Ein mittelständischer Softwarehersteller aus München integriert einen KI-gestützten Chatbot in seine Kundensupport-Plattform. Ein IT-Dienstleister aus Hamburg automatisiert mit einem Machine-Learning-Modell die Kreditwürdigkeitsprüfung für Unternehmenskunden. Beide Geschäftsführer stehen vor derselben Frage: Was verlangt die EU-KI-Verordnung – und welche Konsequenzen drohen bei Nichterfüllung?
Der KI-Einsatz im Unternehmen und die KI-Verordnung (Verordnung (EU) 2024/1689, auch „EU AI Act") stellen Software- und IT-Unternehmen vor unmittelbare Compliance-Pflichten. Bereits seit dem 2. August 2025 gelten die Verbote für inakzeptable Risiken; ab dem 2. August 2026 greifen die Anforderungen für Hochrisiko-KI-Systeme vollständig. Bußgelder betragen bis zu 35 Mio. € oder 7 % des weltweiten Jahresumsatzes für Verstöße gegen die Verbotsnormen. Wer jetzt strukturiert handelt, begrenzt Haftungsrisiken – für die Geschäftsführung persönlich und für das Unternehmen insgesamt.
Dieser Branchenreport erläutert die wesentlichen Pflichten der KI-Verordnung für die Software- und IT-Branche, ordnet sie in den bestehenden DSGVO-Rahmen ein und zeigt konkrete Handlungsschritte für Geschäftsführer im Mittelstand.
Warum die KI-Verordnung die Software- und IT-Branche besonders hart trifft
Softwarehäuser, IT-Dienstleister und SaaS-Anbieter sind von der KI-Verordnung gleich in mehrfacher Hinsicht betroffen: als Anbieter (Provider) von KI-Systemen, als Betreiber (Deployer) im eigenen Geschäftsbetrieb und häufig zugleich als Importeure oder Händler von KI-Komponenten aus Drittstaaten. Diese Mehrfachrolle erzeugt kumulative Pflichten – ein Umstand, den viele Geschäftsführer in der Praxis zunächst unterschätzen.
In der Mandatspraxis sehen wir regelmäßig, dass IT-Unternehmen sich primär als Technologieanbieter verstehen und dabei übersehen, dass sie bei der internen Nutzung eigener KI-Werkzeuge zugleich als Deployer auftreten. Die KI-Verordnung unterscheidet diese Rollen präzise und verknüpft mit jeder Rolle eigenständige Verpflichtungen.
Hinzu kommt der Branchenspezifika: Software- und IT-Unternehmen entwickeln typischerweise Systeme, die in hochregulierten Sektoren eingesetzt werden – Finanzdienstleistungen, Gesundheitswesen, kritische Infrastrukturen. Diese nachgelagerten Anwendungsfälle heben die Risikoklassifizierung des KI-Systems und damit das Anforderungsniveau. Schon ein falsch klassifiziertes KI-System kann die Einstufung als Hochrisiko-KI auslösen – mit der vollen Konsequenz des Konformitätsbewertungsverfahrens.
Das Risikoklassifizierungssystem der KI-Verordnung: Welche Stufe gilt für Ihr Produkt?
Die KI-Verordnung ordnet KI-Systeme einem vierstufigen Risikomodell zu. Die Einordnung bestimmt das gesamte Pflichtenprogramm – von der technischen Dokumentation bis zur Marktüberwachung.
Auf der ersten Stufe stehen verbotene KI-Praktiken (Art. 5 KI-VO). Dazu zählen unter anderem KI-Systeme zur unbewussten Beeinflussung von Personen, Social-Scoring-Systeme staatlicher Stellen und KI-gestützte Gesichtserkennung in öffentlichen Räumen zu Strafverfolgungszwecken. Diese Verbote gelten seit dem 2. August 2025. Wer ein solches System anbietet oder betreibt, riskiert Bußgelder von bis zu 35 Mio. € oder 7 % des weltweiten Jahresumsatzes.
Die zweite Stufe bilden Hochrisiko-KI-Systeme (Art. 6, Anhang III KI-VO). Hierunter fallen Systeme, die in kritischen Infrastrukturen, im Bildungswesen, in der Beschäftigung (etwa KI-gestützte Bewerberauswahl), in essenziellen privaten und öffentlichen Diensten sowie in der Strafverfolgung eingesetzt werden. Für diese Systeme gelten ab dem 2. August 2026 umfangreiche Anforderungen: Risikomanagementsystem, technische Dokumentation, Protokollierungspflichten, Transparenzvorgaben, menschliche Aufsicht und Konformitätsbewertung vor Inverkehrbringen.
