Das lernen Sie in diesem Artikel:

Welche vier Risikoklassen der EU AI Act definiert und wann Ihr Unternehmen als „Deployer" betroffen ist
Welche Transparenzpflichten bei KI-Chatbots, Deepfakes und automatisierten Entscheidungen gelten
Welche Dokumentationen Sie von Ihrem Software-Lieferanten einfordern sollten
Konkrete Checkliste für den KI-Software-Einkauf im Mittelstand
Wie Sie Compliance-Lücken frühzeitig erkennen – ohne Rechtsberatung ersetzen zu wollen

„Wir entwickeln doch keine KI – wir kaufen sie nur ein. Betrifft uns das überhaupt?" Diese Frage stellen sich viele Einkaufsleiter, Geschäftsführer und IT-Verantwortliche im Mittelstand. Die Antwort: Ja, der EU AI Act betrifft Sie auch dann, wenn Sie KI-Systeme ausschließlich von Drittanbietern beziehen und im eigenen Betrieb einsetzen.

Der AI Act ist seit August 2024 in Kraft und wird – nach den Verschiebungen durch den AI-Omnibus von 2026 – bis 2028 stufenweise scharf gestellt. Wer KI-Systeme in der EU nutzt oder bereitstellt, muss künftig Transparenz-, Dokumentations- und teils Meldepflichten erfüllen – unabhängig davon, ob die Software aus den USA, Indien oder der Türkei stammt. Entscheidend ist die Rolle, die Ihr Unternehmen im KI-Lebenszyklus spielt: Provider (Hersteller), Deployer (Betreiber) oder Distributor (Vertreiber).

Dieser Artikel erklärt praxisnah, welche Anforderungen auf mittelständische Software-Einkäufer zukommen, welche Fragen Sie Ihren Lieferanten stellen sollten und wie Sie Compliance-Risiken frühzeitig erkennen. Achtung: Dieser Text ersetzt keine Rechtsberatung. Klären Sie Detailfragen zu Haftung, Vertragsgestaltung und Meldepflichten unbedingt mit Ihrer Rechts- oder Steuerberatung.

Die vier Risikoklassen des EU AI Act: Wo steht Ihr System?

Die KI Verordnung unterscheidet vier Risikoklassen – von „verboten" bis „minimales Risiko". Je höher das Risiko, desto strenger die Anforderungen.

Unzulässige KI-Systeme (Verbot)

Verboten sind KI-Anwendungen, die soziale Verhaltenskontrolle betreiben, Schwachstellen von Personen ausnutzen oder biometrische Echtzeit-Fernidentifikation im öffentlichen Raum zu Strafverfolgungszwecken nutzen – mit engen Ausnahmen. Für die meisten Mittelständler spielt diese Kategorie keine Rolle.

Hochrisiko-KI-Systeme

Hier wird es relevant. Hochrisiko-Systeme greifen in sicherheitskritische Bereiche oder Grundrechte ein. Beispiele:

Personalwesen: KI-gestützte Bewerbungsfilter, Leistungsbeurteilungen, Schichtplanung
Kreditvergabe: Bonitätsprüfung mit ML-Scoring
Zugangskontrollen: Biometrische Authentifizierung (z. B. Gesichtserkennung am Werkstor)
Kritische Infrastruktur: Predictive Maintenance in Energienetzen, Wasserversorgung

Beispiel: Angenommen, ein mittelständischer Logistikdienstleister setzt ein KI-Tool zur automatisierten Fahrerbewertung ein. Das System analysiert Lenkzeiten, Bremsverhalten und Routenabweichungen und generiert Scores, die in Bonusvereinbarungen einfließen. Dieses System fällt unter Hochrisiko-KI, weil es Arbeitsbedingungen maßgeblich beeinflusst.

Transparenzpflichtige KI-Systeme

Hier liegt die Schwelle niedriger. Betroffen sind:

Chatbots und Sprachassistenten: Kunden oder Mitarbeiter müssen erkennbar mit einer Maschine sprechen
Deepfakes und synthetische Inhalte: Kennzeichnungspflicht
Emotionserkennung: Offenlegung gegenüber betroffenen Personen

Beispiel: Ein Großhändler für Sanitärbedarf betreibt auf seiner Website einen KI-Chatbot für die Produktberatung. Nach dem AI Act muss der Bot sich zu Beginn des Gesprächs als KI zu erkennen geben – ein einfacher Hinweis wie „Ich bin ein automatisierter Assistent" genügt.

Minimales Risiko

Alles andere: Spam-Filter, einfache Recommendation-Engines, statistische Auswertungen. Keine besonderen Pflichten.

