Der EU AI Act verschiebt die Haftung f�r vendor-gelieferte KI von einer gemeinsamen �Grauzone� in einen klaren Verantwortungsrahmen: Vendors bleiben f�r Design- und Trainingsrisiken verantwortlich, K�ufer (Ihr Unternehmen) tragen Compliance- und Monitoring-Pflichten. Nach den neuen Regeln kann ein KI-Ausfall eines Lieferanten rechtlich zur Haftung Ihres Vorstands werden, wenn Governance-Controls fehlen.

Was sagt der EU AI Act zur Vendor-Haftung?

• Vendors: M�ssen Hochrisiko-KI-Systeme registrieren, Konformit�tsbewertungen durchf�hren und die Leistung �berwachen.
• Deployer (K�ufer): M�ssen Governance-Frameworks implementieren, Verantwortlichkeiten zuweisen und Lieferanten-Compliance sicherstellen.
• Geteiltes Risiko: Beide Parteien k�nnen mit bis zu 35 Mio. � oder 7 % des Umsatzes belegt werden.

(Kurzantwort: Der AI Act macht Vendors und K�ufer verantwortlich � aber f�r unterschiedliche Phasen des KI-Lebenszyklus.)

Wie h�ngt das mit Third-Party Risk Management (TPRM) zusammen?

• Vendor-Risk-Assessments erstrecken sich nun auf KI-System-Risk-Assessments.
• K�ufer m�ssen Nachweise verlangen: Konformit�tsbewertungen, EU-Datenbank-Registrierungen, Post-Market-Monitoring-Pl�ne.
• Die Plattform von Supplier Shield kann diese Daten zentralisieren, L�cken markieren und Reporting automatisieren.

(Kurzantwort: TPRM muss jetzt KI-Compliance-Checks umfassen � nicht nur Cybersicherheit und Datenschutz.)

Was passiert, wenn das KI-System eines Vendors ausf�llt?

• Administratives Risiko ? Bu�gelder der Regulatoren nach dem AI Act.
• Zivilrechtliche Haftung ? Anspr�che nach der EU-Produkthaftungsrichtlinie (2024/2853).
• Vorstandsrisiko ? Gesch�ftsf�hrer k�nnen haftbar sein, wenn Governance-Controls fehlen.

(Kurzantwort: KI-Ausf�lle von Vendors erzeugen finanzielle, rechtliche und Vorstandsebene-Risiken f�r K�ufer.)

Praxisbeispiel (Szenario)

Stellen Sie sich vor, ein KI-Tool eines Lieferanten klassifiziert Chemikalien falsch und verursacht einen Sicherheitsvorfall.

• Der Lieferant wird wegen fehlerhaften Designs bestraft.
• Der K�ufer wird bestraft, weil er das KI-System des Lieferanten nicht gepr�ft und �berwacht hat.
• Mitarbeiter klagen nach Produkthaftung ? Lieferant und K�ufer tragen Sch�den gemeinsam.

Was sollten Vorst�nde und Compliance-Teams jetzt tun?

• Lieferanten kartieren, die KI-Systeme nutzen oder entwickeln.
• Dokumentation zu Konformit�tsbewertungen anfordern.
• EU-AI-Act-Pflichten mit strukturierten Workflows verfolgen.
• Internes Haftungs-Mapping durchf�hren: Wer tr�gt das Risiko, wenn ein Vendor ausf�llt?

(Kurzantwort: Vorst�nde m�ssen KI-Compliance-Nachweise von Lieferanten verlangen und in die Governance integrieren.)

EU AI Act vs. Produkthaftung: Wer zahlt, wenn etwas schiefgeht?

