Viele Geschäftsführer im deutschen Mittelstand haben in den vergangenen Monaten erste KI-gestützte Werkzeuge in ihre Abläufe integriert — für Dokumentenanalyse, Kundenansprache oder automatisierte Entscheidungsprozesse in der Qualitätssicherung. Was oft als pragmatischer Pilotversuch beginnt, wird durch den EU AI Act (Verordnung (EU) 2024/1689 über Künstliche Intelligenz, kurz KI-Verordnung oder KI-VO) zu einer regulatorischen Gestaltungsaufgabe mit klaren Pflichtenrahmen, gestaffelten Fristen und erheblichem Bußgeldpotenzial.
Der EU AI Act verpflichtet Unternehmen, die KI-Systeme einsetzen, entwickeln oder in Verkehr bringen, zur Einstufung dieser Systeme nach Risikoklassen — mit spezifischen Pflichten für Transparenz, Dokumentation und menschliche Aufsicht. Für den Mittelstand bedeutet das: Wer KI heute produktiv nutzt, ist nach Maßgabe der geltenden Übergangsfristen bereits jetzt handlungspflichtig. Eine strukturierte Bestandsaufnahme und rechtliche Einordnung ist kein optionales Zukunftsprojekt, sondern geschäftsführerrechtliche Sorgfaltspflicht.
Dieser Beitrag erläutert den normativen Rahmen der KI-Verordnung, die praxisrelevanten Pflichtenkategorien für den Mittelstand, das Zusammenspiel mit der DSGVO sowie die konkreten nächsten Schritte für Geschäftsführer.
Was regelt die KI-Verordnung und warum ist sie für Geschäftsführer bindend?
Die KI-Verordnung ist das erste umfassende Regulierungswerk für Künstliche Intelligenz weltweit und gilt unmittelbar in allen EU-Mitgliedstaaten — ohne nationalem Umsetzungsgesetz. Sie erfasst jeden, der ein KI-System im Sinne der Verordnung in der Europäischen Union einsetzt, als Deployer (Betreiber) in die Pflicht nimmt, sofern er kein privater Nutzer ist. Für Geschäftsführer im Mittelstand entsteht damit eine persönliche Sorgfaltspflicht, die sich aus der unternehmerischen Leitungsverantwortung ableitet.
Die KI-VO verwendet einen risikobasierten Ansatz. Sie unterscheidet vier Kategorien: verbotene Praktiken, Hochrisiko-KI-Systeme, Systeme mit Transparenzpflichten sowie allgemeine KI-Systeme ohne besondere Pflichten. Verbotene Praktiken — etwa Systeme zur unbewussten Verhaltensbeeinflussung oder zum flächendeckenden biometrischen Echtzeit-Screening im öffentlichen Raum — sind seit Februar 2025 untersagt. Hochrisiko-Systeme unterliegen dem vollständigen Pflichtenkatalog der Verordnung: Konformitätsbewertung, technische Dokumentation, Risikomanagementsystem, Protokollierung, menschliche Aufsicht.
In der Mandatspraxis sehen wir, dass mittelständische Unternehmen die eigene Betroffenheit häufig unterschätzen. Wer ein HR-System zur Bewerbervorauswahl, eine KI-gestützte Kreditentscheidungsunterstützung oder automatisierte Qualitätskontrolle mit Personenbezug betreibt, ist typischerweise als Deployer eines Hochrisiko-Systems einzustufen — mit den entsprechenden Compliance-Anforderungen.
Welche Fristen und Übergangsregelungen gelten im Überblick?
Die KI-Verordnung trat am 1. August 2024 in Kraft und gilt in einem gestaffelten Zeitplan. Das Verbot bestimmter KI-Praktiken (Kapitel II KI-VO) ist seit Februar 2025 anwendbar. Die Anforderungen für Hochrisiko-KI-Systeme nach Anhang III — das sind die für den Mittelstand besonders relevanten Systeme im Bereich Beschäftigung, Bildung, wesentliche private und öffentliche Dienste sowie Strafverfolgung — gelten ab August 2026. Allgemeinzweck-KI-Modelle (GPAI, etwa große Sprachmodelle) sind ab August 2025 reguliert.
Diese Fristen klingen noch komfortabel. Sie täuschen aber über den tatsächlichen Vorbereitungsaufwand hinweg. Die Erstellung technischer Dokumentation, die Implementierung eines Risikomanagementsystems und die Einrichtung menschlicher Aufsichtsmechanismen erfordern Monate systematischer Vorbereitung. Unternehmen, die erst bei Ablauf der Übergangsfrist beginnen, werden die Anforderungen nicht fristgerecht erfüllen können.
