Ki verordnung compliance

KI-Verordnung — Compliance-Prüfung

Eingaben

• Beschreibung des KI-Systems oder Modells (Zweck Funktion Daten Output)
• Rolle des Mandanten (Anbieter Betreiber Importeur Händler Bevollmächtigter)
• Einsatz-Bereich (öffentlich privat beruflich)
• Datenbasis (Trainingsdaten Quellen)
• Marktbezug (EU-Markt Bereitstellung)

Schritt 1 — Anwendungsbereich Art. 2 KI-VO

Sachlich

• KI-System Art. 3 Nr. 1 KI-VO — maschinengestütztes System mit autonomem Verhalten, Anpassung, Ausgabe-Erzeugung (Vorhersage Empfehlung Entscheidung)
• General Purpose AI Model Art. 3 Nr. 63 — universelles Modell (LLM Foundation Model)

Persönlich (Art. 2 Abs. 1)

• Anbieter mit Sitz / Niederlassung in Drittland, das KI in EU bereitstellt
• Betreiber mit Sitz / Aufenthalt in EU
• Drittländer-Anbieter wenn Output in EU verwendet
• Importeur Händler Bevollmächtigter mit EU-Bezug

Ausnahmen Art. 2 Abs. 3-12

• Reine Forschung
• Reine Privatnutzung
• Open-Source-Modelle mit Auflagen
• Nationale Sicherheit / Verteidigung
• Strafverfolgung mit Sonder-Regelungen

Schritt 2 — Rollen-Bestimmung Art. 3 Nrn. 3-7

Rolle	Definition	Hauptpflicht
Anbieter	Entwickelt KI oder lässt entwickeln und bringt in Verkehr	Vollständige KI-VO-Compliance
Betreiber	Verwendet KI unter eigener Aufsicht	Begrenzte Pflichten Transparenz Aufsicht
Importeur	EU-Niederlassung mit Import aus Drittland	Konformitätsprüfung
Händler	Lieferkette ohne Importeurs-Funktion	Sicherstellung Konformität
Bevollmächtigter	Repräsentant Drittland-Anbieter	Vertretung

Bei Modifikation Art. 25 KI-VO

• Wesentliche Änderung macht Betreiber zum Anbieter
• Fine-Tuning eines GPAI über Ausgangs-Zweck hinaus
• Re-Training

Schritt 3 — Risiko-Klassifikation

Stufe 1 — Verbotene Praktiken Art. 5 KI-VO

Geltungsbeginn 2.2.2025 — bereits aktiv.

Verbote (Auswahl):

• Subliminale Manipulation zum Schaden
• Ausnutzung Schwachstellen (Alter Behinderung soziale Lage)
• Social Scoring durch staatliche oder private Akteure
• Prädiktive Polizeiarbeit zur Profilierung
• Emotions-Erkennung am Arbeitsplatz und in Bildung (Ausnahmen medizinisch)
• Biometrische Kategorisierung nach sensitiven Merkmalen
• Real-Time-Biometrie im öffentlichen Raum durch Strafverfolgung (mit eng-bezeichneten Ausnahmen)
• ungerichtetes Einsammeln für Gesichtserkennungs-Datenbanken

Sanktion: bis EUR 35 Mio oder 7 Prozent Konzern-Jahresumsatz (höherer Betrag) Art. 99 Abs. 3

Stufe 2 — Hochrisiko-System Art. 6 + Anhang I/III

Geltungsbeginn nach aktuellem Stufenplan: Art. 50 Transparenzpflichten bleiben ab 02.08.2026 relevant. Hochrisiko-Systeme nach Anhang III sind nach Digital-Omnibus-Zeitstrahl spätestens ab 02.12.2027 einzuplanen; Hochrisiko-Systeme nach Anhang I, also KI als Sicherheitsbauteil oder reguliertes Produkt, spätestens ab 02.08.2028. Vor Außenverwendung endgültigen Normtext, Kommissionsbeschlüsse und sektorale Produktregeln prüfen.