Auf der dritten Stufe folgen KI-Systeme mit begrenztem Risiko – insbesondere Chatbots und deepfake-erzeugende Systeme. Hier gilt primär die Transparenzpflicht: Nutzer müssen wissen, dass sie mit einem KI-System interagieren. Auf der vierten Stufe schließlich verbleiben KI-Systeme mit minimalem Risiko, für die keine besonderen Pflichten bestehen.
Nach unserer Erfahrung ist die praktische Abgrenzung zwischen begrenztem Risiko und Hochrisiko der häufigste Streitpunkt bei Compliance-Prüfungen in der IT-Branche. Wer diese Einordnung nicht dokumentiert, steht im Aufsichtsverfahren ohne Verteidigungslinie da.
Welche Pflichten treffen Softwareanbieter als Provider?
Wer ein KI-System entwickelt und in Verkehr bringt – sei es als Stand-alone-Produkt, als API-Dienst oder als eingebettete KI-Komponente –, ist Provider im Sinne der KI-Verordnung. Die Pflichten als Provider sind die umfangreichsten im gesamten Regelwerk.
Für Hochrisiko-KI-Systeme verlangt Art. 9 KI-VO ein lückenloses Risikomanagementsystem, das den gesamten Lebenszyklus des Systems abdeckt. Risiken müssen identifiziert, bewertet und durch technische oder organisatorische Maßnahmen minimiert werden. Das System muss kontinuierlich überwacht und bei wesentlichen Änderungen aktualisiert werden – eine punktuelle Einmalbewertung genügt nicht.
Art. 10 KI-VO stellt strenge Anforderungen an die Datenverwaltung. Trainingsdaten, Validierungsdaten und Testdaten müssen relevante, repräsentative und fehlerfreie Datensätze umfassen. Verzerrungen (Biases) sind systematisch zu erkennen und zu beheben. Dies trifft Softwareunternehmen unmittelbar in ihren Kernprozessen der Modellentwicklung.
Hinzu kommt die technische Dokumentation nach Art. 11 KI-VO: eine vollständige, nachvollziehbare Beschreibung des Systems, seiner Zweckbestimmung, seiner Leistungsgrenzen und seiner Testverfahren. Diese Dokumentation ist die Grundlage für das Konformitätsbewertungsverfahren und muss den Marktüberwachungsbehörden auf Anforderung unverzüglich vorgelegt werden können.
Schließlich verlangt Art. 16 lit. a KI-VO die Registrierung von Hochrisiko-KI-Systemen in der EU-Datenbank (EUDAMED-äquivalentes KI-Register). Die Pflicht zur Registrierung liegt beim Provider; ohne Eintrag ist das Inverkehrbringen nicht zulässig.
Betreiberpflichten: Was gilt beim internen KI-Einsatz im Unternehmen?
Viele Geschäftsführer fokussieren die Compliance-Diskussion auf die Produktentwicklung und übersehen, dass der interne Einsatz von KI-Systemen – etwa für HR-Prozesse, Vertriebssteuerung oder Finanzanalyse – eigenständige Deployer-Pflichten auslöst.
Art. 26 KI-VO verpflichtet Deployer zur Einhaltung der Nutzungsbedingungen des Anbieters, zur Umsetzung der vorgeschriebenen menschlichen Aufsicht und zur Information der betroffenen Personen, soweit dies nicht bereits durch den Anbieter erfolgt ist. Wer ein KI-System für die automatisierte Verarbeitung personenbezogener Daten nutzt – etwa ein KI-gestütztes Bewerbermanagementsystem –, muss zudem den Beschäftigten und ihren Vertretungen mitteilen, dass KI eingesetzt wird.
Besonders relevant für den Mittelstand: Die Anforderung der menschlichen Aufsicht ist keine bloße Formsache. Art. 14 KI-VO verlangt, dass die aufsichtsführende Person das System versteht, seine Grenzen kennt und in der Lage ist, in den Prozess einzugreifen oder das System abzuschalten. Das bedeutet konkrete Schulungspflichten für die verantwortlichen Mitarbeiter – und eine dokumentierte Zuständigkeitsmatrix.
