KI-Startups gelangen häufig deutlich schneller vom Prototypen zur kommerziellen Bereitstellung als herkömmliche Technologieunternehmen. Ein kleines Team kann ein Basismodell, proprietäre Daten und eine Benutzeroberfläche verbinden und dann innerhalb weniger Monate in mehreren Ländern verkaufen. Diese Geschwindigkeit ist wirtschaftlich attraktiv, verkürzt jedoch auch rechtliche Entscheidungen, die sonst über einen deutlich längeren Produktzyklus verteilt würden.

Die Einbindung von KI-Rechtsdienstleistungen vor dem Launch hilft Gründern, die Produktarchitektur in eine rechtliche Risikokarte zu übersetzen, die einschlägigen regulatorischen Rollen zu bestimmen und Verträge, Daten-Governance und Compliance-Nachweise aufzubauen, solange das System noch leicht anpassbar ist. Dies ist in der Regel kostengünstiger, als ein bereits eingeführtes Produkt neu zu gestalten, nachdem ein Kunde, Investor oder Aufsichtsbehörde ein strukturelles Problem festgestellt hat.

KI-Regulierung wird operativ, nicht theoretisch

Der EU AI Act ist am 1. August 2024 in Kraft getreten und gilt nach einem gestaffelten Zeitplan. Bis Ende Juli 2026 galten bereits Verbote bestimmter Praktiken und Pflichten zur KI-Kompetenz, Pflichten für allgemeine KI-Modelle begannen zu greifen, und wesentliche Transparenzvorschriften sollten ab dem 2. August 2026 gelten. Startups, die in die EU eintreten, benötigen daher eine aktuelle Umsetzungsanalyse und nicht nur die allgemeine Aussage, dass „KI-Regulierung kommt“.

Der Rechtsakt folgt einem risikobasierten Aufbau. Bestimmte Praktiken sind verboten, spezifische Systeme werden als Hochrisiko eingestuft, einzelne KI-Interaktionen und erzeugte Inhalte unterliegen Transparenzpflichten, und andere Systeme verbleiben unter allgemeinen gesetzlichen Regeln. Die Einstufung hängt vom Verwendungszweck, vom Einsatzkontext und von der Rolle des Startups in der Lieferkette ab. Dasselbe zugrunde liegende Modell kann unterschiedliche Pflichten auslösen, wenn es für Unterhaltung, Personalrekrutierung, Kreditbewertung oder medizinische Unterstützung eingesetzt wird. Verstöße können erhebliche finanzielle Folgen haben: Der Rechtsakt sieht Geldbußen von bis zu 35 Millionen EUR oder 7 Prozent des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist, bei Verstößen gegen Verbote bestimmter Praktiken, sowie bis zu 15 Millionen EUR oder 3 Prozent bei anderen Verstößen.

Gründer sollten außerdem nicht davon ausgehen, dass die Nutzung eines Drittanbieter-Modells sämtliche Verantwortung auf den Modellanbieter überträgt. Ein Startup kann auch dann Anbieter seines eigenen KI-Systems sein, wenn das Kernmodell über eine API bezogen wird. Rebranding, Feinabstimmung, wesentliche Änderungen oder die Definition des Verwendungszwecks können die rechtliche Rolle beeinflussen. Verträge mit dem Modelllieferanten beseitigen gesetzliche Pflichten nicht.

Mit Produkt- und Rollenklassifizierung beginnen

Eine rechtliche Prüfung sollte damit beginnen, wie das Produkt tatsächlich funktioniert. Welche Eingaben erhält es? Welche Ausgabe erzeugt es? Wer verlässt sich auf diese Ausgabe? Unterstützt das System lediglich einen Menschen, oder entscheidet es über Zugang zu Beschäftigung, Finanzierung, Bildung, Gesundheitsversorgung oder wesentlichen Dienstleistungen? Sind biometrische Daten beteiligt? Können Nutzer die KI für einen Menschen halten? Erzeugt das Produkt synthetische Medien?

