Ich bringe Ihre Rolle als Anbieter oder Betreiber, Ihre Pflichten und Ihre Nachweise in eine geprüfte, dokumentierte Ordnung, damit der AI-Act-Fragebogen Ihres Enterprise-Kunden Sie nicht kalt erwischt. Als Rechtsanwältin und zertifizierte KI-Compliance-Beauftragte urteile ich aus acht Jahren in der Wirtschaft, einer begleiteten Fusion und drei Investorenwechseln: unternehmerisch entschieden, nicht nur begutachtet.
◆Zertifizierte KI-Compliance-Beauftragte (Bitkom Akademie, Mai 2026) · 8 Jahre aus der Wirtschaft · drei Investorenwechsel und eine Fusion begleitet
KI-Compliance bezeichnet die rechtskonforme Einführung und den rechtskonformen Betrieb von KI-Systemen, vor allem nach dem EU AI Act (Verordnung (EU) 2024/1689) und der DSGVO. Betroffen ist jedes Unternehmen, das KI einsetzt oder anbietet, unabhängig von der Größe, denn der AI Act unterscheidet nach Rolle und Risikoklasse, nicht nach Unternehmensgröße.
Der EU AI Act (Verordnung (EU) 2024/1689) gilt gestaffelt: Verbote und KI-Kompetenzpflicht greifen bereits seit Februar 2025. Die Kernpflichten für Hochrisiko-Systeme wurden mit dem „Digital Omnibus“ nach hinten verschoben (Stand Juni 2026). Wer jetzt ordnet, geht ohne Zeitdruck und mit dokumentierter Compliance hinein, statt im Hauruck kurz vor der Frist. Das reduziert Bußgeldrisiken und hält Ihre Projekte am Laufen.
Bestimmte KI-Praktiken sind seit dem 02.02.2025 untersagt (Art. 5). Wer eine davon noch im Stack hat, braucht einen geordneten Ausstieg: schnell, sauber, dokumentiert. Die Prüfung zeigt zügig, ob Sie betroffen sind.
Wer KI einsetzt, muss für ausreichende KI-Kompetenz im Team sorgen (Art. 4). Diese Pflicht gilt seit Februar 2025, nicht erst 2026. Mit klarer Struktur ist sie zügig erfüllt und Sie führen den Nachweis, bevor jemand ihn anfordert.
Risikomanagement, Dokumentation, Aufsicht: Die Kernpflichten für Hochrisiko-Systeme greifen nach dem „Digital Omnibus“ (vom Rat am 29. Juni 2026 endgültig angenommen; Inkrafttreten nach Veröffentlichung im EU-Amtsblatt) ab dem 2. Dezember 2027 (eigenständige Systeme) bzw. 2. August 2028 (in Produkte eingebettet). Wer früh startet, geht vorbereitet rein, ohne Hauruck-Projekt kurz vor der Frist. Das ist Ihr Vorsprung.
5 Fragen, 1 Minute. Sie sehen sofort, wie dringend Handlungsbedarf besteht. Auf Wunsch schicke ich Ihnen die Checkliste „Die 10 Fragen, die Ihr Enterprise-Kunde im AI-Act-Fragebogen stellt“ dazu.
Der AI Act unterscheidet streng, ob Sie KI nutzen oder anbieten. Die Einstufung entscheidet, welche Pflichten Sie treffen und welche Sie ignorieren dürfen.
Ihr Team arbeitet mit KI: GenAI im Kundenprojekt, eingekauftes SaaS mit KI-Funktion, Tools im Vertrieb und Betrieb. Ihre Pflichten: KI-Kompetenz, transparenter Einsatz, Datenschutz und die Auswahl konformer Anbieter. Das ist Struktur-Arbeit, kein Großprojekt. Sie behalten Ihr Tempo. Das gilt auch für Rechtsabteilungen: Sie steuern, ich liefere die Spezialtiefe, die intern fehlt.
