EU AI-Act setzt Unternehmen unter Druck: Unklare KI-Nutzung wird zum Risiko für Bewertungen und Deals

(Auszug aus der Pressemitteilung)

Im Juli 2026 rückt der EU AI Act für viele Unternehmen mit Blick auf die ab dem 2. August geltenden weiteren Vorschriften vom abstrakten Regulierungsthema in die operative Realität. Unternehmen müssen spätestens jetzt klären, welche KI-Systeme sie einsetzen, wie diese einzuordnen sind und welche Anforderungen daraus entstehen. Im M&A-Prozess wird künstliche Intelligenz damit zunehmend vom Innovationstreiber zum Prüfungsgegenstand. Die konkreten Auswirkungen zeigen sich voraussichtlich weniger in einer grundsätzlich geringeren Käufernachfrage als vielmehr in zusätzlichem Prüfungsaufwand bei der Due Diligence – mit möglichen Folgen für die Prozessdauer und zusätzliche Absicherungen im Kaufvertrag. Birger Nahs, Gründer und Managing Partner bei ox8 Corporate Finance, erläutert, worauf es dabei ankommt und welche Branchen besonders betroffen sind.

Der EU AI Act verpflichtet Unternehmen je nach KI-Einsatz zu Transparenz, Dokumentation und Kontrolle. Verstöße können Bußgelder von bis zu 15 Mio. Euro oder drei Prozent des weltweiten Jahresumsatzes nach sich ziehen. Die Verordnung greift stufenweise: Verbote bestimmter KI-Praktiken und Vorgaben zur KI-Kompetenz gelten bereits seit Februar 2025, Regeln für Anbieter vielseitig einsetzbarer KI-Modelle seit August 2025. Ab dem 2. August 2026 werden weitere zentrale Vorschriften anwendbar. Besondere Anforderungen an bestimmte Hochrisiko-Systeme folgen später. Mit den neuen Vorgaben gewinnt künstliche Intelligenz im M&A-Prozess neben ihrer Rolle als Wachstumsargument zunehmend auch als Prüfungsgegenstand an Bedeutung. Was Unternehmen regulatorisch einordnen und dokumentieren müssen, wird künftig auch in der Due Diligence, also bei der Prüfung eines Unternehmens vor dem Kauf, gezielt hinterfragt. Dadurch werden nicht nur Systeme, Datenflüsse und Zuständigkeiten sichtbarer, sondern auch mögliche Schwächen wie starke Abhängigkeiten von Drittanbietern, unklare Eigentums- oder Nutzungsrechte und fehlende Verantwortlichkeiten oder Kontrollprozesse. Gerade darin liegt für viele Unternehmen bereits im Vorfeld eines Verkaufs ein wichtiger Warnhinweis: Was heute regulatorisch dokumentiert werden muss, kann morgen zum Thema bei der Unternehmensbewertung, in Vertragsverhandlungen und bei der Verteilung von Haftungsrisiken werden. „Käufer werden künftig genauer wissen wollen, welche KI-Systeme im Unternehmen eingesetzt werden, welche Daten sie nutzen, welche Anbieter beteiligt sind und ob daraus regulatorische oder wirtschaftliche Risiken entstehen“, so Birger Nahs, Gründer und Managing Partner bei ox8 Corporate Finance. Besonders betroffen sind Unternehmen, deren Produkte stark auf Daten, Automatisierung oder Entscheidungsunterstützung beruhen. Dazu zählen etwa Softwareanbieter, FinTechs, HealthTechs oder HR-Tech-Anbieter. Für sie ist der EU AI Act nicht nur ein juristischer Rahmen, sondern ein operativer Stresstest. „Denn den weitreichenden KI-Versprechen steht in der Praxis häufig keine ausreichende Dokumentation gegenüber“, so Nahs.

Fehlende KI-Dokumentation wird zum Bewertungsrisiko
 
M&A-Experte Nahs betont: „Viele Unternehmen kommunizieren KI offensiv, haben aber keine vollständige Übersicht darüber, wo sie tatsächlich eingesetzt wird“. Einzelne Teams nutzen bekannte externe Tools wie Claude oder ChatGPT, während Produktfunktionen auf KI-Schnittstellen oder cloudbasierte Modelle zugreifen. Häufig bleibt unklar, welche Daten in die Anwendungen einfließen, auf welchen Modellen sie basieren, welche Nutzungsrechte bestehen und wem die erzeugten Inhalte oder technologischen Ergebnisse zuzuordnen sind. „Was im Alltag pragmatisch wirkt, kann spätestens bei einer Unternehmensprüfung zum Problem werden“, warnt Nahs. Denn wenn nicht sauber dokumentiert ist, worauf ein KI-basiertes Produkt aufsetzt und welche Rechte oder Abhängigkeiten damit verbunden sind, entstehen Unsicherheiten darüber, wie viel eigene Technologie tatsächlich im Produkt steckt und welche regulatorischen oder wirtschaftlichen Risiken bestehen. „Genau das kann dann zu erheblichen Nachteilen in der M&A-Transaktion führen“, so Nahs. Der Corporate-Finance-Experte verdeutlicht deshalb: „Wer KI wirtschaftlich nutzen will, muss ihre Funktionsweise, Datenbasis und Abhängigkeiten nachvollziehbar dokumentieren. Sonst wird aus einem Innovationsargument sehr schnell eine Unsicherheitsquelle“.