Nach unserer Erfahrung ist der kritische Pfad für Mittelständler: KI-Bestandsaufnahme und Systeminventar → Risikoklassifizierung → Lückenanalyse gegenüber den normativen Anforderungen → Maßnahmenplan → Implementierung und Dokumentation. Dieser Prozess dauert bei einem Unternehmen mit zwei bis fünf eingesetzten KI-Systemen realistischerweise zwischen vier und acht Monate.
Hochrisiko-KI im Mittelstand: Welche Systeme sind betroffen?
Anhang III der KI-Verordnung lischt Verwendungszwecke auf, die automatisch zur Einstufung als Hochrisiko-System führen. Für den deutschen Mittelstand sind folgende Kategorien besonders relevant: KI-Systeme zur Bewerberauswahl, Mitarbeiterleistungsbewertung oder Beförderungsentscheidung (Kategorie: Beschäftigung); Systeme zur Bonitätsprüfung und Kreditvergabe gegenüber natürlichen Personen (Kategorie: Wesentliche private Dienstleistungen); KI-gestützte Systeme in der Sicherheitskritischen Infrastruktur.
Was bedeutet Hochrisiko-Status konkret? Der Betreiber (Deployer) muss ein Risikomanagementsystem nach Art. 9 KI-VO einrichten und aufrechterhalten, technische Dokumentation gemäß Anhang IV vorhalten, Protokolle über den Betrieb mindestens für einen bestimmten Zeitraum aufbewahren und — besonders wichtig — eine wirksame menschliche Aufsicht sicherstellen. Letzteres bedeutet nicht nur, dass theoretisch jemand eingreifen könnte; es muss verfahrensorganisatorisch sichergestellt sein, dass eine Person die Möglichkeit und Befähigung hat, Entscheidungen des KI-Systems zu überprüfen, zu korrigieren oder anzuhalten.
Gewerblicher Rechtsschutz und Datenschutzrecht sind bei Hochrisiko-Systemen eng verknüpft: Werden personenbezogene Daten verarbeitet — was bei HR- oder Kreditentscheidungssystemen regelmäßig der Fall ist — greifen parallel die Anforderungen der DSGVO, insbesondere Art. 22 DSGVO (automatisierte Einzelentscheidungen) und die Rechtsgrundlagenprüfung.
KI-Verordnung und DSGVO: Wie verhält sich das Doppelregime zueinander?
Viele mittelständische Geschäftsführer fragen, ob die KI-Verordnung die DSGVO ersetzt oder ergänzt. Die Antwort ist eindeutig: Die KI-VO lässt das Datenschutzrecht vollständig unberührt und schichtet eigene Pflichten darüber. Wer ein Hochrisiko-KI-System betreibt, das personenbezogene Daten verarbeitet, hat beide Regelwerke vollständig zu erfüllen — ohne Schnittmengenvergünstigung.
Praktisch bedeutet das: DSGVO-Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO und KI-VO-Konformitätsbewertung nach Art. 43 ff. KI-VO sind als separate Prozesse durchzuführen, auch wenn sie inhaltlich ähnliche Risikoanalysen umfassen. Beide Dokumentationen müssen getrennt vorgehalten und auf Anfrage der Aufsichtsbehörden vorgelegt werden können.
Beim Einsatz von Allgemeinzweck-KI-Modellen wie großen Sprachmodellen als eingebettete Komponenten eigener Systeme — ein Szenario, das in der Mandatspraxis zunehmend auftritt — stellt sich zudem die Frage der datenschutzrechtlichen Verantwortlichkeit: Ist das Unternehmen als Verantwortlicher im Sinne der DSGVO für die Verarbeitung durch das KI-Modell einzustufen? Die genaue Grenzziehung ist im Einzelfall anwaltlich zu prüfen, folgt aber regelmäßig der Kontrolle über Zweck und Mittel der Verarbeitung.
Hinzu kommen Auskunftsansprüche betroffener Personen nach Art. 15 DSGVO, die grds. binnen eines Monats zu beantworten sind. Automatisierte Entscheidungsprozesse müssen zudem auf Verlangen erläutert werden — was technisch und organisatorisch Vorkehrungen erfordert, die vor Inbetriebnahme des Systems zu treffen sind.
