KI einsetzen und verkaufen, ohne dass der EU AI Act Ihr Tempo bestimmt
Ich bringe Ihre Rolle als Anbieter oder Betreiber, Ihre Pflichten und Ihre Nachweise in eine geprüfte, dokumentierte Ordnung, damit der AI-Act-Fragebogen Ihres Enterprise-Kunden Sie nicht kalt erwischt. Als Rechtsanwältin und zertifizierte KI-Compliance-Beauftragte (Bitkom Akademie) urteile ich aus acht Jahren in Konzern, KMU und Kanzlei: unternehmerisch entschieden, nicht nur begutachtet.
- Klare Rolle (Anbieter oder Betreiber) und dokumentierte Pflichten
- AI-Act-Fragebogen des Enterprise-Kunden souverän beantworten
- Rechtssicherer KI-Einsatz ohne unnötige Prozesse
Was beschäftigt Sie gerade konkret?
Drei Anlässe führen Software- und KI-Unternehmen häufig zu diesem Thema. Jeder führt zur passenden Vertiefung, keine Ferndiagnose.
- Ist mein Unternehmen Anbieter oder Betreiber? Die Rollenfrage entscheidet, welcher Pflichtenkreis gilt, und beide Rollen können gleichzeitig zutreffen, etwa wenn Sie ein eingekauftes Modell in Ihr Produkt integrieren. Die Abgrenzung nach Art. 3 KI-VO und die typischen Grenzfälle klärt Anbieter oder Betreiber? Die zwei Rollen im AI Act.
- Ihr Enterprise-Kunde verlangt einen Compliance-Nachweis? Der Procurement-Fragebogen prüft, ob Sie Ihre eigenen Pflichten erfüllen und ob Ihr Einkaufsvertrag die nötigen Zusicherungen des KI-Anbieters überhaupt enthält. Was in diesen Vertrag gehört, zeigt Eingekaufte KI-Tools: Ihre Pflichten als Betreiber.
- Die Fristen laufen: was zuerst? Der AI Act gilt gestaffelt, und nicht jede Frist ist gleich dringend. Welche Pflicht bereits gilt und wie Sie priorisieren, ordnet Der Zeitplan des EU AI Act: welche Pflicht ab wann ein.
Zwei Rollen, zwei Pflichtenkreise. Sie arbeiten nur an Ihrem.
KI-Compliance bezeichnet die rechtskonforme Einführung und den rechtskonformen Betrieb von KI-Systemen, vor allem nach dem EU AI Act (Verordnung (EU) 2024/1689) und der DSGVO. Betroffen ist jedes Unternehmen, das KI einsetzt oder anbietet, denn der AI Act knüpft die Pflichten an Rolle und Risikoklasse. Für KMU, Start-ups und kleine Midcap-Unternehmen sieht er seit dem KI-Omnibus (VO (EU) 2026/1744) einzelne Erleichterungen vor, etwa eine vereinfachte technische Dokumentation und niedrigere Bußgeldobergrenzen.
Sie setzen KI ein (Betreiber)
Ihr Team arbeitet mit KI: GenAI im Kundenprojekt, eingekauftes SaaS mit KI-Funktion, Tools im Vertrieb und Betrieb. Ihre Pflichten: KI-Kompetenz, Transparenz in den Fällen des Art. 50 Abs. 3 und 4 KI-VO, bei Hochrisiko-Systemen die Betreiberpflichten nach Art. 26 KI-VO, dazu Datenschutz; empfehlenswert ist zudem, Anbieter auszuwählen, die ihre AI-Act-Pflichten nachweisen. Das ist Struktur-Arbeit, kein Großprojekt. Das gilt auch für Rechtsabteilungen: Sie steuern, ich liefere die Spezialtiefe, die intern fehlt.
Sie entwickeln & vermarkten KI-Software (Anbieter)
Sie liefern KI-Features aus und verkaufen sie an Kunden, deren Procurement Fragen stellt. Hier sieht der AI Act die strengsten Pflichten vor, abhängig von Ihrer Einstufung: Konformität, technische Dokumentation, Transparenz, Risikomanagement. Dazu Verträge, die das Haftungsrisiko nicht bei Ihnen parken. Sauber aufgesetzt wird das Ihr Verkaufsargument im Enterprise-Sales.
| Pflicht | Anbieter | Betreiber |
|---|---|---|
| Konformitätsbewertung & technische Dokumentation | Ja, je nach Risikoklasse | Nein |
| KI-Kompetenz im Team (Art. 4 KI-VO) | Ja | Ja |
| Transparente Kennzeichnung gegenüber Nutzern | Ja | Teilweise, abhängig vom Einsatz |
| Anbieterauswahl & Vertragsprüfung (Sorgfaltsempfehlung) | Eingeschränkt relevant | Empfohlen |
| Datenschutz nach DSGVO | Ja | Ja |
Wie groß ist Ihr KI-Risiko? Fünf Fragen, eine Minute.