Externe KI-Modelle sind kein Problem – fehlende Kontrolle schon
  
Das betrifft auch die Nutzung externer KI-Modelle und Infrastrukturen. Viele Unternehmen arbeiten mit Standardmodellen, Schnittstellen oder cloudbasierten Diensten – problematisch ist das nicht per se. Entscheidend ist jedoch, wie klar sich erklären lässt, welche Teile der KI-Technologie selbst entwickelt wurden und welche auf externen Standardmodellen oder Schnittstellen basieren. „Käufer prüfen sehr genau, wo die technologische Eigenleistung eines Unternehmens tatsächlich liegt“, sagt Nahs. „Kann nicht sauber abgegrenzt werden, was selbst entwickelt wurde und was im Kern auf zugekaufter Infrastruktur oder externen Modellen aufsetzt, schwächt das häufig die Verhandlungsposition des Verkäufers. Im Extremfall kann die Transaktion daran sogar scheitern – insbesondere dann, wenn sich im Rahmen der Due Diligence herausstellt, dass die vermeintlich eigene KI-Technologie überwiegend auf externen Modellen basiert und der selbst entwickelte Anteil deutlich geringer ist als ursprünglich angenommen.”

AI-Washing wird im Deal-Prozess zum Risiko 

Für den M&A-Prozess rückt damit zunehmend die Frage in den Fokus, wie belastbar die Darstellung des Geschäftsmodells rund um KI tatsächlich ist. Je weniger klar dokumentiert ist, welche technologische Substanz und Datenbasis vorhanden sind, welche externen Abhängigkeiten bestehen und wer Verantwortung trägt, desto eher entstehen in der Due Diligence zusätzliche Rückfragen und längere Prüfungsphasen. Lassen sich regulatorische Risiken dabei nicht abschließend bewerten, versuchen Käufer häufig, Teile dieser Unsicherheit vertraglich abzusichern – etwa über Garantien oder variable, an spätere Ziele gekoppelte Kaufpreisbestandteile, Kaufpreiseinbehalte und zusätzliche Bedingungen für den Abschluss der Transaktion. Hintergrund ist, dass mögliche Kosten für spätere Compliance-Maßnahmen, regulatorische Anpassungen oder potenzielle Haftungsfälle zum Zeitpunkt der Transaktion oft noch nicht belastbar quantifiziert werden können. Eine nachvollziehbare Darstellung des Geschäftsmodells hilft, solche Unsicherheiten früh einzuordnen und Glaubwürdigkeitsverluste zu vermeiden. Sie reduziert zugleich das Risiko des sogenannten AI-Washings – also den Eindruck, dass ein Unternehmen mehr technologische KI-Substanz verspricht, als tatsächlich vorhanden ist. In einem Regulierungsumfeld, in dem Transparenz, Vertraulichkeit sowie klare Verantwortlichkeiten und Kontrollprozesse stärker in den Fokus rücken, schafft das auf Käuferseite mehr Vertrauen und eine verlässlichere Grundlage für Unternehmensprüfung, Bewertung und Vertragsverhandlung.

Wer jetzt Struktur schafft, gewinnt später Zeit
 
Im nächsten Schritt müssen Unternehmen ihre KI-Landschaft systematisch sichtbar machen. Nahs plädiert dabei für Pragmatismus statt Panik: „Die aktuellen Diskussionen erinnern an die Einführung der DSGVO. Auch damals war die Unsicherheit groß und viele Prozesse mussten erst entstehen. Entscheidend ist, dass Unternehmen jetzt nicht abwarten, sondern Struktur schaffen.“ Wer früh dokumentiert, kann auf spätere Prüfungen schneller und glaubwürdiger reagieren. Ähnlich dürfte sich auch der Umgang mit dem EU AI Act im M&A-Umfeld entwickeln. Die Einhaltung der KI-Vorgaben wird voraussichtlich zu einem zusätzlichen Prüfungsfeld zwischen rechtlicher und technischer Unternehmensprüfung. Das kann Transaktionen kurzfristig komplexer und aufwendiger machen. Dass Unternehmen in frühen Phasen noch nicht vollständig vorbereitet sind, ist derzeit nicht ungewöhnlich”, weiß Nahs. Er ordnet ein: “Mit wachsender regulatorischer  Reife dürften sich jedoch auch hier standardisierte Prüfungsansätze und eingespielte Marktpraktiken entwickeln”. Unternehmen, die ihre KI-Systeme, Rechte und externen Abhängigkeiten heute sauber dokumentieren, reduzieren daher nicht nur regulatorische Risiken. Sie schaffen zugleich bessere Voraussetzungen für einen schnelleren und verlässlicheren Verkaufsprozess.

Birger Nahs, ox8