Kurzantwort

Ja. Deutsche Unternehmen sollten die EU KI-Verordnung in der Beschaffung vor 2027 beruecksichtigen, weil Rollen zwischen Anbieter und Betreiber, Unterlagenzugang, Nutzungsanweisungen, Aufsichtsunterstuetzung und Vertragslogik vor Rollout oder Verlaengerung feststehen muessen. Seit die Verordnung (EU) 2026/1744 am 27. Juli 2026 in Kraft getreten ist, rechtfertigen die spaeteren Fristen 2. Dezember 2027 und 2. August 2028 kein Abwarten.

• Beschaffungsarbeit beginnt vor den spaeteren Fristen 2027 oder 2028.
• Einkaeufer brauchen Rechte auf Unterlagen, Nutzungsanweisungen und Incident-Unterstuetzung.
• Vertragsverlaengerungen sind oft der beste Zeitpunkt fuer Korrekturen.
• Deutsche Unternehmen sind beim KI-Einkauf meist Betreiber und auf Anbieterhilfe angewiesen.

Ja, Unternehmen in Deutschland sollten die EU KI-Verordnung in der Beschaffung schon vor 2027 beruecksichtigen. Diese Antwort ist seit dem Inkrafttreten der Verordnung (EU) 2026/1744 am 27. Juli 2026 noch klarer, weil sie den Zeitplan in Artikel 113 angepasst hat. Fuer viele Anhang-III-Hochrisiko-Systeme gilt nun 2. Dezember 2027, fuer Hochrisiko-KI in regulierten Produkten 2. August 2028. Die eigentliche Beschaffungsarbeit muss trotzdem frueher passieren. Rollen zwischen Anbieter und Betreiber, Zugriffe auf Unterlagen, Nutzungsanweisungen, Aufsichtsunterstuetzung, Incident-Mitwirkung und Vertragslogik werden regelmaessig vor Rollout, Verlaengerung oder Ausbau festgelegt.

Das ist die knappe Antwort auf die Suchanfrage “EU KI-Verordnung Beschaffung vor 2027”. Die KI-Verordnung ist fuer Einkaeufer nicht nur eine Frage des spaeteren Fristdatums. Sie ist auch eine Frage, ob das Unternehmen die benoetigten Nachweise und die praktische Anbieterunterstuetzung ueberhaupt rechtzeitig bekommt. Die Fristenteilung ist jetzt klarer, die Vorarbeit im Einkauf aber nicht kuerzer.

Diese Seite ist die enge Owner-Seite fuer die Frage, ob KI-Beschaffung schon vor 2027 angepasst werden sollte. Fuer den groesseren Rahmen lesen Sie unsere Seiten zu den Beschaffungsanforderungen nach der EU-KI-Verordnung, zu den EU-AI-Act-Fristen fuer die KI-Beschaffung in Deutschland, zur EU AI Act August 2026 Frist-Checkliste, zur KI-Anbieter-Due-Diligence und zur DSGVO-KI-Beschaffung.

Jetzt handeln, weil Beschaffungsfehler vor der Frist entstehen

Die praktisch richtige Antwort fuer Einkaeufer lautet nicht “wir warten bis 2027”, sondern jetzt handeln, weil der Vertrag den spaeteren Compliance-Spielraum festlegt.

• Vertraege werden vor der eigentlichen Frist unterschrieben oder verlaengert.
• Dokumentationsrechte muessen vor einer Eskalation gesichert sein.
• Nutzungsanweisungen und Aufsichtskonzepte lassen sich nach Rollout schlechter nachziehen.
• Verlaengerungen und Scope-Erweiterungen sind oft der letzte realistische Korrekturzeitpunkt.

Das gilt besonders fuer deutsche Unternehmen, die KI in HR, Support, interner Wissensarbeit, Scoring, Analytics oder anderen sensiblen Prozessen einsetzen wollen. Dort ueberlagern sich haeufig KI-Verordnung, DSGVO, teils auch BDSG, AGG, BetrVG oder produktspezifische Regeln.

