EU AI Act für den Mittelstand: Was Software-Einkäufer jetzt wissen müssen

Das lernen Sie in diesem Artikel:

• Welche vier Risikoklassen der EU AI Act definiert und wann Ihr Unternehmen als „Deployer" betroffen ist
• Welche Transparenzpflichten bei KI-Chatbots, Deepfakes und automatisierten Entscheidungen gelten
• Welche Dokumentationen Sie von Ihrem Software-Lieferanten einfordern sollten
• Konkrete Checkliste für den KI-Software-Einkauf im Mittelstand
• Wie Sie Compliance-Lücken frühzeitig erkennen – ohne Rechtsberatung ersetzen zu wollen

---

„Wir entwickeln doch keine KI – wir kaufen sie nur ein. Betrifft uns das überhaupt?" Diese Frage hören wir seit Monaten von Einkaufsleitern, Geschäftsführern und IT-Verantwortlichen mittelständischer Unternehmen. Die Antwort: Ja, der EU AI Act betrifft Sie auch dann, wenn Sie KI-Systeme ausschließlich von Drittanbietern beziehen und im eigenen Betrieb einsetzen.

Der AI Act ist seit August 2024 in Kraft und wird bis 2027 stufenweise scharf gestellt. Wer KI-Systeme in der EU nutzt oder bereitstellt, muss künftig Transparenz-, Dokumentations- und teils Meldepflichten erfüllen – unabhängig davon, ob die Software aus den USA, Indien oder der Türkei stammt. Entscheidend ist die Rolle, die Ihr Unternehmen im KI-Lebenszyklus spielt: Provider (Hersteller), Deployer (Betreiber) oder Distributor (Vertreiber).

Dieser Artikel erklärt praxisnah, welche Anforderungen auf mittelständische Software-Einkäufer zukommen, welche Fragen Sie Ihren Lieferanten stellen sollten und wie Sie Compliance-Risiken frühzeitig erkennen. Achtung: Dieser Text ersetzt keine Rechtsberatung. Klären Sie Detailfragen zu Haftung, Vertragsgestaltung und Meldepflichten unbedingt mit Ihrer Rechts- oder Steuerberatung.

---

Die vier Risikoklassen des EU AI Act: Wo steht Ihr System?

Die KI Verordnung unterscheidet vier Risikoklassen – von „verboten" bis „minimales Risiko". Je höher das Risiko, desto strenger die Anforderungen.

Unzulässige KI-Systeme (Verbot)

Verboten sind KI-Anwendungen, die soziale Verhaltenskontrolle betreiben, Schwachstellen von Personen ausnutzen oder biometrische Echtzeit-Fernidentifikation im öffentlichen Raum zu Strafverfolgungszwecken nutzen – mit engen Ausnahmen. Für die meisten Mittelständler spielt diese Kategorie keine Rolle.

Hochrisiko-KI-Systeme

Hier wird es relevant. Hochrisiko-Systeme greifen in sicherheitskritische Bereiche oder Grundrechte ein. Beispiele:

• Personalwesen: KI-gestützte Bewerbungsfilter, Leistungsbeurteilungen, Schichtplanung
• Kreditvergabe: Bonitätsprüfung mit ML-Scoring
• Zugangskontrollen: Biometrische Authentifizierung (z. B. Gesichtserkennung am Werkstor)
• Kritische Infrastruktur: Predictive Maintenance in Energienetzen, Wasserversorgung

Beispiel: Ein mittelständischer Logistikdienstleister aus Bayern setzt ein KI-Tool zur automatisierten Fahrerbewertung ein. Das System analysiert Lenkzeiten, Bremsverhalten und Routenabweichungen und generiert Scores, die in Bonusvereinbarungen einfließen. Dieses System fällt unter Hochrisiko-KI, weil es Arbeitsbedingungen maßgeblich beeinflusst.

Transparenzpflichtige KI-Systeme

Hier liegt die Schwelle niedriger. Betroffen sind:

• Chatbots und Sprachassistenten: Kunden oder Mitarbeiter müssen erkennbar mit einer Maschine sprechen
• Deepfakes und synthetische Inhalte: Kennzeichnungspflicht
• Emotionserkennung: Offenlegung gegenüber betroffenen Personen

Beispiel: Ein Großhändler für Sanitärbedarf betreibt auf seiner Website einen KI-Chatbot für die Produktberatung. Nach dem AI Act muss der Bot sich zu Beginn des Gesprächs als KI zu erkennen geben – ein einfacher Hinweis wie „Ich bin ein automatisierter Assistent" genügt.

