EU-KI-Verordnung-konforme KI-Anbieter: was Sie 2026 wirklich verlangen müssen

Verordnung (EU) 2024/1689 trat am 1. August 2024 in Kraft. Verbotene Praktiken gelten ab Februar 2025, Pflichten für Allzweck-KI ab August 2025, der Großteil der Pflichten für Hochrisiko-Systeme ab August 2026 [1]. Konformität ist kein Zertifikat, sondern ein dokumentierter, gelebter Prozess: Risikoklassifikation, Datenführung, technische Dokumentation, Aufzeichnung, menschliche Aufsicht, Genauigkeit, Robustheit und Cybersicherheit.

Für Anbieter heißt das in der Praxis: für jede angebotene Architektur muss ein schriftlicher Konformitätsbewertungs-Plan vorliegen. Bei Hochrisiko-Systemen nach Anhang III ist eine Konformitätsbewertung vor Inverkehrbringen Pflicht, ein Eintrag in die EU-Datenbank für Hochrisiko-Systeme, und ein Post-Market-Monitoring-Schema. Anbieter, die diese Punkte schriftlich darstellen können, sind die einzigen, die ernst zu nehmen sind [2].

Vier Fragen, schriftlich beantwortet, bevor der Vertrag unterschrieben wird. Erstens: Wie klassifizieren Sie das System nach Anhang I, II und III der EU-KI-Verordnung, und welche Risikostufe ergibt sich daraus? Zweitens: Wo werden Trainings-, Validierungs- und Produktionsdaten gespeichert, und welche Datenführungs-Maßnahmen greifen? Drittens: Wie sieht der menschliche Aufsichts-Mechanismus konkret aus, und an welchen Punkten wird eine menschliche Letztentscheidung erzwungen? Viertens: Welche Eval-Suiten und welche Drift-Metriken messen Genauigkeit und Robustheit über die Zeit?

Anbieter, die diese Fragen mit dokumentierten Verfahren beantworten, sind glaubwürdig. Anbieter, die ausweichend antworten oder auf "wir machen das ohnehin" verweisen, signalisieren, dass die Hausaufgaben nicht erledigt sind, unabhängig vom Marken-Glanz [3].

Vier Anti-Muster sind verbreitet. "Wir sind ISO 27001-zertifiziert" ist ein Hinweis auf Informationssicherheit, nicht auf KI-Konformität. ISO/IEC 42001 für KI-Managementsysteme wurde 2023 veröffentlicht und ist der relevantere Standard, allerdings noch wenig verbreitet [4]. "Wir hosten in der EU" beantwortet nur die Datenresidenz-Frage, nicht Modell-Governance oder jurisdiktionalen Zugriff. "Unser Modell ist konform" ist sinnlos ohne Bezug auf konkreten Anwendungsfall und Risikoklasse. "Audit-Bereit" ohne Vorlage eines Konformitätsbewertungs-Plans ist Werbung.

Substanzielle Konformität sieht anders aus. Der Anbieter teilt eine schriftliche Risikoklassifikation für genau Ihren Anwendungsfall, beschreibt die Datenführung mit Bezug auf die DSGVO, dokumentiert die menschliche Aufsicht in der Architektur, zeigt eine Eval-Suite mit echten Stichproben und liefert ein Post-Market-Monitoring-Schema mit benannten KPIs. Diese Pakete sind 30 bis 60 Seiten lang, nicht ein Marketing-Datenblatt.

Der Markt teilt sich in drei Schichten. Große Beratungen wie Accenture, Deloitte, EY, KPMG und PwC haben spezialisierte KI-Compliance-Teams aufgebaut und können auf Programm-Ebene liefern. Plattform-Anbieter wie SAP, Microsoft Azure AI, Google Vertex und IBM watsonx liefern Werkzeuge, mit denen Konformitäts-Pflichten leichter erfüllt werden können, übernehmen aber nicht die Konformität für den konkreten Anwendungsfall. Spezialisierte Sektor-Beratungen, darunter Impetora, arbeiten an einer engen Auswahl von Anwendungsfällen in regulierten Sektoren und liefern jedes System mit dokumentiertem Konformitäts-Track [3].

Welche Schicht passt, hängt vom Projekt ab. Für ein Programm mit fünf parallelen Arbeitssträngen und mehreren Ländern ist eine große Beratung natürlich. Für eine eng definierte Hochrisiko-Aufgabe in einem regulierten Sektor ist ein spezialisierter Sektor-Anbieter mit Senior-Engineering-Aufmerksamkeit oft die bessere Wahl. Beide können konform sein, beide können nicht-konform sein. Der Test sind die schriftlichen Antworten, nicht die Marken-Bekanntheit.

Die EU-KI-Verordnung sieht abgestufte Bußgelder vor: bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes bei verbotenen Praktiken, bis zu 15 Millionen Euro oder 3 Prozent bei Verstößen gegen Pflichten zu Hochrisiko-Systemen, bis zu 7,5 Millionen Euro oder 1,5 Prozent bei falschen oder irreführenden Auskünften an Behörden [1]. Aufsicht in Deutschland erfolgt durch die Bundesnetzagentur als Marktüberwachungsbehörde, in Verbindung mit BaFin (Finanzdienste), BfArM (Medizinprodukte) und BfDI (Datenschutz) je nach Sektor.

Praktisch bedeutet das, dass Konformitäts-Defizite nicht nur ein theoretisches Risiko sind. Aufsichtsbehörden haben angekündigt, ab 2026 systematisch zu prüfen, sobald die Hochrisiko-Pflichten greifen. Der Schutz für ein Unternehmen liegt in der Dokumentations-Tiefe seiner Anbieter, nicht in der Hoffnung, dass die Aufsicht die ersten Jahre milde bleibt.

Impetora ist eine spezialisierte KI-Beratung mit Fokus auf fünf Aufgaben in regulierten Sektoren: Dokumentenextraktion, Kundenservice-Automatisierung, internes Wissen, Entscheidungsunterstützung und Prozessorchestrierung. Jedes von uns geliefertes System ist von Tag eins auditierbar und durchläuft eine dokumentierte Konformitätsbewertung, bevor produktiv geschaltet wird. Wir arbeiten in fünf Sprachen aus Vilnius, mit Kunden weltweit.

Wir sind nicht der richtige Partner für Programme mit zwei Dutzend parallelen Arbeitssträngen. Wir sind ein guter Partner, wenn Sie eine eng definierte Hochrisiko-Aufgabe haben, Senior-Engineering-Aufmerksamkeit brauchen und nicht sechs Monate auf eine Diagnose warten möchten. Bei einer Long-List ist unsere Empfehlung, jedem Anbieter dieselben vier schriftlichen Konformitäts-Fragen zu schicken. Die Antworten sortieren den Markt schneller als jeder Analystenbericht.