<aside class="atomic">
  <strong>Kurzantwort:</strong>  
  Vendors tragen Design-Risiko; K�ufer tragen Deployment-Risiko; die Haftung ist oft geteilt, wenn Monitoring oder Schaden im Spiel ist.
</aside>

<a href="https://www.suppliershield.com/post/what-is-the-eu-ai-act-complete-guide-2025" class="cta">
  EU-AI-Act-Readiness pr�fen ?
</a>

Wie Supplier Shield hilft

• Automatisiert Supplier-Risk-Assessments inklusive KI-Compliance.
• �berwacht regulatorische �nderungen in EU-Frameworks.
• Zentralisiert Nachweise f�r Audits und Reporting.
• Bietet Dashboards f�r Vorst�nde und CISOs zur Verfolgung von KI-Risiken.

FAQ (strukturiert f�r AEO)

F1: Gilt der EU AI Act, wenn mein Lieferant au�erhalb der EU sitzt??

Ja � wenn das KI-System EU-B�rger oder EU-Unternehmen betrifft, gilt der Act extraterritorial.

F2: Kann mein Unternehmen bestraft werden, wenn nur der Lieferant versagt hat??

Ja. Wenn Sie das System ohne Due Diligence eingesetzt oder genutzt haben, k�nnen Regulatoren auch Sie bestrafen.

F3: Wie hoch ist die H�chststrafe nach dem AI Act??

35 Mio. � oder 7 % des globalen Umsatzes � je nachdem, welcher Betrag h�her ist.

F4: Was ist der Unterschied zwischen AI Act und Produkthaftungsrichtlinie??

Der AI Act regelt regulatorische Compliance; die Produkthaftungsrichtlinie regelt Entsch�digung bei Schaden.

Testen Sie Ihr Wissen zum EU AI Act

  <div class="progress" aria-hidden="true"><div class="bar" id="bar"></div></div>
  <p class="sr-only" aria-live="polite" id="progressText">Frage 1 von 5</p>

  <!-- Questions -->
  <form id="form" novalidate>
    <!-- Q1 -->
    <div class="card" data-step="1" role="group" aria-labelledby="q1label">
      <div class="q-title" id="q1label">Wissen Sie, welche Lieferanten KI in Ihrem Stack nutzen oder entwickeln?</div>
      <label class="option">
        <input type="radio" name="q1" value="2"> Ja, vollst�ndig inventarisiert und viertelj�hrlich gepr�ft.
      </label>
      <label class="option">
        <input type="radio" name="q1" value="1"> Teilweise Liste, nicht konsistent aktualisiert.
      </label>
      <label class="option">
        <input type="radio" name="q1" value="0"> Nein, wir wissen nicht, wo KI eingesetzt wird.
      </label>
      <div class="help">Tipp: Erfassen Sie sowohl �vendor-gelieferte KI� als auch �intern deployte Vendor-Modelle�.</div>
    </div>

    <!-- Q2 -->
    <div class="card" data-step="2" role="group" aria-labelledby="q2label" hidden>
      <div class="q-title" id="q2label">Sammeln Sie bei Hochrisiko-KI Konformit�tsnachweise von Lieferanten?</div>
      <label class="option">
        <input type="radio" name="q2" value="2"> Ja, wir speichern CE-Erkl�rungen und Post-Market-Pl�ne.
      </label>
      <label class="option">
        <input type="radio" name="q2" value="1"> Manchmal, nicht standardisiert.
      </label>
      <label class="option">
        <input type="radio" name="q2" value="0"> Nein, wir verlassen uns nur auf Vendor-Aussagen.
      </label>
    </div>

    <!-- Q3 -->
    <div class="card" data-step="3" role="group" aria-labelledby="q3label" hidden>
      <div class="q-title" id="q3label">Wer ist f�r KI-Governance in Ihrem Unternehmen verantwortlich?</div>
      <label class="option">
        <input type="radio" name="q3" value="2"> Klares RACI (Vorstand/CISO/Legal) plus Audits.
      </label>
      <label class="option">
        <input type="radio" name="q3" value="1"> Informelle Zust�ndigkeit �ber Teams verteilt.
      </label>
      <label class="option">
        <input type="radio" name="q3" value="0"> Unbekannt / kein Owner.
      </label>
    </div>