Minimales Risiko

Alles andere: Spam-Filter, einfache Recommendation-Engines, statistische Auswertungen. Keine besonderen Pflichten.

---

Wann gilt Ihr Unternehmen als „Deployer"? Die entscheidende Rolle im AI Act

Der AI Act definiert „Deployer" als natürliche oder juristische Person, die ein KI-System unter eigener Verantwortung einsetzt – auch wenn sie es nicht selbst entwickelt hat. Das trifft auf die meisten Mittelständler zu, die Software von externen Anbietern einkaufen.

Pflichten als Deployer von Hochrisiko-KI

Wenn Sie ein Hochrisiko-System nutzen, müssen Sie:

1. Grundrechts-Folgenabschätzung durchführen (ab Inkrafttreten 2026)
2. Menschliche Aufsicht sicherstellen: Qualifizierte Mitarbeiter müssen in der Lage sein, KI-Entscheidungen zu übersteuern
3. Eingabedaten überwachen: Sind sie repräsentativ, aktuell, frei von Bias?
4. Betriebsprotokolle führen: Wer hat wann welche KI-Entscheidung getroffen oder überschrieben?
5. Vorfälle melden: Schwerwiegende Fehlfunktionen sind den Behörden und dem Provider zu melden

Praxisfall: Ein mittelständisches Maschinenbau-Unternehmen in Baden-Württemberg nutzt ein US-amerikanisches Bewerbermanagement-Tool mit KI-Vorauswahl. Das Unternehmen ist Deployer und haftet dafür, dass die KI keine Diskriminierung produziert – selbst wenn der Algorithmus aus Übersee stammt. Die Rechtsabteilung muss dokumentieren, wie die KI überwacht wird und wer im Zweifelsfall manuell eingreift.

---

AI Act Anforderungen an Ihre Software-Lieferanten: Was Sie dokumentiert verlangen sollten

Der AI Act verpflichtet Provider (Hersteller) von Hochrisiko-KI zu umfangreichen Compliance-Maßnahmen. Als Einkäufer sollten Sie diese Nachweise vertraglich einfordern – und zwar bevor Sie den Vertrag unterschreiben.

Checkliste: Dokumentation vom Provider

• Technische Dokumentation: Architektur, Trainingsdaten, Validierungsmethoden, Fehlerquoten
• Risikomanagementsystem: Wie werden Risiken identifiziert, bewertet, gemildert?
• Datenqualität: Herkunft, Repräsentativität, Bias-Tests
• CE-Kennzeichnung und EU-Konformitätserklärung (für Hochrisiko-Systeme, ab 2026)
• Gebrauchsanweisung auf Deutsch: Funktionsweise, Einsatzzweck, bekannte Grenzen, Fehlerfälle
• Protokollierungsfunktionen: Kann das System automatisch Logs für Audits erstellen?

Tipp aus der Praxis: Wenn Ihr Lieferant auf die Frage nach der AI-Act-Dokumentation mit „Kümmern wir uns später drum" antwortet, ist das ein Warnsignal. Gerade bei Software aus Nicht-EU-Ländern – USA, Israel, Türkei – sollten Sie prüfen, ob der Anbieter einen autorisierten Vertreter in der EU benennt, der für Compliance haftet.

Vertragsklauseln für KI Compliance

Verlangen Sie:

• Warranty-Klausel: Provider garantiert Konformität mit dem AI Act
• Indemnity (Haftungsfreistellung): Bei Verstößen trägt der Provider Bußgelder und Schadensersatz
• Update-Pflicht: Provider liefert Updates, sobald sich Regulierung ändert
• Exit-Szenario: Datenportabilität, wenn Sie den Anbieter wechseln müssen

---

Transparenzpflichten im Alltag: Chatbots, synthetische Inhalte, Emotionserkennung

Selbst wenn Ihr KI-System kein Hochrisiko darstellt, können Transparenzpflichten greifen.

Chatbots und Conversational AI

Pflicht: Nutzer müssen wissen, dass sie mit einer Maschine interagieren – es sei denn, das ist offensichtlich.

Umsetzung: Begrüßungstext wie „Hallo, ich bin Ihr digitaler Assistent. Wie kann ich helfen?" oder dauerhaft sichtbarer Badge „KI-Chat". Die Formulierung muss verständlich sein; juristische Fußnoten reichen nicht.

Deepfakes und synthetische Inhalte

Pflicht: Bilder, Videos, Audios, die mit KI erzeugt oder manipuliert wurden, müssen gekennzeichnet werden.

Beispiel: Ein Großhändler für Büromöbel generiert Produktbilder mit Stable Diffusion. Auf der Website muss stehen: „Dieses Bild wurde KI-gestützt erstellt." Ein Wasserzeichen oder Meta-Tag reicht nicht – der Hinweis muss für den Betrachter erkennbar sein.

