EU AI Act · Artikel 13, 22, 25
Die meisten Unternehmen beginnen ihre KI-Compliance nach dem Go-Live. Der Moment, in dem sich der spätere Aufwand tatsächlich entscheidet, liegt Monate früher: bei der Bestellung.
Wer ein Hochrisiko-KI-System einkauft, übernimmt mit dem Produktivstart die Betreiberpflichten aus Artikel 26. Erfüllen lassen sich diese Pflichten nur mit Unterlagen, die der Anbieter beisteuern muss. Fehlen sie, fehlt dem Betreiber die Grundlage – während der Anbieter den Vertrag aus seiner Sicht vollständig erfüllt hat.
Das ist die Asymmetrie beim KI-Einkauf: Die Pflichten des Betreibers laufen ab dem ersten Produktivtag. Die Unterlagen des Anbieters sind nach der Unterschrift nur noch mit Verhandlungsmacht zu bekommen, die dann niemand mehr hat.
Was der Anbieter ohnehin schuldet
Die folgenden Unterlagen sind keine Sonderwünsche aus dem Lastenheft. Sie sind Pflichtbestandteil eines Hochrisiko-KI-Systems, das rechtmäßig in Verkehr gebracht wurde. Wer sie anfordert, verlangt nichts, was der Anbieter nicht ohnehin erstellt haben müsste.
Vier Angaben, die in der Betriebsanleitung stehen müssen
Artikel 13 listet auf, was eine Betriebsanleitung enthalten muss. Vier Punkte davon lassen sich bereits vor Vertragsschluss prüfen, und sie sagen mehr über die Reife eines Anbieters aus als jede Produktpräsentation.
Identität und Kontakt des Anbieters
Klingt trivial, ist es im SaaS-Vertrieb aber nicht. Der Vertragspartner ist nicht zwingend der Anbieter im Sinne der Verordnung. Wer weiß, wer formal Anbieter ist, weiß auch, an wen ein Vorfall nach Art. 26 Abs. 5 zu melden ist.
Leistungsmerkmale, Fähigkeiten und Grenzen
Einschließlich Genauigkeit, Robustheit und Cybersicherheit sowie der Umstände, unter denen die Leistung abweichen kann. Ein Anbieter, der keine Grenzen seines Systems benennen kann, hat sie nicht untersucht.
Vorgesehene Maßnahmen zur menschlichen Aufsicht
Art. 26 Abs. 2 verlangt vom Betreiber, die Aufsicht Personen mit der nötigen Kompetenz und Befugnis zu übertragen. Welche Eingriffsmöglichkeiten das System überhaupt bietet, entscheidet der Anbieter – und muss es hier beschreiben.
Erwartete Lebensdauer und Wartung
Einschließlich der Vorkehrungen für Updates. Genau hier entsteht später der Streit: Ein Anbieter-Update kann die Risikobewertung des Betreibers überholen, ohne dass jemand im Unternehmen davon erfährt.
Der Test vor der Unterschrift
Die Betriebsanleitung vor Vertragsschluss anfordern. Kommt sie nicht oder besteht sie aus Marketingmaterial, ist das die Antwort auf die Frage, ob der Anbieter das Konformitätsverfahren tatsächlich durchlaufen hat. Diese Auskunft kostet eine E-Mail und ersetzt ein halbes Audit.
Wann aus dem Einkauf eine Anbieterrolle wird
Artikel 25 beschreibt Fälle, in denen ein einkaufendes Unternehmen selbst zum Anbieter wird – mit allen Pflichten aus Artikel 16, von der technischen Dokumentation nach Anhang IV bis zum Qualitätsmanagementsystem. Zwei davon treten in der Praxis häufig auf, ohne dass es jemand bemerkt.
Der sichtbare Fall: eigener Name
Wer ein bereits in Verkehr gebrachtes Hochrisiko-System unter eigenem Namen oder eigener Marke anbietet, wird Anbieter. Das betrifft jedes White-Label-Modell und jede Weitergabe an Konzerngesellschaften unter eigenem Produktnamen.