Der Check ordnet ein, ob Ihr KI-Einsatz Pflichten nach dem EU AI Act auslöst und wie dringend Governance und Nachweise sind. Ergebnis sofort, ohne Anmeldung.
Was der Check abfragt
Sechs Bausteine: von der Inventur bis zur Governance
Abgestimmt auf Ihren KI-Einsatz. Sie bekommen Entscheidungsvorlagen, keine Abhandlungen, und bei jedem Baustein sehen Sie, wovor er Sie schützt.
KI-Inventur & Risiko-Einstufung
Sie sehen schwarz auf weiß, welche KI in Ihrem Unternehmen läuft, auch in Tools, die niemand als KI führt. Jeder Einsatz wird seiner Risikoklasse zugeordnet. Ergebnis: eine belastbare, dokumentierte Einstufung, plus die klare Liste, wo nichts zu tun ist.
AI-Governance & Richtlinien
Ihr Team nutzt KI ohne Rückfrage-Schleifen. Klare Leitlinien regeln, wer welche KI wofür einsetzen darf, mit welchen Daten, dokumentiert und alltagstauglich. Dokumentierte Regeln belegen im Ernstfall Ihre Sorgfalt.
Datenschutz bei KI-Einsatz
Ihr KI-Einsatz hält auch einer Aufsichtsprüfung stand: DSGVO-konform von der Rechtsgrundlage bis zum Umgang mit Trainings- und Eingabedaten, sauber dokumentiert. Das schützt vor Bußgeldrisiken und vor Datenschutz-Diskussionen mitten im Kundenprojekt.
Schulung: KI-Kompetenz
Praxisnahe Schulung, zugeschnitten auf Ihre Tools und Abläufe, als dokumentierte Maßnahme, mit der Sie die KI-Kompetenz Ihres Teams unterstützen (Art. 4 KI-VO, seit 27. Juli 2026 in der Fassung des KI-Omnibus). Das senkt praktische Risiken, vom Prompt mit Kundendaten bis zum ungeprüften Output im Kundenprojekt.
AI-Act-Pflichten für Anbieter
Für KI-Software, die Sie auf den Markt bringen: Einstufung, technische Dokumentation, Transparenz- und Konformitätsanforderungen, strukturiert aufgesetzt. So beantworten Sie den Fragenkatalog des Enterprise-Procurements mit Belegen, nicht mit Vertröstung.
Verträge für Ihre KI-Produkte
Das Haftungsrisiko für KI-Ergebnisse: vertraglich klar verteilt und nicht stillschweigend bei Ihnen. Kundenverträge und AGB für KI-Software mit Nutzungs- und Datenrechten und Gewährleistung, abgestimmt mit dem IT-Recht und darauf ausgelegt, die Prüfung durch Legal und Einkauf Ihres Kunden zu bestehen.
Beratungsfelder im Detail
Wo KI auf Urheberrecht, Datenschutz und Datennutzung trifft, passieren die teuren Fehler. Diese Schnittstellen kläre ich, bevor sie Geld kosten.
Urheberrecht & generative KI
Sie nutzen KI-Outputs, ohne Rechtefragen offen zu lassen: Wem gehören Prompts, Trainingsdaten und Ergebnisse, und was müssen Sie offenlegen, geklärt, bevor ein Kundenprojekt davon abhängt.
Grundrechte- & Datenschutz-Folgenabschätzung
Sensible KI-Einsätze starten mit Rückendeckung: Datenschutz-Folgenabschätzung (DSFA) und, wo der AI Act sie verlangt, Grundrechte-Folgenabschätzung, dokumentiert und nachvollziehbar.
Rechtmäßige Datennutzung
Ihre Datengrundlage für Training und Betrieb ist geregelt, nicht Grauzone: Big Data, Machine Learning und GenAI zulässig aufgesetzt und nachvollziehbar dokumentiert.
Anonymisierung & Pseudonymisierung
Sie machen Daten für KI nutzbar, auf dokumentierter Rechtsgrundlage. Strategien, die technisch und rechtlich tragfähig sind, geprüft, bevor das Modell trainiert. Dabei berücksichtige ich, dass pseudonymisierte Daten nach dem EuGH nicht zwingend für jeden Empfänger personenbezogen sind, weil es auf dessen Perspektive ankommt (EuGH, Urt. v. 04.09.2025, C-413/23 P, NJW 2025, 3415).
Prüfung externer KI-Anwendungen
Eingekaufte KI-Tools gehen geprüft live, nicht auf Zuruf: rechtliche Bewertung von Anbieter, Vertrag und Datenfluss. Ihr Go-Live kommt mit einer begründeten, dokumentierten Bewertung.
KIaaS- & Entwicklungsverträge
Ihre KI-Projekte laufen auf Verträgen, die halten: KI-Entwicklung, KI-as-a-Service, Daten- und Lizenznutzung, mit klar verteilter Haftung, weil ungeklärte Haftungsfragen im Streitfall teuer werden.
Die Fristen laufen. Ihr Vorsprung auch.
