MünchenBerlinMo–Fr 08:30–18:30
DE / EN
Wirtschaftskanzlei
für den Mittelstand
StartseiteInsightsGewerblicher Rechtsschutz, IT-Recht & DatenschutzKI-Einsatz im Unternehmen und die KI-Verordnung – Software- und IT-Branche: FAQ
Gewerblicher Rechtsschutz, IT & Datenschutz · Rechtsgebiet 5 · FAQ-Dossier

KI-Einsatz im Unternehmen und die KI-Verordnung – Software- und IT-Branche: FAQ

Der EU AI Act (KI-Verordnung) verpflichtet Unternehmen der Software- und IT-Branche je nach Akteursrolle – Anbieter, Betreiber oder Importeur – zu unterschiedlich strengen Compliance-Anforderungen.

Nicht der Einsatz künstlicher Intelligenz ist das Risiko – die Unkenntnis über die einschlägigen Pflichten ist es. Seit dem stufenweisen Inkrafttreten des EU AI Act (KI-Verordnung, Verordnung (EU) 2024/1689) steht für Geschäftsführer in der Software- und IT-Branche fest: Wer KI-Systeme entwickelt, vertreibt oder im Betrieb einsetzt, unterliegt einem verbindlichen europäischen Regelungsrahmen mit erheblichen Sanktionspotentialen. Die Verordnung differenziert nach Risikokategorien und Akteursrollen; wer sich falsch einordnet, riskiert Bußgelder, die sich am weltweiten Jahresumsatz des Unternehmens orientieren.

Der EU AI Act (KI-Verordnung) verpflichtet Unternehmen der Software- und IT-Branche je nach Akteursrolle – Anbieter, Betreiber oder Importeur – zu unterschiedlich strengen Compliance-Anforderungen. Hochrisiko-KI-Systeme unterliegen umfassenden Pflichten zur Konformitätsbewertung, Dokumentation und menschlichen Aufsicht; verbotene KI-Praktiken sind seit Februar 2025 anwendbar. Für Geschäftsführer im Mittelstand bedeutet das: jetzt Bestandsaufnahme, Rollenklärung und Risikoeinstufung – bevor die Aufsicht es tut.

Das vorliegende FAQ-Dossier beantwortet die häufigsten Fragen, die uns Geschäftsführer, IT-Leiter und Syndikusjuristen aus der Software- und IT-Branche stellen – strukturiert, rechtspraktisch und ohne Vereinfachungen, die im Einzelfall teuer werden können.

FAQ 1: Was ist der EU AI Act, und ab wann gilt er für mein Unternehmen?

Der EU AI Act (Verordnung (EU) 2024/1689) ist die erste umfassende europäische Regulierung für Systeme der künstlichen Intelligenz. Er gilt unmittelbar in allen EU-Mitgliedstaaten – ohne nationalen Umsetzungsakt – und richtet sich an Unternehmen, die KI-Systeme in der EU in Verkehr bringen, in Betrieb nehmen oder nutzen. Das schließt ausdrücklich auch Unternehmen außerhalb der EU ein, sofern die Ausgabe des KI-Systems in der Union genutzt wird.

Die Anwendung erfolgt gestaffelt: Verbote für inakzeptable Risiken (Titel II) gelten seit 2. Februar 2025. Pflichten für Anbieter und Betreiber von Hochrisiko-KI-Systemen werden ab dem 2. August 2026 vollständig anwendbar. Für Anbieter von KI-Systemen mit allgemeinem Verwendungszweck (GPAI-Modelle) gelten seit dem 2. August 2025 zusätzliche Anforderungen. In der Mandatspraxis sehen wir regelmäßig, dass mittelständische Softwareunternehmen den stufenweisen Anwendungskalender unterschätzen – und sich erst kurz vor dem Stichtag mit Konformitätsfragen befassen, obwohl Dokumentationspflichten Vorlaufzeit von mehreren Monaten erfordern.