Anschließend muss das Unternehmen die beteiligten Akteure erfassen. Dazu können der Anbieter des Basismodells, Systemanbieter, Betreiber, Importeur, Vertriebspartner, Datensupplier, Cloud-Host und Kunde gehören. Die vertragliche Bezeichnung einer Partei ist nicht immer ausschlaggebend; Aufsichtsbehörden werden die tatsächlich ausgeführten Funktionen prüfen.

Diese Klassifizierung bestimmt den Compliance-Pfad. Ein Produktivitätstool mit niedrigem Risiko kann vor allem transparente Nutzungsbedingungen, Datenschutz-Compliance und belastbare Lieferantenverträge erfordern. Ein Hochrisikosystem kann Risikomanagement, Daten-Governance, technische Dokumentation, Protokollierung, menschliche Aufsicht, Genauigkeit, Cybersicherheit, Konformitätsbewertung und Überwachung nach dem Inverkehrbringen erfordern. Eine erst kurz vor einem großen Launch erfolgende Einstufung kann den kommerziellen Zeitplan gefährden.

Datenschutz muss in die Architektur eingebaut werden

KI-Produkte verarbeiten häufig personenbezogene Daten über Nutzereingaben, hochgeladene Dokumente, Support-Logs, Analysen und Modelltrainings-Pipelines. Nach der DSGVO und ähnlichen Gesetzen benötigt das Unternehmen eine Rechtsgrundlage, transparente Hinweise, festgelegte Zwecke, Aufbewahrungsfristen, Sicherheitskontrollen und Mechanismen für Betroffenenrechte. Diese Pflichten gelten auch dann, wenn das Startup nicht absichtlich ein personenbezogenes Datenprodukt entwickelt. EU-Datenschutzbehörden haben seit 2018 DSGVO-Bußgelder in Milliardenhöhe verhängt, was zeigt, dass die Durchsetzung real und nicht theoretisch ist, und verdeutlicht, wie KI-bezogene Datenpraktiken geprüft werden dürften.

Prompt-Daten verdienen besondere Aufmerksamkeit. Nutzer können Beschäftigungsunterlagen, medizinische Details, Rechtsakten, Kundenlisten oder vertraulichen Quellcode in einen scheinbar einfachen Chatbot einfügen. Das Startup muss entscheiden, ob Prompts gespeichert, zum Training verwendet, von Mitarbeitenden geprüft oder an Unterauftragsverarbeiter übertragen werden. Unternehmenskunden werden fragen, ob ihre Daten isoliert sind und ob der Modellanbieter sie zur Verbesserung eigener Dienste verwenden kann.

Automatisierte Entscheidungsfindung kann zusätzliche Pflichten auslösen, wenn Entscheidungen rechtliche oder ähnlich erhebliche Wirkungen haben. Menschliche Prüfung muss substanziell und nicht bloß symbolisch sein. Eine Person, die routinemäßig die Modellantwort übernimmt, ohne die Grundlage zu verstehen, bietet möglicherweise keine wirksame Aufsicht.

Auch internationale Übermittlungen müssen analysiert werden. Ein europäischer Kunde kann mit einer auf die EU ausgerichteten Anwendung interagieren, während Modell, Protokolle und Supportsysteme in mehreren Ländern betrieben werden. Die rechtlichen Dokumente und die technische Konfiguration müssen dieselbe Geschichte erzählen.

Trainingsdaten und geistiges Eigentum

Ein KI-Startup kann von Datensätzen, Modellgewichten, Open-Source-Bibliotheken, Kundeninhalten und synthetischen Daten abhängen, die jeweils unterschiedlichen Rechten unterliegen. Dass Informationen online zugänglich sind, bedeutet nicht automatisch, dass sie ohne Einschränkung kopiert, zum Training verwendet oder kommerzialisiert werden dürfen. Urheberrecht, Datenbankrechte, Vertraulichkeit, Datenschutz und vertragliche Bedingungen können sich überschneiden. Gerichte in den Vereinigten Staaten, im Vereinigten Königreich und in der EU verhandeln zunehmend Fälle zur Nutzung urheberrechtlich geschützter Werke zum Training generativer KI-Modelle, und die Ergebnisse könnten beeinflussen, wie Trainingsdatensätze zusammengestellt und lizenziert werden müssen.

