KI im Einkauf

EU AI Act im Einkauf: Was Einkaufsteams jetzt tun müssen

Was der EU AI Act für den Einkauf bedeutet: geltende Pflichten, neue Fristen nach dem Digital Omnibus, Einordnung typischer Anwendungen und Fragen an KI-Anbieter.

Autor
Klaas Henning
Veröffentlicht
Lesezeit
10 Min.

Dieser Artikel ist auch verfügbar auf English.

Der EU AI Act betrifft den Einkauf zweifach: als Nutzer von KI und als Käufer von KI-Systemen für das Unternehmen. Schon heute gelten die Verbote, die Pflicht, Maßnahmen zur KI-Kompetenz zu ergreifen, und die Transparenzregeln; die Pflichten für Hochrisiko-KI nach Anhang III folgen am 2. Dezember 2027. Einkaufsteams sollten jetzt ihre KI-Anwendungen erfassen, einordnen, Regeln und Schulung festlegen und neue KI-Verträge auf die Verordnung ausrichten.

Was gilt beim EU AI Act heute – und was erst später?

Die KI-Verordnung gilt gestaffelt. Die Verordnung (EU) 2026/1744, der sogenannte Digital Omnibus zur KI, hat mehrere Termine verschoben und ist seit dem 27. Juli 2026 in Kraft. Ältere Übersichten zum EU AI Act mit dem 2. August 2026 als Hochrisiko-Stichtag sind damit überholt. Stand dieses Beitrags: 3. November 2026.

Datum Was gilt Bedeutung für den Einkauf
2. Februar 2025 Verbotene Praktiken (Art. 5), KI-Kompetenz (Art. 4) Gilt. Art. 4 wurde 2026 neu gefasst, siehe unten.
2. August 2026 Allgemeine Geltung, darunter Transparenzpflichten (Art. 50) Gilt. Wichtig für KI-Agenten, die mit Lieferanten kommunizieren.
2. Dezember 2026 Neue Verbote, etwa für nicht einvernehmliche intime Bilder (Art. 5 Abs. 1 Buchst. ba und bb); Frist für Bestandssysteme zur Kennzeichnung synthetischer Inhalte (Art. 111 Abs. 4) Trifft vor allem Anbieter von KI-Systemen, weniger den Einkaufsalltag.
2. Dezember 2027 Hochrisiko-Systeme nach Anhang III, einschließlich der Betreiberpflichten (Art. 113 Unterabs. 3 Buchst. c) Relevant, wenn Sie solche Systeme einsetzen oder für Fachbereiche beschaffen.
2. August 2028 Hochrisiko-Systeme nach Anhang I, zum Beispiel in regulierten Produkten Relevant bei der Beschaffung entsprechender Produkte.
2. August 2030 Bestandssysteme mit hohem Risiko, die Behörden nutzen sollen (Art. 111 Abs. 2) Relevant für öffentliche Auftraggeber.

Hochrisiko-Systeme, die schon vor dem Stichtag im Markt oder im Einsatz waren, fallen nach Art. 111 Abs. 2 grundsätzlich nur unter die Verordnung, wenn ihr Design danach erheblich geändert wird. Das ist bei laufenden Verträgen und Software-Updates zu beachten. Die Frist 2030 für Behörden gilt unabhängig davon.

In Deutschland ist seit dem 29. Juli 2026 das KI-MIG in Kraft. Die Bundesnetzagentur ist danach zuständige Marktüberwachungsbehörde, soweit das Gesetz nichts anderes bestimmt, und zentrale Beschwerdestelle (§§ 2, 8 KI-MIG).

Welche Rolle hat der Einkauf nach der Verordnung?

Die Rolle entscheidet über die Pflichten nach dem EU AI Act. Betreiber ist, wer ein KI-System in eigener Verantwortung beruflich verwendet (Art. 3 Nr. 4). Anbieter ist, wer ein KI-System entwickelt oder entwickeln lässt und unter eigenem Namen in Verkehr bringt oder in Betrieb nimmt (Art. 3 Nr. 3). Wer also ein gekauftes Werkzeug nutzt, ist im Regelfall Betreiber.