Für Geschäftsführer in der Software- und IT-Branche ist entscheidend: Selbst wenn Sie heute kein eigenes KI-System entwickeln, sondern KI-gestützte Dienste von Drittanbietern in Ihre Produkte integrieren oder intern einsetzen, sind Sie als Betreiber im Sinne der Verordnung an deren Vorgaben gebunden. Die Rollenklärung ist daher der erste Schritt jeder KI-Compliance-Prüfung.

FAQ 2: Welche Akteursrollen unterscheidet die KI-Verordnung, und welche Pflichten treffen mein Unternehmen?

Die KI-Verordnung definiert vier Hauptrollen: Anbieter (Provider), Betreiber (Deployer), Importeure und Händler. Für die Software- und IT-Branche sind vor allem die ersten beiden Rollen relevant – und in der Praxis häufig kumuliert.

Als Anbieter gilt, wer ein KI-System oder ein GPAI-Modell entwickelt und unter eigenem Namen in Verkehr bringt – unabhängig davon, ob dies entgeltlich oder unentgeltlich geschieht. Anbieter tragen die schwersten Pflichten: Konformitätsbewertung, technische Dokumentation, CE-Kennzeichnung (bei Hochrisiko-Systemen), EU-Konformitätserklärung, Registrierung in der EU-Datenbank sowie die Einrichtung eines Qualitätsmanagementsystems.

Als Betreiber gilt, wer ein KI-System in eigener Verantwortung im Rahmen beruflicher Tätigkeiten einsetzt. Betreiber müssen sicherstellen, dass das System dem vorgesehenen Verwendungszweck entsprechend genutzt wird, müssen grundlegende Protokollierungspflichten beachten und – bei Hochrisiko-Systemen – eine menschliche Aufsicht gewährleisten sowie eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO prüfen. Nach unserer Erfahrung betrifft dies in der IT-Branche besonders den Einsatz von KI in Personalentscheidungen, im Kundensupport und in der automatisierten Softwareprüfung.

Wichtig: Wer ein Hochrisiko-KI-System mit eigenem Namen oder unter eigener Marke auf den Markt bringt oder wesentliche Änderungen daran vornimmt, rückt in die Anbieterrolle auf – selbst wenn er das zugrundeliegende Modell von einem Dritten lizenziert hat. Diese Rollenverschiebung ist einer der häufigsten Compliance-Fehler in der Branche.

FAQ 3: Was sind verbotene KI-Praktiken, und was droht bei Verstößen?

Titel II der KI-Verordnung listet KI-Praktiken auf, die als schlechthin unvereinbar mit europäischen Grundrechten eingestuft werden und seit dem 2. Februar 2025 vollständig verboten sind. Für die Software- und IT-Branche sind folgende Verbote besonders praxisrelevant:

  • Systeme, die subliminale Techniken einsetzen, um das Verhalten von Personen zu manipulieren, ohne dass diese es wahrnehmen können.
  • KI-Systeme zur sozialen Bewertung von Personen durch öffentliche oder private Stellen anhand von Verhalten oder persönlichen Merkmalen (Social Scoring), die zu ungerechtfertigten Nachteilen führen.
  • Biometrische Fernidentifizierungssysteme in Echtzeit im öffentlichen Raum für Strafverfolgungszwecke (mit engen Ausnahmen).
  • KI-Systeme zur Emotion Recognition am Arbeitsplatz und in Bildungseinrichtungen (außer medizinische oder sicherheitsrelevante Ausnahmen).

Die Sanktionsstufen sind abgestuft: Verstöße gegen die Verbotstatbestände können mit Bußgeldern bis zu 35 Mio. € oder 7 % des weltweiten Jahresumsatzes geahndet werden – je nachdem, welcher Betrag höher ist. Verstöße gegen Hochrisiko-Pflichten sind mit bis zu 15 Mio. € oder 3 % des weltweiten Jahresumsatzes bewehrt; fehlerhafte Angaben gegenüber Behörden mit bis zu 7,5 Mio. € oder 1,5 % des weltweiten Jahresumsatzes. Diese Sanktionsschwellen sind im Entwurf der Verordnung verankert und vor jeder Mandatsbearbeitung erneut zu verifizieren.

