Die KI-VO knüpft Pflichten an Rollen, nicht an Technologien. Die erste juristische Frage lautet daher nicht „Was tut das System?", sondern „Wer sind Sie in der Wertschöpfungskette — und in welche Risikoklasse fällt das System?" Alles Weitere — Dokumentation, Konformität, Aufsicht, Fristen — folgt aus dieser Antwort.
01Rollen-Klassifikation und Risikoklasse
Art. 3 der KI-VO definiert die vier Akteursrollen, an die die Verordnung ihre Pflichten knüpft. Welcher Pflichtenkatalog Ihr Unternehmen trifft, hängt von dieser Einordnung ab — und die Einordnung kann sich ändern: Ein Betreiber, der ein System unter eigenem Namen anbietet, es wesentlich verändert oder seine Zweckbestimmung ändert, kann als Anbieter eingestuft werden (Art. 25 KI-VO).
Entwickelt ein KI-System oder GPAI-Modell (oder lässt es entwickeln) und bringt es unter eigenem Namen oder eigener Marke in den Verkehr oder nimmt es in Betrieb.
Verwendet ein KI-System in eigener Verantwortung im beruflichen Kontext — die Rolle, die die meisten Unternehmen einnehmen, oft ohne es zu wissen.
In der EU niedergelassen und bringt ein KI-System in den Verkehr, das den Namen oder die Marke einer außerhalb der EU niedergelassenen Person trägt.
Stellt ein KI-System auf dem EU-Markt bereit, ohne dessen Anbieter oder Einführer zu sein.
Hochrisiko-Einstufung (Art. 6, Anhang III)
Ob ein System Hochrisiko-KI-System ist, bestimmt Art. 6 KI-VO: entweder weil es ein Produkt (oder Sicherheitsbauteil eines Produkts) unter den in Anhang I gelisteten EU-Harmonisierungsrechtsakten ist (Art. 6 Abs. 1), oder weil seine Zweckbestimmung in einen der Bereiche des Anhangs III fällt — darunter Beschäftigung und Personalmanagement, Kreditwürdigkeitsprüfung, Bildung, wesentliche private und öffentliche Dienste sowie Strafverfolgung. Die Einstufungsanalyse — einschließlich der Ausnahme des Art. 6 Abs. 3 und ihrer Dokumentation — ist das Fundament jedes KI-VO-Mandats.
KI-Modelle mit allgemeinem Verwendungszweck (GPAI)
GPAI-Modelle im Sinne des Art. 3 Nr. 63 KI-VO folgen einem eigenen Regelungsstrang: Transparenz- und Dokumentationspflichten nach Art. 53 ff. sowie zusätzliche Pflichten bei systemischem Risiko (Art. 51). Unternehmen, die Basismodelle Dritter feinabstimmen oder integrieren, müssen häufig zunächst klären, wo in dieser Kette ihre eigenen Pflichten beginnen.
02Beratungsfelder
- Readiness zu Art. 8–27: strukturierte Prüfung der Hochrisiko-Anforderungen — Risikomanagement (Art. 9), Daten-Governance (Art. 10), technische Dokumentation (Art. 11, Anhang IV), Aufzeichnungspflichten (Art. 12), Transparenz und Betriebsanleitungen (Art. 13), menschliche Aufsicht (Art. 14) sowie die Anbieter- und Betreiberpflichten der Art. 16–27 — abgeglichen mit dem Stand Ihres Produkts und Ihrer Prozesse.
- KI-Kompetenz (Art. 4): Art. 4 KI-VO — seit dem 2. Februar 2025 anwendbar und vom Digital Omnibus nicht verschoben — verpflichtet Anbieter und Betreiber, Maßnahmen zur Förderung der KI-Kompetenz des eigenen Personals und der in ihrem Auftrag tätigen Personen zu ergreifen; ein bestimmtes Niveau bei einer einzelnen Person ist seit der Verordnung (EU) 2026/1744 ausdrücklich nicht geschuldet. Wir beraten zu Umfang, Dokumentation und verhältnismäßiger Umsetzung.