Was deutsche Einkaeufer vor der 2027er Frist anpassen sollten

Die richtige Beschaffungsantwort vor 2027 lautet nicht, dass jedes KI-System bereits am selben Tag denselben Hochrisiko-Standard braucht. Die Antwort lautet, dass Unternehmen die Beziehung zum Anbieter jetzt so strukturieren sollten, dass spaetere Betreiberpflichten ueberhaupt umsetzbar bleiben, egal ob das System auf die 2026er, 2027er oder 2028er Fristenlinie faellt.

Neue Beschaffung versus Verlaengerung bestehender KI-Vertraege

Bei einer neuen Beschaffung ist der Hebel groesser. Das Unternehmen kann fragen, wie der Anbieter das System einordnet, welche Unterlagen existieren, welche Nutzungsanweisungen bereitstehen und wie ueber schwere Vorfaelle oder wesentliche Aenderungen informiert wird.

Bei einer Verlaengerung ist der Spielraum oft enger, aber weiterhin relevant. Wenn das Unternehmen:

• den Nutzerkreis erweitert,
• neue Datenquellen anschliesst,
• neue KI-Module aktiviert,
• vom Pilot in den Produktivbetrieb geht oder
• den kommerziellen Vertrag verlaengert,

sollte das als beschaffungsrechtlicher Neustart gelesen werden und nicht als blosse Routineverlaengerung.

Warum Warten bis 2027 Vertragsrisiken schafft

Warten klingt zurueckhaltend, fuehrt aber haeufig zu Vertragsrisiken. Die spaeteren Fristen beantworten nur, wann bestimmte Hochrisiko-Pflichten schaerfer greifen. Sie beantworten nicht, wann ein Unternehmen Dokumentations- und Mitwirkungsrechte verhandeln muss.

Typische spaete Erkenntnisse sind:

1. es gibt kein brauchbares Recht auf technische oder Compliance-Unterlagen;
2. die Nutzungsanweisungen des Anbieters reichen fuer reale Betreiberprozesse nicht aus;
3. Incident-Eskalation ist nur aus Sicht des Kunden geregelt, nicht als Mitwirkungspflicht des Anbieters;
4. Erwartungen an menschliche Aufsicht bleiben unklar; oder
5. der Anbieter kann wesentliche Modell- oder Produktaenderungen ohne belastbare Vorankuendigung vornehmen.

Das sind keine reinen Fristenprobleme. Das sind Beschaffungsprobleme.

Fragen zu Anbieter und Betreiber, die heute in die Beschaffung gehoeren

Die meisten Unternehmen in Deutschland sind beim Einkauf von KI-Software Betreiber und nicht Anbieter. Diese Unterscheidung ist schnell ausgesprochen, wird aber in der Vertragsarbeit oft zu spaet genutzt. Seit 2. August 2026 ist sie fuer Governance- und Transparenzfragen ohnehin bereits praktisch relevant, auch wenn die Haupt-Hochrisiko-Pflicht des konkreten Systems spaeter liegt.

Ein Anbieter kontrolliert regelmaessig:

• die Beschreibung der Zweckbestimmung,
• technische Unterlagen,
• Konformitaetsunterlagen, soweit einschlaegig,
• Einsatzgrenzen,
• bekannte Systemgrenzen und
• viele der Fakten hinter Vorfaellen oder wesentlichen Updates.

Der Betreiber ist dagegen das Unternehmen, das das System tatsaechlich im eigenen Prozess einsetzt. Genau dieses Unternehmen braucht ausreichend Unterstuetzung vom Anbieter, um spaeter rechtskonform und kontrolliert arbeiten zu koennen.

Diese Fragen sollten Einkaeufer jetzt stellen

Mindestens diese Punkte gehoeren in jede ernsthafte KI-Beschaffung:

1. Wie beschreibt der Anbieter seine Rolle nach der KI-Verordnung?
2. Sieht der Anbieter einen Bezug zu Anhang III oder zu anderen risikosensiblen Kategorien?
3. Welche Nutzungsanweisungen stehen fuer Betreiber zur Verfuegung?
4. Welche Erwartungen an menschliche Aufsicht setzt der Anbieter voraus?
5. Welche Logging-, Monitoring- oder Nachvollziehbarkeitsunterstuetzung gibt es?
6. Wie werden schwere Vorfaelle, Korrekturmassnahmen oder Aenderungen der Zweckbestimmung kommuniziert?
7. Welche technischen oder Compliance-Unterlagen koennen auf Anfrage vorgelegt werden?