Diese Rolle kann sich aber ändern. Nach Art. 25 Abs. 1 gilt als Anbieter eines Hochrisiko-Systems, wer ein solches System mit dem eigenen Namen oder der eigenen Marke versieht, es wesentlich verändert oder die Zweckbestimmung eines anderen Systems so ändert, dass es zum Hochrisiko-System wird. Das ist für den Einkauf ein wichtiger Stolperstein: Wer ein allgemeines KI-Werkzeug für eine Aufgabe aus Anhang III nutzt, sollte die eigene Rolle rechtlich klären lassen. Entscheidend ist, wofür Sie es einsetzen.

Ist KI im Einkauf Hochrisiko-KI?

Die meisten typischen Einkaufsanwendungen fallen nach unserer Einschätzung nicht unter Anhang III, weil dieser die Beschaffung nicht als eigenen Bereich nennt. Entscheidend sind die Fälle, in denen die KI Menschen statt Waren oder Unternehmen bewertet. Die folgende Tabelle ist eine Einordnungshilfe, keine rechtliche Prüfung. Die Leitlinien der Kommission zur Hochrisiko-Einstufung lagen uns bei Redaktionsschluss nur als Entwurf vom Mai 2026 vor.

Anwendung im Einkauf Voraussichtliche Einordnung Was zu tun ist
Texte, Recherche, Zusammenfassungen mit einem Assistenten Kein Anhang-III-Fall Art. 4, interne Regeln
Ausgaben klassifizieren, Warengruppen zuordnen Kein Anhang-III-Fall Art. 4, Stichproben prüfen
Angebote vergleichen, Lieferanten als Unternehmen bewerten Voraussichtlich kein Anhang-III-Fall, solange nur Unternehmen und Leistungen bewertet werden Art. 4, Entscheidung beim Menschen belassen; prüfen bei Einzelunternehmern, Selbstständigen oder wenn Personal mitbewertet wird, etwa Lebensläufe
KI-Agent schreibt direkt mit Lieferanten Transparenzpflicht (Art. 50 Abs. 1) Offenlegung sicherstellen, siehe unten
Selbstständige oder Freelancer auswählen und bewerten Kann unter Anhang III Nr. 4 fallen, die Nummer nennt die Auswahl natürlicher Personen und den Zugang zur Selbstständigkeit; Reichweite für einzelne Aufträge ungeklärt Bis zur Klärung wie einen Hochrisiko-Fall behandeln, rechtlich prüfen lassen, Art. 25 beachten
Kreditwürdigkeit von Einzelpersonen bewerten, etwa bei Einzelunternehmern Zu prüfen: Anhang III Nr. 5 Buchst. b Rechtlich prüfen lassen
Leistung und Verhalten eigener Einkäuferinnen und Einkäufer überwachen und bewerten Voraussichtlich Anhang III Nr. 4 Buchst. b Hochrisiko-Pflichten einplanen, Personalvertretung einbinden
Emotionen eigener Beschäftigter aus Stimme oder Video erkennen Verboten nach Art. 5 Abs. 1 Buchst. f, außer aus medizinischen oder Sicherheitsgründen Nicht einsetzen
Emotionen von Verhandlungspartnern beim Lieferanten aus Stimme oder Video erkennen Mindestens Hochrisiko (Anhang III Nr. 1 Buchst. c); ob das Verbot greift, ist zu prüfen Nicht ohne Rechtsprüfung einsetzen; Betroffene informieren (Art. 50 Abs. 3)

Emotionserkennung im Sinne der Verordnung beruht auf biometrischen Daten (Art. 3 Nr. 39). Reine Textauswertung fällt deshalb voraussichtlich nicht unter diese beiden Zeilen, sollte aber im Einzelfall geprüft werden.

Für Anhang-III-Systeme gibt es eine Ausnahme: Ein System gilt nach Art. 6 Abs. 3 nicht als hochriskant, wenn es kein erhebliches Risiko birgt und eine von vier Bedingungen erfüllt, etwa eine eng begrenzte Verfahrensaufgabe oder eine vorbereitende Aufgabe. Bei Profiling natürlicher Personen gilt das nie. Die Einschätzung dokumentiert der Anbieter und muss sie registrieren (Art. 6 Abs. 4). Lassen Sie sie sich zeigen.