Das Unternehmen sollte einen Herkunftsnachweis für Daten führen, der dokumentiert, woher wesentliche Datensätze stammen, welche Lizenz gilt, welche Nutzungen erlaubt sind, welche Einschränkungen bestehen und welche Löschanforderungen gelten. Dieser Nachweis ist für Due Diligence durch Unternehmenskunden und für Finanzierungsrunden wichtig, selbst wenn die Rechtslage noch nicht vollständig geklärt ist.

Auch die Eigentumsverhältnisse an Ausgaben bedürfen vertraglicher Regelung. Kunden erwarten häufig die Eigentümerschaft an erzeugten Berichten, Bildern, Code oder Designs, während das Startup möglicherweise Rechte benötigt, um Feedback und anonymisierte Nutzungsdaten zu verwenden. Der Vertrag sollte zwischen Kundeneingaben, Anbietertechnologie, erzeugten Ausgaben, Verbesserungen und Komponenten Dritter unterscheiden.

Verträge mit Beschäftigten und Auftragnehmern müssen Rechte an Code, Prompts, Datensätzen, Modellkonfigurationen, Dokumentation und Erfindungen zuweisen. Viele frühe Teams verlassen sich auf informelle Beiträge von Gründern, Freelancern oder akademischen Mitwirkenden. Unklare Eigentumsverhältnisse können Finanzierung oder Übernahme Jahre später behindern.

Kundenverträge müssen zum Verhalten der KI passen

Allgemeine Softwarebedingungen sind für KI-Produkte oft unzureichend. Der Vertrag sollte die Leistung beschreiben, ohne unrealistische Genauigkeitsversprechen zu machen. Er sollte vorgesehene Nutzungen, verbotene Nutzungen, Nutzerverantwortung, Erwartungen an menschliche Prüfung und Beschränkungen der Ausgaben erläutern. Haftungsausschlüsse heilen kein Produkt, das für eine regulierte Entscheidung vermarktet wird, aber vertraglich als „nur zu Informationszwecken“ beschrieben ist.

Die Haftungsverteilung ist besonders wichtig, wenn Ausgaben finanzielle, arbeitsbezogene, sicherheitsrelevante oder rufschädigende Schäden verursachen können. Unternehmenskunden können eine unbeschränkte Haftung für Datenschutzverletzungen, IP-Verletzungen oder regulatorische Verstöße verlangen. Das Startup muss prüfen, ob seine Versicherungen, Freistellungen von Lieferanten und technischen Kontrollen diese Zusagen tragen.

Verträge sollten auch Modellaktualisierungen regeln. Die Leistung von KI kann sich nach einem Retraining oder dem Austausch eines Upstream-Modells ändern. Die Parteien benötigen Regeln für wesentliche Änderungen, Tests, Benachrichtigung, Abnahme und den Entzug veralteter Versionen. Bei besonders folgenreichen Einsätzen können Kunden Audit-Logs und dokumentierte menschliche Aufsicht verlangen.

Vorbereitung auf Investoren- und Enterprise-Due-Diligence

Investoren und große Kunden stellen heute detaillierte Fragen zur KI-Governance. Sie können ein Modellverzeichnis, eine Risikoklassifizierung, eine Datenflusskarte, Lieferantenverträge, Sicherheitsberichte, Rechte an Datensätzen, Vorfallhistorie und Nachweise über Tests anfordern. Ein Startup, das diese Informationen erst im Zuge der Due Diligence zusammenstellt, kann Lücken entdecken, die sich nicht schnell schließen lassen.

Due Diligence ist nicht nur defensiv. Eine starke Governance kann Beschaffungszyklen verkürzen, weil Unternehmenskunden dem Startup die Grundanforderungen nicht erst erklären müssen. Sie kann auch die Qualität der Investmentgespräche verbessern, indem sie zeigt, dass das Produkt skalieren kann, ohne versteckte rechtliche Altlasten anzusammeln.