Bereiche Anhang III:

1. Biometrie (außer eindeutige Identitäts-Überprüfung)
2. Kritische Infrastruktur
3. Bildung und Berufsausbildung
4. Beschäftigung und Personalverwaltung (z.B. Auswahl-Tools)
5. Zugang zu wesentlichen privaten/öffentlichen Diensten und Leistungen (Kredit-Scoring Sozialhilfe Notfall-Triage)
6. Strafverfolgung
7. Migration und Grenzkontrolle
8. Justiz und demokratische Prozesse

Pflichten Anbieter Hochrisiko:

• Risikomanagementsystem Art. 9
• Daten-Governance Art. 10
• Technische Dokumentation Art. 11
• Aufzeichnungs-Pflichten Art. 12
• Transparenz und Informations-Bereitstellung Art. 13
• Menschliche Aufsicht Art. 14
• Genauigkeit Robustheit Cybersicherheit Art. 15
• Konformitätsbewertungs-Verfahren Art. 43
• CE-Kennzeichnung
• Registrierung in EU-Datenbank Art. 71

Pflichten Betreiber Hochrisiko Art. 26:

• Verwendung gemäß Anweisung
• Menschliche Aufsicht durch geschultes Personal
• Eingangs-Daten relevant und repräsentativ
• Protokollierung
• Information Betroffener bei Entscheidungen
• DSFA-Pflicht Art. 27

Stufe 3 — Transparenz-System Art. 50 KI-VO

Geltungsbeginn 2.8.2026.

• Chatbots: Information dass Nutzer mit KI interagiert
• Synthetische Audio/Video/Bild/Text: Kennzeichnung als KI-erzeugt
• Deepfakes: Klarstellung
• Emotions-/Kategorisierungs-Systeme: Information Betroffener

Stufe 4 — Minimales Risiko

• Keine spezifischen Verpflichtungen
• Freiwillige Codes-of-Conduct

Schritt 4 — GPAI-Modelle Art. 51 ff. KI-VO

Geltungsbeginn 2.8.2025.

Standard-GPAI-Anbieter-Pflichten Art. 53

• Technische Dokumentation
• Information für nachgelagerte Anbieter
• Urheberrechts-Politik
• Zusammenfassung Trainingsdaten

GPAI mit systemischem Risiko Art. 55

• Schwelle: Trainings-Compute > 10^25 FLOPs oder Kommissions-Designation
• Zusätzliche Pflichten:
• Modell-Bewertungen
• Risiko-Bewertung und -Minderung
• Schwerwiegende Vorfälle melden
• Cybersicherheit

Schritt 5 — Zeitlicher Anwendungs-Plan

Datum	Anwendbar
1.8.2024	KI-VO in Kraft
2.2.2025	Kapitel I (Allgemein), Kapitel II (Verbotene Praktiken)
2.8.2025	GPAI-Modelle, Governance-Struktur, Sanktionen
2.8.2026	Transparenz Art. 50 und nicht verschobene allgemeine Pflichten
2.12.2027	Hochrisiko Anhang III nach Digital-Omnibus-Zeitstrahl, spätestens vorbehaltlich finaler Quelle
2.8.2028	Hochrisiko Anhang I mit Produktsicherheits-Bezug, spätestens vorbehaltlich finaler Quelle

Schritt 6 — Schnittstelle zur DSGVO

DSFA bei KI-Hochrisiko Art. 27 KI-VO iVm Art. 35 DSGVO

• Pflicht zur Grundrechte-Folgenabschätzung bei Betreibern bestimmter Hochrisiko-Systeme
• Bei personenbezogenen Daten zusätzlich DSGVO-DSFA
• Häufig kombinierbar als integrierte Bewertung

Automatisierte Entscheidungen Art. 22 DSGVO

• Wenn KI-System automatisierte Entscheidung trifft mit rechtlicher / ähnlich erheblicher Wirkung → DSGVO-Verbot + Ausnahmen
• KI-VO und DSGVO parallel anwendbar

Datenschutz beim Training Art. 10 KI-VO

• Trainingsdaten-Governance — Verhältnis zu Art. 5 DSGVO (Datenminimierung Zweckbindung)

Schritt 7 — Konformitätsbewertungs-Verfahren Hochrisiko Art. 43

Selbst-Bewertung

• Mehrheit der Anhang-III-Systeme
• Anbieter dokumentiert Konformität intern

Benannte Stelle

• Für Biometrie sowie bei Abweichung von harmonisierten Normen
• TÜV / VdS / sonstige akkreditierte Stelle

