Definition: KI-Anbieter
Ein KI-Anbieter ist eine natürliche oder juristische Person, Behörde, Einrichtung oder sonstige Stelle, die ein KI-System oder ein Allzweck-KI-Modell entwickelt oder entwickeln lässt und unter eigenem Namen in Verkehr bringt oder in Betrieb nimmt, so definiert in Artikel 3 Nummer 3 der EU-KI-Verordnung.
Kernmerkmale von KI-Anbieter
Die Anbieterrolle bemisst sich an Entwicklung und Inverkehrbringen, nicht an der Nutzung.
- Entwickelt ein KI-System oder lässt es entwickeln
- Bringt das System unter eigenem Namen oder eigener Marke in Verkehr
- Trägt das umfangreichste, technischste Pflichtenpaket der Verordnung
- Kann auch durch wesentliche Veränderung eines fremden Systems zum Anbieter werden
KI-Anbieter vs. KI-Betreiber
Der Anbieter entwickelt ein KI-System und bringt es in Umlauf. Der KI-Betreiber nutzt dieses System anschliessend unter eigener Verantwortung. Ein Softwareanbieter, der ein Routenoptimierungs-Tool baut, ist Anbieter; das Speditionsunternehmen, das es lizenziert, ist Betreiber. Anbieter dokumentieren Konformität vor dem Markteintritt; Betreiber setzen das System danach im dokumentierten Rahmen ein. Ein Unternehmen trägt oft beide Rollen, wenn es ein Tool für den eigenen Einsatz baut.
Bedeutung von KI-Anbieter im Enterprise-KI-Umfeld
Die meisten Unternehmen lizenzieren KI, statt sie selbst zu bauen - doch der Anteil an Anbietern wächst, weil Firmen Tools zunehmend anpassen und unter eigener Marke anbieten. Bitkoms KI-Studie 2026 fand, dass 41 % der deutschen Unternehmen KI bereits produktiv nutzen, gegenüber 20 % im Jahr 2024, und ein wachsender Teil davon verändert Systeme so stark, dass Anbieterpflichten greifen.
Methoden und Verfahren für KI-Anbieter
Drei Schritte setzen die Anbieterrolle in der Praxis um.
Rollen- und Klassifikationsprüfung
Zuerst muss ein Unternehmen klären, ob es für ein bestimmtes System Anbieter ist und ob dieses System Hochrisiko ist.
- Prüfen, ob das System selbst gebaut, in Auftrag gegeben oder nach Artikel 25 wesentlich verändert wurde
- Klären, ob das fertige System den eigenen Namen trägt
- System gegen Anhang III abgleichen, um die Pflichtenstufe zu bestimmen
Konformitätsbewertung und technische Dokumentation
Artikel 16 verpflichtet Anbieter von Hochrisikosystemen, die Konformitätsbewertung nach Artikel 43 durchzuführen, eine technische Dokumentation nach Anhang IV zu erstellen und vor dem Markteintritt ein Qualitätsmanagementsystem zu führen.
GPAI-spezifische Dokumentation
Anbieter von Allzweck-KI-Modellen folgen einem eigenen Pfad nach Artikel 53: Dokumentation für nachgelagerte Integratoren, eine Urheberrechtsrichtlinie und eine öffentliche Trainingsdaten-Zusammenfassung, verbindlich seit dem 2. August 2025.
Wichtige Kennzahlen für KI-Anbieter
Die Anbieter-Readiness lässt sich über Dokumentation, Zertifizierung und Registrierung messen.
Operative Compliance-Kennzahlen
- Dokumentationsabdeckung: Anteil der Systeme mit aktueller Anhang-IV-Akte
- Konformitätsstatus: Anteil der Hochrisikosysteme mit abgeschlossener Bewertung
- Registrierungsabdeckung: Anteil der pflichtigen Systeme in der EU-Datenbank
Strategische Kennzahlen
Die Geschäftsführung sollte verfolgen, wie sich Governance-Ausgaben mit reifenden Pflichten verschieben. Gartner zufolge verschlingt KI-Governance inzwischen 8-12 % des durchschnittlichen Unternehmens-KI-Budgets 2026, gegenüber 3-5 % im Jahr 2024.
Qualitätsmanagement-Kennzahlen
Anbieter sollten messen, wie konsequent das Qualitätsmanagementsystem nach Artikel 17 gelebt wird, denn Lücken hier untergraben jede nachgelagerte Konformitätsaussage.
Risikofaktoren und Kontrollen bei KI-Anbieter
Unbemerkt zum Anbieter werden
Der häufigste Fehler ist die Annahme, dass Anpassung eines gekauften KI-Systems automatisch in der Betreiberrolle bleibt.
- Anbieterstatus bei jeder wesentlichen Veränderung oder jedem Rebranding neu prüfen
- Grenze zwischen zugekauften Komponenten und eigenen Änderungen dokumentieren
Engpässe bei benannten Stellen
Anfang 2026 war das Ökosystem der benannten Stellen für KI-spezifische Konformitätsbewertung noch unvollständig. Anbieter, die auf externe Bewertung angewiesen sind, tragen ein Warteschlangenrisiko, das interne Bewertungen nicht kennen.
