensersatzansprüchen Dritter, ist eine Inanspruchnahme des Geschäftsführers nicht auszuschließen.
Ist es sinnvoll, diese Haftungsfrage auf die lange Bank zu schieben? Die Antwort ist nein – zumal die Übergangsfrist für Hochrisiko-Systeme bis August 2026 läuft und der verbleibende Vorlauf für eine strukturierte Compliance-Einführung bereits heute begrenzt ist.
Die vorstehende Darstellung betrifft die Regelfälle. Ihr konkreter Fall erfordert die Prüfung Ihrer KI-Systeme, der einschlägigen Risikoklassen und der bestehenden Dokumentationsstruktur. Zur Klärung, wie die KI-Verordnung auf Ihr Unternehmen wirkt, wenden Sie sich an info@brandtfalk.com.
Wie läuft eine anwaltliche KI-Compliance-Beratung ab?
Eine strukturierte Begleitung zur KI-Verordnung folgt in der Praxis einem bewährten Fahrplan. Die einzelnen Schritte sind aufeinander aufgebaut; jeder Schritt erzeugt ein verwertbares Teilergebnis.
Schritt 1: KI-Systembestandsaufnahme. Zunächst werden alle im Unternehmen eingesetzten oder vertriebenen KI-Systeme erfasst und nach Art, Funktion und Anwendungsbereich dokumentiert. Für Softwareunternehmen schließt das Produkte ein, die KI-Funktionen als eingebettete Komponenten enthalten – auch wenn die KI nicht als solche vermarktet wird.
Schritt 2: Risikoklassifizierung. Auf Grundlage der Bestandsaufnahme erfolgt die rechtliche Einordnung jedes Systems nach der KI-Verordnung: verbotene Praktik, Hochrisiko, begrenztes Risiko oder minimales Risiko. Hierbei sind die Definitionen in Art. 3 und die Anhänge I bis III der Verordnung maßgeblich. Die Einordnung ist nicht immer eindeutig – insbesondere bei GPAI-Modellen und bei Systemen, die mehrere Anwendungszwecke erfüllen.
Schritt 3: Gap-Analyse und Maßnahmenplan. Der Abgleich zwischen dem Ist-Zustand der Dokumentation und den gesetzlichen Anforderungen ergibt eine Gap-Analyse. Daraus leitet sich ein priorisierter Maßnahmenplan ab, der technische Maßnahmen (z. B. Einführung menschlicher Aufsichtsmechanismen), rechtliche Maßnahmen (z. B. Anpassung von AGB und Lieferverträgen) und organisatorische Maßnahmen (z. B. Schulung von KI-Verantwortlichen) umfasst.
Schritt 4: Dokumentation und Konformitätserklärung. Für Hochrisiko-Systeme wird die vollständige technische Dokumentation erarbeitet oder vervollständigt; die Konformitätsbewertung wird durchgeführt und die EU-Konformitätserklärung ausgestellt. Für GPAI-Modelle werden die erforderlichen Transparenz- und Nutzungsrichtlinien erstellt.
Schritt 5: Laufende Überwachung. KI-Systeme verändern sich durch Nachtraining, Updates und veränderte Verwendungszwecke. Das Compliance-System muss deshalb dynamisch ausgelegt sein: Wir begleiten die Einführung von Monitoring-Prozessen, die sicherstellen, dass wesentliche Änderungen am System oder seinem Einsatzkontext rechtlich neu bewertet werden.
Nach unserer Erfahrung ist der gesamte Prozess für mittelständische Unternehmen mit zwei bis fünf KI-Systemen bei guter Vorbereitung innerhalb weniger Monate strukturiert abzuarbeiten. Entscheidend ist der frühzeitige Beginn – die technischen Anpassungen benötigen häufig mehr Vorlaufzeit als die rechtliche Dokumentation.
Vertragliche Absicherung: Anbieter- und Betreiberpflichten in der Lieferkette
Die KI-Verordnung schafft nicht nur Pflichten gegenüber Aufsichtsbehörden – sie strukturiert auch die vertraglichen Beziehungen zwischen KI-Anbietern und ihren Kunden neu. Wer als Softwareanbieter ein KI-System vertreibt, ist nach der Verordnung verpflichtet, dem Betreiber alle Informationen bereitzustellen, die dieser zur Erfüllung seiner eigenen Pflichten benötigt: technische Dokumentation, Betreiberdokumentation, Gebrauchsanweisung und Informationen über Einschränkungen und Restrisiken.
Diese Verpflichtung hat unmittelbare Auswirkungen auf Softwareverträge, Lizenzvereinbarungen und AGB. Wer solche Informationspflichten nicht vertraglich absichert, riskiert, dass der Betreiber Ansprüche auf Nachbesserung, Schadensersatz oder Rücktritt geltend macht, wenn die KI-Compliance im Nachhinein als lückenhaft eingestuft wird.