CE-Kennzeichnung

• Nach erfolgreicher Konformitätsbewertung
• Anbringung am System

Registrierung Art. 71

• EU-Datenbank Hochrisiko-Systeme
• Öffentlich einsehbar (mit Ausnahmen)

Schritt 8 — Aufsicht und Sanktionen in Deutschland

Marktüberwachungs-Behörden

• BNetzA koordiniert (KI-Aufsichts-Stelle)
• BfDI für Hochrisiko in datenschutz-sensiblen Bereichen
• BaFin Finanz-KI
• Bundeskartellamt wettbewerbs-relevante KI

Sanktionen Art. 99 KI-VO

Verstoß	Höchst-Strafe
Verbotene Praktiken Art. 5	EUR 35 Mio oder 7 % Konzernumsatz
Verstoß gegen Hochrisiko-Pflichten	EUR 15 Mio oder 3 % Konzernumsatz
Falsche Informationen an Behörden	EUR 7,5 Mio oder 1 % Konzernumsatz

Verbandsklage

• Konsumenten-Schutzverbände
• Aufsichtsbehörden-Klage

Schritt 9 — Konkrete Prüfungs-Sequenz

1. Anwendungsbereich — Ist KI-System / GPAI vorliegend?
2. Rolle — Anbieter Betreiber Importeur Händler?
3. Verbotene Praktiken — Art. 5 prüfen → ggf. Stopp
4. Hochrisiko — Anhang III Tatbestand erfüllt?
5. Transparenz — Art. 50 Pflicht?
6. GPAI — Modell mit systemischem Risiko?
7. Compliance-Plan mit Fristen
8. DSGVO-Kompatibilität parallel

Schritt 10 — Compliance-Programm-Bausteine

Governance

• KI-Compliance-Officer
• KI-Risiko-Kataster
• Lieferanten-Pflichten (KI-Klauseln in Verträgen)

Dokumentation

• Technische Dokumentation pro System
• Aufzeichnungen Operations
• Vorfalls-Register

Schulung

• Personal das Hochrisiko-KI betreibt
• AI Literacy Art. 4 KI-VO

Schritt 11 — Verzahnung mit anderen Skills

• dsfa-erstellung — bei personenbezogenen Daten kombinierte Folgenabschätzung
• avv-pruefung — wenn KI durch Dienstleister
• drittlandstransfer-pruefung — bei Cloud-KI außerhalb EU
• anwendungsfall-triage — wenn KI-VO-Bezug → hier herleiten
• mandantendaten-ki (Kanzlei-intern) — bei eigener KI-Nutzung

Ausgabe

• ki-vo-pruefung-{system}.md mit Risiko-Klassifikation und Pflichten-Plan
• Compliance-Roadmap mit Fristen-Linie
• Lieferanten-Anforderungen
• DSFA-Schnittstelle
• Aufsichts-Korrespondenz-Vorbereitung

<!-- BEGIN ausformulierungspflicht (autogen) -->

Ausformulierungspflicht und Formatstandard. Das Endprodukt wird in vollständigen, ausformulierten Sätzen geliefert — keine Stichwortskelette, keine leeren Klauselrümpfe, keine reinen Aufzählungen. Klauseln stehen als ausformulierte Rechtsfolgen-Sätze; Platzhalter wie [Name der Mandantin] werden klar markiert, der umgebende Text bleibt vollständig.

Schriftbild: Wenn ein Schriftsatz, Vertrag, Memo, Beschluss, Vermerk oder sonstiges Enddokument als DOCX, PDF oder formatierter Text ausgegeben wird, ist Times New Roman 11 pt als Grundschrift zu verwenden. Überschriften bleiben in derselben Schrift und dürfen nur fett oder abgestuft sein. Bei reiner Markdown- oder Chat-Ausgabe wird dieser Formatwunsch als Exporthinweis aufgenommen.

Nummerierung: Gliederung ausschließlich dezimal (1, 1.1, 1.1.1 und so weiter). Keine römischen Ziffern, keine Buchstaben- oder Mischgliederung.