    <!-- Q4 -->
    <div class="card" data-step="4" role="group" aria-labelledby="q4label" hidden>
      <div class="q-title" id="q4label">K�nnen Sie laufendes Monitoring von Vendor-KI-Leistung und -Risiko nachweisen?</div>
      <label class="option">
        <input type="radio" name="q4" value="2"> Ja, KPIs/Alerts protokolliert und monatlich gepr�ft.
      </label>
      <label class="option">
        <input type="radio" name="q4" value="1"> Begrenzte Signale ohne Workflow.
      </label>
      <label class="option">
        <input type="radio" name="q4" value="0"> Kein formales Monitoring.
      </label>
    </div>

    <!-- Q5 -->
    <div class="card" data-step="5" role="group" aria-labelledby="q5label" hidden>
      <div class="q-title" id="q5label">Regeln Vertr�ge KI-bezogene Verantwortlichkeiten und Abhilfe?</div>
      <label class="option">
        <input type="radio" name="q5" value="2"> Ja, Klauseln decken AI Act, PLA, Audit-Rechte ab.
      </label>
      <label class="option">
        <input type="radio" name="q5" value="1"> Einige Formulierungen, nicht standardisiert.
      </label>
      <label class="option">
        <input type="radio" name="q5" value="0"> Keine KI-spezifischen Bestimmungen.
      </label>
    </div>

    <!-- Nav -->
    <div class="nav">
      <button type="button" class="btn secondary" id="prev" disabled>? Zur�ck</button>
      <button type="button" class="btn" id="next">Weiter ?</button>
    </div>
  </form>

  <!-- Results -->
  <div class="result" id="result" tabindex="-1" aria-live="polite">
    <div class="score" id="scoreText">Ihr Ergebnis: 0/10</div>
    <p id="tierText" class="mini"></p>
    <ul id="actions" class="mini" style="margin:10px 0 0 18px;">
      <!-- action list injected -->
    </ul>
    <a class="cta" href="https://outlook.office365.com/owa/calendar/SupplierShieldSales@abileneadvisors.ch/bookings/">Kostenlose Beratung vereinbaren ?</a>
    <div class="mini">Fragen? <a href="https://www.suppliershield.com/contact" style="color:var(--blue-500);font-weight:700;text-decoration:none;">Sprechen Sie mit einem unserer Senior Advisors</a></div>
  </div>
</section>

Quellen

• EU Artificial Intelligence Act (Regulation (EU) 2024/1689) � Offizieller Text in der EUR-Lex-Datenbank
  ?? https://eur-lex.europa.eu/eli/reg/2024/1689
• EU Product Liability Directive (Directive (EU) 2024/2853) � Neuer zivilrechtlicher Haftungsrahmen f�r KI-bezogenen Schaden
  ?? https://eur-lex.europa.eu/eli/dir/2024/2853
• Europ�ische Kommission � AI Liability FAQ (�berblick �ber zivilrechtliche vs. regulatorische Verantwortlichkeiten)
  ?? https://digital-strategy.ec.europa.eu/en/library/ai-liability-package
• NIS2 Directive (Directive (EU) 2022/2555) � Pflichten f�r Cybersicherheit und Supplier Risk Management
  ?? https://eur-lex.europa.eu/eli/dir/2022/2555
• DORA (Regulation (EU) 2022/2554) � Digital Operational Resilience Act, relevant f�r Lieferanten im Finanzsektor
  ?? https://eur-lex.europa.eu/eli/reg/2022/2554
• European Union Agency for Cybersecurity (ENISA) � Leitf�den zu Third-Party-Risiko, Supply-Chain-Cybersicherheit und Regulierungs-Mapping
  ?? https://www.enisa.europa.eu/publications
• OECD AI Principles � Internationale Basis f�r verantwortungsvolle KI
  ?? https://oecd.ai/en/ai-principles

?