Beratung zur KI-VO für Anbieter und Betreiber

Die KI-VO knüpft Pflichten an Rollen, nicht an Technologien. Die erste juristische Frage lautet daher nicht „Was tut das System?", sondern „Wer sind Sie in der Wertschöpfungskette — und in welche Risikoklasse fällt das System?" Alles Weitere — Dokumentation, Konformität, Aufsicht, Fristen — folgt aus dieser Antwort.

01Rollen-Klassifikation und Risikoklasse

Art. 3 der KI-VO definiert die vier Akteursrollen, an die die Verordnung ihre Pflichten knüpft. Welcher Pflichtenkatalog Ihr Unternehmen trifft, hängt von dieser Einordnung ab — und die Einordnung kann sich ändern: Ein Betreiber, der ein System unter eigenem Namen anbietet, es wesentlich verändert oder seine Zweckbestimmung ändert, kann als Anbieter eingestuft werden (Art. 25 KI-VO).

Hochrisiko-Einstufung (Art. 6, Anhang III)

Ob ein System Hochrisiko-KI-System ist, bestimmt Art. 6 KI-VO: entweder weil es ein Produkt (oder Sicherheitsbauteil eines Produkts) unter den in Anhang I gelisteten EU-Harmonisierungsrechtsakten ist (Art. 6 Abs. 1), oder weil seine Zweckbestimmung in einen der Bereiche des Anhangs III fällt — darunter Beschäftigung und Personalmanagement, Kreditwürdigkeitsprüfung, Bildung, wesentliche private und öffentliche Dienste sowie Strafverfolgung. Die Einstufungsanalyse — einschließlich der Ausnahme des Art. 6 Abs. 3 und ihrer Dokumentation — ist das Fundament jedes KI-VO-Mandats.

KI-Modelle mit allgemeinem Verwendungszweck (GPAI)

GPAI-Modelle im Sinne des Art. 3 Nr. 63 KI-VO folgen einem eigenen Regelungsstrang: Transparenz- und Dokumentationspflichten nach Art. 53 ff. sowie zusätzliche Pflichten bei systemischem Risiko (Art. 51). Unternehmen, die Basismodelle Dritter feinabstimmen oder integrieren, müssen häufig zunächst klären, wo in dieser Kette ihre eigenen Pflichten beginnen.

02Beratungsfelder

• Readiness zu Art. 8–27: strukturierte Prüfung der Hochrisiko-Anforderungen — Risikomanagement (Art. 9), Daten-Governance (Art. 10), technische Dokumentation (Art. 11, Anhang IV), Aufzeichnungspflichten (Art. 12), Transparenz und Betriebsanleitungen (Art. 13), menschliche Aufsicht (Art. 14) sowie die Anbieter- und Betreiberpflichten der Art. 16–27 — abgeglichen mit dem Stand Ihres Produkts und Ihrer Prozesse.
• KI-Kompetenz (Art. 4): Art. 4 KI-VO — bereits anwendbar — verpflichtet Anbieter und Betreiber, ein ausreichendes Maß an KI-Kompetenz beim befassten Personal sicherzustellen. Wir beraten zu Umfang, Dokumentation und verhältnismäßiger Umsetzung.
• Konformitäts- und Dokumentationsfragen: Konformitätsbewertungsverfahren, Aufbau und Tiefe der technischen Dokumentation nach Anhang IV, EU-Konformitätserklärungen und Registrierungspflichten.
• Behördenkontakt und Verfahren: Korrespondenz mit Marktüberwachungsbehörden, Beantwortung von Auskunftsersuchen und Vertretung in Verwaltungsverfahren nach der KI-VO.

Anwendungs-Zeitplan

Die KI-VO wird gestuft anwendbar. Drei Daten strukturieren die meiste Compliance-Planung:

03Mandatsstruktur

Wenn sich der Umfang einer KI-VO-Frage vorab abgrenzen lässt — ein Rollen-Klassifikations-Memo, eine Hochrisiko-Analyse, ein Readiness-Review —, bieten wir sie als Festpreispaket an, sodass das Honorar vor Beginn der Arbeit feststeht. Die aktuelle Paketstruktur ist auf der Honorar-Seite dargestellt; dort findet sich ein DSA-⇄-KI-VO-Umschalter, der die korrespondierenden Pakete je Regime zeigt. Mandate, die sich nicht vorab abgrenzen lassen, werden transparent nach Zeitaufwand abgerechnet.

04Vertiefende Lektüre

Eine dogmatische Analyse dazu, wie die risikobasierte Architektur der KI-VO mit autonomen, werkzeugnutzenden Systemen umgeht, findet sich in unserem Beitrag Agentic AI Systems under the EU AI Act — A Risk-Based Regime Meets Its First Stress Test.

05Bevollmächtigter nach Art. 22 / Art. 54 KI-VO