Diese Fragen sind nicht nur allgemeine Compliance-Fragen. Sie gehoeren in die Beschaffung, weil die Antworten vor dem Go-live belastbar dokumentiert oder vertraglich abgesichert sein sollten.

Wann die Hochrisiko-Einstufung die Pruefung vertieft

Nicht jedes Tool braucht dieselbe Pruefungstiefe. Ein einfacher Assistenzfall ist anders zu bewerten als ein System fuer Recruiting, Mitarbeiterbewertung, biometrische Zugangskontrolle oder sensible Scoring-Prozesse.

Wenn der konkrete Einsatz in eine Hochrisiko-Richtung gehen kann, sollte die Pruefung tiefer gehen bei:

• Zweckbestimmung,
• Nachweisrechten,
• Aufsichtsdesign,
• Aussetzungs- und Eskalationsrechten,
• Incident-Mitwirkung und
• Update- und Aenderungslogik.

Das bedeutet nicht, dass vor Vertragsschluss stets eine vollstaendige Konformitaetspruefung erfolgen muss. Es bedeutet aber, dass kein Vertrag unterschrieben werden sollte, der spaetere Compliance-Arbeit praktisch blockiert.

Vertragsklauseln und Nachweisfluesse, die jetzt aufgesetzt werden sollten

Die exakte Formulierung haengt von Anbieter und Einsatzfall ab. Die Logik auf Kaeuferseite ist aber konstant: Den Nachweispfad vor dem operativen Druck sichern.

Dokumentationszugang

Das Unternehmen sollte wissen, welche Unterlagen existieren, wann sie angefordert werden koennen und in welcher Form sie bereitgestellt werden. Wenn der Vertrag dazu schweigt, ist der Betreiber spaeter auf informelle Kooperation angewiesen, genau dann, wenn der Anbieter am wenigsten Flexibilitaet zeigen will.

Nutzungsanweisungen

Nach der Logik der KI-Verordnung duerfen Betreiber nicht nur auf Werbeaussagen vertrauen. Sie brauchen belastbare Hinweise fuer den realen Prozess. Dazu koennen Zweckgrenzen, Aufsichtserwartungen, Eingabebeschraenkungen und Warnhinweise gehoeren.

Aufsichtsunterstuetzung und interne Governance

Der Anbieter bestimmt nicht das gesamte Governance-Modell des Kaeufers, sollte dieses aber mit Vertrag und Onboarding praktisch unterstuetzen. In deutschen Unternehmen muessen typischerweise mindestens folgende Fragen geklaert werden:

• Wer verantwortet das Tool intern?
• Welche Teams duerfen es nutzen?
• Wann ist eine menschliche Kontrolle zwingend?
• Welche Ereignisse loesen eine Eskalation aus?
• Wann muss der Einsatz neu bewertet werden?

Incident-Mitwirkung

Auch wenn fuer bestimmte Systemkategorien primaere Meldepflichten anders verteilt sein koennen, braucht der Betreiber schnelle Informationen, um Nutzung auszusetzen, Auswirkungen zu pruefen und die eigene Reaktion zu dokumentieren. Genau deshalb gehoert Incident-Mitwirkung schon vor 2027 in die Beschaffung.

Update-Hinweise und Change Control

Viele KI-Systeme aendern sich durch neue Modelle, neue Funktionen, geaenderte Settings oder Anbieter-Tuning. Unternehmen sollten klaeren, wie sie ueber Folgendes informiert werden:

• wesentliche Produktaenderungen,
• Aenderungen der Zweckbestimmung,
• neue Unterauftragsverarbeiter oder Infrastrukturwechsel,
• geaenderte Logging- oder Aufbewahrungslogik und
• Updates, die Risiko, Output-Qualitaet oder Rechtslage beeinflussen.

Hier greift haeufig parallel die Datenschutzspur aus unserer DSGVO-KI-Beschaffung.

Wie diese Seite mit der 2026-, 2027- und 2028-Zeitleiste zusammenhaengt

Diese Seite beantwortet die enge Frage “Warum schon jetzt handeln?” Sie ersetzt nicht die Datumsseiten des Beschaffungs-Clusters und sollte jetzt mit der seit 27. Juli 2026 feststehenden Fristenlogik gelesen werden.