Wird ein Hochrisiko-KI-System zur automatisierten Entscheidung gegenüber natürlichen Personen eingesetzt, entsteht zudem eine Überschneidung mit der DSGVO: Art. 22 DSGVO schränkt vollautomatisierte Entscheidungen mit rechtlicher oder erheblicher Wirkung ein und gewährt Betroffenen das Recht auf menschliche Überprüfung. Deployer müssen daher sowohl die KI-VO als auch die DSGVO gleichzeitig erfüllen – eine doppelschichtige Compliance-Anforderung, die ohne strukturierte rechtliche Begleitung kaum konsistent umzusetzen ist.
KI-Verordnung und DSGVO: Wie greifen beide Regelwerke ineinander?
Die KI-Verordnung tritt neben die DSGVO – sie ersetzt diese nicht. Für Software- und IT-Unternehmen entsteht ein verdichtetes Regelungsgeflecht, das in der Praxis sorgfältig koordiniert werden muss.
Auf der Ebene der Rechtsgrundlagen verlangt die DSGVO für jede Verarbeitung personenbezogener Daten eine Rechtsgrundlage nach Art. 6 DSGVO. KI-Systeme, die auf personenbezogenen Daten trainiert oder betrieben werden, müssen diese Anforderung erfüllen – die KI-VO schafft keine eigene Rechtsgrundlage für die Datenverarbeitung. Wer also ein KI-Modell mit Kundendaten trainiert, benötigt hierfür eine eigenständige DSGVO-Grundlage.
Bei Datenpannen schreibt Art. 33 DSGVO eine Meldung an die zuständige Aufsichtsbehörde binnen 72 Stunden vor. Ist das KI-System in den Vorfall verwickelt – etwa weil es fehlerhafte Ausgaben produziert hat, die auf manipulierten Eingabedaten beruhen –, kommt ergänzend die Meldepflicht nach der KI-VO ins Spiel: Anbieter von Hochrisiko-KI-Systemen müssen schwerwiegende Vorfälle und Fehlfunktionen den Marktüberwachungsbehörden melden.
Auskunftsanfragen nach Art. 15 DSGVO sind grundsätzlich binnen eines Monats zu beantworten (Art. 12 Abs. 3 DSGVO). In Verbindung mit KI-gestützten Systemen erweitert sich die praktische Herausforderung: Betroffene fragen zunehmend nicht nur nach gespeicherten Daten, sondern nach der Logik automatisierter Entscheidungen. Die KI-VO ergänzt durch Transparenzpflichten gegenüber Betroffenen, die über die DSGVO-Anforderungen teilweise hinausgehen.
Nach unserer Erfahrung in der Beratung von IT-Unternehmen entstehen die größten Compliance-Lücken dort, wo KI-VO und DSGVO koordiniert werden müssen: bei Datenschutz-Folgenabschätzungen (DSFA), die nunmehr auch KI-spezifische Risiken abbilden müssen, und bei den technisch-organisatorischen Maßnahmen, die für beide Regelwerke zugleich konzipiert werden sollten.
Haftungsrisiken für Geschäftsführer: Persönliche Verantwortung bei KI-Compliance
Die KI-Verordnung richtet ihre Bußgeldtatbestände gegen das Unternehmen – nicht unmittelbar gegen die Geschäftsführung. Das schließt persönliche Haftungsrisiken jedoch nicht aus. Im Gegenteil: Die gesellschaftsrechtliche Organhaftung (§ 43 GmbHG, § 93 AktG) greift, wenn Geschäftsführer die gebotene Sorgfalt bei der Implementierung eines Compliance-Systems verletzt haben.
Was bedeutet das konkret? Wer als Geschäftsführer weiß, dass das Unternehmen KI-Systeme einsetzt, die unter die KI-Verordnung fallen, und gleichwohl keine angemessenen organisatorischen Maßnahmen ergreift, handelt pflichtwidrig. Die Folge: Schadensersatzansprüche der Gesellschaft, und bei entsprechenden Konstellationen auch Rückgriffsmöglichkeiten von Gesellschaftern oder Insolvenzverwaltern.
Hinzu kommt ein unterschätzter Faktor: Die KI-Verordnung verpflichtet Provider zur Benennung einer verantwortlichen Person für die KI-Compliance, vergleichbar dem Datenschutzbeauftragten. Wird diese Struktur nicht aufgebaut, fehlt es im Aufsichtsverfahren an einem nachweisbaren Compliance-Management – was Bußgelder erfahrungsgemäß erhöht, nicht mindert.
