KI-Compliance wird zum Vertrags-Killer für IT-Anbieter

KI-Regulierung ist keine Theorie mehr – sie entscheidet jetzt über Verträge. Seit dieser Woche verlangen Einkäufer in der EU und den USA handfeste Nachweise für sichere KI-Systeme, bevor sie unterschreiben. Die Schonfrist ist vorbei.

Die praktische Umsetzung der EU-KI-Verordnung hat begonnen, und sie trifft die Anbieter härter als erwartet. Obwohl die gesetzliche Frist für Hochrisiko-Systeme erst im August 2026 abläuft, setzen Unternehmen den Druck jetzt durch. Standard-Fragenkataloge reichen nicht mehr aus. Stattdessen fordern Procurement-Abteilungen detaillierte Modellkarten, Evaluierungsberichte und Beweise für Stresstests.

„Es geht nicht mehr darum, ob man eine KI-Richtlinie hat, sondern darum, wie das System konkret Risiken verhindert“, erklärt ein Branchenkenner. Wer diese neuen „Kill-Fragen“ nicht beantworten kann, fliegt aus dem Vergabeprozess.

Anzeige

Viele Anbieter unterschätzen, wie detailliert Beschaffer inzwischen Modellkarten, Evaluierungsberichte und Stresstests verlangen. Unser kostenloser Umsetzungsleitfaden zur EU‑KI‑Verordnung erklärt kompakt, welche Dokumente jetzt gefordert sind, wie Sie Ihr System korrekt klassifizieren und welche Nachweise Procurement‑Teams sehen wollen — praxisnah für Entwickler, Produktverantwortliche und Compliance‑Teams. Inklusive Checklisten und Fristen, damit Sie Ausschlüsse vom Markt vermeiden. Jetzt kostenlosen KI‑Umsetzungsleitfaden herunterladen

Drei Bereiche stehen im Fokus der verschärften Fragebögen: Herkunft der Trainingsdaten, Transparenz der Modelle und menschliche Aufsicht. Anbieter müssen offenlegen, mit welchen Datensätzen ihre KI lernte – eine klare Vorgabe der EU-Verordnung. Zudem verlangen Kunden „Evaluierungsartefakte“, die belegen, dass die Modelle unter Stress weder halluzinieren noch Vorurteile entwickeln.

Der Grund für den plötzlichen Rigorismus ist einfach: Die Haftung wandert nach unten. Unternehmen fürchten, für nicht-konforme KI-Systeme ihrer Zulieferer haften zu müssen. Also schieben sie die Compliance-Last weiter – und das sofort.

„Die strategische Phase der KI-Einführung ist vorbei“, betont ein deutscher Experte zur nationalen Umsetzung der KI-Verordnung. „Jetzt beginnt die Phase der Compliance und des Betriebs.“ Er rät zu interdisziplinären Taskforces aus IT, Recht und Sicherheit.

US-Vorgaben beschleunigen den Trend weltweit

Nicht nur Europa treibt die Entwicklung voran. Im Dezember 2025 erließ das US-amerikanische Office of Management and Budget (OMB) eine Richtlinie, die Bundesbehörden verpflichtet, bei der Beschaffung großer Sprachmodelle Modellkarten anzufordern. Die Frist endet im März 2026. Dieser staatliche Vorgabe wirkt als Katalysator für die Privatwirtschaft.

Hinzu kommt ein kalifornisches Gesetz zur Transparenz von Trainingsdaten, das seit dem 1. Januar 2026 gilt. Es zwingt Anbieter zur Offenlegung ihrer Datenquellen – eine Information, die nun in fast jeden Fragebogen einfließt, unabhängig vom Kundenstandort.

„Keine Dokumentation, kein Geschäft“

Die Botschaft an die Anbieter ist unmissverständlich: Ohne Papiere kein Deal. Für kleinere Firmen, die auf „Wrapper“-Lösungen großer Basismodelle setzen, wird es eng. Sie können die tiefgehenden technischen Fragen zu Trainingsdaten und Sicherheitsausrichtung oft nicht beantworten.

Die finanziellen Risiken sind immens. Verstöße gegen die EU-KI-Verordnung können bis zu 35 Millionen Euro oder 7 % des weltweiten Umsatzes kosten. Doch die unmittelbarere Gefahr ist der Umsatzverlust. Wer heute den Sicherheitsfragebogen einer Bank oder eines Gesundheitskonzerns nicht besteht, ist vom Markt ausgeschlossen – lange bevor eine Aufsichtsbehörde überhaupt aktiv wird.

Komplexität übertrifft die DSGVO-Herausforderung

Die aktuelle Entwicklung markiert die „Operationalisierung“ der KI-Regulierung. Ähnlich wie bei der DSGVO 2018 geht es nicht mehr um Grundsatzdebatten, sondern um die kleinteilige Arbeit in Excel-Tabellen und Compliance-Plattformen.

Der entscheidende Unterschied liegt in der technischen Komplexität. Während die DSGVO-Compliance vor allem ein Prozessproblem war, ist die KI-Compliance ein statistisches und ingenieurtechnisches. Der Bedarf an fortlaufenden Tests für Modell-Drift und Sicherheit begünstigt etablierte Anbieter mit erfahrenen Teams. KI-Start-ups stehen unter enormem Druck, ihre Governance-Strukturen schnell zu professionalisieren.

Standard-Fragebögen als nächstes Ziel

Bis zum Frühjahr 2026 rechnet die Branche mit einer Standardisierung der KI-Sicherheitsfragebögen. Analog zum etablierten SIG-Fragebogen (Standardized Information Gathering) für Cybersicherheit könnte ein „KI-SIG“ entstehen, um den Beschaffungsprozess zu vereinfachen.

Spätestens im März, wenn die US-Bundesvorschriften voll greifen, ist die Latte dauerhaft hoch gelegt. Anbieter ohne aktualisierte Dokumentation riskieren einen „Verkaufsstopp“. Die Botschaft für 2026 ist klar: KI-Innovation und KI-Dokumentation sind untrennbar. Wer Compliance als lästige Pflicht behandelt, wird in endlosen Sicherheitsüberprüfungen stecken bleiben.

Anzeige

PS: Viele Teams sind nicht ausreichend auf die laufenden Kennzeichnungs‑ und Dokumentationspflichten vorbereitet. Der kostenlose Leitfaden zur EU‑KI‑Verordnung fasst übersichtlich zusammen, welche Pflichten für Hochrisiko‑Systeme gelten, welche Nachweise Einkäufer erwarten und wie Sie Ihr Compliance‑Programm Schritt für Schritt rechtssicher aufsetzen. Praktisch für Legal, Produktmanagement und Procurement. Kostenlosen KI‑Leitfaden jetzt anfordern