Hinweis zur DSGVO-Überschneidung: Verstößt ein KI-System gleichzeitig gegen datenschutzrechtliche Anforderungen, können DSGVO-Bußgelder – bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes (Art. 83 DSGVO) – kumulativ hinzutreten. In der Mandatspraxis sehen wir, dass Aufsichtsbehörden bei KI-Sachverhalten zunehmend koordiniert vorgehen.

FAQ 4: Was ist ein Hochrisiko-KI-System, und wie erkenne ich, ob mein Produkt darunter fällt?

Die Einstufung als Hochrisiko-KI-System ist die zentrale Weichenstellung der Verordnung. Sie entscheidet darüber, ob ein Unternehmen die vollständige Konformitätsbewertungskaskade durchlaufen muss. Ein KI-System gilt als Hochrisiko-System, wenn es in einem der in Anhang III der KI-Verordnung aufgeführten Bereiche eingesetzt wird und dort erhebliche Auswirkungen auf die Gesundheit, Sicherheit oder Grundrechte von Personen entfalten kann.

Für die Software- und IT-Branche sind folgende Hochrisikobereiche besonders relevant:

  • Beschäftigung und Personalmanagement: KI-Systeme für Rekrutierung, Beförderungsentscheidungen, Aufgabenverteilung und Verhaltensüberwachung von Arbeitnehmern.
  • Zugang zu wesentlichen privaten und öffentlichen Diensten: z. B. Bonitätsbewertung, Kreditvergabeentscheidungen.
  • Strafverfolgung, Migration, Justiz und demokratische Prozesse.
  • KI-Systeme als Sicherheitskomponenten in Produkten, die bereits durch EU-Harmonisierungsrecht reguliert sind (z. B. Medizinprodukte, Maschinen, Fahrzeuge).

Die Prüfung erfolgt in zwei Schritten: Zunächst ist festzustellen, ob das System überhaupt in einen der gelisteten Anwendungsbereiche fällt. Anschließend greift eine Ausnahme, wenn das System kein erhebliches Risiko für Gesundheit, Sicherheit oder Grundrechte begründet – das ist aber eng auszulegen und muss dokumentiert werden. Nach unserer Erfahrung unterschätzen insbesondere Anbieter von HR-Software und von Kundenbewertungsalgorithmen die Reichweite der Hochrisiko-Kategorien. Eine schriftliche Risikoklassifizierung mit Begründung gehört in die technische Dokumentation – unabhängig davon, ob das Ergebnis „Hochrisiko" oder „kein Hochrisiko" lautet.

FAQ 5: Welche Dokumentations- und Transparenzpflichten gelten konkret?

Die Dokumentationspflichten der KI-Verordnung sind umfangreich und lassen sich nicht kurzfristig erfüllen. Für Anbieter von Hochrisiko-KI-Systemen schreibt die Verordnung eine technische Dokumentation vor, die vor Inverkehrbringen vollständig vorliegen muss und laufend aktualisiert werden muss. Diese umfasst unter anderem: eine allgemeine Systembeschreibung, die zugrundeliegenden Algorithmen und Trainingsdaten, Maßnahmen zur Bewertung und Minderung von Risiken, Validierungs- und Prüfergebnisse sowie die Spezifikation der vorgesehenen Verwendung.

Betreiber von Hochrisiko-Systemen sind verpflichtet, automatisch erzeugte Protokolle (Logs) für einen definierten Zeitraum aufzubewahren – die konkrete Frist ist anhand der einschlägigen Durchführungsakte zu bestimmen und im Einzelfall anwaltlich zu prüfen. Darüber hinaus müssen natürliche Personen, mit denen ein KI-System interagiert, in bestimmten Konstellationen darüber informiert werden, dass sie mit einem automatisierten System kommunizieren. Dies betrifft insbesondere KI-generierte Inhalte und Chatbot-Interaktionen (Transparenzpflichten nach Art. 50 KI-Verordnung), die bereits ab dem 2. August 2026 vollständig gelten.