Sie shippen KI-Features und verkaufen sie an Kunden, deren Procurement Fragen stellt. Hier sieht der AI Act die strengsten Pflichten vor. Welche Sie treffen, entscheidet Ihre Einstufung: Konformität, technische Dokumentation, Transparenz, Risikomanagement. Dazu Verträge, die das Haftungsrisiko nicht bei Ihnen parken. Sauber aufgesetzt wird das Ihr Verkaufsargument im Enterprise-Sales, statt Ihr Deal-Blocker.
| Pflicht | Anbieter | Betreiber |
|---|---|---|
| Konformitätsbewertung & technische Dokumentation | Ja, je nach Risikoklasse | Nein |
| KI-Kompetenz im Team (Art. 4 KI-VO) | Ja | Ja |
| Transparente Kennzeichnung gegenüber Nutzern | Ja | Teilweise, abhängig vom Einsatz |
| Auswahl konformer Anbieter & Vertragsprüfung | Eingeschränkt relevant | Ja |
| Datenschutz nach DSGVO | Ja | Ja |
Drei Anlässe führen die meisten Softwareunternehmen zu diesem Thema. Jeder Weg führt zu einer vertiefenden Einordnung, keine Ferndiagnose, sondern die Prüfkriterien, die für Ihren Fall zählen.
Die Rollenfrage entscheidet, welcher Pflichtenkreis für Sie gilt, und beide Rollen können gleichzeitig zutreffen, etwa wenn Sie ein eingekauftes Modell in Ihr eigenes Produkt integrieren. Die Abgrenzung nach Art. 3 KI-VO und die typischen Grenzfälle aus der Software-Praxis klärt der Beitrag Anbieter oder Betreiber? Die zwei Rollen im AI Act.
Der Procurement-Fragebogen Ihres Kunden prüft, ob Sie als Betreiber eines eingekauften KI-Tools Ihre eigenen Pflichten erfüllen, und ob Ihr Einkaufsvertrag die dafür nötigen Zusicherungen des Anbieters überhaupt enthält. Was konkret in diesen Vertrag gehört und welche Checkliste Sie Ihrem KI-Anbieter vorlegen sollten, zeigt Eingekaufte KI-Tools: Ihre Pflichten als Betreiber.
Der AI Act gilt gestaffelt, und nicht jede Frist ist gleich dringend. Welche Pflicht bereits gilt, welche noch Vorlauf hat und wie Sie priorisieren, ohne etwas zu übersehen, ordnet der Zeitplan-Beitrag Der Zeitplan des EU AI Act: welche Pflicht ab wann ein.
Sechs Bausteine, abgestimmt auf Ihren KI-Einsatz. Sie bekommen Entscheidungsvorlagen, keine Abhandlungen und bei jedem Baustein sehen Sie, wovor er Sie schützt.
Sie sehen schwarz auf weiß, welche KI in Ihrem Unternehmen läuft, auch in Tools, die niemand als KI führt. Jeder Einsatz wird seiner Risikoklasse zugeordnet. Ergebnis: eine belastbare, dokumentierte Einstufung, plus die klare Liste, wo nichts zu tun ist.
Ihr Team nutzt KI ohne Rückfrage-Schleifen. Klare Leitlinien regeln, wer welche KI wofür einsetzen darf, mit welchen Daten, dokumentiert und alltagstauglich. Das beschleunigt Ihr Tagesgeschäft, weil niemand im Einzelfall raten muss. Und es schützt Sie, weil dokumentierte Regeln im Ernstfall Ihre Sorgfalt belegen.
Ihr KI-Einsatz hält auch einer Aufsichtsprüfung stand. DSGVO-konform von der Rechtsgrundlage bis zum Umgang mit Trainings- und Eingabedaten, sauber dokumentiert. Das schützt Sie vor Bußgeldrisiken und vor Datenschutz-Diskussionen mitten im Kundenprojekt.
Ihr Team erfüllt die geltende KI-Kompetenzpflicht (Art. 4), dokumentiert durch praxisnahe Schulung, zugeschnitten auf Ihre Tools und Abläufe. Das erledigt eine Pflicht und senkt praktische Risiken, vom Prompt mit Kundendaten bis zum ungeprüften Output im Kundenprojekt.
Sie gehen mit einer tragfähigen Compliance-Story in den Vertrieb. Für KI-Software, die Sie auf den Markt bringen: Einstufung, technische Dokumentation, Transparenz- und Konformitätsanforderungen, strukturiert aufgesetzt. So beantworten Sie den Fragenkatalog des Enterprise-Procurements mit Belegen statt mit Vertröstung.
Das Haftungsrisiko für KI-Ergebnisse: vertraglich klar verteilt, statt stillschweigend bei Ihnen. Kundenverträge und AGB für KI-Software mit Nutzungs- und Datenrechten und Gewährleistung, abgestimmt mit dem IT-Recht. Darauf ausgelegt, die Prüfung durch Legal und Einkauf Ihres Kunden zu bestehen.
Wo KI auf Urheberrecht, Datenschutz und Datennutzung trifft, passieren die teuren Fehler. Diese Schnittstellen kläre ich, bevor sie Geld kosten, mit geprüfter Grundlage statt Bauchgefühl.
