Start › KI-Recht › KI-Produkte entwickeln
Wer KI-Systeme entwickelt und unter eigenem Namen anbietet, trägt nach dem AI Act die Hauptverantwortung. Das betrifft Start-ups mit eigenem Modell ebenso wie Softwarehäuser, die ein Sprachmodell per API in ihr Produkt einbinden, und Maschinenbauer mit KI-gestützter Steuerung. Wir begleiten Anbieter von der Produktidee bis zur Marktüberwachung.
Wann sind Sie Anbieter im Sinne des AI Act?
Anbieter ist, wer ein KI-System oder ein KI-Modell mit allgemeinem Verwendungszweck entwickelt oder entwickeln lässt und unter eigenem Namen oder eigener Marke in Verkehr bringt oder in Betrieb nimmt, entgeltlich oder unentgeltlich (Art. 3 Nr. 3). Auch wer ein fremdes Modell über eine Schnittstelle nutzt und daraus ein eigenes Produkt baut, ist Anbieter dieses Systems. Der Modellanbieter bleibt daneben für das Modell verantwortlich.
Fine-Tuning: wird man dadurch zum Anbieter?
Hier sind zwei Ebenen zu trennen. Auf Ebene des KI-Systems wird zum Anbieter eines Hochrisiko-Systems, wer ein fremdes System unter eigenem Namen vertreibt, es wesentlich verändert oder seine Zweckbestimmung so ändert, dass es hochriskant wird (Art. 25 Abs. 1). Der ursprüngliche Anbieter muss dann Informationen und technischen Zugang bereitstellen.
Auf Ebene des GPAI-Modells gilt nach den Leitlinien der Kommission vom Juli 2025: Wer ein Modell nachtrainiert oder anpasst, wird nur dann selbst Modellanbieter, wenn die Veränderung erheblich ist. Als Richtwert nennt die Kommission einen Rechenaufwand von mehr als einem Drittel des ursprünglichen Trainingsaufwands. Die Pflichten beschränken sich dann auf die Änderung. Übliches Fine-Tuning auf Unternehmensdaten oder RAG-Anbindungen erreichen diese Schwelle selten.
Einstufung und Konformitätsbewertung
Am Anfang steht die Einstufung: verboten, hochriskant, transparenzpflichtig oder sonstiges System. Ein System nach Anhang III ist ausnahmsweise nicht hochriskant, wenn es nur eine eng begrenzte Verfahrensaufgabe erfüllt oder eine menschliche Entscheidung lediglich vorbereitet (Art. 6 Abs. 3). Diese Einschätzung müssen Sie dokumentieren und das System trotzdem registrieren.
Für Hochrisiko-Systeme nach Anhang III genügt in den meisten Fällen eine interne Kontrolle nach Anhang VI. Eine benannte Stelle ist vor allem bei biometrischen Systemen ohne harmonisierte Normen nötig. KI in Produkten nach Anhang I, etwa Medizinprodukte oder Maschinen, durchläuft die Konformitätsbewertung des jeweiligen Produktrechts, ergänzt um die KI-Anforderungen.
Technische Dokumentation und Qualitätsmanagement
Die technische Dokumentation nach Anhang IV beschreibt Zweck, Architektur, Trainingsdaten, Tests, Leistungskennzahlen, bekannte Grenzen und Maßnahmen der menschlichen Aufsicht. Sie muss vor dem Inverkehrbringen vorliegen und zehn Jahre aufbewahrt werden. Hinzu kommen ein Qualitätsmanagementsystem (Art. 17), Protokollierung, Gebrauchsanweisungen für Betreiber, EU-Konformitätserklärung, CE-Kennzeichnung und Registrierung.
Durch den Digital-Omnibus können KMU und kleine Midcaps die Dokumentation über ein vereinfachtes Formular der Kommission führen; das Qualitätsmanagement darf ihrer Größe entsprechen. Die Hochrisiko-Pflichten gelten für Anhang III ab dem 2. Dezember 2027, für Anhang I ab dem 2. August 2028.