Umgekehrt gilt: Betreiber sollten bei der Beschaffung von KI-Systemen vertragliche Zusicherungen einfordern, dass das gelieferte System die Anforderungen der KI-Verordnung erfüllt und die notwendige Dokumentation vollständig übergeben wird. Fehlt diese Zusicherung, trägt der Betreiber das Compliance-Risiko allein. Welche vertragliche Risikoverteilung angemessen ist, hängt dabei von der konkreten Systemarchitektur, dem Verwendungszweck und der Verhandlungsposition der Parteien ab.
Die vorstehende Darstellung betrifft die Regelfälle. Ihr konkreter Fall erfordert die Prüfung Ihrer Vertragswerke und der einschlägigen Pflichten in der Lieferkette. Für eine erste Durchsicht Ihrer Unterlagen erreichen Sie uns unter info@brandtfalk.com.
Verwandte Leistungen
Häufige Fragen zum KI-Einsatz im Unternehmen und der KI-Verordnung
Ab wann müssen Hochrisiko-KI-Systeme die Anforderungen der KI-Verordnung erfüllen?
Die Pflichten für Hochrisiko-KI-Systeme werden ab dem 2. August 2026 vollständig anwendbar. Für KI-Systeme in regulierten Produkten nach Anhang I der Verordnung gilt eine verlängerte Übergangsfrist bis 2027. Unternehmen, die bereits heute solche Systeme entwickeln oder beschaffen, sollten die Compliance-Anforderungen frühzeitig in ihre Produktentwicklungs- und Beschaffungsprozesse einbetten, da die technischen Anpassungen erfahrungsgemäß erheblichen Vorlauf erfordern.
Was ist ein Hochrisiko-KI-System nach der KI-Verordnung?
Hochrisiko-KI-Systeme sind in Anhang III der KI-Verordnung enumerativ aufgeführt. Dazu zählen unter anderem KI-Systeme im Bereich Personalentscheidungen (Einstellung, Leistungsbewertung, Kündigung), Kreditwürdigkeitsprüfungen, Bildung sowie kritische Infrastruktur. Darüber hinaus gelten als Sicherheitskomponenten eingesetzte KI-Systeme in Produkten nach Anhang I als Hochrisiko. Die Einordnung erfordert eine rechtliche Einzelfallbewertung; eine pauschale Selbsteinstufung ist nicht ausreichend.
Welche Rolle spielt die DSGVO neben der KI-Verordnung?
DSGVO und KI-Verordnung stehen nebeneinander. Die DSGVO schützt personenbezogene Daten und enthält unter anderem das Recht auf Nichtunterwerfung unter ausschließlich automatisierte Entscheidungen (Art. 22 DSGVO) sowie die Pflicht zur Datenschutz-Folgenabschätzung (Art. 35 DSGVO). Die KI-Verordnung regelt systemspezifische Anforderungen unabhängig vom Personenbezug. Unternehmen müssen beide Regelwerke parallel einhalten; die Dokumentationsstrukturen lassen sich jedoch sinnvoll integrieren.
Wer ist nach der KI-Verordnung „Anbieter" und wer „Betreiber"?
Anbieter im Sinne der KI-Verordnung ist, wer ein KI-System entwickelt und in Verkehr bringt oder in Betrieb nimmt. Betreiber ist, wer ein KI-System im Rahmen einer beruflichen Tätigkeit unter eigener Verantwortung einsetzt. Beide Rollen können im selben Unternehmen zusammenfallen. Wer ein KI-System jenseits des ursprünglichen Verwendungszwecks einsetzt oder wesentlich verändert, gilt rechtlich als Anbieter und übernimmt dessen Pflichten.
Was droht bei Verstößen gegen die KI-Verordnung?
Der Bußgeldrahmen der KI-Verordnung ist nach Schwere des Verstoßes gestaffelt: Verstöße gegen verbotene Praktiken können mit bis zu 35 Mio. € oder 7 % des weltweiten Jahresumsatzes geahndet werden; Verstöße gegen Hochrisiko-Anforderungen mit bis zu 15 Mio. € oder 3 % des Jahresumsatzes. Zusätzlich können DSGVO-Bußgelder von bis zu 20 Mio. € oder 4 % des Jahresumsatzes nebeneinander verhängt werden. Für Geschäftsführer ist zudem eine gesellschaftsrechtliche Innenhaftung nicht auszuschließen, wenn Compliance-Strukturen schuldhaft unterlassen wurden.
Müssen auch kleine und mittlere Unternehmen die KI-Verordnung einhalten?
Ja. Die KI-Verordnung gilt grundsätzlich für alle Unternehmen, die KI-Systeme auf dem EU-Markt anbieten oder dort betreiben – unabhängig von Unternehmensgröße oder Herkunft. Für KMU und Kleinstunternehmen sieht die Verordnung jedoch erleichterte Dokumentationspflichten und reduzierte Gebühren für Konformitätsbewertungen vor. Die inhaltlichen Anforderungen – insbesondere die Risikoklassifizierung und das Risikomanagement-System – gelten aber in gleichem Umfang.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag ist eine allgemeine Information und stellt keine Rechtsberatung dar. Für eine Prüfung Ihres Falls kontaktieren Sie info@brandtfalk.com.