Für GPAI-Modelle (Modelle mit allgemeinem Verwendungszweck, z. B. große Sprachmodelle) gelten eigenständige Pflichten: Anbieter müssen technische Dokumentation bereitstellen, Urheberrechtspolitiken implementieren und – bei Modellen mit systemischem Risiko – zusätzliche Bewertungen und Meldepflichten erfüllen. Die Einstufung als systemisches Risiko orientiert sich an Schwellenwerten für Trainingsrechenleistung; die genauen Parameter sind im Einzelfall zu prüfen.

FAQ 6: Wie verhält sich die KI-Verordnung zur DSGVO – und was bedeutet das für KI-gestützte Datenverarbeitungen?

KI-Verordnung und DSGVO sind keine alternativen Regime – sie greifen kumulativ. Wer ein KI-System betreibt, das personenbezogene Daten verarbeitet, muss beide Regelwerke gleichzeitig einhalten. In der Software- und IT-Branche ist das der Regelfall: Empfehlungsalgorithmen, KI-gestützte Kundensegmentierung, automatisierte Vertragsanalyse und Chatbots verarbeiten nahezu immer personenbezogene Daten im Sinne des Art. 4 Nr. 1 DSGVO.

Konkrete Schnittstellen zwischen beiden Regelwerken:

  • Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO ist bei Hochrisiko-KI-Systemen, die personenbezogene Daten verarbeiten, regelmäßig zwingend. Betreiber, die diese Pflicht vernachlässigen, riskieren nicht nur DSGVO-Bußgelder, sondern setzen sich auch KI-VO-seitigen Vorwürfen aus.
  • Automatisierte Entscheidungen nach Art. 22 DSGVO: KI-Systeme, die rein automatisiert Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung treffen, unterliegen den Einschränkungen des Art. 22 DSGVO. Das schließt ein Widerspruchsrecht der betroffenen Person ein.
  • Zweckbindung und Datenminimierung begrenzen die Möglichkeit, Trainingsdatensätze für weitere KI-Anwendungen zu nutzen, ohne gesonderte Rechtsgrundlage.
  • Die Meldung von Datenschutzverletzungen muss binnen 72 Stunden (Art. 33 DSGVO) erfolgen; wenn ein KI-System Ursache oder Mittler einer Verletzung ist, gelten keine verlängerten Fristen.

Unser Rat: Behandeln Sie KI-Compliance und Datenschutz-Compliance als ein gemeinsames Prüfprogramm, nicht als Parallelspuren. Wer eine DSFA ohnehin erstellt, sollte die Anforderungen der KI-Verordnung an die technische Dokumentation systematisch integrieren.

FAQ 7: Was muss ich als Geschäftsführer persönlich beachten – droht mir persönliche Haftung?

Die KI-Verordnung richtet sich primär an das Unternehmen als juristische Person. Gleichwohl können Geschäftsführer persönlich in die Pflicht genommen werden – und zwar auf mehreren Ebenen.

Gesellschaftsrechtlich trifft den Geschäftsführer eine Legalitätspflicht: Er ist gehalten, dafür zu sorgen, dass das Unternehmen einschlägiges Recht einhält. Verstößt das Unternehmen gegen die KI-Verordnung und ist dies auf mangelhafte Aufsichtsstrukturen zurückzuführen, kann der Geschäftsführer im Innenverhältnis der Gesellschaft schadensersatzpflichtig sein. Hinzu kommt das OWiG-Regime: Ordnungswidrigkeitenrechtlich können Leitungspersonen – auch Geschäftsführer – bei Aufsichtspflichtverletzungen persönlich mit einer Geldbuße belegt werden.

