KI-Recht · KI-Verordnung · Compliance
Ist Ihr Unternehmen von der EU-KI-Verordnung betroffen? In den allermeisten Fällen lautet die Antwort: ja. Die Regulierung richtet sich nicht nur an Entwickler und Technologiekonzerne. Auch Unternehmen, die Künstliche Intelligenz lediglich in ihren Geschäftsprozessen einsetzen, können umfangreichen Pflichten unterliegen. Der erste Schritt ist deshalb immer eine ehrliche Bestandsaufnahme der eigenen Betroffenheit. Entscheidend ist dabei nicht, ob Sie KI nutzen, sondern welche KI-Anwendungen zum Einsatz kommen und welche Rolle Ihr Unternehmen dabei einnimmt. Einen allgemeinen Überblick über die Risikoklassen finden Sie in unserem Beitrag EU-KI-Verordnung 2026 im Überblick.
Viele Verantwortliche gehen davon aus, dass die EU-KI-Verordnung nur große Anbieter von KI-Software betrifft. Tatsächlich ist Künstliche Intelligenz heute in zahlreiche Standardanwendungen integriert, sodass ihr Einsatz oft unbemerkt bleibt. Ein Unternehmen kann also von der EU-KI-Verordnung betroffen sein, ohne selbst je ein KI-System entwickelt zu haben.
Typische Beispiele für einen solchen unbemerkten Einsatz sind:
Rechtliche Beratung?
Kontaktieren Sie uns.
Der Umfang der Pflichten hängt maßgeblich davon ab, welche Funktion Ihr Unternehmen im Umgang mit einem KI-System einnimmt. Die KI-Verordnung unterscheidet vor allem zwischen Anbietern, Betreibern sowie Importeuren und Händlern. Diese Rolle zu bestimmen, ist der Kern jedes Praxis-Checks, denn an sie knüpfen die konkreten Anforderungen an.
Anbieter ist, wer ein KI-System entwickelt oder entwickeln lässt und es unter eigenem Namen oder eigener Marke bereitstellt (Art. 3 Nr. 3 KI-VO). Anbieter tragen die weitreichendsten Pflichten. Für Anbieter von Hochrisiko-KI zählen dazu insbesondere ein Risikomanagement, eine technische Dokumentation, eine Konformitätsbewertung und die Beobachtung des Systems nach dem Inverkehrbringen (Art. 16 ff. KI-VO, mit Risikomanagement nach Art. 9, technischer Dokumentation nach Art. 11, Konformitätsbewertung nach Art. 43 und Beobachtung nach dem Inverkehrbringen nach Art. 72). Auch Unternehmen, die ein zugekauftes System stark anpassen oder unter eigenem Namen weiterverbreiten, können in die Anbieterrolle rücken.
Betreiber ist, wer ein KI-System im Rahmen einer beruflichen Tätigkeit einsetzt (Art. 3 Nr. 4 KI-VO). Die meisten Unternehmen sind Betreiber, weil sie fremde KI-Systeme lediglich nutzen. Auch als Betreiber sind Sie jedoch von der EU-KI-Verordnung betroffen. Zu den Pflichten gehören insbesondere:
Importeure bringen KI-Systeme aus Drittstaaten in den EU-Markt, Händler vertreiben sie innerhalb der Union. Beide trifft eine Prüfpflicht: Sie müssen sich vergewissern, dass die gesetzlichen Anforderungen eingehalten sind, bevor sie ein System bereitstellen. Wer ein KI-Produkt aus dem Ausland bezieht und weitergibt, sollte diese Rolle daher nicht unterschätzen.
Ob und wie stark Ihr Unternehmen von der EU-KI-Verordnung betroffen ist, hängt auch vom konkreten Einsatzbereich ab. Einige Anwendungsfelder sind besonders sensibel, weil sie schneller als Hochrisiko-KI einzustufen sind oder eigene Transparenzpflichten auslösen.
Personalwesen: KI zur Analyse von Bewerbungen und Lebensläufen oder zur Beurteilung von Beschäftigten kann je nach Zweck als Hochrisiko-KI gelten. Kundenservice: Chatbots und virtuelle Assistenten lösen Transparenzpflichten aus. Marketing und Vertrieb: Generative KI für Werbetexte, Präsentationen oder Produktbeschreibungen bringt Informations- und Transparenzpflichten mit sich und sollte durch interne Richtlinien begleitet werden. Finanz- und Versicherungswesen: Anwendungen zur Bonitätsprüfung oder zum Zugang zu Finanzdienstleistungen können als Hochrisiko-KI einzustufen sein. Gesundheitswesen und Industrie: Diagnostik, Medizinprodukte und sicherheitsrelevante Anwendungen unterliegen besonders hohen Anforderungen.
Rechtliche Beratung?