Nachmarktpflichten unterschätzen
Anbieter, die die CE-Kennzeichnung als einmaliges Ereignis behandeln statt als laufende Pflicht im Rahmen der Marktbeobachtung, tragen ein Durchsetzungsrisiko, sobald ein eingesetztes System vom dokumentierten Verhalten abweicht.
Praxisbeispiel
Ein 95-Personen-Hersteller optischer Prüftechnik in Sachsen baute ein eigenes KI-Modell zur Fehlererkennung für die Qualitätskontrolle der eigenen Fertigungslinie. Weil das Unternehmen das Modell selbst entwickelte und unter eigener Marke einsetzte, trug es Anbieter- und Betreiberpflichten gleichzeitig. Ein Compliance-Sprint ordnete das System Anhang III zu, stellte die Anhang-IV-Dokumentation zusammen und band einen schlanken Qualitätsprozess in das bestehende ISO-9001-System ein.
- Technische Dokumentation, bei jedem Retraining-Zyklus aktuell gehalten
- Interne Konformitätscheckliste aus bestehenden Qualitätsprozessen übernommen
- Benannter Ingenieur zuständig für Anbieterdokumentation und Betreiberaufsicht
- Quartalsweiser Abgleich des Produktionsverhaltens mit dem dokumentierten Zweck
Aktuelle Entwicklungen und Auswirkungen
Anbieterpflichten festigen sich, während die Fristen aus 2025 und 2026 verstreichen.
Die Digital-Omnibus-Verschiebung
Das im Mai 2026 politisch vereinbarte Digital-Omnibus-Paket der Kommission verschob den Anwendungstermin für eigenständige Hochrisikosysteme nach Anhang III auf den 2. Dezember 2027.
- Konformitätsbewertungspflichten der Anbieter für diese Systeme folgen dem neuen Termin
- Die GPAI-Pflichten nach Artikel 53 blieben unberührt und gelten seit 2025
Verbreitung des GPAI Code of Practice
Der Anfang bis Mitte 2025 fertiggestellte Verhaltenskodex des AI Office für Anbieter von Allzweck-KI-Modellen wird zum Standardweg, um Konformität nach Artikel 53 nachzuweisen.
Aufbau der Kapazität bei benannten Stellen
Normungsgremien und nationale Behörden erweitern den Pool an Stellen für KI-spezifische Bewertungen, doch die Kapazität blieb bis 2026 ein Engpass.
Käufer formalisieren die Prüfung von Anbietern
Da Selbsterklärungen von Anbietern regulatorisch mehr Gewicht bekommen, setzen Käufer zunehmend auf strukturiertes KI-Lieferantenrisikomanagement, um Konformitätsaussagen vor Vertragsabschluss zu verifizieren, statt sie unhinterfragt zu übernehmen.
Fazit
Die Rolle des KI-Anbieters trägt die umfangreichste Dokumentationslast der EU-KI-Verordnung und betrifft deutlich mehr Mittelstandsunternehmen, als viele annehmen. Jedes Unternehmen, das ein KI-System unter eigenem Namen entwickelt, in Auftrag gibt oder wesentlich verändert, kann Anbieterpflichten neben seinen Betreiberpflichten tragen. Der Digital Omnibus verschob den Anhang-III-Zeitplan, liess aber die GPAI-Pflichten und die zugrundeliegende Klassifikationslogik unberührt. Unternehmen, die ihre Anbieterexposition jetzt kartieren, entdecken sie nicht erst bei einer Prüfung.
Häufig gestellte Fragen
Was unterscheidet einen KI-Anbieter von einem KI-Betreiber?
Ein Anbieter entwickelt ein KI-System und bringt es unter eigenem Namen in Verkehr. Ein Betreiber nutzt dieses System unter eigener Verantwortung. Ein Unternehmen kann beide Rollen tragen, wenn es ein Tool für den eigenen Einsatz baut.
Kann unser Unternehmen unbeabsichtigt zum Anbieter werden?
Ja. Die wesentliche Veränderung eines gekauften KI-Systems oder das Inverkehrbringen unter eigener Marke kann Sie nach Artikel 25 in die Anbieterrolle verschieben.
Gilt die Anbieterrolle auch für ein Unternehmen mit nur 90 Mitarbeitenden?
Ja. Die Pflichten aus Artikel 16 und Artikel 53 gelten unabhängig von der Unternehmensgrösse, auch wenn die Small-Mid-Cap-Kategorie des Digital Omnibus kleineren Firmen vereinfachte Vorlagen bietet.
Was kostet die Konformitätsbewertung für einen Anbieter?
Die Kosten hängen von der Risikoklassifikation und davon ab, ob eine benannte Stelle nötig ist. Ein ausgereiftes Qualitätsmanagementsystem senkt die Zusatzkosten jeder weiteren Bewertung.
Wie wirkt sich der Digital Omnibus auf Anbieterpflichten aus?
Er verschob die eigenständigen Hochrisikopflichten nach Anhang III auf den 2. Dezember 2027, doch die Artikel-53-Pflichten für Anbieter von Allzweck-KI-Modellen gelten bereits seit dem 2. August 2025.
Wie hängt die Anbieterrolle mit dem Ansatz von Superkind zusammen?
Superkind baut KI-Agenten, die Kunden innerhalb ihrer eigenen Systeme einsetzen, wodurch die Anbieterdokumentation zentral bleibt, statt jedes Kundenunternehmen unbeabsichtigt zum Anbieter zu machen.