Besondere Aufmerksamkeit verdient der Einsatz von KI in der Personalverwaltung. Entscheidet ein KI-System über Einstellungen, Beförderungen oder Entlassungen, haftet der Arbeitgeber für diskriminierende Ergebnisse – und der Geschäftsführer steht in der Pflicht zu demonstrieren, dass angemessene menschliche Aufsicht bestanden hat. Das ist nicht nur KI-VO-Thema, sondern berührt auch das AGG (Allgemeines Gleichbehandlungsgesetz).

Aus der Mandatspraxis: Wir beraten regelmäßig Geschäftsführer mittelständischer Softwareunternehmen, die nach der Einführung KI-gestützter Systeme feststellen, dass weder die technische Dokumentation noch eine Risikoklassifizierung vorliegt. In diesen Fällen ist schnelles, dokumentiertes Handeln entscheidend – sowohl für die Compliance als auch für die Haftungsabwehr im Außenverhältnis.

FAQ 8: Wie reguliert die KI-Verordnung KI-Systeme mit allgemeinem Verwendungszweck (GPAI)?

Modelle mit allgemeinem Verwendungszweck (General-Purpose AI Models, GPAI) – also große Sprachmodelle und vergleichbare Systeme, die für eine Vielzahl von Aufgaben eingesetzt werden können – sind in der KI-Verordnung eigenständig geregelt (Titel VIII). Diese Regelungen sind seit dem 2. August 2025 anwendbar und für die Software- und IT-Branche von unmittelbarer Relevanz, da viele Unternehmen GPAI-Modelle entweder selbst entwickeln, fine-tunen oder als Basis für eigene Produkte nutzen.

Anbieter von GPAI-Modellen müssen eine technische Dokumentation erstellen, eine Zusammenfassung der Trainingsdaten bereitstellen und eine Urheberrechtspolitik implementieren, die dem Vorbehalt von Rechteinhabern Rechnung trägt. Bei Modellen mit systemischem Risiko – deren Einstufung sich unter anderem an der aufgewendeten Trainingsrechenleistung orientiert – kommen erweiterte Pflichten hinzu: Modellbewertungen, Meldung schwerwiegender Vorfälle und Maßnahmen zur Minderung systemischer Risiken.

Für Unternehmen, die ein GPAI-Modell in ihre eigene Softwareplattform integrieren und so eine spezifische KI-Anwendung schaffen, ist die Frage der Rollenabgrenzung kritisch: Wer das Modell lediglich unverändert einbettet, ist grundsätzlich Betreiber. Wer das Modell fine-tuned, die Systemanweisung wesentlich verändert oder das Modell unter eigener Marke vertreibt, rückt in die Anbieterrolle auf – mit allen damit verbundenen Pflichten.

FAQ 9: Welche konkreten Schritte sollte mein Unternehmen jetzt einleiten?

Welche Maßnahmen prioritär sind, hängt von der Akteursrolle und der Art der eingesetzten KI-Systeme ab. Als Orientierung empfehlen wir in der Beratungspraxis einen vierstufigen Ansatz:

  1. Inventarisierung: Erstellen Sie eine vollständige Liste aller KI-Systeme und KI-gestützten Funktionen, die Ihr Unternehmen entwickelt, vertreibt oder intern nutzt. Schließen Sie auch eingebettete KI-Komponenten von Drittanbietern ein.
  2. Rollenklärung und Risikoklassifizierung: Bestimmen Sie für jedes System, in welcher Akteursrolle Ihr Unternehmen agiert (Anbieter, Betreiber, Importeur, Händler) und stufen Sie das System nach den Risikokategorien der KI-Verordnung ein. Dokumentieren Sie die Einstufungsentscheidung schriftlich, auch wenn das Ergebnis „kein Hochrisiko" lautet.
  3. Gap-Analyse: Prüfen Sie für Hochrisiko-Systeme und GPAI-Modelle, welche Pflichten bereits erfüllt sind und wo Lücken bestehen – Dokumentation, Qualitätsmanagement, menschliche Aufsicht, Protokollierung, Transparenzpflichten.
  4. Implementierungsplan: Schließen Sie die identifizierten Lücken mit einem priorisierten Fahrplan. Beachten Sie die unterschiedlichen Anwendungsstichtage der Verordnung, insbesondere den 2. August 2026 für Hochrisiko-Pflichten.

