Definition: Wesentliche Veränderung (EU-KI-Verordnung)
Eine wesentliche Veränderung ist eine Änderung an einem KI-System nach dessen Inverkehrbringen oder Inbetriebnahme, die in der ursprünglichen Konformitätsbewertung des Anbieters nicht vorgesehen war und entweder die Konformität des Systems mit den Anforderungen der EU-KI-Verordnung betrifft oder den bewerteten Verwendungszweck ändert.
Kernmerkmale von wesentlicher Veränderung
Das Konzept gilt für Systeme, die als Hochrisiko-KI-System nach Artikel 6 eingestuft waren oder es bleiben. Nicht jede Aktualisierung zählt; routinemäßige Wartung und vorab genehmigte Anpassungen sind ausgenommen.
- War in der ursprünglichen Konformitätsbewertung nicht vorgesehen
- Betrifft die Konformität mit Anforderungen aus Kapitel III Abschnitt 2
- Ändert den beabsichtigten Verwendungszweck des Systems
- Gilt unabhängig davon, wer sie vornimmt: Anbieter, Betreiber oder Dritte
Wesentliche Veränderung vs. Routineaktualisierung
Eine Routineaktualisierung, etwa ein Sicherheitspatch oder ein Retraining auf derselben Datenverteilung zur Korrektur von Drift, ändert meist nicht, was ein System tut oder wie es gegenüber seinem ursprünglichen Risikoprofil abschneidet. Eine wesentliche Veränderung ändert Zweck, Eingabedaten oder Risikoprofil des Systems auf eine Weise, die die ursprüngliche Konformitätsbewertung nie geprüft hat. Das Feintuning eines allgemeinen Modells auf einen neuen Anwendungsfall, die Erweiterung um eine neue Entscheidungsdomäne oder das Umlabeln eines gekauften Systems unter eigenem Namen sind typische Beispiele. Eine Routineaktualisierung lässt die ursprüngliche Zertifizierung gültig; eine wesentliche Veränderung setzt die Compliance-Uhr zurück.
Bedeutung von wesentlicher Veränderung im Enterprise-KI-Umfeld
Die wesentliche Veränderung entscheidet, wer rechtlich die Anbieterverantwortung trägt, sobald ein System bereits produktiv läuft, und genau dort verändert sich Enterprise-KI in der Praxis am häufigsten. Bitkoms KI-Studie 2026 fand, dass deutsche Unternehmen mit Hochrisiko-KI-Systemen im Schnitt 1,5 solcher Systeme betreiben, 29 % aber nicht angeben konnten, wie viele sie tatsächlich einsetzen - eine Lücke, die es schwer macht zu erkennen, wann eine Änderung die Schwelle bereits überschritten hat.
Methoden und Verfahren für wesentliche Veränderung
Die Bewertung, ob eine Änderung wesentlich ist, folgt einem wiederholbaren Prozess und keiner einmaligen Rechtseinschätzung.
Screening der Änderungsauswirkung
Jede geplante Änderung, ob neuer Trainingslauf, neue Integration oder neuer Anwendungsfall, sollte vor dem Rollout gegen die Kriterien aus Artikel 3 Nummer 23 geprüft werden. Das hält den Prozess verhältnismäßig, da die meisten Änderungen dieses Screening ohne weitere Prüfung durchlaufen.
- Änderung mit dem ursprünglichen Verwendungszweck des Systems abgleichen
- Prüfen, ob sich Risikoparameter, Eingaben oder Entscheidungslogik verschoben haben
- Ergebnis des Screenings für die technische Dokumentation festhalten
Neubewertung gegen Artikel 6 und Anhang III
Signalisiert das Screening eine mögliche wesentliche Veränderung, muss das System gegen dieselben Artikel-6- und Anhang-III-Kriterien neu eingestuft werden, die bei der ursprünglichen Klassifizierung galten. Ein zuvor minimal-riskantes System kann so zum Hochrisikosystem werden, und ein Hochrisikosystem mit neuem Anwendungsfall kann eine erneute Bewertung benötigen, selbst wenn sich die Risikoklasse nicht ändert.
Neue Konformitätsbewertung und Dokumentation
Bestätigt die Neubewertung eine wesentliche Veränderung, verlangt Artikel 43 eine neue Konformitätsbewertung für die geänderten Elemente sowie aktualisierte technische Dokumentation. Bei Systemen, die ursprünglich eine Drittprüfung benötigten, muss eine benannte Stelle das System neu zertifizieren, bevor es wieder in Verkehr gebracht wird.
Wichtige Kennzahlen für wesentliche Veränderung
Eine gute Nachverfolgung wesentlicher Veränderungen ist weniger eine einzelne Kennzahl als vielmehr Transparenz über jede Änderung an einem produktiven KI-System.