Emotionserkennung und biometrische Systeme

Pflicht: Wer Emotionen oder biometrische Merkmale auswertet (z. B. Gesichtserkennung zur Zeiterfassung), muss Betroffene informieren und Einwilligung einholen (zusätzlich zur DSGVO).

---

Checkliste für den Software-Einkauf: So prüfen Sie KI-Anbieter auf AI-Act-Compliance

Nutzen Sie diese Checkliste bei der Ausschreibung oder im Angebotsgespräch:

Vor Vertragsschluss

• Risikoklasse klären: Deployer-Rolle, Hochrisiko ja/nein?
• Technische Dokumentation anfordern: Liegt sie auf Deutsch/Englisch vor?
• CE-Kennzeichnung prüfen (ab 2026 für Hochrisiko)
• Datenschutz-Folgenabschätzung (DSGVO Art. 35) mit AI-Act-Aspekten verknüpfen
• Haftungsklauseln verhandeln: Wer zahlt bei Bußgeldern?
• EU-Vertreter benennen lassen, falls Provider außerhalb der EU sitzt

Nach Vertragsschluss / im Betrieb

• Schulung der Aufsichtspersonen: Wer darf KI-Entscheidungen übersteuern?
• Protokollierung aktivieren: Logs für Audits bereithalten
• Regelmäßige Bias-Tests: Input-Daten auf Verzerrungen prüfen
• Incident-Response-Plan: Wer meldet schwerwiegende Fehler an wen?
• Vertragliche Update-Fristen überwachen: Liefert der Provider rechtzeitig Patches?

---

Nearshore-Entwicklung und AI Act: Worauf mittelständische Auftraggeber achten sollten

Viele mittelständische Unternehmen lassen KI-Module oder Workflows von Nearshore-Partnern – etwa aus der Türkei, Rumänien oder Polen – entwickeln. Der AI Act gilt auch hier, sobald das System in der EU eingesetzt wird.

Was bedeutet das konkret?

• Der Auftraggeber (Sie) wird in der Regel zum Deployer, wenn Sie das System im eigenen Betrieb nutzen.
• Der Entwicklungsdienstleister kann als Provider gelten, wenn er ein fertiges KI-Produkt liefert – oder als reiner Auftragnehmer, wenn Sie die funktionale Spezifikation und das Trainingsmaterial stellen.

Praxistipp: Klären Sie im Projektvertrag, wer die AI-Act-Dokumentation erstellt und pflegt. Bei D'Cloud Software etwa führen wir die Projektleitung deutschsprachig und mit EU-Datenschutz-Verständnis – das erleichtert die Abstimmung über Compliance-Anforderungen erheblich. Dennoch: Die rechtliche Verantwortung für die Deployer-Pflichten bleibt beim Auftraggeber. Lassen Sie sich daher alle Nachweise vertraglich zusichern.

---

FAQ: Die häufigsten Fragen zum EU AI Act im Mittelstand

Muss ich als Mittelständler wirklich eigene Grundrechts-Folgenabschätzungen durchführen?

Ja, wenn Sie ein Hochrisiko-System als Deployer nutzen. Die Folgenabschätzung soll klären, welche Auswirkungen die KI auf Grundrechte haben kann – etwa Diskriminierung bei Bewerbungen oder Einschränkung der Bewegungsfreiheit durch biometrische Zugangskontrollen. In der Praxis können Sie die DSGVO-Datenschutz-Folgenabschätzung (Art. 35) als Basis nehmen und um AI-Act-spezifische Aspekte ergänzen. Ein strukturiertes Template hilft; Ihre Rechtsberatung sollte das finale Dokument prüfen.

Was passiert, wenn mein Software-Lieferant die Dokumentation nicht liefern kann?

Dann sollten Sie vom Vertrag Abstand nehmen oder Nachbesserung verlangen. Ohne vollständige Dokumentation können Sie als Deployer Ihre eigenen Pflichten nicht erfüllen – und riskieren Bußgelder von bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes (je nachdem, was höher ist). In der Praxis sind solche Maximalstrafen eher für systematische, vorsätzliche Verstöße reserviert. Aber selbst kleinere Bußgelder und Reputationsschäden sind vermeidbar, wenn Sie den Anbieter frühzeitig in die Pflicht nehmen.

Kann ich Open-Source-KI-Modelle nutzen, ohne gegen den AI Act zu verstoßen?