<!-- END ausformulierungspflicht (autogen) -->

Quellen

• VO (EU) 2024/1689 (KI-Verordnung)
• DSGVO Art. 22 35
• BNetzA-Verlautbarungen (KI-Aufsicht)
• EDSA Empfehlungen zu KI und Datenschutz
• EU-Kommission KI-Leitlinien
• Lambrecht/Stürner KI-Verordnung

Faktische Updates (Stand 05/2026)

• Stufenweise Anwendung KI-VO (Art. 113 und Digital-Omnibus-Zeitstrahl): 02.02.2025 — Verbote Art. 5 und Art. 4 KI-Kompetenz; 02.08.2025 — GPAI-Pflichten Art. 51-55, Sanktionsregime Art. 99; 02.08.2026 — Transparenzpflichten Art. 50 und nicht verschobene Pflichten; Hochrisiko Anhang III spätestens 02.12.2027, Hochrisiko Anhang I spätestens 02.08.2028. Quelle: VO (EU) 2024/1689 und aktueller Kommissionsstand.
• EDSA-Stellungnahme 28/2024: Die Stellungnahme zu Modellen, die mit personenbezogenen Daten trainiert wurden, ist eine nicht bindende aufsichtsbehördliche Orientierungshilfe. Ihre Aussagen sind am Normtext und an einschlägiger Rechtsprechung zu messen. Quelle: edpb.europa.eu.
• GPAI Code of Practice: seit 2025 verfuegbar; Anbieter, die zeichnen, geniessen Vermutung der Compliance (Art. 56 KI-VO). Live-Status der Saeulen (Transparenz, Urheberrecht, Safety/Security) über digital-strategy.ec.europa.eu prüfen.
• EU-KI-Büro: seit Anfang 2025 voll operativ; zuständig für GPAI, Koordination mit nationalen Behörden, Code of Practice.
• Nationale Aufsicht Deutschland: Bundesnetzagentur (BNetzA) als koordinierende KI-Aufsichtsbehoerde; sektorale Zuständigkeiten (BfDI, BaFin, BAuA, Bundeskartellamt) bleiben bestehen. Konkretisierende Gesetzgebung (KI-Marktueberwachungsgesetz / KI-VO-Durchfuehrungsgesetz) live über bundestag.de prüfen.
• Schnittstelle Art. 22 DSGVO / KI-VO: Bei automatisierten Einzelentscheidungen mit erheblicher Wirkung (Scoring, Personalauswahl, Kredit) parallele Prüfung Art. 22 DSGVO + Art. 26 KI-VO + ggf. FRIA Art. 27 KI-VO erforderlich.

Triage zu Beginn

1. Ist das System ein KI-System im Sinne von Art. 3 Nr. 1 KI-VO?
2. Welche Risikoklasse liegt vor? (Verboten Art. 5 / Hochrisiko Art. 6 iVm Anhang III / Begrenzt Art. 50 / Minimal)
3. Wer ist der Mandant: Anbieter / Betreiber / Importeur / Händler?
4. Geltungsbereich: Übergangsfrist beachten (verbotene Praktiken ab 02.02.2025; Art. 50 ab 02.08.2026; Hochrisiko Anhang III und Anhang I nach aktuellem Digital-Omnibus-Zeitstrahl)?

Output-Template — KI-VO-Compliance-Check

Adressat: Compliance-Abteilung / Management — Tonfall: sachlich-juristisch

KI-VO Compliance-Check [DATUM]
System: [SYSTEMNAME]
Mandant-Rolle: Anbieter / Betreiber / Importeur / Haendler

Einstufung:
Ist KI-System (Art. 3 Nr. 1 KI-VO): ja / nein
Risikoklasse: Verboten / Hochrisiko / Begrenzt / Minimal
Rechtsgrundlage: Art. [X] KI-VO [Anhang I/III/...Nr. X]

Anwendbarer Zeitplan:
Erste Pflichten ab: [DATUM]

Kernpflichten:
| Pflicht | Norm | Status |
|-------------------------------|-------------|------------|
| Konformitaetsbewertung | Art. 43 ff. | |
| Technische Dokumentation | Art. 11 | |
| Menschliche Aufsicht | Art. 14 | |
| Transparenz gegenueber Nutzern| Art. 13/50 | |
| DSGVO/DSFA (Schnittstelle) | Art. 35 DSGVO| |

Ergebnis: Konform / Anpassungsbedarf (bis [DATUM]) / Verboten

Quellenregel: Entscheidungen nur nach Prüfung einer amtlichen oder frei zugänglichen Quelle mit Gericht, Entscheidungsform, Datum, Aktenzeichen und tragender Aussage ausgeben.