Für inhabergeführte Softwareunternehmen kommt die Liquiditätsperspektive hinzu. Bußgelder bis zu 15 Mio. € oder 3 % des weltweiten Jahresumsatzes für Verstöße gegen die Hochrisiko-Anforderungen können existenzbedrohend sein – insbesondere für Unternehmen mit Umsätzen im zweistelligen Millionenbereich, die im Verhältnis zur Bilanzsumme wenig Puffer haben.
Typische Risiken und Gestaltungsoptionen in der Software- und IT-Branche
Welche KI-Anwendungen sind in der IT-Branche besonders kritisch? Und wie lassen sich Risiken durch vertragliche und organisatorische Gestaltung reduzieren?
Ein zentrales Risikofeld ist die KI-gestützte Personalentscheidung. Systeme zur Vorauswahl von Bewerbern oder zur Leistungsbeurteilung von Mitarbeitern fallen unter Anhang III KI-VO (Beschäftigung) und sind damit als Hochrisiko-KI eingestuft. Wer solche Systeme einsetzt – auch zugekaufte SaaS-Lösungen –, muss als Deployer sicherstellen, dass alle Anforderungen des Anbieters eingehalten werden, und die Belegschaft sowie deren Interessenvertretung vorab informieren.
Ein zweites Risikofeld bilden KI-Systeme in der Kundenkreditierung und Bonitätsprüfung. Automatisierte Kreditentscheidungen fallen unter das DSGVO-Verbot vollautomatisierter Entscheidungen (Art. 22 DSGVO) und, soweit sie in essenziellen Diensten eingesetzt werden, unter die Hochrisiko-Klassifikation der KI-VO. Hier ist eine doppelschichtige Risikoprüfung unausweichlich.
Gestaltungsoption 1 – Risikoverlagerung durch Vertragsgestaltung: Wer KI-Komponenten von Drittanbietern bezieht und in eigene Produkte integriert, sollte die Lieferverträge auf KI-VO-Compliance-Zusicherungen prüfen. Anbieter, die KI-Komponenten in andere Systeme einbetten, werden nach der KI-VO als Co-Provider behandelt, wenn sie wesentlichen Einfluss auf das KI-System ausüben. Die Grenze zwischen Händler (geringere Pflichten) und Provider (volle Pflichten) verläuft nach dem Grad der inhaltlichen Gestaltung.
Gestaltungsoption 2 – Konformitätsbewertung vorziehen: Für Hochrisiko-KI-Systeme, die keiner notifizierten Stelle bedürfen (Selbstbewertungsverfahren nach Art. 43 KI-VO), empfiehlt es sich, die Dokumentation und das Risikomanagement bereits im Entwicklungsprozess zu integrieren – nicht erst kurz vor dem Markteintritt. Eine nachträgliche Dokumentation ist aufwändiger, anfälliger für Lücken und im Streitfall schwerer zu verteidigen.
Gestaltungsoption 3 – DSGVO-DSFA auf KI erweitern: Bestehende Datenschutz-Folgenabschätzungen sollten um KI-spezifische Risikodimensionen ergänzt werden. Das spart Ressourcen und schafft ein einheitliches Compliance-Dokument für beide Regelwerke.
Praxisbeispiel (anonymisiert): In einem aktuellen Mandat beriet die Kanzlei ein mittelständisches Softwareunternehmen aus der IT-Branche mit rund 150 Mitarbeitern. Das Unternehmen hatte ein KI-gestütztes Tool zur automatisierten Vertragsrisikoanalyse entwickelt, das an mehrere mittelständische Unternehmenskunden als SaaS-Dienst vermarktet werden sollte. Ausgangslage: Das Unternehmen hatte das System intern als „KI mit minimalem Risiko" eingestuft – ohne strukturierte Risikoklassifizierung nach der KI-VO. Vorgehen: Im Rahmen der Beratung wurde eine systematische Risikoklassifizierung durchgeführt. Da das System auch zur Analyse von Lieferantenverträgen in regulierten Branchen (Finanzwesen, Energie) eingesetzt werden sollte, ergab sich das Potenzial einer Hochrisiko-Einstufung für bestimmte Einsatzszenarien. Die Vertragsunterlagen wurden um differenzierte Zweckbeschränkungen und Nutzungsvorgaben ergänzt, die den Einsatz in Hochrisiko-Konstellationen an zusätzliche Deployer-Pflichten knüpften. Ergebnis: Das Unternehmen konnte das Produkt fristgerecht mit einem rechtssicher dokumentierten Compliance-Rahmen auf den Markt bringen; die Risikoverteilung zwischen Anbieter und Betreibern war vertraglich klar geregelt.