Der stille Fall: neue Zweckbestimmung
Wer die Zweckbestimmung eines nicht-hochriskanten Systems so ändert, dass es hochriskant wird, wird ebenfalls Anbieter. Das allgemeine Textwerkzeug, das eine Abteilung für die Vorauswahl von Bewerbungen einsetzt, ist der Standardfall.
Beides passiert selten durch eine Entscheidung und meistens durch Gewohnheit. Und es ist sanktionsbewehrt: Die Pflichten aus Artikel 25 stehen im Bußgeldkatalog des Artikels 99.
Wenn der Anbieter außerhalb der EU sitzt
Ein erheblicher Teil der eingesetzten KI-Systeme stammt von Anbietern ohne Niederlassung in der Union. Artikel 22 verpflichtet diese, vor dem Inverkehrbringen schriftlich einen in der EU niedergelassenen Bevollmächtigten zu benennen. Dieser hält unter anderem die Konformitätserklärung und die technische Dokumentation bereit und ist Ansprechpartner der Behörden.
Praktischer Hinweis: Name und Kontaktdaten des EU-Bevollmächtigten gehören in die Lieferunterlagen, nicht in eine spätere Recherche. Wenn die Marktüberwachungsbehörde fragt, ist das die Adresse, an die sich der Betreiber hält – und wenn der Anbieter keinen benennen kann, ist die Vertriebsstruktur einen zweiten Blick wert.
Was der AI Act nicht regelt, der Vertrag aber klären muss
Drei Punkte entscheiden im Ernstfall über die Handlungsfähigkeit des Betreibers und stehen in keinem Artikel der Verordnung.
Auftragsverarbeitung und Trainingsdaten
Verarbeitet das System personenbezogene Daten, braucht es einen Vertrag nach Art. 28 DSGVO – unabhängig vom AI Act. Getrennt davon zu klären: ob Eingaben zum Training verwendet werden. Verfolgt der Anbieter damit eigene Zwecke, ist er insoweit nicht mehr Auftragsverarbeiter.
Mitwirkung im Vorfall- und Auditfall
Reaktionszeiten, benannte Ansprechpartner und die Pflicht, bei behördlichen Auskunftsersuchen zuzuarbeiten. Der Grad der Zusammenarbeit mit der Behörde ist ein Bemessungskriterium für Bußgelder – er hängt aber teilweise am Anbieter.
Mitteilung wesentlicher Änderungen
Eine vertragliche Informationspflicht bei Modellwechseln, geänderten Leistungsmerkmalen oder neuen Funktionen. Ohne sie erfährt der Betreiber von der Änderung erst, wenn die Ergebnisse anders aussehen.
Der eigentliche Punkt
Compliance-Aufwand entsteht nicht im Betrieb, sondern dort, wo Unterlagen fehlen, die einmal hätten mitgeliefert werden müssen. Jede Angabe, die beim Einkauf nicht eingefordert wird, wird später zum Rechercheprojekt: bei der Risikobewertung, bei der Rollenzuordnung, spätestens beim ersten Auskunftsersuchen.
Der Einkauf ist der einzige Zeitpunkt im Lebenszyklus eines KI-Systems, an dem der Betreiber Verhandlungsmacht hat. Danach ist jede fehlende Unterlage ein Eskalationsvorgang mit ungewissem Ausgang.
Mit SimpleAct
Wissen, was im Haus ist – und was dazu vorliegt.
EU AI Act und DSGVO in einer Plattform: KI-Systeme zentral erfassen, regelbasiert einstufen, Rollen und Verantwortlichkeiten festlegen und jederzeit audit-fähige Nachweise exportieren. Made in Germany, gehostet in Deutschland.
KI-Systeme jetzt erfassen →Dieser Beitrag dient der allgemeinen Information und stellt keine Rechtsberatung dar. Stand: 16. September 2026.
Tags
EU AI Act Compliance in Ihrem Unternehmen umsetzen?
SimpleAct hilft Ihnen, KI-Systeme zu erfassen, Risiken einzustufen und die geforderte Dokumentation automatisch zu erstellen.
Kamill Jarzebowski | SimpleAct
Autor · SimpleAct Team