Kennzahlen zur Änderungsnachverfolgung
- Screening-Abdeckung von Änderungen: 100 % aller Produktivänderungen
- Vorlaufzeit von Screening bis Deployment: unter 5 Werktagen
- Undokumentierte Modell- oder Datenquellenänderungen: 0
- Zeit von markierter Änderung bis Neubewertungsentscheidung: unter 10 Werktagen
Governance-Kennzahlen
Wichtiger als die Geschwindigkeit ist, wie vollständig eine Organisation tatsächlich weiß, was sie betreibt. Der EU AI Act Readiness Report 2026 von Vision Compliance fand, dass 61 % der Organisationen keinen Prozess hatten, um die technische Dokumentation zu erstellen, die eine Prüfung auf wesentliche Veränderung erfordert - jede routinemäßige Modellaktualisierung wird so zur Ad-hoc-Compliance-Hektik.
Qualitätskennzahlen der Bewertung
Gut geführte Programme unterscheiden False Positives, markierte, aber später freigegebene Änderungen, von echten wesentlichen Veränderungen mit voller Neubewertungspflicht, und halten diese Quote niedrig genug, damit Teams das Screening nicht irgendwann überspringen.
Risikofaktoren und Kontrollen bei wesentlicher Veränderung
Eine übersehene wesentliche Veränderung hat unmittelbare rechtliche Folgen.
Unbeabsichtigter Anbieterstatus
Nach Artikel 25 macht eine wesentliche Veränderung an einem gekauften Hochrisikosystem den Verändernden automatisch zum neuen KI-Anbieter, mit allen Dokumentations- und Registrierungspflichten dieser Rolle, unabhängig davon, ob das Unternehmen diese Rolle übernehmen wollte.
- Feintuning eines Anbietermodells auf eigenen Daten
- Umlabeln oder Rebranding eines Drittsystems
- Erweiterung eines Systems auf einen neuen Hochrisiko-Anwendungsfall
Ungültige CE-Kennzeichnung und Marktzugang
Ein Hochrisikosystem, das nach einer nicht gemeldeten wesentlichen Veränderung in Verkehr gebracht wird, trägt eine CE-Kennzeichnung, die nicht mehr die geprüfte Konfiguration widerspiegelt. Marktüberwachungsbehörden können dies als Inverkehrbringen eines nicht konformen Produkts werten, mit Bußgeldern und Zwangsrücknahme als Folge.
Schleichende Ausweitung bei agentischen Systemen
KI-Agenten, die schrittweise statt in einem einzigen Release neue Werkzeugintegrationen oder Entscheidungsbefugnisse erhalten, entgleiten besonders leicht unbemerkt aus ihrem geprüften Anwendungsbereich. Formales Änderungsmanagement, nicht nur technische Versionskontrolle, fängt das ab, bevor daraus eine Compliance-Lücke wird.
Praxisbeispiel
Ein 140-Mitarbeiter-Hersteller von Maschinenkomponenten bei Stuttgart hatte ein visuelles Prüfsystem eines Drittanbieters lizenziert, ursprünglich zertifiziert für die Oberflächenfehlererkennung auf einer Produktlinie. Als das Qualitätsteam das Modell auf eigenen Fehlerbildern feintunte und auf zwei weitere Produktlinien ausweitete, markierte eine interne Prüfung die Änderung nach Artikel 3 Nummer 23 noch vor dem Rollout. Das Unternehmen klärte gemeinsam mit dem Anbieter, dass die Änderung es zum neuen Anbieter des erweiterten Systems machte, was eine frische Konformitätsbewertung und aktualisierte technische Dokumentation auslöste statt eines stillen Go-lives. Das erweiterte System ging elf Wochen später in Produktion, mit geschlossener Compliance-Lücke, bevor ein Ergebnis einen Kunden erreichte.
- Änderungsscreening fest in die Modell-Release-Checkliste eingebaut
- Dokumentierte Begründung, warum die Änderung als wesentlich galt
- Aktualisierte technische Dokumentation für die neuen Produktlinien
- Klausel zur Anbieterkoordination im Lizenzvertrag ergänzt
Aktuelle Entwicklungen und Auswirkungen
Die wesentliche Veränderung wird zu einer größeren operativen Frage, weil sich KI-Systeme schneller ändern, als der ursprüngliche Bewertungszyklus der Verordnung vorsah.
Schnellere Modell-Release-Zyklen
Foundation-Model-Anbieter bringen inzwischen mehrere bedeutende Updates pro Jahr heraus, und jede neue Version, die ein Unternehmen in ein Produktivsystem übernimmt, wirft dieselbe Frage zur wesentlichen Veränderung auf, für die die Verordnung ursprünglich langsamer wechselnde Software im Blick hatte. Unternehmen behandeln ungeplante Modelländerungen zunehmend als Governance-Thema, nicht nur als technische Wartung.
