Händler nach dem AI Act: Compliance in Vertrieb und Lieferkette

Händlerrolle zuerst sauber abgrenzen

Art. 3 Nr. 7 beschreibt den Händler als eine natürliche oder juristische Person in der Lieferkette, die ein KI-System auf dem Unionsmarkt bereitstellt, ohne Anbieter oder Einführer zu sein. Entscheidend ist daher nicht die Berufsbezeichnung im Vertrag, sondern die tatsächliche Funktion. Wer ein System erstmals aus einem Drittstaat in der Union in Verkehr bringt, kann Einführer sein. Wer es unter eigenem Namen anbietet oder wesentlich verändert, kann Anbieterpflichten auslösen.

Bereitstellung bedeutet die entgeltliche oder unentgeltliche Abgabe eines KI-Systems zum Vertrieb oder zur Verwendung auf dem Unionsmarkt im Rahmen einer gewerblichen Tätigkeit. Davon sind das erstmalige Inverkehrbringen und der eigene Einsatz als Betreiber zu unterscheiden. Ein Unternehmen kann bei verschiedenen Produkten unterschiedliche Rollen haben oder für dasselbe Vorhaben mehrere Rollen verbinden. Die Rollenprüfung gehört deshalb an den Anfang jedes Freigabeprozesses und muss anhand von Lieferweg, Marke, Änderungen und Nutzung dokumentiert werden.

• Lieferweg und Sitz des Herstellers erfassen
• Markenauftritt und technische Änderungen prüfen
• Eigengebrauch von Weitergabe unterscheiden

Quellen: [1]

Prüfprogramm vor der Bereitstellung

Art. 24 sieht für Händler von Hochrisiko-KI-Systemen ein konkretes Kontrollprogramm vor. Vor der Bereitstellung müssen sie überprüfen, dass das System die erforderliche CE-Kennzeichnung trägt, eine Abschrift der EU-Konformitätserklärung beigefügt ist und die vorgeschriebene Gebrauchsanweisung vorliegt. Außerdem sind die Identitäts- und Kontaktangaben des Anbieters sowie gegebenenfalls des Einführers zu kontrollieren. Die Prüfung ist keine vollständige Wiederholung der Konformitätsbewertung, verlangt aber belastbare Sichtkontrollen und nachvollziehbare Nachweise.

Der operative Prozess sollte festlegen, welche Dokumente als Original, Kopie oder digitaler Abruf akzeptiert werden, wer Abweichungen bewertet und wie eine Vertriebssperre technisch umgesetzt wird. Seriennummern, Modellversionen, Lieferanten und Prüfergebnis sollten zusammengeführt werden. Fehlt nur ein Dokument, darf das Team den Mangel nicht als bloße Formalität behandeln. Es braucht eine geklärte Rückfrage an Anbieter oder Einführer und eine dokumentierte Entscheidung, bevor das betroffene Hochrisiko-System weitergegeben wird.

• CE-Kennzeichnung kontrollieren
• Konformitätserklärung und Anleitung zuordnen
• Anbieter- und Importeurdaten plausibilisieren
• Freigabe revisionsfähig dokumentieren

Quellen: [1] [2]

Verdacht, Risiko und Eskalation

Besteht Grund zu der Annahme, dass ein Hochrisiko-KI-System nicht konform ist, darf der Händler es nach Art. 24 nicht bereitstellen, bevor die Konformität hergestellt wurde. Geht vom System ein Risiko aus, informiert er außerdem den Anbieter oder Einführer. Hat der Händler ein bereits bereitgestelltes System als nicht konform erkannt, muss er die erforderlichen Korrekturmaßnahmen unterstützen oder dafür sorgen, dass das System zurückgenommen oder zurückgerufen wird. Welche Maßnahme angemessen ist, hängt vom konkreten Befund und Vertriebsstand ab.

Bei einem Risiko für Gesundheit, Sicherheit oder Grundrechte erweitert sich der Informationsweg zu den zuständigen nationalen Behörden der Mitgliedstaaten, in denen das System bereitgestellt wurde. Die Meldung soll insbesondere die Nichtkonformität und ergriffene Korrekturmaßnahmen beschreiben. Unternehmen brauchen deshalb vorab einen Eskalationskanal zwischen Vertrieb, Produktcompliance, Informationssicherheit, Datenschutz und Rechtsabteilung. Ein Verdachtsregister mit Versionsstand, Ländern, Kunden, Belegen und Entscheidungen verhindert, dass Warnzeichen in einzelnen Tickets oder Händlerpostfächern verloren gehen.