Wann gilt Ihr Unternehmen als „Deployer"? Die entscheidende Rolle im AI Act

Der AI Act definiert „Deployer" als natürliche oder juristische Person, die ein KI-System unter eigener Verantwortung einsetzt – auch wenn sie es nicht selbst entwickelt hat. Das trifft auf die meisten Mittelständler zu, die Software von externen Anbietern einkaufen.

Pflichten als Deployer von Hochrisiko-KI

Wenn Sie ein Hochrisiko-System nutzen, müssen Sie:

Grundrechte-Folgenabschätzung durchführen, sofern Sie zu den in Art. 27 genannten Betreibern gehören (Fristen siehe FAQ unten)
Menschliche Aufsicht sicherstellen: Qualifizierte Mitarbeiter müssen in der Lage sein, KI-Entscheidungen zu übersteuern
Eingabedaten überwachen: Sind sie repräsentativ, aktuell, frei von Bias?
Betriebsprotokolle führen: Wer hat wann welche KI-Entscheidung getroffen oder überschrieben?
Vorfälle melden: Schwerwiegende Fehlfunktionen sind den Behörden und dem Provider zu melden

Beispielszenario: Ein mittelständisches Maschinenbau-Unternehmen nutzt ein US-amerikanisches Bewerbermanagement-Tool mit KI-Vorauswahl. Das Unternehmen ist Deployer und muss dafür sorgen, dass die KI keine Diskriminierung produziert – selbst wenn der Algorithmus aus Übersee stammt. Die Rechtsabteilung muss dokumentieren, wie die KI überwacht wird und wer im Zweifelsfall manuell eingreift.

AI Act Anforderungen an Ihre Software-Lieferanten: Was Sie dokumentiert verlangen sollten

Der AI Act verpflichtet Provider (Hersteller) von Hochrisiko-KI zu umfangreichen Compliance-Maßnahmen. Als Einkäufer sollten Sie diese Nachweise vertraglich einfordern – und zwar bevor Sie den Vertrag unterschreiben.

Checkliste: Dokumentation vom Provider

Technische Dokumentation: Architektur, Trainingsdaten, Validierungsmethoden, Fehlerquoten
Risikomanagementsystem: Wie werden Risiken identifiziert, bewertet, gemildert?
Datenqualität: Herkunft, Repräsentativität, Bias-Tests
CE-Kennzeichnung und EU-Konformitätserklärung (für Hochrisiko-Systeme; nach dem AI-Omnibus ab 2. Dezember 2027 bzw. 2. August 2028)
Gebrauchsanweisung auf Deutsch: Funktionsweise, Einsatzzweck, bekannte Grenzen, Fehlerfälle
Protokollierungsfunktionen: Kann das System automatisch Logs für Audits erstellen?

Tipp aus der Praxis: Wenn Ihr Lieferant auf die Frage nach der AI-Act-Dokumentation mit „Kümmern wir uns später drum" antwortet, ist das ein Warnsignal. Gerade bei Software aus Nicht-EU-Ländern – USA, Israel, Türkei – sollten Sie prüfen, ob der Anbieter einen autorisierten Vertreter in der EU benennt, der für Compliance haftet.

Vertragsklauseln für KI Compliance

Verlangen Sie:

Warranty-Klausel: Provider garantiert Konformität mit dem AI Act
Indemnity (Haftungsfreistellung): Bei Verstößen trägt der Provider Bußgelder und Schadensersatz
Update-Pflicht: Provider liefert Updates, sobald sich Regulierung ändert
Exit-Szenario: Datenportabilität, wenn Sie den Anbieter wechseln müssen

Transparenzpflichten im Alltag: Chatbots, synthetische Inhalte, Emotionserkennung

Selbst wenn Ihr KI-System kein Hochrisiko darstellt, können Transparenzpflichten greifen.

Chatbots und Conversational AI

Pflicht: Nutzer müssen wissen, dass sie mit einer Maschine interagieren – es sei denn, das ist offensichtlich.

Umsetzung: Begrüßungstext wie „Hallo, ich bin Ihr digitaler Assistent. Wie kann ich helfen?" oder dauerhaft sichtbarer Badge „KI-Chat". Die Formulierung muss verständlich sein; juristische Fußnoten reichen nicht.

Deepfakes und synthetische Inhalte

Pflicht: Bilder, Videos, Audios, die mit KI erzeugt oder manipuliert wurden, müssen gekennzeichnet werden.

Beispiel: Ein Großhändler für Büromöbel generiert Produktbilder mit Stable Diffusion. Auf der Website muss stehen: „Dieses Bild wurde KI-gestützt erstellt." Ein Wasserzeichen oder Meta-Tag reicht nicht – der Hinweis muss für den Betrachter erkennbar sein.

Emotionserkennung und biometrische Systeme

Pflicht: Wer Emotionen oder biometrische Merkmale auswertet (z. B. Gesichtserkennung zur Zeiterfassung), muss Betroffene informieren; ob zusätzlich eine Einwilligung nötig ist, richtet sich nach der DSGVO. Emotionserkennung am Arbeitsplatz ist – von medizinischen und Sicherheitsgründen abgesehen – seit Februar 2025 verboten.