- Verträge mit Modellversions-Pinning gegen ungeplante Änderungen
- Automatisierte Diff-Werkzeuge zum Vergleich des Modellverhaltens über Versionen hinweg
- Change-Advisory-Boards, die um KI-spezifische Kriterien erweitert wurden
Agentische KI erweitert, was als Änderung zählt
Wenn KI-Agenten im Zeitverlauf schrittweise neue Werkzeuge, Datenanbindungen oder Entscheidungsbefugnisse erhalten, lässt sich die Grenze des geprüften Systems schwerer bestimmen als bei einem statischen Modell. Leitlinien tendieren zunehmend dazu, eine erweiterte Werkzeug- oder Entscheidungsreichweite als Auslöser für eine wesentliche Veränderung zu behandeln, auch ohne neue Modellversion.
Digital Omnibus und die verschobene Frist
Der Digital Omnibus verschob die Hochrisiko-Pflichten nach Anhang III vom August 2026 auf Dezember 2027 und gibt Mittelstandsunternehmen mehr Zeit, Änderungsmanagement-Prozesse aufzubauen. Die Verschiebung ließ die Definition der wesentlichen Veränderung selbst unangetastet, weshalb Unternehmen mit Hochrisikosystemen Änderungen schon jetzt nachverfolgen sollten und nicht erst kurz vor der Frist.
Fazit
Die wesentliche Veränderung ist der Mechanismus, der das Klassifizierungs- und Zertifizierungssystem der EU-KI-Verordnung stimmig hält, während sich KI-Systeme nach ihrer Markteinführung weiter verändern. Für Mittelstandsunternehmen, die KI-Systeme lizenzieren, feintunen oder erweitern statt sie von Grund auf zu bauen, entscheidet diese Schwelle, wer die Anbieterpflichten trägt, sobald etwas schiefgeht. Änderungsscreening fest in den normalen Release-Prozess einzubauen, statt es als separate Übung zu behandeln, verhindert, dass die Schwelle versehentlich überschritten wird. Da sich Modelle immer häufiger aktualisieren und agentische Systeme ihren eigenen Wirkungsbereich mit der Zeit erweitern, behalten die Unternehmen, die Veränderungen systematisch nachverfolgen, ihren Marktzugang.
Häufig gestellte Fragen
Was gilt nach der EU-KI-Verordnung als wesentliche Veränderung?
Eine Änderung gilt als wesentliche Veränderung, wenn sie in der ursprünglichen Konformitätsbewertung des Systems nicht vorgesehen war und entweder dessen Konformität mit den Anforderungen der Verordnung betrifft oder den bewerteten Verwendungszweck ändert. Feintuning auf neuen Daten, ein neuer Anwendungsfall oder erweiterte Entscheidungsbefugnisse zählen typischerweise dazu; Sicherheitspatches und Fehlerbehebungen normalerweise nicht.
Macht eine wesentliche Veränderung unser Unternehmen zum KI-Anbieter?
Ja. Nach Artikel 25 wird derjenige, der eine wesentliche Veränderung an einem Hochrisikosystem vornimmt, das dabei Hochrisikosystem bleibt, zum neuen Anbieter dieses Systems und übernimmt die damit verbundenen Dokumentations-, Registrierungs- und Konformitätsbewertungspflichten.
Brauchen wir eigene IT-Ressourcen, um wesentliche Veränderungen zu bewerten?
Nicht zwingend eine eigene Compliance-Abteilung. Ein schlanker interner Prüfschritt, der jede geplante Änderung vor dem Release gegen die Kriterien aus Artikel 3 Nummer 23 abgleicht, reicht für ein mittelständisches Unternehmen meist aus; der Aufwand skaliert mit der Änderungshäufigkeit des Systems, nicht mit der Unternehmensgröße.
Wie wirkt sich der Digital Omnibus auf die Regeln zur wesentlichen Veränderung aus?
Er verschob die Frist für die Hochrisiko-Pflichten nach Anhang III vom August 2026 auf Dezember 2027, ließ aber die Definition der wesentlichen Veränderung und die Anbieterverschiebung nach Artikel 25 unverändert. Unternehmen müssen Änderungen weiterhin schon jetzt nachverfolgen, denn die Verschiebung ist eine Fristverlängerung, keine Befreiung.
Was passiert, wenn wir eine wesentliche Veränderung übersehen und das System weiterlaufen lassen?
Das System gilt dann als ohne gültige Konformitätsbewertung für seine aktuelle Konfiguration in Verkehr gebracht, worauf Marktüberwachungsbehörden mit Bußgeldern oder einer Zwangsrücknahme reagieren können. Die CE-Kennzeichnung der ursprünglichen Version deckt das tatsächliche Verhalten des veränderten Systems nicht mehr ab.
Gibt es Förderung oder Unterstützung für Mittelstandsunternehmen bei diesem Thema?
Direkte EU-Förderung speziell für die Umsetzung der EU-KI-Verordnung ist begrenzt, aber mehrere Digitalisierungsförderprogramme der Länder und der KfW können die Kosten für Änderungsmanagement-Werkzeuge und rechtliche Prüfung abfedern, die ein Prozess zur wesentlichen Veränderung erfordert, und regionale IHKs bieten dazu oft eine kostenlose Erstberatung an.