• Bereitstellung bei begründetem Verdacht stoppen
• Anbieter oder Einführer unverzüglich einbinden
• Vertriebsgebiete und betroffene Versionen bestimmen
• Behördenweg vorab organisatorisch festlegen

Quellen: [1]

Lagerung, Transport und Rückverfolgbarkeit

Solange sich ein Hochrisiko-KI-System in der Verantwortung des Händlers befindet, dürfen Lagerungs- und Transportbedingungen seine Übereinstimmung mit den Anforderungen nicht beeinträchtigen. Bei Software betrifft das nicht nur physische Datenträger. Auch fehlerhafte Images, unkontrollierte Updates, kompromittierte Downloadkanäle, falsche Konfigurationen oder die Trennung von System und Gebrauchsanweisung können relevant sein. Händler sollten daher technische Integrität, Versionierung und Zugriffsschutz in ihre Logistik- und Releaseprozesse aufnehmen.

Gegenüber einer zuständigen Behörde muss der Händler auf begründetes Verlangen alle Informationen und Unterlagen bereitstellen, die zum Nachweis der Konformität erforderlich sind. Außerdem hat er bei Maßnahmen zur Risikominderung zu kooperieren. Praktisch setzt das eine Rückverfolgbarkeit voraus, die Produktversion, Bezugsquelle, Abnehmer, Bereitstellungsdatum und Korrekturstatus verbindet. Aufbewahrungs- und Zugriffskonzepte sollten mit Datenschutz, Geschäftsgeheimnissen und sektoralem Produktrecht abgestimmt werden, statt erst nach einer Behördenanfrage improvisiert zu entstehen.

• Integrität von Softwarepaketen und Updates sichern
• Versionen mit Dokumentation verknüpfen
• Abnehmer und Vertriebsgebiete nachvollziehbar halten

Quellen: [1]

Onlinehandel und Fernabsatz richtig einordnen

Ein Onlineangebot kann eine Marktbereitstellung in der Union begründen, wenn es sich gezielt an Personen in der Union richtet. Die bloße technische Abrufbarkeit einer Website reicht dafür nicht automatisch. Relevante Indizien können Versand- oder Leistungsgebiete, Währungen, Sprachen, Werbung, lokale Domains, Kundendienst und die tatsächliche Möglichkeit eines Vertragsabschlusses sein. Für digitale KI-Systeme sind Download, API-Zugang, Lizenzaktivierung und SaaS-Bereitstellung entlang dieser Kriterien zu untersuchen.

Plattformen und Marktplätze sollten nicht vorschnell als Händler eingeordnet oder ausgeschlossen werden. Maßgeblich sind Vertragsmodell, Einfluss auf Angebot und Bereitstellung, eigene Markenführung und die konkrete Position in der Lieferkette. Zusätzlich können andere unionsrechtliche Pflichten gelten. Ein belastbarer Fernabsatzprozess verbindet Geoblocking oder Vertriebsfreigaben mit Produktstammdaten, Pflichtdokumenten und Eskalationsregeln. Marketingtexte sollten keine regionale Verfügbarkeit versprechen, die das Compliance-Team für die betreffende Version noch nicht freigegeben hat.

• Zielrichtung des Angebots anhand mehrerer Indizien prüfen
• Digitale Bereitstellungswege vollständig erfassen
• Plattformrolle vertraglich und tatsächlich abgleichen

Quellen: [1]

Zeitplan und Umsetzung im Vertrieb

Rechtsstand 16. September 2026: Die Händlerrolle und mögliche Anbieterfolgen nach Art. 25 sind geltendes Recht. Die besonderen Händlerpflichten in Kapitel III Abschnitt 3 werden für verwendungsbezogene Hochrisiko-Systeme nach Art. 6 Abs. 2 und Anhang III am 2. Dezember 2027 anwendbar. Für produktbezogene Hochrisiko-Systeme nach Art. 6 Abs. 1 und Anhang I ist der 2. August 2028 maßgeblich. Diese Verschiebung macht eine heutige Rollen- und Produktprüfung nicht entbehrlich.

Unternehmen sollten die Vorlaufzeit nutzen, um Lieferantenklauseln, Dokumentenübergabe, Sperrlogik, Rückrufabläufe und Behördenkooperation aufzubauen. Verträge können Zusicherungen und Unterstützungspflichten vorsehen, ersetzen aber nicht die eigene gesetzliche Kontrolle. Parallel bleiben insbesondere DSGVO, Produktsicherheits-, Verbraucher-, Wettbewerbs- und Vertragsrecht anwendbar. Vor Veröffentlichung oder Projektfreigabe ist der Rechtsstand erneut zu prüfen, weil Leitlinien, nationale Zuständigkeiten und sektorspezifische Vorgaben die praktische Umsetzung weiter konkretisieren können.

• Anhang-III-Prozesse bis 2. Dezember 2027 vorbereiten
• Anhang-I-Prozesse bis 2. August 2028 vorbereiten
• Rechtsstand vor Go-live erneut prüfen

Quellen: [1] [2]

Häufige Fragen