So sollte der Cluster genutzt werden:

• Diese Seite nutzen, wenn die Frage lautet, ob Beschaffungsarbeit schon vor 2027 beginnen muss.
• Die Seite zu den Fristen fuer die KI-Beschaffung in Deutschland nutzen, wenn die grobe 2026-, 2027- und 2028-Logik benoetigt wird.
• Die separaten Datumsseiten des Clusters nutzen, wenn die Frage nicht mehr “warum jetzt handeln?” lautet, sondern “welche spaetere Frist passt auf dieses System?”
• Die Seite zu den Beschaffungsanforderungen nach der EU-KI-Verordnung nutzen, wenn Vertragsklauseln und Nachweise im Detail gebraucht werden.
• Die Seite KI-Anbieter-Due-Diligence nutzen, wenn der unmittelbare Bedarf in der Kaeuferpruefung vor Vertragsschluss liegt.

Die spaeteren Datumsseiten beantworten also wann eine Kategorie schaerfer wird, waehrend diese Seite erklaert, warum der Einkauf frueher handeln muss.

Praktischer Beschaffungsablauf fuer deutsche Unternehmen

Ein brauchbarer Ablauf vor 2027 sieht haeufig so aus:

1. Den Einsatzfall sauber definieren. Die rechtliche Einordnung haengt vom realen Workflow ab und nicht von der Werbekategorie des Vendors.
2. Die Rollen aufteilen. Klaeren, wo das Unternehmen als Betreiber handelt und was der Anbieter kontrolliert.
3. Das System praktisch klassifizieren. Transparenzfall, potenzieller Anhang-III-Fall, produktbezogener Fall oder eher Standardeinsatz.
4. Die Einordnung in Vertragspunkte uebersetzen. Dokumentation, Nutzungsanweisungen, Logging-Unterstuetzung, Update-Hinweise und Incident-Mitwirkung absichern.
5. Datenschutz und Arbeitsbezug parallel pruefen. Gerade bei HR, interner Analyse oder kundenbezogener KI ist das oft unverzichtbar.

Dieser Ablauf ist vor Vertragsunterzeichnung regelmaessig deutlich guenstiger als nach einem grossen Rollout.

Haeufige Fragen

Ist die EU KI-Verordnung in der Beschaffung schon vor 2027 relevant?

Ja. Fuer deutsche Einkaeufer sollte die Beschaffungsakte schon vor 2027 angepasst werden, weil der Vertrag spaeter darueber entscheidet, ob Unterlagen, Nutzungsanweisungen, Aufsichtsunterstuetzung und Mitwirkung des Anbieters praktisch verfuegbar sind.

Betreffen die Regeln schon heute Vertragsverlaengerungen?

Sehr oft ja. Gerade Verlaengerungen, neue Module, mehr Nutzer oder der Uebergang vom Pilot in den Produktivbetrieb sind typische Momente, in denen alte Vertragslogiken neu an der KI-Verordnung gemessen werden sollten.

Sollte ein Vertrag schon jetzt ueberarbeitet werden, auch wenn die Hauptpflichten vielleicht spaeter greifen?

In vielen Faellen ja. Der operative Zeitpunkt fuer die Vertragskorrektur liegt frueher als der spaetere Anwendungszeitpunkt. Wenn erst kurz vor der einschlaegigen Frist reagiert wird, ist das Papier oft bereits zu starr.

Was, wenn der Anbieter sagt, die KI-Verordnung sei erst spaeter ein Thema?

Das ist fuer die Beschaffung zu kurz gedacht. Auch wenn einzelne Pflichten spaeter schaerfer werden, braucht der Kaeufer schon heute Klarheit zu Rollen, Zweckbestimmung, Nutzungsanweisungen, Logging, Aufsicht und Incident-Mitwirkung.

Beratung zur KI-Beschaffung vor 2027

Compound Law beraet Unternehmen in Deutschland zu KI-Beschaffung, Anbieterpruefung, Betreiberpflichten, Vertragsgestaltung und DSGVO-Abstimmung. Diese Seite bietet allgemeine Informationen und ersetzt keine Rechtsberatung fuer ein konkretes System, Produkt oder Vertragsverhaeltnis.