Fristen und nächste Schritte: Was Geschäftsführer jetzt tun müssen
Die zeitliche Staffelung der KI-Verordnung lässt wenig Spielraum. Seit dem 2. August 2025 sind die Verbotsnormen anwendbar. Ab dem 2. August 2026 gelten die vollständigen Anforderungen für Hochrisiko-KI-Systeme. GPAI-Modelle (General Purpose AI, also Allzweck-KI-Modelle) unterliegen ab dem 2. August 2025 den Transparenz- und Urheberrechtspflichten und ab dem 2. August 2026 den vollständigen GPAI-Pflichten.
Für Geschäftsführer ergibt sich daraus folgender Handlungsrahmen:
- KI-Inventarisierung: Welche KI-Systeme werden im Unternehmen entwickelt, eingesetzt oder vertrieben? Diese Bestandsaufnahme ist die Grundlage aller weiteren Schritte.
- Risikoklassifizierung: Für jedes inventarisierte System ist die Risikoklasse nach der KI-VO zu bestimmen. Systeme, die in regulierten Sektoren eingesetzt werden, sind besonders sorgfältig zu prüfen.
- Rollenklärung: Ist das Unternehmen Provider, Deployer, Importeur oder Händler? Je nach Rolle unterscheiden sich die Pflichten erheblich.
- Pflichtenprogramm ableiten: Für Hochrisiko-Systeme: Risikomanagementsystem aufbauen, technische Dokumentation erstellen, Protokollierungssystem implementieren, Registrierungspflicht prüfen.
- Vertragliche Absicherung: Lieferantenverträge auf KI-VO-Zusicherungen prüfen; Kundenverträge um Deployer-Pflichten und Nutzungsbeschränkungen ergänzen.
- Organisationsstruktur: Zuständigkeit für KI-Compliance intern benennen; Schulungsprogramm für aufsichtsführende Personen aufsetzen.
- DSGVO-Integration: Bestehende DSFA und Verarbeitungsverzeichnisse auf KI-Relevanz prüfen und aktualisieren.
Die vorstehende Darstellung betrifft die Regelfälle nach aktuellem Stand der KI-Verordnung. Ihr konkreter Fall erfordert die Prüfung Ihrer spezifischen Systemkonfigurationen, Ihrer Rolle in der Lieferkette und der einschlägigen Übergangsfristen. Für eine erste Durchsicht Ihrer Unterlagen und KI-Systeme erreichen Sie uns unter info@brandtfalk.com.
Intersektorale Wechselwirkungen: Was gilt bei KI in Produkten für regulierte Branchen?
Software- und IT-Unternehmen, die KI-Systeme für den Einsatz in regulierten Sektoren entwickeln, stehen vor einer besonderen Herausforderung: Die KI-VO interagiert mit den sektorspezifischen Regelwerken, ohne diese zu ersetzen.
Für KI in Medizinprodukten gilt die MDR (Medical Device Regulation) parallel. KI-gestützte Diagnosesoftware, die als Medizinprodukt eingestuft ist, muss sowohl die Anforderungen der MDR als auch der KI-VO erfüllen. Art. 6 Abs. 1 KI-VO schafft eine Brückenregel: Systeme, die bereits nach harmonisierten EU-Produktvorschriften ein Konformitätsbewertungsverfahren durchlaufen haben, das die KI-VO-Anforderungen abdeckt, können auf dieses verweisen. In der Praxis erfordert dies jedoch eine sorgfältige Prüfung, ob die sektorspezifische Bewertung tatsächlich alle KI-VO-Anforderungen abdeckt.
Ähnliches gilt für KI im Finanzdienstleistungssektor: Die Anforderungen aus MiFID II, der Kreditwesengesetz-Regulierung (KWG) und den EBA-Leitlinien zum algorithmischen Risikomanagement treten neben die KI-VO. Für IT-Dienstleister, die Banken oder Versicherungen mit KI-Systemen beliefern, bedeutet das in der Praxis, dass der institutionelle Kunde als Deployer erhöhte Anforderungen stellen wird – und diese vertraglich auf den Anbieter durchreichen kann.