Wann muss ein KI-Agent sich gegenüber Lieferanten zu erkennen geben?

Art. 50 Abs. 1 verlangt, dass Menschen erfahren, wenn sie direkt mit einem KI-System interagieren, sofern das nicht offensichtlich ist. Die Leitlinien der Kommission vom Juli 2026 sind nicht bindend, werden aber für den Einkauf konkret. Sie nennen KI-Agenten, die Korrespondenz führen oder Käufe ausführen (Rn. 31). Solche Agenten sollen so gestaltet sein, dass sie ihre künstliche Natur offenlegen und sagen, in wessen Auftrag sie handeln. Das soll auch dann gelten, wenn der Kontakt mit einem Menschen nur vernünftigerweise wahrscheinlich ist.

Die Leitlinien ziehen auch Grenzen. Verwendet eine Einkäuferin KI als Hilfe, prüft die Antwort ordnungsgemäß und versendet sie selbst, liegt keine direkte Interaktion im Sinne der Vorschrift vor (Rn. 30). Reine Maschine-zu-Maschine-Aufrufe, deren Ergebnisse nie einen Menschen erreichen, sind ebenfalls nicht erfasst. Die Pflicht trifft den Anbieter. Das ist bei gekauften Agenten in der Regel der Lieferant des Agenten, kann aber auch Ihr Unternehmen sein, wenn es einen Agenten unter eigenem Namen anbietet oder selbst entwickelt und für den Eigengebrauch in Betrieb nimmt (Rn. 11). Klären Sie deshalb vor dem Einsatz, wer die Offenlegung umsetzt.

Was sollten Einkaufsteams beim EU AI Act jetzt tun?

Fünf Schritte reichen für den Anfang. Sie sind unsere Empfehlung und nicht wörtlich aus der Verordnung übernommen.

  1. KI-Inventar anlegen: Welche Werkzeuge nutzt das Team, für welche Aufgabe, mit welchen Daten? Auch KI-Funktionen in bestehender Software gehören dazu.
  2. Jede Anwendung einordnen: Rolle, Risikoklasse, verantwortliche Person. Grenzfälle markieren und rechtlich klären lassen.
  3. Nutzung regeln: Für welche Zwecke ist welches Werkzeug freigegeben? Eine klare Grenze verhindert, dass ein Werkzeug unbemerkt in einen Anhang-III-Zweck rutscht.
  4. KI-Kompetenz aufbauen und festhalten: Art. 4 verlangt seit der Neufassung Maßnahmen, um die KI-Kompetenz des Personals und weiterer in Ihrem Auftrag tätiger Personen zu unterstützen. Ein bestimmtes Niveau einzelner Personen müssen Sie nicht garantieren. Was das konkret heißt, zeigt unsere Übersicht zu den Voraussetzungen für KI im Einkauf.
  5. Einkaufsprozess anpassen: Neue KI-Beschaffungen erhalten eine feste Prüfung, auch für Software, die Fachbereiche anfordern.

Worauf sollten Sie beim Kauf von KI-Systemen achten?

Hier ist der Einkauf die Prüfstelle für das gesamte Unternehmen: Was im Vertrag nicht geregelt ist, lässt sich später schwer nachholen. Für Betreiber von Hochrisiko-Systemen nennt Art. 26, bei Anhang-III-Systemen ab Dezember 2027, unter anderem diese Pflichten: Nutzung gemäß Betriebsanleitung, menschliche Aufsicht durch kompetente Personen, Überwachung des Betriebs, Aufbewahrung der Protokolle für mindestens sechs Monate sowie Information der Beschäftigten, ihrer Vertretungen und betroffener Personen. Öffentliche Auftraggeber müssen zudem die Registrierungspflichten beachten (Art. 26 Abs. 8) und in den Fällen des Art. 27 vor dem Einsatz eine Grundrechte-Folgenabschätzung durchführen. Daraus ergeben sich die Fragen an den Anbieter.

Für öffentliche Auftraggeber gibt es EU-Mustervertragsklauseln in einer Fassung für Hochrisiko-KI und einer Light-Fassung für andere Systeme. Sie stammen von März 2025, also aus der Zeit vor dem Digital Omnibus. Auch private Einkäufer können sie als Prüfliste lesen, sollten Fristen aber gegen die aktuelle Fassung der Verordnung prüfen.