Ja – aber Sie werden dadurch möglicherweise selbst zum Provider. Wenn Sie ein Open-Source-Modell (z. B. Llama, Mistral) herunterladen, an eigenen Daten nachtrainieren und im Unternehmen produktiv einsetzen, gelten Sie als Hersteller des finalen Systems. Das bedeutet: Sie müssen technische Dokumentation, Risikoanalyse, CE-Kennzeichnung usw. selbst erstellen – ein erheblicher Aufwand. Einfacher ist es, auf kommerzielle Anbieter zu setzen, die diese Compliance-Last übernehmen, oder einen Entwicklungspartner zu beauftragen, der die Provider-Rolle vertraglich übernimmt.

Wie viel kostet die Umsetzung der AI-Act-Anforderungen in einem mittelständischen Unternehmen?

Das hängt von der Anzahl und Komplexität Ihrer KI-Systeme ab. Typische Kostentreiber sind: externe Rechts- und Compliance-Beratung (je nach Kanzlei 150–300 € pro Stunde), interne Schulungen, Anpassung von Verträgen, Implementierung von Logging- und Monitoring-Funktionen, eventuell Nachbesserungen an der Software. Für ein einzelnes Hochrisiko-System kalkulieren kleinere Unternehmen oft 10.000–30.000 € Erstaufwand; größere Mittelständler mit mehreren Systemen können sechsstellige Beträge erreichen. Konkrete Zahlen sind projektabhängig und sollten im kostenlosen Erstgespräch mit Ihrer Rechtsberatung und Ihrem IT-Dienstleister geklärt werden.

Wann greifen die einzelnen Fristen des AI Act?

Der AI Act ist seit August 2024 in Kraft. Die wichtigsten Fristen:

• Februar 2025: Verbot unzulässiger KI-Systeme
• August 2026: Pflichten für Hochrisiko-KI und General-Purpose AI
• August 2027: Pflichten für Hochrisiko-KI in bereits in Verkehr gebrachten Produkten

Transparenzpflichten (Chatbots, Deepfakes) gelten teilweise schon früher. Verlassen Sie sich nicht auf Übergangsfristen – beginnen Sie jetzt mit der Bestandsaufnahme.

Gilt der AI Act auch für interne Tools, die nie nach außen verkauft werden?

Ja. Sobald Sie ein KI-System im eigenen Betrieb nutzen – etwa ein Bewerbermanagement-Tool oder eine Predictive-Maintenance-Software – sind Sie Deployer. Der AI Act unterscheidet nicht zwischen „intern" und „extern". Entscheidend ist die Risikoklasse und der Einsatzzweck.

---

Fazit: Jetzt handeln, später profitieren

Der EU AI Act ist kein theoretisches Regulierungs-Gespenst – er ist geltendes Recht und wird ab 2025 schrittweise durchgesetzt. Mittelständische Software-Einkäufer, die jetzt handeln, sichern sich gleich mehrere Vorteile:

1. Rechtssicherheit: Sie vermeiden Bußgelder und Haftungsrisiken.
2. Wettbewerbsvorteil: Kunden und Partner verlangen zunehmend AI-Act-Compliance – wer sie nachweisen kann, gewinnt Aufträge.
3. Bessere Verträge: Wer die richtigen Fragen stellt, verhandelt stärkere Haftungsklauseln und günstigere Konditionen.
4. Zukunftssicherheit: Systeme, die heute compliant sind, lassen sich morgen leichter skalieren und erweitern.

Unsere Empfehlung: Machen Sie eine Bestandsaufnahme aller KI-Systeme in Ihrem Unternehmen – von der Buchhaltungssoftware mit ML-basierter Belegverarbeitung bis zum CRM-Chatbot. Ordnen Sie jedes System einer Risikoklasse zu. Fordern Sie von jedem Lieferanten die AI-Act-Dokumentation an. Und klären Sie offene Haftungsfragen mit Ihrer Rechtsberatung, bevor die ersten Behörden-Audits anlaufen.

Sie planen die Entwicklung oder Integration eines KI-Systems und möchten von Anfang an AI-Act-konform arbeiten? D'Cloud Software begleitet mittelständische Unternehmen mit deutschsprachiger Projektführung, Nearshore-Effizienz und klarem Fokus auf EU-Compliance. Unser Garantieversprechen: Festpreis, vertraglich fixiert, plus 15 Tage kostenlose Fehlerbehebung nach Übergabe. Buchen Sie ein kostenloses Online-Erstgespräch – wir klären gemeinsam, welche Anforderungen in Ihrem konkreten Fall greifen und wie Sie sie wirtschaftlich umsetzen.

Autor: Doğuhan Bulut, Content-Team D'Cloud Software