Sie nutzen KI-Outputs, ohne Rechtefragen offen zu lassen: Wem gehören Prompts, Trainingsdaten und Ergebnisse, und was müssen Sie offenlegen, geklärt, bevor ein Kundenprojekt davon abhängt.
Sensible KI-Einsätze starten mit Rückendeckung: Datenschutz-Folgenabschätzung (DSFA) und, wo der AI Act sie verlangt, Grundrechte-Folgenabschätzung, dokumentiert und nachvollziehbar.
Ihre Datengrundlage für Training und Betrieb ist geregelt, nicht Grauzone: Big Data, Machine Learning und GenAI zulässig aufgesetzt und nachvollziehbar dokumentiert.
Sie machen Daten für KI nutzbar, auf dokumentierter Rechtsgrundlage. Strategien, die technisch und rechtlich tragfähig sind, geprüft, bevor das Modell trainiert.
Eingekaufte KI-Tools gehen geprüft live, nicht auf Zuruf. Rechtliche Bewertung von Anbieter, Vertrag und Datenfluss. Ihr Go-Live kommt mit Begründung statt mit Restzweifel.
Ihre KI-Projekte laufen auf Verträgen, die halten. KI-Entwicklung, KI-as-a-Service, Daten- und Lizenznutzung, mit klar verteilter Haftung, weil ungeklärte Haftungsfragen im Streitfall teuer werden.
Ein Bericht, der Ihnen die Entscheidungsgrundlage liefert: Ihr KI-Governance-Audit. Ihre KI-Systeme technisch durchleuchtet, rechtlich nach EU AI Act und DSGVO eingestuft, mit priorisiertem Maßnahmenplan. Das technische Audit verantwortet eigenständig ein erfahrener KI-Architekt. Die rechtliche Einstufung verantworte allein ich als Rechtsanwältin. Eine Rechtsberatung erbringt ausschließlich die Kanzlei. Sie erhalten beides abgestimmt, aber getrennt verantwortet und in einem Bericht zusammengeführt, der trägt.
KI steckt in vielen Produkten, die Sie einkaufen, nicht nur im eigenen Stack. Dann gehören die Verträge mit Ihren Software- und KI-Anbietern auf den Tisch: Haftung, Datennutzung, Gewährleistung. Das schützt Sie, bevor ein fremdes Tool zu Ihrem Risiko wird. Klassisches IT-Recht, und genau dort schließt diese Beratung an.
Sie wollen es schwarz auf weiß? Das AI Governance Audit liefert Ihre Einstufung nach EU AI Act, zum Festpreis.
Mehr zum AI Governance Audit →Wofür ich nicht stehe: 40-seitige Gutachten ohne Empfehlung. Offene Stundenuhren. Bedenken ohne Lösung.
Praxisnahe Leitfäden zum Nachlesen, kostenlos und ohne Anmeldung.
EU AI Act: der vollständige Leitfaden zu Einstufung & Pflichten →
Hochrisiko-KI: Ist mein System betroffen? Der Anhang-III-Check →
KI-Inventur: der erste Schritt jeder AI-Act-Compliance →
KI im Unternehmen rechtssicher einsetzen →
Alle Themen im Wissen →
Noch nicht bereit für Check oder Gespräch? Holen Sie sich zuerst die Checkliste.
Der Procurement-Fragebogen zum EU AI Act entscheidet mit über Ihren Deal. Diese Checkliste zeigt, worauf es bei jeder der 10 Fragen ankommt.
Kein Spam. Keine Weitergabe. Jederzeit abmeldbar. Die Checkliste ersetzt keine individuelle Rechtsberatung. Datenschutzerklärung
Ihr KI-System ist im Einsatz, aber die Einstufung nach dem EU AI Act steht noch aus? Wir klären, welche Pflichten für Sie gelten, bevor sie zum Problem werden.
Erstgespräch vereinbarenIm Erstgespräch ordne ich Ihre KI-Anwendungen ein: Was fällt unter den AI Act, wo besteht Handlungsbedarf, was hat Zeit. Konkret, fundiert, vertraulich (§ 43a BRAO) und ohne Juristendeutsch. Danach entscheiden Sie. Wenn Sie weitergehen: individuelles Festpreisangebot vor Mandatsbeginn, keine offene Stundenuhr. Erstreaktion innerhalb von 48 Stunden (werktags).
KI-Einsatz einordnen: Erstgespräch vereinbarenoder
info@caroline-herrmann.comGeprüft statt geraten.