Der EU AI Act verpflichtet Anbieter von KI-Systemen der Hochrisiko-Kategorie zur Ausstellung einer EU-Konformitätserklärung vor Markteinführung sowie zur Registrierung in einer EU-weiten Datenbank; Verstöße können Bußgelder von bis zu 30 Millionen Euro oder 6 Prozent des weltweiten Jahresumsatzes nach sich ziehen. Für Unternehmen, die KI-Systeme entwickeln oder einsetzen, schafft der AI Act erstmals ein verbindliches Haftungsregime auf EU-Ebene. Wer Hochrisiko-KI in Bereichen wie Personalwesen, kritischer Infrastruktur oder Bildung betreibt, muss technische Dokumentation, Konformitätsbewertungen und interne Kontrollprozesse nachweisbar vorhalten. Rechtliche und Compliance-Verantwortliche müssen jetzt prüfen, welche ihrer KI-Systeme unter die Hochrisiko-Kategorien fallen, um Haftungsrisiken und empfindliche Bußgelder rechtzeitig zu vermeiden.

EU AI Act: Was Konformitätserklärungen und das neue Haftungsregime für KI-Anbieter bedeuten

Der EU AI Act verpflichtet Anbieter sogenannter Hochrisiko-KI-Systeme zur Ausstellung einer Konformitätserklärung, bevor ihr System auf dem europäischen Markt in Verkehr gebracht werden darf. Dieses Dokument bestätigt, dass das jeweilige KI-System die im AI Act definierten Anforderungen erfüllt. Die Regelung ist Teil eines gestuften Regulierungsrahmens, der KI-Anwendungen nach ihrem potenziellen Risiko für Personen und Gesellschaft klassifiziert.

Konformitätserklärung: Was Anbieter nachweisen müssen

Anbieter von Hochrisiko-KI-Systemen müssen vor der Markteinführung unter anderem nachweisen, dass ihr System transparente Funktionsweise, menschliche Aufsicht sowie Robustheit und Cybersicherheit gewährleistet. Dies geht aus dem öffentlich zugänglichen GitHub-Projekt “claude-fuer-deutsches-recht” hervor, das KI-gestützte Rechtsprüfwerkzeuge für den EU AI Act dokumentiert. Dort wird die Produktintegration von KI-Systemen als eigener Prüfpunkt im Kontext des AI Act geführt, darunter explizit die Schnittstelle zwischen Produkthaftung und KI-Regulierung.

Die Konformitätserklärung ist kein einmaliger Akt. Anbieter sind verpflichtet, ihre Systeme nach dem Inverkehrbringen weiter zu beobachten und bei wesentlichen Änderungen erneut zu prüfen. Das genannte Rechtsprojekt listet hierfür einen separaten Prüfbereich “Produktbeobachtung: Software, OTA und Sicherheitsupdates”, was zeigt, wie eng Softwarepflege und regulatorische Compliance verzahnt sind.

Haftungsregime: Vier praktische Implikationen für Unternehmen

1. Dokumentationspflicht als Haftungsgrundlage Fehlt eine ordnungsgemäße technische Dokumentation oder Konformitätserklärung, entsteht für Anbieter ein erhebliches Haftungsrisiko. Das Prüf-Framework des erwähnten Open-Source-Projekts modelliert dies als eigene Risikostufe mit Fristenampel, was auf die Praxisrelevanz kurzer Reaktionszeiten nach regulatorischen Verstößen hinweist.

2. Cybersicherheit als Produktsicherheitsmerkmal Der AI Act behandelt Cybersicherheit nicht als optionales Zusatzmerkmal, sondern als integralen Bestandteil der Produktsicherheit. Das Rechtsrahmen-Plugin “rechtsabteilung-cybersecurity-digitale” des zitierten Projekts ordnet Cybersecurity-Anforderungen explizit dem Produkthaftungsrecht zu. Anbieter, deren KI-System nach einem Angriff fehlerhafte Entscheidungen trifft, können sich damit nicht allein auf externe Angreifer berufen.

3. Rückrufmanagement und RAPEX/Safety Gate Hochrisiko-KI-Systeme unterliegen im Fehlerfall denselben Rückrufmechanismen wie physische Produkte. Das Safety Gate (ehemals RAPEX) der EU dient als Meldesystem für gefährliche Produkte; die Integration von KI-Systemen in dieses System ist im genannten Rechtsrahmen als Prüfpunkt “Rückrufmanagement mit RAPEX/Safety Gate” ausgewiesen. Unternehmen müssen interne Prozesse vorhalten, um im Ernstfall fristgerecht melden zu können.

4. Impressum und Anbieterkennzeichnung Auch formale Pflichten wie die Impressumspflicht nach Paragraf 5 und 6 DDG sowie Paragraf 18 MStV sind laut dem Prüf-Framework Teil der produktrechtlichen Compliance für KI-Anbieter. Wer KI-Systeme öffentlich anbietet, muss klare Anbieterangaben sicherstellen, was bei automatisierten oder eingebetteten KI-Diensten technisch und rechtlich komplex werden kann.