Checkliste für den Software-Einkauf: So prüfen Sie KI-Anbieter auf AI-Act-Compliance

Nutzen Sie diese Checkliste bei der Ausschreibung oder im Angebotsgespräch:

Vor Vertragsschluss

Risikoklasse klären: Deployer-Rolle, Hochrisiko ja/nein?
Technische Dokumentation anfordern: Liegt sie auf Deutsch/Englisch vor?
CE-Kennzeichnung prüfen (für Hochrisiko ab 2. Dezember 2027 bzw. 2. August 2028)
Datenschutz-Folgenabschätzung (DSGVO Art. 35) mit AI-Act-Aspekten verknüpfen
Haftungsklauseln verhandeln: Wer zahlt bei Bußgeldern?
EU-Vertreter benennen lassen, falls Provider außerhalb der EU sitzt

Nach Vertragsschluss / im Betrieb

Schulung der Aufsichtspersonen: Wer darf KI-Entscheidungen übersteuern?
Protokollierung aktivieren: Logs für Audits bereithalten
Regelmäßige Bias-Tests: Input-Daten auf Verzerrungen prüfen
Incident-Response-Plan: Wer meldet schwerwiegende Fehler an wen?
Vertragliche Update-Fristen überwachen: Liefert der Provider rechtzeitig Patches?

Nearshore-Entwicklung und AI Act: Worauf mittelständische Auftraggeber achten sollten

Viele mittelständische Unternehmen lassen KI-Module oder Workflows von Nearshore-Partnern – etwa aus der Türkei, Rumänien oder Polen – entwickeln. Der AI Act gilt auch hier, sobald das System in der EU eingesetzt wird.

Was bedeutet das konkret?

Der Auftraggeber (Sie) wird in der Regel zum Deployer, wenn Sie das System im eigenen Betrieb nutzen.
Der Entwicklungsdienstleister kann als Provider gelten, wenn er ein fertiges KI-Produkt liefert – oder als reiner Auftragnehmer, wenn Sie die funktionale Spezifikation und das Trainingsmaterial stellen.

Praxistipp: Klären Sie im Projektvertrag, wer die AI-Act-Dokumentation erstellt und pflegt. Bei D'Cloud Software etwa halten wir vor Projektbeginn schriftlich fest, welche Dokumentation wir liefern. Dennoch: Die rechtliche Verantwortung für die Deployer-Pflichten bleibt beim Auftraggeber. Lassen Sie sich daher alle Nachweise vertraglich zusichern.

FAQ: Die häufigsten Fragen zum EU AI Act im Mittelstand

Muss ich als Mittelständler wirklich eigene Grundrechts-Folgenabschätzungen durchführen?

Nicht jeder Deployer: Die Grundrechte-Folgenabschätzung nach Art. 27 betrifft vor allem öffentliche Stellen, private Anbieter öffentlicher Dienstleistungen sowie Betreiber von Hochrisiko-KI zur Kreditwürdigkeitsprüfung oder zur Risikobewertung in der Lebens- und Krankenversicherung. Lassen Sie im Einzelfall prüfen, ob Sie dazugehören. Die Folgenabschätzung soll klären, welche Auswirkungen die KI auf Grundrechte haben kann – etwa Diskriminierung bei Bewerbungen oder Einschränkung der Bewegungsfreiheit durch biometrische Zugangskontrollen. In der Praxis können Sie die DSGVO-Datenschutz-Folgenabschätzung (Art. 35) als Basis nehmen und um AI-Act-spezifische Aspekte ergänzen. Ein strukturiertes Template hilft; Ihre Rechtsberatung sollte das finale Dokument prüfen.

Was passiert, wenn mein Software-Lieferant die Dokumentation nicht liefern kann?

Dann sollten Sie vom Vertrag Abstand nehmen oder Nachbesserung verlangen. Ohne vollständige Dokumentation können Sie als Deployer Ihre eigenen Pflichten nicht erfüllen – Verstöße gegen Betreiberpflichten können mit bis zu 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes geahndet werden (je nachdem, was höher ist); die Höchststufe von 35 Millionen Euro oder 7 % gilt für verbotene KI-Praktiken. Aber selbst kleinere Bußgelder und Reputationsschäden sind vermeidbar, wenn Sie den Anbieter frühzeitig in die Pflicht nehmen.

Kann ich Open-Source-KI-Modelle nutzen, ohne gegen den AI Act zu verstoßen?