Dieser Multiplikatoreffekt regulatorischer Anforderungen ist ein strukturelles Merkmal der Software- und IT-Branche: Compliance-Kosten steigen nicht linear mit der Anzahl der regulierten Einsatzbereiche, sondern überproportional, weil die Systeme der Rechtfertigungspflicht gegenüber mehreren Aufsichtsbehörden standhalten müssen.
Gewerblicher Rechtsschutz und KI: Urheberrecht, Patente und Betriebsgeheimnisse
Der Einsatz von KI in der Softwareentwicklung wirft über die KI-VO hinaus Fragen des gewerblichen Rechtsschutzes auf, die für Mittelstandsunternehmen erhebliche wirtschaftliche Bedeutung haben.
Zunächst zur Urheberrechtsfrage: KI-generierter Code ist nach deutschem Recht mangels menschlicher Schöpfungshöhe nicht ohne weiteres urheberrechtlich schutzfähig. Wer also Kernbestandteile seiner Software durch KI-Assistenten generieren lässt, sollte prüfen, ob das entstehende Werk noch ausreichend menschliche Gestaltung aufweist, um Schutz zu beanspruchen. Das ist keine akademische Frage – sondern eine, die den Verkaufswert von Software und die Verhandlungsposition bei M&A-Transaktionen direkt beeinflusst.
Für Marken und Schutzrechte gilt: Eine Marke kann nach dem MarkenG für 10 Jahre geschützt werden, mit Verlängerungsoption. KI-gestützte Markenrecherchen, die inzwischen weit verbreitet sind, erzeugen neue Haftungsfragen: Übersieht das KI-Tool eine kollidierende ältere Marke, haftet das Unternehmen – nicht der Anbieter des KI-Tools. Die Widerspruchsfrist gegen eine neu eingetragene Marke beträgt 3 Monate ab Veröffentlichung (§ 42 MarkenG), und diese Frist verstreicht unabhängig davon, ob ein KI-System fehlerhaft recherchiert hat.
Betriebsgeheimnisse sind ein weiterer kritischer Punkt. Wer Unternehmensdaten in externe KI-Systeme einspeist – sei es in große Sprachmodelle, Bildgenerierungsdienste oder Analyseplattformen –, riskiert den Verlust des Geheimnisschutzes nach dem Geschäftsgeheimnisgesetz (GeschGehG), wenn keine angemessenen Schutzmaßnahmen getroffen wurden. Das GeschGehG setzt voraus, dass der Inhaber angemessene Geheimhaltungsmaßnahmen ergriffen hat. Eine unkontrollierte Dateneingabe in externe KI-Dienste kann diesen Nachweis unmöglich machen.
Verwandte Leistungen
Häufige Fragen zum KI-Einsatz im Unternehmen und zur KI-Verordnung
Ab wann gilt die KI-Verordnung für Software- und IT-Unternehmen?
Die KI-Verordnung (EU) 2024/1689 ist am 1. August 2024 in Kraft getreten. Die Verbotsnormen für inakzeptable KI-Praktiken gelten seit dem 2. August 2025. Die vollständigen Anforderungen für Hochrisiko-KI-Systeme – einschließlich Konformitätsbewertung, technischer Dokumentation und Registrierungspflicht – sind ab dem 2. August 2026 anwendbar. Für Allzweck-KI-Modelle (GPAI) gelten Transparenz- und Urheberrechtspflichten ab dem 2. August 2025; die vollständigen GPAI-Pflichten ab dem 2. August 2026. Software- und IT-Unternehmen sollten ihre Compliance-Maßnahmen daher jetzt implementieren, da die Entwicklung und Dokumentation von Risikomanagementsystemen erheblichen Vorlauf erfordert.
Wie wird ein KI-System als Hochrisiko-System eingestuft?
