Mobile-Menu

EU AI Act bei Unternehmenskäufen Wer eine Firma kauft, erbt auch ihre KI-Systeme

Ein Gastbeitrag von Jana Maria Delueg 4 min Lesedauer

Anbieter zum Thema

Rödl Rechtsanwaltsgesellschaft Steuerberatungsges. mbH
cidaas by Widas ID GmbH
FAST LTA GmbH
FTAPI Software GmbH

Bei jedem Unternehmenskauf prüfen Käufer Verträge, Bilanzen und Um­welt­las­ten, die KI-Systeme des Zielunternehmens dagegen oft nicht. Doch der AI Act trifft nicht nur Tech-Firmen, sondern auch den Mittelständler mit Be­wer­ber­soft­ware. Der Kaufvertrag muss künftig klären, wer nach der Über­nahme für diese Systeme haftet.

Käufer prüfen Verträge und Bilanzen akribisch, die KI im Zielunternehmen aber oft nicht. Der EU AI Act macht genau diese Lücke zum Haftungsrisiko für den Erwerber.(Bild: © Myimages - stock.adobe.com)
Käufer prüfen Verträge und Bilanzen akribisch, die KI im Zielunternehmen aber oft nicht. Der EU AI Act macht genau diese Lücke zum Haftungsrisiko für den Erwerber.
(Bild: © Myimages - stock.adobe.com)

Eine Due Diligence kann heute noch so gründlich sein, (Verträge, Bilanzen, Mitarbeiter, Um­welt­haf­tung) und trotzdem an einem Punkt vorbeisehen, der zusätzlich verstärkt seit August 2026 rechtlich erheblich ist: dem KI-System, das still und leise im Hintergrund läuft. Nicht (nur) beim Tech-Startup, sondern auch beim Lebensmittelbetrieb, beim Maschinenbauer oder auch beim Familienunternehmen auf Provinzebene, das seit drei Jahren eine KI-gestützte Produktions­steu­e­rung einsetzt und das für eine Selbstverständlichkeit hält. Zu Recht, bis jemand fragt, ob dieses System in den Geltungsbereich des EU AI Act fällt. Und wer nach dem Closing dafür haftet, wenn die Antwort unbequem ist.

Ein strukturelles Missverständnis mit Konsequenzen

In der Praxis begegnet uns regelmäßig eine Fehleinschätzung, die nicht auf Unwissen beruht, sondern auf einer kategorialen Verwechslung: Der EU AI Act, Verordnung (EU) 2024/1689 (in der Folge „AI-Act"), der teilweise bereits seit August 2024 in Kraft ist, wird des Öfteren als Re­gu­lie­rung für Technologieunternehmen verstanden. Dieses Verständnis ist sachlich unrichtig und im Transaktionskontext folgenreich.

Der AI-Act reguliert nicht, wer KI entwickelt; er reguliert, wer KI einsetzt und in welchem Kontext. Hier ist einer der entscheidenden Begriffe der des Hochrisiko-KI-Systems. Und hier liegt die eigentliche Überraschung für viele Unternehmen: solche Systeme sind im pri­vat­wirt­schaft­lichen Alltag deutlich verbreiteter als gemeinhin angenommen. So kommen diese in jedem mittelständischen Unternehmen vor, wie etwa im:

  • Personalwesen: Jedes KI-Tool, das Bewerbungen automatisch vorselektiert, Kandidaten nach Kriterien bewertet oder Mitarbeiter leistungsmäßig einordnet und dabei wesentlich zur Entscheidung beiträgt, gilt als Hochrisiko-KI-System. Das betrifft viele gängige HR-Soft­ware­lösungen, oft ohne, dass die Nutzer es wissen.
  • Biometrie am Arbeitsplatz: Systeme zur Zeiterfassung oder Zutrittskontrolle, die Gesichts­erkennung oder andere biometrische Merkmale verwenden, fallen ebenfalls in den Hochrisikokatalog; unabhängig davon, ob sie als „Sicherheitslösung" oder „modernes Zeitmanagement" vermarktet werden.

Was seit dem 2. August 2026 gilt

Dieses Missverständnis erfordert in Transaktionen präzise Analyse und sorgfältige rechtliche Aufmerksamkeit.