Transparenzpflichten und Kennzeichnung: Was gilt sofort?
Neben den Hochrisiko-Anforderungen enthält die KI-Verordnung unmittelbare Transparenzpflichten für eine breite Kategorie von KI-Systemen. Wer ein KI-System einsetzt, das mit natürlichen Personen interagiert — etwa einen Chatbot im Kundenservice — muss sicherstellen, dass die betroffenen Personen darüber informiert sind, dass sie mit einem KI-System kommunizieren. Diese Pflicht gilt unabhängig von der Risikoklassifizierung des Systems.
Dasselbe gilt für KI-generierte oder KI-manipulierte Inhalte (Deepfakes): Sie sind als solche zu kennzeichnen. Für Unternehmen, die im Marketing, in der Kommunikation oder in der Produktdokumentation auf KI-generierte Texte, Bilder oder Videos zurückgreifen, ergibt sich daraus unmittelbarer Handlungsbedarf. Die Kennzeichnungspflicht für Deepfake-Inhalte gilt seit August 2024 — dieser Zeitpunkt liegt bereits hinter uns.
Welche konkreten technischen und organisatorischen Maßnahmen zur Kennzeichnung ausreichen, konkretisieren die noch ausstehenden Durchführungsrechtsakte der EU-Kommission. Die Verordnung selbst legt die Pflicht normativ fest; die technischen Standards folgen. Bis zu deren Veröffentlichung empfehlen wir, auf gut dokumentierte, für den Empfänger eindeutige Hinweise zu setzen.
Haftung und persönliche Verantwortung des Geschäftsführers
Verstöße gegen die KI-Verordnung können — je nach Schwere des Verstoßes — mit erheblichen Bußgeldern geahndet werden. Der Bußgeldrahmen der KI-VO sieht bei Verstößen gegen Verbotstatbestände bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes vor, bei Verstößen gegen Hochrisiko-Anforderungen bis zu 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes. Falsche Angaben gegenüber Behörden können mit bis zu 7,5 Millionen Euro oder 1 % des weltweiten Jahresumsatzes belegt werden — jeweils gilt der höhere Wert.
Für Geschäftsführer folgt daraus eine doppelte Pflichtendimension. Erstens die öffentlich-rechtliche Verantwortlichkeit gegenüber den zuständigen Marktüberwachungsbehörden. Zweitens — und das ist der für Mittelstandsinhaber mitunter bedeutsamere Aspekt — die gesellschaftsrechtliche Innenhaftung: Wer als Geschäftsführer einer GmbH eine erkennbare Compliance-Pflicht aus der KI-Verordnung vernachlässigt und dem Unternehmen dadurch ein Bußgeld oder einen Reputationsschaden verursacht, kann nach den Grundsätzen der Geschäftsführerhaftung persönlich in Anspruch genommen werden.
Das ist kein theoretisches Risiko. In der Mandatspraxis beraten wir Geschäftsführer, die bereits heute damit konfrontiert sind, gegenüber Gesellschaftern und Beiräten die Compliance-Lage im Bereich KI zu berichten. Wer hier keine strukturierte Antwort hat, setzt sich nicht nur regulatorischen Risiken aus, sondern gefährdet das Vertrauen des Gesellschafterkreises.
Mikro-Fall aus der Mandatspraxis
In einem aktuellen Mandat beriet die Kanzlei ein mittelständisches Logistikunternehmen aus dem produzierenden Gewerbe mit rund 280 Mitarbeitenden. Das Unternehmen hatte ein KI-gestütztes System zur Routenoptimierung und Fahrerleistungsbewertung eingeführt — extern eingekauft von einem Softwareanbieter, der das System als „AI-powered" bewarb, aber keine KI-VO-konforme Dokumentation lieferte. Ausgangslage: Der Geschäftsführer war sich nicht bewusst, dass das System als Hochrisiko-Anwendung im Bereich Beschäftigung einzustufen sein könnte, weil Fahrerleistungsdaten zur Bonusberechnung herangezogen wurden. Vorgehen: Nach einer strukturierten KI-Bestandsaufnahme klassifizierten wir das System, analysierten die Vertragsgestaltung mit dem Softwareanbieter auf Compliance-Obliegenheiten und begleiteten die Erstellung eines Risikomanagementsystems sowie die erforderliche Datenschutz-Folgenabschätzung. Ergebnis: Das Unternehmen war vor Ablauf der relevanten Übergangsfrist dokumentations- und aufsichtsbereit; die Vertragsgestaltung mit dem Anbieter wurde entsprechend nachverhandelt, um Haftungsrisiken zu allokieren.
