Sie entwickeln oder vertreiben KI
Anbieter ist, wer ein KI-System entwickelt oder entwickeln lässt und es unter eigenem Namen in Verkehr bringt oder in Betrieb nimmt (Art. 3 Nr. 3), auch für den Eigengebrauch. Softwarehäuser, IKT-Dienstleister von Banken und Versicherern, aber auch Unternehmen, die intern eigene Modelle bauen, sind betroffen.
Was immer gilt
- KI-Kompetenz der eigenen Leute (Art. 4) und Verbote (Art. 5).
- Transparenz nach Art. 50 Abs. 1 und 2: Hinweis auf die KI-Interaktion und maschinenlesbare Kennzeichnung synthetischer Inhalte, für Altsysteme ab 2. Dezember 2026.
- Ehrliche Einstufung: Wer sein Anhang-III-System über Art. 6 Abs. 3 ausnimmt, muss das vor dem Inverkehrbringen begründen und das System dennoch registrieren. Eine bewusst falsche Einstufung ist bußgeldbewehrt (Art. 80).
Bei Hochrisiko-Systemen
Anforderungen erfüllen
Risikomanagement über den Lebenszyklus, Daten-Governance, technische Dokumentation nach Anhang IV, automatische Protokollierung, Gebrauchsanweisung, menschliche Aufsicht, Genauigkeit, Robustheit und Cybersicherheit.
Art. 8 bis 15; Checkliste H.01, F.03, G.02
Qualitätsmanagementsystem
Dokumentiert und verhältnismäßig zur Unternehmensgröße. EN 18286:2026 liefert seit Juli 2026 eine europäische Norm dafür; ISO/IEC 42001 bietet den Managementsystemrahmen, ersetzt aber nicht die Vorgaben des Art. 17.
Art. 17; Checkliste H.02
Konformitätsbewertung, Erklärung, Kennzeichnung, Registrierung
Für Anhang III Nr. 2 bis 8 interne Kontrolle nach Anhang VI, also ohne notifizierte Stelle. Danach EU-Konformitätserklärung, CE-Kennzeichnung und Eintrag in die EU-Datenbank.
Art. 43, 47, 48, 49; Checkliste H.08, H.09
Beobachtung und Vorfälle
Ein Plan zur Beobachtung nach dem Inverkehrbringen, aktive Auswertung von Leistungsdaten und Meldung schwerwiegender Vorfälle innerhalb von 15 Tagen, in schweren Fällen schneller.
Art. 72, 73; Checkliste H.10, L.02
Kunden versorgen
Ihre Kunden sind Betreiber und können ihre Pflichten nur erfüllen, wenn Sie liefern: Gebrauchsanweisung, Genauigkeitsangaben, Protokollzugang, Informationen bei Änderungen. Das ist auch ein Verkaufsargument.
Art. 13, 25 Abs. 4; Checkliste M.10
Für IKT-Dienstleister des Finanzsektors
Ihre Kunden prüfen Sie ohnehin nach DORA: Vorabbewertung, Vertragsinhalte, Unterauftragnehmer, Ausstiegsunterstützung. Mit KI kommen Fragen hinzu: Ihre Rolle nach der KI-Verordnung, die Einstufung Ihres Systems, die Nutzung von Kundendaten zum Training, der Umgang mit Modellwechseln. Wer diese Antworten vorbereitet hat, verkürzt jede Ausschreibung.
Wann Sie ungewollt Modellanbieter werden
Wer ein Modell mit allgemeinem Verwendungszweck in erheblichem Umfang selbst anpasst, etwa durch Feinabstimmung mit hohem Rechenaufwand, kann nach den Leitlinien der Kommission zu den GPAI-Pflichten selbst zum Anbieter dieses Modells werden. Halten Sie die Bewertung fest (Checkliste M.06).