Der EU AI Act gilt gestaffelt: Verbote und KI-Kompetenzpflicht greifen seit Februar 2025. Die Kernpflichten für Hochrisiko-Systeme wurden mit dem KI-Omnibus (VO (EU) 2026/1744), in Kraft seit 27. Juli 2026, nach hinten verschoben (Stand: September 2026). In Deutschland ist nach dem KI-MIG grundsätzlich die Bundesnetzagentur Marktüberwachungsbehörde sowie zentrale Anlauf- und Beschwerdestelle; für KI in Produkten nach Anhang I Abschnitt A bleiben die bisherigen Produkt-Marktüberwachungsbehörden zuständig, für KI in regulierter Finanztätigkeit die BaFin. Wer jetzt ordnet, geht ohne Zeitdruck und mit dokumentierter Compliance hinein, statt im Hauruck kurz vor der Frist.
- 1Verbotene PraktikenSeit 2. Februar 2025
Bestimmte KI-Praktiken sind untersagt (Art. 5 KI-VO). Ab dem 2. Dezember 2026 kommen Verbote für nicht einvernehmliche intime Deepfakes und Darstellungen sexuellen Kindesmissbrauchs hinzu. Wer eine davon noch im Stack hat, braucht einen geordneten, dokumentierten Ausstieg.
- 2KI-Kompetenz im TeamSeit 2. Februar 2025, neu gefasst seit 27. Juli 2026
Anbieter und Betreiber ergreifen Maßnahmen, um die Entwicklung der KI-Kompetenz ihres Personals zu unterstützen (Art. 4 KI-VO in der Fassung des KI-Omnibus). Mit klarer Struktur lassen sich diese Maßnahmen zügig umsetzen und dokumentieren.
- 3Hochrisiko: eigenständige SystemeAb 2. Dezember 2027
Risikomanagement, Dokumentation, Aufsicht: die Kernpflichten für eigenständige Hochrisiko-Systeme nach dem KI-Omnibus (VO (EU) 2026/1744, in Kraft seit 27. Juli 2026).
- 4Hochrisiko: eingebettet in ProdukteAb 2. August 2028
Für KI, die in regulierte Produkte eingebettet ist, gilt die spätere Frist. Wer früh startet, geht vorbereitet hinein, ohne Hauruck-Projekt.
Drei Schritte, danach kennen Sie Ihre Pflichten und Ihren Spielraum.
- 1Inventur
Ich erfasse Ihren KI-Einsatz vollständig und stufe jedes System nach Risiko ein, dokumentiert und nachvollziehbar. Sie sehen, was zählt und was Sie abhaken können.
- 2Strategie
Sie erhalten klare Prioritäten: Was muss sofort, was hat Zeit. Jede Empfehlung mit Begründung.
- 3Umsetzung
Governance, Richtlinien und Schulung stehen: nachweisbar und alltagstauglich. Sie setzen KI ein und entscheiden über das Tempo selbst.
Laufende Betreuung oder abgegrenzter Auftrag? Die Modelle und die Preislogik stehen auf der Seite Externe Rechtsabteilung
Flagship-Leistung
Das AI Governance Audit: Ihr KI-Risiko schwarz auf weiß.
Ihre KI-Systeme technisch durchleuchtet, rechtlich nach EU AI Act und DSGVO eingestuft: mit einem technischen und einem rechtlichen Maßnahmenplan. Das technische Audit verantwortet ein direkt von Ihnen beauftragter KI-Architekt, die rechtliche Einstufung allein ich als Rechtsanwältin. Ich koordiniere die Zusammenarbeit; wir stimmen unsere Ergebnisse fachlich aufeinander ab. Beide Prüfungen haben einen eigenen Festpreis.
- Technische Architektur-Prüfung: Systeme, Modelle und Datenflüsse durchleuchtet. Eigenständig verantwortet, sauber dokumentiert.
- Rechtliche Einstufung: Pflichten nach EU AI Act und DSGVO, klar bewertet und begründet. Allein anwaltlich verantwortet.
- Maßnahmenpläne: Je ein technischer und ein rechtlicher Plan, fachlich abgestimmt und klar zugeordnet.
Schnittstelle
Perspektive
Bevor Sie anfragen
Leitfäden und Beiträge zum Thema
Die 10 Fragen, die Ihr Enterprise-Kunde im AI-Act-Fragebogen stellt, und worauf es bei der Antwort ankommt.
Einmaliger Checklistenversand. Informationsmails nur mit gesonderter Einwilligung. Die Checkliste ersetzt keine individuelle Rechtsberatung.
Ihre KI-Rolle kennen. Die nächsten Pflichten gezielt angehen.
Im 60-minütigen Strategiegespräch ordne ich Ihre KI-Anwendungen ein: Was fällt unter den AI Act, wo besteht Handlungsbedarf, was hat Zeit. Danach erhalten Sie ein Angebot mit ausgewiesenem Umfang und Kosten, bevor Sie entscheiden.
Erstgespräch anfragenVertraulich nach § 43a BRAO. Ohne Verpflichtung. Auf Ihre Anfrage zum Erstgespräch melde ich mich innerhalb von 48 Stunden (werktags).