Kontaktieren Sie uns.
Bevor Sie einzelne Pflichten prüfen, verschaffen Sie sich einen Überblick. Die folgenden Fragen helfen Ihnen, die Betroffenheit Ihres Unternehmens strukturiert zu erfassen. Sie eignen sich als Ausgangspunkt für ein internes Gespräch zwischen Geschäftsführung, Compliance und den betroffenen Fachabteilungen.
Ein bewährtes Werkzeug für die Bestandsaufnahme ist ein KI-Register. Es funktioniert ähnlich wie das aus dem Datenschutz bekannte Verzeichnis von Verarbeitungstätigkeiten nach der DSGVO. Das KI-Register ist ein internes Verzeichnis aller im Unternehmen eingesetzten KI-Systeme und schafft die Übersicht, die Sie für den Nachweis Ihrer Pflichten benötigen.
Ein aussagekräftiges KI-Register enthält typischerweise:
Ja, das ist gut möglich. Wer ein fremdes KI-System im Rahmen der beruflichen Tätigkeit einsetzt, ist regelmäßig Betreiber im Sinne von Art. 3 Nr. 4 KI-VO und unterliegt damit eigenen Pflichten, etwa zur bestimmungsgemäßen Verwendung, zur Überwachung und zur Schulung der Mitarbeitenden.
Anbieter entwickeln ein KI-System oder lassen es entwickeln und stellen es unter eigenem Namen bereit (Art. 3 Nr. 3 KI-VO). Betreiber setzen ein KI-System lediglich ein (Art. 3 Nr. 4 KI-VO). Anbieter tragen deutlich umfangreichere Pflichten, während sich die meisten Unternehmen in der Betreiberrolle wiederfinden.
Ein zentrales, formalisiertes KI-Register ist nicht für jedes Unternehmen ausdrücklich vorgeschrieben. Es ist aber dringend zu empfehlen, weil es die Bestandsaufnahme, die Risikobewertung und den Nachweis gegenüber Behörden erheblich erleichtert.
Die KI-Verordnung gilt seit ihrem Inkrafttreten, einzelne Pflichten greifen jedoch gestaffelt zu unterschiedlichen Zeitpunkten. Die Transparenzpflichten nach Art. 50 KI-VO werden ab dem 2. August 2026 verbindlich. Es lohnt sich daher, die Betroffenheit frühzeitig zu klären.
Verstöße gegen die KI-Verordnung können mit empfindlichen Bußgeldern geahndet werden. Wie hoch das Risiko im Einzelfall ist, hängt von der Rolle, der Risikoklasse und der konkreten Anwendung ab. Eine frühzeitige rechtliche Bewertung senkt dieses Risiko spürbar.
Ob Ihr Unternehmen von der EU-KI-Verordnung betroffen ist, entscheidet sich nicht an der Frage, ob Sie KI nutzen, sondern welche KI-Systeme Sie einsetzen und welche Rolle Sie dabei einnehmen. Schon der marktübliche Einsatz von Chatbots, generativer KI oder KI-gestützten Analysewerkzeugen kann Pflichten auslösen. Wir empfehlen daher eine frühzeitige Bestandsaufnahme, eine rechtliche Bewertung der einzelnen Anwendungen und gegebenenfalls die Umsetzung passender Compliance-Maßnahmen. Nutzen Sie für die Grundlagen unseren Überblick zur EU-KI-Verordnung 2026 und für die konkreten Umsetzungsschritte unseren Beitrag zu den KI-Compliance-Maßnahmen 2026. Weiterführend sind zudem unsere Hinweise zur Kennzeichnung von Werbung in Social Media, zum Umgang mit Gesicht und Stimme in KI-Inhalten und allgemein zu Social Media und Recht.
Rechtsanwalt für KI-Recht & Compliance in Berlin
Ob Sie Anbieter oder Betreiber eines KI-Systems sind und welche Pflichten der EU-KI-Verordnung für Ihr Unternehmen gelten: Wir ordnen Ihre Rolle rechtlich ein, bewerten Ihre Anwendungen und zeigen Ihnen den konkreten Handlungsbedarf. Geßner Legal berät Geschäftsführung, Compliance und Fachabteilungen bundesweit.
Wir unterstützen Sie bei der Bestandsaufnahme Ihrer KI-Anwendungen, beim Aufbau eines KI-Registers und bei der Umsetzung der Transparenz- und Dokumentationspflichten. So sind Sie vorbereitet, bevor die Pflichten greifen.
Schildern Sie uns, welche KI-Systeme Sie einsetzen.
Jetzt Kontakt aufnehmen
Wir unterstützen Sie bei allen Fragen im Medien-, Urheber-, Marken- und Wettbewerbsrecht. Nutzen Sie unseren Wegweiser für eine schnelle Orientierung.