Ja – aber Sie werden dadurch möglicherweise selbst zum Provider. Wenn Sie ein Open-Source-Modell (z. B. Llama, Mistral) herunterladen, an eigenen Daten nachtrainieren und im Unternehmen produktiv einsetzen, gelten Sie als Hersteller des finalen Systems. Das bedeutet: Sie müssen technische Dokumentation, Risikoanalyse, CE-Kennzeichnung usw. selbst erstellen – ein erheblicher Aufwand. Einfacher ist es, auf kommerzielle Anbieter zu setzen, die diese Compliance-Last übernehmen, oder einen Entwicklungspartner zu beauftragen, der die Provider-Rolle vertraglich übernimmt.

Wie viel kostet die Umsetzung der AI-Act-Anforderungen in einem mittelständischen Unternehmen?

Das hängt von der Anzahl und Komplexität Ihrer KI-Systeme ab. Typische Kostentreiber sind: externe Rechts- und Compliance-Beratung (Stundensätze je nach Kanzlei), interne Schulungen, Anpassung von Verträgen, Implementierung von Logging- und Monitoring-Funktionen, eventuell Nachbesserungen an der Software. Wer mehrere Hochrisiko-Systeme betreibt, muss mit entsprechend höherem Aufwand rechnen. Konkrete Zahlen sind projektabhängig und sollten im kostenlosen Erstgespräch mit Ihrer Rechtsberatung und Ihrem IT-Dienstleister geklärt werden.

Wann greifen die einzelnen Fristen des AI Act?

Der AI Act ist seit August 2024 in Kraft. Die wichtigsten Fristen nach dem AI-Omnibus (Verordnung (EU) 2026/1744, in Kraft seit 27. Juli 2026):

Februar 2025: Verbot unzulässiger KI-Systeme
August 2025: Pflichten für General-Purpose-AI-Modelle
August 2026: Transparenzpflichten nach Art. 50 (z. B. erkennbare Chatbots), grundsätzlich anwendbar
Dezember 2027: Pflichten für eigenständige Hochrisiko-KI (Anhang III)
August 2028: Pflichten für Hochrisiko-KI in Produkten nach Anhang I

Transparenzpflichten (Chatbots, Deepfakes) greifen früher als die Hochrisiko-Pflichten. Verlassen Sie sich nicht auf Übergangsfristen – beginnen Sie jetzt mit der Bestandsaufnahme.

Gilt der AI Act auch für interne Tools, die nie nach außen verkauft werden?

Ja. Sobald Sie ein KI-System im eigenen Betrieb nutzen – etwa ein Bewerbermanagement-Tool oder eine Predictive-Maintenance-Software – sind Sie Deployer. Der AI Act unterscheidet nicht zwischen „intern" und „extern". Entscheidend ist die Risikoklasse und der Einsatzzweck.

Fazit: Jetzt handeln, später profitieren

Der EU AI Act ist kein theoretisches Regulierungs-Gespenst – er ist geltendes Recht und wird ab 2025 schrittweise durchgesetzt. Mittelständische Software-Einkäufer, die jetzt handeln, sichern sich gleich mehrere Vorteile:

Rechtssicherheit: Sie vermeiden Bußgelder und Haftungsrisiken.
Wettbewerbsvorteil: Kunden und Partner verlangen zunehmend AI-Act-Compliance – wer sie nachweisen kann, gewinnt Aufträge.
Bessere Verträge: Wer die richtigen Fragen stellt, verhandelt stärkere Haftungsklauseln und günstigere Konditionen.
Zukunftssicherheit: Systeme, die heute compliant sind, lassen sich morgen leichter skalieren und erweitern.

Unsere Empfehlung: Machen Sie eine Bestandsaufnahme aller KI-Systeme in Ihrem Unternehmen – von der Buchhaltungssoftware mit ML-basierter Belegverarbeitung bis zum CRM-Chatbot. Ordnen Sie jedes System einer Risikoklasse zu. Fordern Sie von jedem Lieferanten die AI-Act-Dokumentation an. Und klären Sie offene Haftungsfragen mit Ihrer Rechtsberatung, bevor die ersten Behörden-Audits anlaufen.

Sie planen die Entwicklung oder Integration eines KI-Systems und möchten von Anfang an AI-Act-konform arbeiten? D'Cloud Software, ein Softwareteam aus Mersin, Türkei, entwickelt KI-Funktionen mit schriftlich vereinbarter Dokumentation und klarem Blick auf EU-Compliance. Unsere Zusage: Festpreis, vertraglich fixiert, plus 15 Tage kostenlose Fehlerbehebung nach Übergabe. Buchen Sie ein kostenloses Online-Erstgespräch – wir klären gemeinsam, welche Anforderungen in Ihrem konkreten Fall greifen und wie Sie sie wirtschaftlich umsetzen.

Autor: Doğuhan Bulut, Content-Team D'Cloud Software

EU AI Act für den Mittelstand: Was Software-Einkäufer jetzt wissen müssen