Die Hochrisiko-Einstufung erfolgt nach Art. 6 KI-VO in Verbindung mit Anhang III. Maßgeblich ist primär der Einsatzbereich: KI-Systeme in kritischen Infrastrukturen, im Bildungswesen, in der Beschäftigung (Bewerberauswahl, Leistungsbeurteilung), in essenziellen Diensten (Kredit, Versicherung, soziale Leistungen) sowie in der Strafverfolgung und Grenzkontrolle gelten grundsätzlich als Hochrisiko-KI. Entscheidend ist nicht allein die Technologie, sondern der konkrete Verwendungszweck. Eine sorgfältige, dokumentierte Risikoklassifizierung ist daher für jedes Produkt und jeden Einsatzfall separat vorzunehmen.
Welche Bußgelder drohen bei Verstößen gegen die KI-Verordnung?
Die Bußgeldtatbestände sind nach Schwere abgestuft: Verstöße gegen die Verbotsnormen (Art. 5 KI-VO) können mit bis zu 35 Mio. € oder 7 % des weltweiten Jahresumsatzes geahndet werden. Verstöße gegen die Hochrisiko-Anforderungen (Risikomanagementsystem, Dokumentation, Konformitätsbewertung) können Bußgelder bis zu 15 Mio. € oder 3 % des weltweiten Jahresumsatzes nach sich ziehen. Für die Übermittlung falscher oder unvollständiger Informationen an Behörden sieht Art. 101 KI-VO Bußgelder bis zu 7,5 Mio. € oder 1 % des Jahresumsatzes vor. Es gilt jeweils der höhere Betrag.
Müssen auch kleine IT-Unternehmen die KI-Verordnung beachten?
Ja, grundsätzlich gilt die KI-Verordnung für alle Unternehmen, die KI-Systeme in der EU in Verkehr bringen oder betreiben – unabhängig von ihrer Größe. Die KI-VO sieht jedoch für KMU und Startups einige Erleichterungen vor, insbesondere bei Gebühren für Konformitätsbewertungsverfahren und beim Zugang zu Regulierungs-Sandkästen. Die materiellen Anforderungen – Risikoklassifizierung, Dokumentation, menschliche Aufsicht – gelten hingegen uneingeschränkt. Kleine IT-Unternehmen, die Hochrisiko-KI-Systeme entwickeln oder betreiben, sind damit vollumfänglich in der Pflicht.
Wie verhält sich die KI-Verordnung zur DSGVO?
Beide Regelwerke stehen nebeneinander und ergänzen sich. Die KI-VO schafft keine neue Rechtsgrundlage für die Verarbeitung personenbezogener Daten – diese richtet sich weiterhin nach der DSGVO. Wo KI-Systeme personenbezogene Daten verarbeiten, müssen beide Regelwerke gleichzeitig erfüllt werden. Praktisch bedeutet das: Datenschutz-Folgenabschätzungen sind um KI-spezifische Risikoaspekte zu erweitern, Auskunftsanfragen müssen auch die Logik automatisierter Entscheidungen erfassen, und Meldepflichten bei Sicherheitsvorfällen können aus beiden Regelwerken parallel entstehen.
Was gilt für den Einsatz von KI-Tools durch Mitarbeiter (z. B. ChatGPT, Copilot)?
Der Einsatz öffentlich verfügbarer KI-Tools durch Mitarbeiter ist aus mehreren Rechtsperspektiven zu bewerten. Aus DSGVO-Sicht: Die Eingabe personenbezogener Daten in externe KI-Dienste stellt eine Datenübermittlung dar, die einer Rechtsgrundlage bedarf und die Drittlandübermittlungsregeln auslösen kann. Aus KI-VO-Sicht: Das Unternehmen agiert als Deployer und trägt die entsprechenden Pflichten. Aus dem Gesichtspunkt des Geheimnisschutzes: Die Eingabe von Betriebsgeheimnissen kann den Schutz nach dem GeschGehG gefährden. Unternehmen sollten daher eine klare interne Richtlinie für den Umgang mit KI-Tools erlassen und deren Einhaltung dokumentieren.
Die vorstehende Darstellung gibt einen Überblick über die wesentlichen Anforderungen der KI-Verordnung für die Software- und IT-Branche. Ihr konkreter Fall erfordert die Prüfung Ihrer spezifischen KI-Systeme, Ihrer Rolle als Provider oder Deployer und der für Sie geltenden Übergangsfristen. Für eine erste Durchsicht Ihrer Unterlagen und eine Einschätzung Ihres Compliance-Stands wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag ist eine allgemeine Information und stellt keine Rechtsberatung dar. Für eine Prüfung Ihres Falls kontaktieren Sie info@brandtfalk.com.