Zeitliche Einordnung

Die für Hochrisiko-KI-Systeme relevanten Bestimmungen des AI Act werden schrittweise wirksam. Unternehmen, die KI in regulierten Bereichen einsetzen oder anbieten, sollten ihre Compliance-Strukturen frühzeitig aufbauen, da Konformitätsnachweise und technische Dokumentation mit Vorlauf erstellt werden müssen. Eine automatisierte Fristen- und Risikoampel, wie sie das zitierte Rechtsprüfprojekt beschreibt, kann dabei als methodisches Vorbild für interne Compliance-Prozesse dienen.

Verwandte Themen auf ecompanion.ai:

• KI-Regulierung im Unternehmenseinsatz: Was der EU AI Act konkret fordert
• Produkthaftung und KI: Wenn Algorithmen Schäden verursachen
• Cybersicherheit als Compliance-Pflicht: Was Unternehmen jetzt tun müssen

Quellen

• claude-fuer-deutsches-recht: produktrecht.md (GitHub, Klotzkette)
• claude-fuer-deutsches-recht: kaltstart-triage SKILL.md (GitHub, Klotzkette)
• EU-Kommission: Regulierungsrahmen für KI (digital-strategy.ec.europa.eu)

Häufige Fragen

Was ist eine Konformitätserklärung nach dem EU AI Act und wer muss sie ausstellen?

Anbieter von KI-Systemen der Hochrisikokategorie sind nach dem EU AI Act verpflichtet, vor dem Inverkehrbringen eine EU-Konformitätserklärung auszustellen. Darin bestätigen sie schriftlich, dass ihr System alle einschlägigen Anforderungen der Verordnung erfüllt. Die Pflicht trifft primär den Anbieter, also denjenigen, der das KI-System entwickelt und auf den Markt bringt. Unternehmen, die ein Hochrisiko-KI-System in eigene Produkte integrieren, können unter bestimmten Umständen ebenfalls in die Anbieterpflichten eintreten.

Welche Hochrisiko-KI-Systeme unterliegen besonders strengen Konformitätspflichten?

Der EU AI Act listet in seinen Anhängen konkrete Bereiche auf, darunter Systeme für die biometrische Identifikation, sicherheitskritische Infrastruktur, Bildung und Berufsausbildung, Beschäftigung und Personalverwaltung sowie die Strafverfolgung. Für diese Kategorien schreibt die Verordnung unter anderem Risikomanagementsysteme, technische Dokumentation, Transparenzpflichten gegenüber Nutzern und in bestimmten Fällen eine Konformitätsbewertung durch Dritte vor, bevor das System in der EU eingesetzt werden darf.

Wie ist die Haftung für KI-Anbieter im EU AI Act geregelt und wo greift die Produkthaftung?

Der EU AI Act selbst enthält keine eigenständige zivilrechtliche Haftungsregelung; er definiert primär behördlich durchsetzbare Pflichten. Die zivilrechtliche Haftung richtet sich weiterhin nach nationalem Recht sowie der überarbeiteten EU-Produkthaftungsrichtlinie, die KI-gestützte Produkte ausdrücklich einschließt. Darüber hinaus erleichtert die KI-Haftungsrichtlinie, die die EU-Kommission parallel vorgeschlagen hat, Geschädigten den Zugang zu Informationen und ermöglicht unter bestimmten Voraussetzungen eine Beweislastumkehr, wenn ein Anbieter gegen AI-Act-Pflichten verstößt.

Welche Bußgelder drohen bei Verstößen gegen den EU AI Act?

Der EU AI Act sieht ein gestaffeltes Sanktionssystem vor. Bei Verstößen gegen das Verbot bestimmter KI-Praktiken können Geldbußen von bis zu 35 Millionen Euro oder sieben Prozent des weltweiten Jahresumsatzes verhängt werden. Verstöße gegen sonstige Anbieterpflichten, etwa bei Hochrisiko-KI-Systemen, können mit bis zu 15 Millionen Euro oder drei Prozent des Jahresumsatzes geahndet werden. Für die Übermittlung unrichtiger Informationen an Behörden sind bis zu 7,5 Millionen Euro oder ein Prozent des Jahresumsatzes vorgesehen. Maßgeblich ist jeweils der höhere der beiden Werte.

Ab wann gelten die Konformitätspflichten des EU AI Act verbindlich für Unternehmen?

Der EU AI Act ist im August 2024 in Kraft getreten und gilt stufenweise. Verbote für inakzeptable KI-Risiken werden sechs Monate nach Inkrafttreten anwendbar, also ab Februar 2025. Die Pflichten für Hochrisiko-KI-Systeme greifen in der Regel nach 24 Monaten, mithin ab August 2026, wobei für bestimmte Systeme in regulierten Produktbereichen eine Übergangsfrist von 36 Monaten gilt. Unternehmen sollten daher bereits jetzt mit der Bestandsaufnahme ihrer KI-Systeme und dem Aufbau einer Compliance-Struktur beginnen, um die gestaffelten Fristen einzuhalten.