Handelt Ihr Unternehmen als Auftragnehmer für öffentliche Stellen oder im B2B-Bereich mit Kunden, die selbst unter die KI-Verordnung fallen, empfiehlt es sich, die Compliance-Anforderungen vertraglich zu klären – insbesondere die Zuordnung der Anbieter- und Betreiberpflichten, Informationspflichten und Haftungsfragen.

FAQ 10: Wie verhält sich die KI-Verordnung zu bestehendem Gewerblichen Rechtsschutz und IP-Recht?

Die KI-Verordnung lässt das bestehende IP-Recht unberührt – tritt aber neben es und schafft neue Konfliktfelder. Für die Software- und IT-Branche sind vor allem drei Schnittstellen relevant:

Urheberrecht und Trainingsdaten: Das Training von KI-Modellen auf urheberrechtlich geschützten Werken ist grundsätzlich zulässig, wenn der Rechteinhaber nicht widersprochen hat (Opt-out-Regime nach der DSM-Richtlinie, in Deutschland umgesetzt durch §§ 44b, 60d UrhG). Die KI-Verordnung verpflichtet GPAI-Anbieter zusätzlich, eine Zusammenfassung der verwendeten Trainingsdaten zu veröffentlichen und eine entsprechende Urheberrechtspolitik zu implementieren. Wer dies versäumt, riskiert Urheberrechtsklagen und KI-VO-Sanktionen.

Schutzfähigkeit KI-generierter Ergebnisse: Nach deutschem Urheberrecht (UrhG) setzt der Schutz eine persönliche geistige Schöpfung voraus. Vollständig autonom durch KI erzeugte Werke ohne menschlichen schöpferischen Beitrag sind nach herrschender Auffassung nicht urheberrechtlich schutzfähig. Für Softwareunternehmen, die KI-generierte Inhalte kommerziell verwerten, ist dies eine erhebliche Einschränkung der IP-Position.

Patentrecht und KI-Erfindungen: Erfindungen, die unter wesentlichem Einsatz von KI entstehen, können patentierbar sein, sofern ein menschlicher Erfinder benannt werden kann. Rein KI-erzeugte Erfindungen ohne menschlichen Erfinderanteil sind nach geltendem europäischen Patentrecht (EPÜ) und deutschem Patentgesetz nicht schutzfähig. Dieser Bereich befindet sich im Wandel; eine enge Begleitung laufender Gesetzgebungsprozesse ist empfehlenswert.

FAQ 11: Was gilt für den Einsatz von KI in Vertragsgestaltung und Rechtsabteilungen von IT-Unternehmen?

KI-gestützte Vertragsprüfung und Legal-Tech-Anwendungen in der Rechtsabteilung sind in aller Regel keine Hochrisiko-KI-Systeme im Sinne der KI-Verordnung – es sei denn, das System trifft Entscheidungen mit wesentlicher Rechtswirkung autonom und ohne menschliche Kontrolle. Gleichwohl sind auch hier Sorgfaltspflichten zu beachten.

Aus datenschutzrechtlicher Sicht: Werden in Verträgen personenbezogene Daten verarbeitet – was bei B2B-Verträgen regelmäßig der Fall ist, wenn natürliche Personen als Vertragsparteien oder Ansprechpartner erscheinen –, ist eine Rechtsgrundlage nach DSGVO erforderlich. Zudem sind Datenweitergaben an KI-Anbieter in Drittstaaten (insbesondere USA) am Maßstab von Art. 44 ff. DSGVO zu messen; Standardvertragsklauseln sind häufig das einzige verfügbare Transferinstrument.