  • 1. KI-Modelle für allgemeine Zwecke: seit dem 2. August 2026 gelten vollumfänglich die Pflichten (z.B. Transparenzpflichten) des AI-Act für KI-Modelle für allgemeine Zwecke mit dem Risiko, dass Verstöße nun aktiv mit Bußgeldern geahndet werden können (gemäß Art. 113 des AI-Act, ausgenommen Art. 6 bezugnehmend auf die Hochrisiko-KI-Systeme). An­bie­ter von KI-Modellen für allgemeine Zwecke, die vor dem 2. August 2025 auf den Markt kamen, haben dagegen bis zum 2. August 2027 Zeit, die erforderlichen Maßnahmen zu treffen, um den Anforderungen und Verpflichtungen des AI-Act nachzukommen.
  • 2. Hochrisiko-KI-Systeme: hier werden alle Pflichten des AI-Act ab 2. August 2028 angewandt (Art. 6(1)). Hingegen für Systeme gemäß Art. 6(2) und Anhang III, wie etwa im Bereich des Personalwesens oder der Biometrie am Arbeitsplatz, treten die Pflichten des AI-Act vollumfänglich ab 2. Dezember 2027 in Kraft.

Für Hochrisiko-KI-Systeme nach Art. 6(1) und Anhang I (welche in Produkte integriert sind und als Sicherheitskomponenten in regulierten physischen Produkten wie etwa Medizinprodukten fungieren) gilt sogar erst der 2. August 2028. Diese gestaffelte Übergangsarchitektur klingt nach Entlastung, ist für M&A-Transaktionen aber eher eine Quelle neuer Fragen.

Der Kaufvertrag und der neue Garantiekatalog

Ein Unternehmenskaufvertrag regelt, was das Zielunternehmen hat, was es schuldet und was der Verkäufer dafür garantiert. Dieses Modell ist ausgereift und auf beiden Seiten der Brennergrenze handhabbar.

Demnach tauchen im selben Kaufvertrag immer mehr die Fragen auf, für die das klassische Garantiekatalog-Modell noch keine eingespielten Antworten hat: Welche KI-Systeme betreibt das Zielunternehmen? Wann wurden sie eingeführt und wurden sie seitdem wesentlich verändert? In welche Risikoklasse fallen sie? Sind sie dokumentiert, geprüft, registriert wo erforderlich? Und: Was passiert, wenn der Erwerber nach dem Closing Änderungen vornimmt, die erstmals Konformitätspflichten auslösen?

Hinzu kommt die regulatorische Asymmetrie: In Deutschland sind die sektorspezifischen Marktüberwachungszuständigkeiten zwischen Bund und Ländern noch nicht abschließend geregelt. In Italien hat die Regierung der ACN (der Agenzia per la Cybersicurezza Nazionale) bereits klarere Konturen gegeben. Dieselbe grenzüberschreitende Transaktion bewegt sich also in zwei regulatorisch unterschiedlich reifen Umgebungen gleichzeitig.

Die Bußgelder sind derweil keine Theorie: bis zu 35 Millionen Euro oder sieben Prozent des weltweiten Jahresumsatzes bei Anwendung verbotener AI-Praktiken; bis zu 15 Millionen Euro oder drei Prozent des weltweiten Jahresumsatzes bei Nichteinhaltung der Trans­pa­renz­ver­pflich­tungen für Anbieter und Betreiber. Ob und wie diese Größenordnungen in Kauf­preis­er­wä­gung­en, Freistellungsregelungen oder MAC-Klauseln einfließen, ist eine Frage, die sich Käufer und Verkäufer in grenzüberschreitenden Deals neu stellen müssen.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Unternehmen aus den verschiedensten Bereichen, die international aufgestellt sind, kennen grenzüberschreitende Komplexität aus dem Alltag. Sie kaufen zu, werden übernommen, strukturieren um, ja über Grenzen hinweg, seit Jahren. Der AI-Act ist für sie kein fremdes Thema. Er ist das nächste.

Es bleibt also dieselbe Grundfrage, auch in Bezug auf KI-Systeme: Wer trägt das Risiko, und ab wann?

Über die Autorin: Jana Maria Delueg ist italienische Anwältin. Sie weist eine mehrjährige be­ruf­liche Erfahrung in den Bereichen M&A und Gesellschaftsrecht auf und begleitet zu­sam­men mit den jeweiligen Teams in Mailand, Bozen und München grenzüberschreitende Transaktionen vor allem zwischen dem deutschen und dem italienischen Wirtschaftsraum. Sie ist Teil von Rödl (Italien), einer internationalen Sozietät mit mehr als 6.000 Beratern in über 50 Ländern und ist sowohl am Standort in Mailand als auch am Standort in Bozen (Südtirol) tätig.

(ID:50997376)

Weiterführende Inhalte