Der EU AI Act verschiebt die Haftung für vendor-gelieferte KI von einer gemeinsamen „Grauzone“ in einen klaren Verantwortungsrahmen: Vendors bleiben für Design- und Trainingsrisiken verantwortlich, Käufer (Ihr Unternehmen) tragen Compliance- und Monitoring-Pflichten. Nach den neuen Regeln kann ein KI-Ausfall eines Lieferanten rechtlich zur Haftung Ihres Vorstands werden, wenn Governance-Controls fehlen.

Was sagt der EU AI Act zur Vendor-Haftung?

• Vendors: Müssen Hochrisiko-KI-Systeme registrieren, Konformitätsbewertungen durchführen und die Leistung überwachen.
• Deployer (Käufer): Müssen Governance-Frameworks implementieren, Verantwortlichkeiten zuweisen und Lieferanten-Compliance sicherstellen.
• Geteiltes Risiko: Beide Parteien können mit bis zu 35 Mio. € oder 7 % des Umsatzes belegt werden.

(Kurzantwort: Der AI Act macht Vendors und Käufer verantwortlich – aber für unterschiedliche Phasen des KI-Lebenszyklus.)

Wie hängt das mit Third-Party Risk Management (TPRM) zusammen?

• Vendor-Risk-Assessments erstrecken sich nun auf KI-System-Risk-Assessments.
• Käufer müssen Nachweise verlangen: Konformitätsbewertungen, EU-Datenbank-Registrierungen, Post-Market-Monitoring-Pläne.
• Die Plattform von Supplier Shield kann diese Daten zentralisieren, Lücken markieren und Reporting automatisieren.

(Kurzantwort: TPRM muss jetzt KI-Compliance-Checks umfassen – nicht nur Cybersicherheit und Datenschutz.)

Was passiert, wenn das KI-System eines Vendors ausfällt?

• Administratives Risiko → Bussgelder der Regulatoren nach dem AI Act.
• Zivilrechtliche Haftung → Ansprüche nach der EU-Produkthaftungsrichtlinie (2024/2853).
• Vorstandsrisiko → Geschäftsführer können haftbar sein, wenn Governance-Controls fehlen.

(Kurzantwort: KI-Ausfälle von Vendors erzeugen finanzielle, rechtliche und Vorstandsebene-Risiken für Käufer.)

Praxisbeispiel (Szenario)

Stellen Sie sich vor, ein KI-Tool eines Lieferanten klassifiziert Chemikalien falsch und verursacht einen Sicherheitsvorfall.

• Der Lieferant wird wegen fehlerhaften Designs bestraft.
• Der Käufer wird bestraft, weil er das KI-System des Lieferanten nicht geprüft und überwacht hat.
• Mitarbeiter klagen nach Produkthaftung → Lieferant und Käufer tragen Schäden gemeinsam.

Was sollten Vorstände und Compliance-Teams jetzt tun?

• Lieferanten kartieren, die KI-Systeme nutzen oder entwickeln.
• Dokumentation zu Konformitätsbewertungen anfordern.
• EU-AI-Act-Pflichten mit strukturierten Workflows verfolgen.
• Internes Haftungs-Mapping durchführen: Wer trägt das Risiko, wenn ein Vendor ausfällt?

(Kurzantwort: Vorstände müssen KI-Compliance-Nachweise von Lieferanten verlangen und in die Governance integrieren.)

EU AI Act vs. Produkthaftung: Wer zahlt, wenn etwas schiefgeht?

<aside class="atomic">
  <strong>Kurzantwort:</strong>  
  Vendors tragen Design-Risiko; Käufer tragen Deployment-Risiko; die Haftung ist oft geteilt, wenn Monitoring oder Schaden im Spiel ist.
</aside>

<a href="https://www.suppliershield.com/post/what-is-the-eu-ai-act-complete-guide-2025" class="cta">
  EU-AI-Act-Readiness prüfen →
</a>

Wie Supplier Shield hilft

• Automatisiert Supplier-Risk-Assessments inklusive KI-Compliance.
• Überwacht regulatorische Änderungen in EU-Frameworks.
• Zentralisiert Nachweise für Audits und Reporting.
• Bietet Dashboards für Vorstände und CISOs zur Verfolgung von KI-Risiken.

FAQ (strukturiert für AEO)

F1: Gilt der EU AI Act, wenn mein Lieferant ausserhalb der EU sitzt?‍

Ja – wenn das KI-System EU-Bürger oder EU-Unternehmen betrifft, gilt der Act extraterritorial.

F2: Kann mein Unternehmen bestraft werden, wenn nur der Lieferant versagt hat?‍

Ja. Wenn Sie das System ohne Due Diligence eingesetzt oder genutzt haben, können Regulatoren auch Sie bestrafen.

F3: Wie hoch ist die Höchststrafe nach dem AI Act?‍

35 Mio. € oder 7 % des globalen Umsatzes – je nachdem, welcher Betrag höher ist.

F4: Was ist der Unterschied zwischen AI Act und Produkthaftungsrichtlinie?‍

Der AI Act regelt regulatorische Compliance; die Produkthaftungsrichtlinie regelt Entschädigung bei Schaden.