Vertragsrechtlich ist zu klären: Wer haftet, wenn eine KI-gestützte Vertragsanalyse einen wesentlichen Risikopunkt übersieht? In der Regel haftet das Unternehmen, das das KI-System einsetzt, gegenüber Dritten – und intern hat der Geschäftsführer dafür zu sorgen, dass qualifizierte menschliche Überprüfung stattfindet. Diese Kontrolle sollte dokumentiert werden.

FAQ 12: Wie bereitet sich mein Unternehmen auf KI-Audits und behördliche Prüfungen vor?

Nationale Marktüberwachungsbehörden – in Deutschland voraussichtlich koordiniert durch das Bundesamt für Sicherheit in der Informationstechnik (BSI) und sektorspezifische Aufsichtsbehörden – werden im Rahmen der KI-Verordnung umfassende Prüf- und Zugriffsbefugnisse erhalten. Unternehmen müssen auf Verlangen technische Dokumentation, Konformitätserklärungen und Prüfberichte vorlegen. Wer im Prüffall unvollständige oder widersprüchliche Unterlagen präsentiert, erhöht das Sanktionsrisiko erheblich.

Folgende Maßnahmen sind als Prüfungsvorbereitung zu empfehlen:

  • Führen eines strukturierten KI-Registers (Inventar aller eingesetzten und entwickelten Systeme mit Klassifizierungsentscheidung und Begründung).
  • Aufbewahrung der technischen Dokumentation und aller Änderungshistorien (Versionskontrolle).
  • Benennung eines internen Verantwortlichen für KI-Compliance (vergleichbar dem Datenschutzbeauftragten).
  • Schulung der relevanten Mitarbeitenden – insbesondere Produktmanager, Entwickler und HR – über die Anforderungen der KI-Verordnung und die interne Meldestruktur bei KI-bedingten Vorfällen.
  • Regelmäßige interne Audits des KI-Registers und der Dokumentation, insbesondere nach Systemänderungen.

Wer jetzt in belastbare Prozesse investiert, schützt nicht nur vor Bußgeldern, sondern stärkt auch das Vertrauen von Kunden und Geschäftspartnern – ein zunehmend wettbewerbsrelevanter Faktor in der Software- und IT-Branche.

Die vorstehende Darstellung betrifft die typischen Konstellationen des KI-Einsatzes in der Software- und IT-Branche. Ihr konkreter Fall erfordert die Prüfung Ihrer spezifischen Produkte, Vertragsstrukturen und Akteursrolle nach den Vorgaben der KI-Verordnung. Zur Klärung, wie der EU AI Act auf Ihr Unternehmen wirkt, wenden Sie sich an info@brandtfalk.com.

Verwandte Leistungen

Über BRANDT & FALK Rechtsanwälte

BRANDT & FALK Rechtsanwälte ist eine unabhängige Wirtschaftskanzlei mit Sitz in München und Berlin. Die Kanzlei berät den deutschen Mittelstand bundesweit im Gewerblichen Rechtsschutz, IT-Recht, Datenschutzrecht und – seit dem Inkrafttreten des EU AI Act – in allen Fragen des KI-Einsatzes im Unternehmen. Die Beratung umfasst die Risikoklassifizierung von KI-Systemen, die Erstellung technischer Dokumentation und die Begleitung bei behördlichen Prüfungen. Bei grenzüberschreitenden Sachverhalten arbeiten wir mit qualifizierten Berufsträgern in der jeweiligen Jurisdiktion zusammen. Kontakt: info@brandtfalk.com.

Verfasst von Dr. Philipp Sander · fachlich geprüft von Stephan Köhler

Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.

Sprechen wir über Ihren Fall

Schildern Sie uns Ihre Situation — wir antworten innerhalb eines Werktags. Alternativ schreiben Sie an info@brandtfalk.com.

Ihre Angaben verwenden wir ausschließlich zur Bearbeitung Ihrer Anfrage (Art. 6 Abs. 1 lit. b DSGVO). Details in der Datenschutzerklärung. Bitte übermitteln Sie über dieses Formular keine vertraulichen Details — die Vertiefung erfolgt im Gespräch.