- Konformitäts- und Dokumentationsfragen: Konformitätsbewertungsverfahren, Aufbau und Tiefe der technischen Dokumentation nach Anhang IV, EU-Konformitätserklärungen und Registrierungspflichten.
- Behördenkontakt und Verfahren: Korrespondenz mit Marktüberwachungsbehörden, Beantwortung von Auskunftsersuchen und Vertretung in Verwaltungsverfahren nach der KI-VO.
Anwendungs-Zeitplan
Die KI-VO wird gestuft anwendbar. Seit die Verordnung (EU) 2026/1744 (ABl. 24. Juli 2026, in Kraft 27. Juli 2026) den Art. 113 KI-VO geändert hat, strukturieren vier Daten die meiste Compliance-Planung:
03Mandatsstruktur
Wenn sich der Umfang einer KI-VO-Frage vorab abgrenzen lässt — ein Rollen-Klassifikations-Memo, eine Hochrisiko-Analyse, ein Readiness-Review —, bieten wir sie als Festpreispaket an, sodass das Honorar vor Beginn der Arbeit feststeht. Die aktuelle Paketstruktur ist auf der Honorar-Seite dargestellt; dort findet sich ein DSA-⇄-KI-VO-Umschalter, der die korrespondierenden Pakete je Regime zeigt. Mandate, die sich nicht vorab abgrenzen lassen, werden transparent nach Zeitaufwand abgerechnet.
04Vertiefende Lektüre
Eine dogmatische Analyse dazu, wie die risikobasierte Architektur der KI-VO mit autonomen, werkzeugnutzenden Systemen umgeht, findet sich in unserem Beitrag Agentic AI Systems under the EU AI Act — A Risk-Based Regime Meets Its First Stress Test.
Wen die Pflicht zur KI-Kompetenz aus Art. 4 KI-VO trifft, was sie verlangt und was nicht, behandelt unser Beitrag KI-Schulungspflicht nach Art. 4 KI-VO.
Welche Cybersicherheitspflichten das BSIG seit dem 6. Dezember 2025 an mittelständische Unternehmen stellt, behandelt unsere Seite NIS2-Compliance im Mittelstand.
05Bevollmächtigter nach Art. 22 / Art. 54 KI-VO
Anbieter mit Niederlassung außerhalb der EU müssen vor dem Inverkehrbringen eines GPAI-Modells in der Union einen dort niedergelassenen Bevollmächtigten benennen; diese Pflicht folgt aus Art. 54 KI-VO und gilt seit dem 2. August 2025. Für Hochrisiko-KI-Systeme ist die parallele Pflicht des Art. 22 KI-VO durch die Verordnung (EU) 2026/1744 verschoben worden: auf den 2. Dezember 2027 für Systeme nach Anhang III und den 2. August 2028 für Systeme nach Anhang I. In beiden Fällen ist das eine operative Compliance-Funktion und von der Rechtsberatung zu unterscheiden.
Benannte Vertreterfunktion: KI-VO-Bevollmächtigter nach Art. 54 — gesonderter Vertrag mit der Regingada UG (haftungsbeschränkt), keine Rechtsberatung. Die Kanzlei berät zu den Rechtsfragen rund um Art. 22 und Art. 54; die Vertreterfunktion selbst wird gesondert mit der Regingada UG vereinbart.
Ihre KI-VO-Frage besprechen
Rechtsanwalt Theo Funk berät Anbieter, Betreiber, Einführer und Händler zur KI-VO — auf Deutsch und Englisch. Beschreiben Sie Ihr System und Ihre Rolle in der Wertschöpfungskette; wir ordnen ein, welche rechtlichen Fragen zuerst zu klären sind.
Kontakt aufnehmen →