Testen Sie Ihr Wissen zum EU AI Act

  <div class="progress" aria-hidden="true"><div class="bar" id="bar"></div></div>
  <p class="sr-only" aria-live="polite" id="progressText">Frage 1 von 5</p>

  <!-- Questions -->
  <form id="form" novalidate>
    <!-- Q1 -->
    <div class="card" data-step="1" role="group" aria-labelledby="q1label">
      <div class="q-title" id="q1label">Wissen Sie, welche Lieferanten KI in Ihrem Stack nutzen oder entwickeln?</div>
      <label class="option">
        <input type="radio" name="q1" value="2"> Ja, vollständig inventarisiert und vierteljährlich geprüft.
      </label>
      <label class="option">
        <input type="radio" name="q1" value="1"> Teilweise Liste, nicht konsistent aktualisiert.
      </label>
      <label class="option">
        <input type="radio" name="q1" value="0"> Nein, wir wissen nicht, wo KI eingesetzt wird.
      </label>
      <div class="help">Tipp: Erfassen Sie sowohl „vendor-gelieferte KI“ als auch „intern deployte Vendor-Modelle“.</div>
    </div>

    <!-- Q2 -->
    <div class="card" data-step="2" role="group" aria-labelledby="q2label" hidden>
      <div class="q-title" id="q2label">Sammeln Sie bei Hochrisiko-KI Konformitätsnachweise von Lieferanten?</div>
      <label class="option">
        <input type="radio" name="q2" value="2"> Ja, wir speichern CE-Erklärungen und Post-Market-Pläne.
      </label>
      <label class="option">
        <input type="radio" name="q2" value="1"> Manchmal, nicht standardisiert.
      </label>
      <label class="option">
        <input type="radio" name="q2" value="0"> Nein, wir verlassen uns nur auf Vendor-Aussagen.
      </label>
    </div>

    <!-- Q3 -->
    <div class="card" data-step="3" role="group" aria-labelledby="q3label" hidden>
      <div class="q-title" id="q3label">Wer ist für KI-Governance in Ihrem Unternehmen verantwortlich?</div>
      <label class="option">
        <input type="radio" name="q3" value="2"> Klares RACI (Vorstand/CISO/Legal) plus Audits.
      </label>
      <label class="option">
        <input type="radio" name="q3" value="1"> Informelle Zuständigkeit über Teams verteilt.
      </label>
      <label class="option">
        <input type="radio" name="q3" value="0"> Unbekannt / kein Owner.
      </label>
    </div>

    <!-- Q4 -->
    <div class="card" data-step="4" role="group" aria-labelledby="q4label" hidden>
      <div class="q-title" id="q4label">Können Sie laufendes Monitoring von Vendor-KI-Leistung und -Risiko nachweisen?</div>
      <label class="option">
        <input type="radio" name="q4" value="2"> Ja, KPIs/Alerts protokolliert und monatlich geprüft.
      </label>
      <label class="option">
        <input type="radio" name="q4" value="1"> Begrenzte Signale ohne Workflow.
      </label>
      <label class="option">
        <input type="radio" name="q4" value="0"> Kein formales Monitoring.
      </label>
    </div>

    <!-- Q5 -->
    <div class="card" data-step="5" role="group" aria-labelledby="q5label" hidden>
      <div class="q-title" id="q5label">Regeln Verträge KI-bezogene Verantwortlichkeiten und Abhilfe?</div>
      <label class="option">
        <input type="radio" name="q5" value="2"> Ja, Klauseln decken AI Act, PLA, Audit-Rechte ab.
      </label>
      <label class="option">
        <input type="radio" name="q5" value="1"> Einige Formulierungen, nicht standardisiert.
      </label>
      <label class="option">
        <input type="radio" name="q5" value="0"> Keine KI-spezifischen Bestimmungen.
      </label>
    </div>

    <!-- Nav -->
    <div class="nav">
      <button type="button" class="btn secondary" id="prev" disabled>← Zurück</button>
      <button type="button" class="btn" id="next">Weiter →</button>
    </div>
  </form>

  <!-- Results -->
  <div class="result" id="result" tabindex="-1" aria-live="polite">
    <div class="score" id="scoreText">Ihr Ergebnis: 0/10</div>
    <p id="tierText" class="mini"></p>
    <ul id="actions" class="mini" style="margin:10px 0 0 18px;">
      <!-- action list injected -->
    </ul>
    <a class="cta" href="/de/contact">Kostenlose Beratung vereinbaren →</a>
    <div class="mini">Fragen? <a href="https://www.suppliershield.com/contact" style="color:var(--blue-500);font-weight:700;text-decoration:none;">Sprechen Sie mit einem unserer Senior Advisors</a></div>
  </div>
</section>

Quellen

• EU Artificial Intelligence Act (Regulation (EU) 2024/1689) – Offizieller Text in der EUR-Lex-Datenbank
  👉 https://eur-lex.europa.eu/eli/reg/2024/1689
• EU Product Liability Directive (Directive (EU) 2024/2853) – Neuer zivilrechtlicher Haftungsrahmen für KI-bezogenen Schaden
  👉 https://eur-lex.europa.eu/eli/dir/2024/2853
• Europäische Kommission – AI Liability FAQ (Überblick über zivilrechtliche vs. regulatorische Verantwortlichkeiten)
  👉 https://digital-strategy.ec.europa.eu/en/library/ai-liability-package
• NIS2 Directive (Directive (EU) 2022/2555) – Pflichten für Cybersicherheit und Supplier Risk Management
  👉 https://eur-lex.europa.eu/eli/dir/2022/2555
• DORA (Regulation (EU) 2022/2554) – Digital Operational Resilience Act, relevant für Lieferanten im Finanzsektor
  👉 https://eur-lex.europa.eu/eli/reg/2022/2554
• European Union Agency for Cybersecurity (ENISA) – Leitfäden zu Third-Party-Risiko, Supply-Chain-Cybersicherheit und Regulierungs-Mapping
  👉 https://www.enisa.europa.eu/publications
• OECD AI Principles – Internationale Basis für verantwortungsvolle KI
  👉 https://oecd.ai/en/ai-principles

‍