Welche Bußgelder sieht der EU AI Act vor?

Verstöße gegen die Verbote aus Art. 5 können mit bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes geahndet werden (Art. 99 Abs. 3), Verstöße unter anderem gegen Art. 26 und Art. 50 mit bis zu 15 Millionen Euro oder 3 Prozent (Art. 99 Abs. 4). Grundsätzlich gilt der höhere Wert. Für KMU gilt jeweils der niedrigere Wert (Abs. 6), für kleine Midcap-Unternehmen bei Abs. 4 und 5 ebenso (Abs. 6a).

Art. 4 ist in Art. 99 Abs. 4 nicht aufgeführt, und das KI-MIG enthält dazu keinen eigenen Bußgeldtatbestand. Das nimmt die Pflicht nicht weg.

Gegen Behörden und sonstige öffentliche Stellen im Sinne des § 2 Abs. 1 oder 2 BDSG werden in Deutschland in den Fällen des Art. 99 Abs. 3 bis 5 und des § 15 Abs. 1 und 2 KI-MIG keine Geldbußen verhängt (§ 17 Abs. 2 KI-MIG).

Der nächste Schritt

Das Inventar erstellen Sie selbst, beim Kompetenzaufbau können wir unterstützen. In unserer KI-Schulung für Einkaufsteams arbeiten wir mit Beispielen aus Ihrem Einkauf und legen klare Regeln für den Umgang mit Daten fest; eine Rechtsberatung ersetzt das nicht. Wenn Sie ein neues KI-Werkzeug beschaffen, hilft die herstellerneutrale KI-Tool-Auswahl, die Fragen oben in den Auswahlprozess einzubauen.

Für ein unverbindliches Erstgespräch nutzen Sie gern das Kontaktformular.

Quellen

Themen:EU AI ActKI im EinkaufComplianceCheckliste

Häufige Fragen

Gilt der EU AI Act auch, wenn unser Einkauf nur ChatGPT oder Copilot nutzt?

Ja. Wer ein KI-System beruflich in eigener Verantwortung verwendet, ist Betreiber im Sinne der Verordnung. Für solche Anwendungen steht in der Regel die Pflicht aus Art. 4 im Vordergrund, Maßnahmen zur Förderung der KI-Kompetenz zu ergreifen. Wenn dasselbe Werkzeug für eine Aufgabe aus Anhang III eingesetzt wird, kann sich die Einordnung ändern.

Ist KI-gestützte Lieferantenbewertung Hochrisiko-KI?

Die Bewertung von Unternehmen als Lieferanten wird in Anhang III nicht genannt. Anders kann es sein, wenn die KI natürliche Personen bewertet, zum Beispiel Einzelunternehmer, Selbstständige oder Schlüsselpersonal in Angeboten. Solche Fälle sollten Sie einzeln prüfen lassen.

Bis wann müssen Hochrisiko-Pflichten erfüllt sein?

Nach der Änderung durch die Verordnung (EU) 2026/1744 gelten die Pflichten für Hochrisiko-Systeme nach Anhang III ab dem 2. Dezember 2027, für Hochrisiko-Systeme in Produkten nach Anhang I ab dem 2. August 2028.

Drohen Bußgelder, wenn wir keine KI-Schulung durchführen?

Art. 4 ist in der Bußgeldvorschrift des Art. 99 Abs. 4 nicht aufgeführt, und das deutsche KI-MIG enthält dazu keinen eigenen Bußgeldtatbestand. Die Pflicht, Maßnahmen zu ergreifen, gilt trotzdem. Für Verstöße gegen Betreiberpflichten nach Art. 26 oder Transparenzpflichten nach Art. 50 sieht Art. 99 Abs. 4 dagegen Geldbußen vor.

← Zurück zur Übersicht

Lassen Sie uns über Ihren Einkauf sprechen.

In einem unverbindlichen Erstgespräch klären wir, wo Ihr Einkauf bei KI steht und welcher nächste Schritt sich lohnt – Readiness-Check, Workshop, Tool-Auswahl oder Pilot.

Erstgespräch vereinbarenLeistungen ansehen