Internationale Expansion erfordert eine länderspezifische Ebene

Ein online verfügbares KI-Produkt kann von Anfang an Nutzer in vielen Ländern erreichen, aber rechtliche Pflichten sind nicht einheitlich. Der regulatorische Rahmen des EU AI Act ist für den Zugang zum europäischen Markt zentral, während sich Datenschutz-, Verbraucher-, Arbeits-, Produktsicherheits- und sektorspezifische Regeln je nach Jurisdiktion unterscheiden. Die Vereinigten Staaten können Analysen auf Bundes- und Staatsebene erfordern, und andere Märkte entwickeln eigene Rahmenwerke. Der AI Act hat zudem extraterritoriale Wirkung: Er gilt für Anbieter und Betreiber, deren KI-Systeme Ausgaben erzeugen, die in der EU verwendet werden, unabhängig davon, wo das Unternehmen ansässig ist – ein Mechanismus, der aus der DSGVO vertraut ist.

Das Unternehmen sollte definieren, wo aktiv vermarktet wird, wo sich die Kunden befinden, wo Daten verarbeitet werden und wo regulierte Entscheidungen stattfinden. Expansion sollte priorisiert und nicht standardmäßig als global behandelt werden. Ein kontrollierter Rollout erlaubt es dem Startup, Hinweise, Verträge, Datenübermittlungen und Produktfunktionen an jeden Markt anzupassen.

Sektorspezifische Regeln können wichtiger sein als allgemeine KI-Gesetzgebung. Ein von Banken, Versicherern, Gesundheitsdienstleistern, Rechtsanwälten oder Arbeitgebern genutztes Tool muss in das regulatorische Umfeld des Kunden passen. Das Startup kann Prüfungsrechte, Aufbewahrungspflichten, Erklärbarkeit oder Lokalisierungsfunktionen benötigen, bevor der Kunde es rechtmäßig einsetzen kann.

Ein praktischer rechtlicher Fahrplan vor dem Launch

Vor dem kommerziellen Start sollte das Startup mehrere miteinander verbundene Arbeitspakete abschließen: das KI-System und die regulatorischen Rollen klassifizieren; personenbezogene und vertrauliche Daten erfassen; IP-Rechte verifizieren; Upstream-Modell- und Cloud-Verträge prüfen; Kunden- und Nutzungsbedingungen entwerfen; eine interne KI-Richtlinie erstellen; Sicherheits- und Vorfallprozesse einrichten; Marketingaussagen validieren; und die ersten Zieljurisdiktionen festlegen.

Der Fahrplan sollte dynamisch bleiben. Modellaktualisierungen, neue Funktionen, Kundensegmente und geografische Expansion können die Risikoklassifizierung verändern. Ein regelmäßiger Überprüfungsprozess ist wirksamer als ein einmaliges Compliance-Zertifikat.

Fazit

KI-Startups müssen sich nicht zwischen Geschwindigkeit und Compliance entscheiden. Der bessere Ansatz besteht darin, die rechtliche Analyse in die Produktstrategie zu integrieren. Frühe Klassifizierung, klare Daten-Governance, belastbare IP-Rechte und realistische Verträge verringern die Unsicherheit für Gründer, Kunden und Investoren.

Da wesentliche Teile des EU AI Act im Jahr 2026 operativ werden, können sich Unternehmen nicht mehr auf allgemeine ethische Aussagen oder Zukunftspläne verlassen. Sie brauchen Nachweise, dass gesetzliche Pflichten in Produktkontrollen, Dokumentation und nachvollziehbare Entscheidungen übersetzt wurden. Startups, die dieses Fundament vor dem Launch aufbauen, sind besser positioniert, um regulierte Sektoren zu erschließen, international zu expandieren und mit anspruchsvollen Unternehmenskunden zu verhandeln.

Quellen

• Regulation (EU) 2024/1689, Artificial Intelligence Act
• European Commission, AI Act regulatory framework and application timeline
• European Commission, Navigating the AI Act – FAQs
• European Commission, Data protection and the GDPR