Post-Market-Monitoring und Vorfallmeldung
Nach dem Inverkehrbringen müssen Anbieter Leistung und Risiken ihres Systems systematisch beobachten (Art. 72). Schwerwiegende Vorfälle sind der Marktüberwachungsbehörde zu melden, je nach Schwere innerhalb von 2, 10 oder 15 Tagen (Art. 73). In Deutschland ist das in der Regel die Bundesnetzagentur. Bei Nichtkonformität sind Korrekturmaßnahmen bis hin zum Rückruf zu ergreifen.
Transparenz für alle generativen Systeme
Auch ohne Hochrisiko-Bezug gilt: Chatbots müssen sich als KI zu erkennen geben, synthetische Audio-, Bild-, Video- und Textausgaben müssen maschinenlesbar markiert sein (Art. 50 Abs. 1 und 2). Für Systeme, die vor dem 2. August 2026 auf dem Markt waren, endet die Übergangsfrist für die Markierung am 2. Dezember 2026.
Verträge mit Modell- und Komponentenlieferanten
Wer auf fremden Modellen aufbaut, braucht von seinem Lieferanten Dokumentation, Informationen zu Trainingsdaten und Grenzen sowie Unterstützung bei Konformitätsbewertung und Vorfällen. Der Omnibus hat die Pflichten zur Zusammenarbeit in der Lieferkette in Art. 25 erweitert. Die Standard-Nutzungsbedingungen großer Anbieter decken das oft nicht ab. Wir verhandeln Zusatzvereinbarungen und gestalten Ihre eigenen Kundenverträge so, dass Verantwortung und Haftung zu Ihrer Rolle passen.
Haftung von KI-Anbietern
Ab dem 9. Dezember 2026 gilt das neue Produkthaftungsgesetz. Software und KI-Systeme sind dann ausdrücklich Produkte; Anbieter haften verschuldensunabhängig für Personenschäden, Sachschäden und Datenverluste bei Verbrauchern. Ein Verstoß gegen Sicherheitsanforderungen des AI Act kann die Fehlerhaftigkeit indizieren. Fehlende Sicherheitsupdates begründen ebenfalls eine Haftung, solange der Hersteller die Kontrolle über das Produkt behält.
So gehen wir vor
- Workshop mit Produkt- und Entwicklungsteam: Zweck, Architektur, Datenquellen, Zielmärkte.
- Schriftliche Einstufung mit Begründung, Rollenklärung für jeden Beteiligten.
- Gap-Analyse gegenüber den einschlägigen Anforderungen und Zeitplan.
- Vorlagen für technische Dokumentation, Gebrauchsanweisung, Konformitätserklärung.
- Vertragsentwürfe für Lieferanten und Kunden, Haftungs- und Versicherungskonzept.
Für das Erstgespräch helfen uns eine Produktbeschreibung, eine Architekturskizze und die Verträge mit Ihren Modell- und Cloud-Anbietern.
Häufige Fragen
Sind wir Anbieter, wenn wir nur GPT oder Claude per API nutzen?
Ja, für Ihr eigenes KI-System. Für das zugrunde liegende Modell bleibt dessen Anbieter verantwortlich. Welche Pflichten Sie treffen, hängt von der Risikoklasse Ihres Systems ab.
Brauchen wir für Hochrisiko-KI immer eine benannte Stelle?
Nein. Für die meisten Systeme nach Anhang III genügt die interne Kontrolle. Bei KI in Produkten nach Anhang I richtet sich das nach dem jeweiligen Produktrecht.
Gilt der AI Act für Open-Source-Modelle?
Für freie und quelloffene KI gibt es Ausnahmen, nicht aber bei Hochrisiko-Systemen, verbotenen Praktiken, Transparenzpflichten und GPAI-Modellen mit systemischem Risiko.
Verwandte Themen
Ihr Ansprechpartner
Sie entwickeln ein KI-Produkt oder integrieren KI-Modelle in Ihre Software und möchten Ihre Pflichten verbindlich klären? Rufen Sie uns an unter 0511 35 73 56-0 oder schreiben Sie an info@itrechtler.de.