Was müssen Geschäftsführer jetzt konkret tun?
Der erste und entscheidende Schritt ist die vollständige Erfassung aller KI-Systeme, die das Unternehmen einsetzt, entwickelt oder in Auftrag gibt — unabhängig davon, ob diese intern betrieben oder als SaaS-Lösung eingekauft werden. Wer KI-Systeme von Dritten nutzt, ist als Deployer in den Pflichtenkatalog einbezogen; die regulatorische Verantwortung lässt sich nicht vollständig auf den Anbieter delegieren, auch wenn entsprechende vertragliche Regelungen sinnvoll und notwendig sind.
Nach der Bestandsaufnahme folgt die rechtliche Klassifizierung jedes Systems nach dem Risikorahmen der KI-VO: verboten, Hochrisiko, Transparenzpflicht oder allgemein. Diese Klassifizierung ist nicht trivial, weil die Einordnung von den tatsächlichen Einsatzbedingungen und nicht allein von der Produktbeschreibung des Anbieters abhängt. Ein System, das der Anbieter als niedrigschwellige Analyse-Software vermarktet, kann im konkreten Einsatzkontext — etwa wenn Auswertungen in Personalentscheidungen einfließen — trotzdem als Hochrisiko-System zu behandeln sein.
Für Hochrisiko-Systeme ist sodann ein Maßnahmenpaket umzusetzen: Risikomanagementsystem, technische Dokumentation, Protokollierungsfunktion, Transparenzinformationen für Betroffene und organisatorische Einrichtung der menschlichen Aufsicht. Dieser gesamte Prozess sollte bis spätestens Frühjahr 2026 eingeleitet sein, um den August-2026-Termin sicher zu erreichen.
Darüber hinaus empfehlen wir, die Vertragsgestaltung mit KI-Anbietern kritisch zu prüfen. Die KI-VO verlangt von Anbietern (Providern), den Deployern bestimmte Informationen und Unterstützungsleistungen bereitzustellen. Fehlen entsprechende Klauseln im Softwarevertrag oder SaaS-Abkommen, können Haftungsrisiken ungünstig verteilt sein.
Die vorstehende Darstellung betrifft die wesentlichen Regelfälle der KI-Verordnung. Ihr konkreter Fall erfordert die Prüfung Ihrer spezifischen KI-Systeme, der einschlägigen Anhänge und der bereits laufenden Fristen. Für eine fachliche Einschätzung Ihrer Situation schreiben Sie an info@brandtfalk.com.
Entscheidungsmatrix: Wer muss was und bis wann tun?
Die folgende Strukturierung hilft, den eigenen Handlungsbedarf einzuordnen. Für Unternehmen, die ausschließlich KI-Systeme ohne Personenbezug und außerhalb der Hochrisiko-Kategorien einsetzen, beschränkt sich der unmittelbare Handlungsbedarf auf die Transparenzpflicht bei Mensch-Maschine-Interaktion und die Kennzeichnungspflicht für synthetische Inhalte. Für Unternehmen, die Hochrisiko-Systeme im Sinne des Anhangs III KI-VO deployen, ist der vollständige Pflichtenkatalog bis August 2026 umzusetzen. Für Unternehmen, die KI-Systeme selbst entwickeln oder auf dem Markt bereitstellen, gelten als Provider die verschärften Anforderungen, die bereits ab August 2025 für GPAI-Modelle und ab August 2026 für Hochrisiko-Systeme vollständig greifen.
Unabhängig von der Kategorie gilt: Das Vorhalten einer strukturierten KI-Policy und eines internen Verantwortlichen (nicht zwingend ein KI-Beauftragter im Sinne eines formalen Amtes, aber eine benannte verantwortliche Person) ist in jedem Fall empfehlenswert — sowohl für die operative Steuerung als auch als Dokumentationsnachweis gegenüber Behörden und Gesellschaftern.
Ist Ihr Unternehmen Anbieter eines KI-Systems oder lässt es ein solches für Dritte entwickeln? Dann verschiebt sich die normative Perspektive erheblich: Provider schulden dem Deployer Konformitätserklärungen, CE-Kennzeichnung für Hochrisiko-Systeme und laufende Post-Market-Überwachung. Die Grenzziehung zwischen Provider- und Deployer-Pflichten ist im Einzelfall anwaltlich zu klären, insbesondere bei kundenspezifisch angepassten KI-Lösungen.
Verwandte Leistungen
Häufige Fragen zum KI-Einsatz im Unternehmen und zur KI-Verordnung
Ab wann gilt die KI-Verordnung für mittelständische Unternehmen?
Die KI-Verordnung gilt seit ihrem Inkrafttreten am 1. August 2024, jedoch gestaffelt: Das Verbot bestimmter KI-Praktiken ist seit Februar 2025 anwendbar, Anforderungen für Hochrisiko-KI-Systeme nach Anhang III greifen ab August 2026, Pflichten für Allgemeinzweck-KI-Modelle ab August 2025. Mittelständische Unternehmen, die Hochrisiko-Systeme betreiben, sollten den Implementierungsprozess spätestens im Frühjahr 2026 abgeschlossen haben, um Compliance sicherzustellen. Die genaue Frist im konkreten Einzelfall ist anwaltlich zu prüfen.
Was ist ein Hochrisiko-KI-System und bin ich als Deployer betroffen?
Hochrisiko-KI-Systeme sind in Anhang III der KI-Verordnung abschließend aufgezählt. Besonders relevant für den Mittelstand sind Systeme zur Personalentscheidung (Auswahl, Bewertung, Beförderung), zur Kreditbonitätsprüfung natürlicher Personen sowie Systeme in kritischer Infrastruktur. Als Deployer — also als Unternehmen, das ein KI-System im beruflichen Kontext einsetzte — trifft Sie ein eigenständiger Pflichtenkatalog, der Risikomanagementsystem, Dokumentation und menschliche Aufsicht umfasst. Ob ein konkret eingesetztes System als Hochrisiko einzustufen ist, hängt vom tatsächlichen Verwendungszweck ab.
Gilt die DSGVO weiter, wenn wir bereits KI-VO-konform sind?
Ja, vollständig. Die KI-Verordnung ersetzt die DSGVO nicht, sondern gilt parallel. Unternehmen, die personenbezogene Daten über KI-Systeme verarbeiten, müssen beide Regelwerke kumulativ erfüllen. Das bedeutet insbesondere: separate Datenschutz-Folgenabschätzung nach Art. 35 DSGVO und KI-VO-Konformitätsbewertung, Rechtsgrundlagenprüfung für jede Verarbeitungstätigkeit sowie Beachtung des Verbots automatisierter Einzelentscheidungen nach Art. 22 DSGVO, soweit keine Ausnahme greift.
Welche Bußgelder drohen bei Verstößen gegen die KI-Verordnung?
Die KI-VO sieht einen dreistufigen Bußgeldrahmen vor: Verstöße gegen Verbotstatbestände können mit bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes geahndet werden, Verstöße gegen Hochrisiko-Anforderungen mit bis zu 15 Millionen Euro oder 3 % des weltweiten Umsatzes. Falsche Behördenangaben können mit bis zu 7,5 Millionen Euro oder 1 % belegt werden. Für kleinere und mittlere Unternehmen sieht die Verordnung in der Regel verhältnismäßige Bußgelder vor; dennoch ist das Risiko für inhabergeführte Betriebe erheblich.
Was sollte ich als erster Schritt zur KI-VO-Compliance tun?
Der erste und wichtigste Schritt ist eine vollständige Bestandsaufnahme aller im Unternehmen eingesetzten KI-Systeme — unabhängig davon, ob diese selbst entwickelt oder als Drittlösung eingekauft wurden. Im Anschluss erfolgt die rechtliche Klassifizierung jedes Systems nach dem Risikostufenmodell der KI-VO. Diese Bestandsaufnahme bildet die Grundlage für den Maßnahmenplan. Wir empfehlen, diesen Prozess frühzeitig und mit anwaltlicher Begleitung zu starten, da Implementierungsmaßnahmen — insbesondere für Hochrisiko-Systeme — mehrere Monate in Anspruch nehmen.
Die vorstehende Darstellung betrifft die Regelfälle der KI-Verordnung und ihrer Übergangsstufen. Ihr konkreter Fall erfordert die Prüfung Ihrer eingesetzten Systeme, der relevanten Anhänge der KI-VO und der laufenden Fristen. Zur Klärung, welche Pflichten der EU AI Act auf Ihr Unternehmen wirkt, wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag ist eine allgemeine Information und stellt keine Rechtsberatung dar. Für eine Prüfung Ihres Falls kontaktieren Sie info@brandtfalk.com.