Der EU AI Act verpflichtet Unternehmen je nach Art des KI-Einsatzes zu Transparenz, Dokumentation und Kontrolle. Verstöße können Bußgelder von bis zu 15 Millionen Euro oder drei Prozent des weltweiten Jahresumsatzes nach sich ziehen. Die Verordnung greift dabei stufenweise: Verbote bestimmter KI-Praktiken und Vorgaben zur KI-Kompetenz gelten seit Februar 2025, Regeln für Anbieter vielseitig einsetzbarer KI-Modelle seit August 2025. Besondere Anforderungen an bestimmte Hochrisiko-Systeme folgen zu einem späteren Zeitpunkt.
Mit den neuen Vorgaben gewinnt Künstliche Intelligenz im M&A-Prozess neben ihrer Rolle als Wachstumsargument zunehmend auch als Prüfungsgegenstand an Bedeutung. Was Unternehmen regulatorisch einordnen und dokumentieren müssen, wird künftig auch in der Due Diligence gezielt hinterfragt. Sichtbar werden dabei nicht nur Systeme, Datenflüsse und Zuständigkeiten, sondern auch mögliche Schwächen wie starke Abhängigkeiten von Drittanbietern, unklare Eigentums- oder Nutzungsrechte sowie fehlende Kontrollprozesse.
Fehlende KI-Dokumentation wird zum Bewertungsrisiko
„Käufer werden künftig genauer wissen wollen, welche KI-Systeme im Unternehmen eingesetzt werden, welche Daten sie nutzen, welche Anbieter beteiligt sind und ob daraus regulatorische oder wirtschaftliche Risiken entstehen“, sagt Birger Nahs, Gründer und Managing Partner bei Ox8 Corporate Finance. Besonders betroffen seien Unternehmen, deren Produkte stark auf Daten, Automatisierung oder Entscheidungsunterstützung beruhen – etwa Softwareanbieter, Fintechs, Healthtechs oder HR-Tech-Anbieter. „Denn den weitreichenden KI-Versprechen steht in der Praxis häufig keine ausreichende Dokumentation gegenüber“, so Nahs.
In vielen Unternehmen nutzen einzelne Teams externe Tools wie Claude oder ChatGPT, während Produktfunktionen auf KI-Schnittstellen oder cloudbasierte Modelle zugreifen. Häufig bleibt dabei unklar, welche Daten in die Anwendungen einfließen, auf welchen Modellen sie basieren, welche Nutzungsrechte bestehen und wem die erzeugten Inhalte zuzuordnen sind. „Viele Unternehmen kommunizieren KI offensiv, haben aber keine vollständige Übersicht darüber, wo sie tatsächlich eingesetzt wird“, sagt Nahs. „Was im Alltag pragmatisch wirkt, kann spätestens bei einer Unternehmensprüfung zum Problem werden.“
Entstehen Unsicherheiten darüber, wie viel eigene Technologie tatsächlich im Produkt steckt, und welche regulatorischen oder wirtschaftlichen Risiken bestehen, kann das die Verhandlungsposition des Verkäufers erheblich schwächen. „Wer KI wirtschaftlich nutzen will, muss ihre Funktionsweise, Datenbasis und Abhängigkeiten nachvollziehbar dokumentieren. Sonst wird aus einem Innovationsargument sehr schnell eine Unsicherheitsquelle“, betont Nahs.
Externe KI-Modelle sind kein Problem – fehlende Kontrolle schon
Die Nutzung externer KI-Modelle und Infrastrukturen ist dabei nicht per se problematisch. Entscheidend ist, wie klar sich erklären lässt, welche Teile der KI-Technologie selbst entwickelt wurden und welche auf externen Standardmodellen oder Schnittstellen basieren. „Käufer prüfen sehr genau, wo die technologische Eigenleistung eines Unternehmens tatsächlich liegt“, sagt Nahs. Kann diese Abgrenzung nicht sauber vorgenommen werden, schwäche das häufig die Verhandlungsposition. „Im Extremfall kann die Transaktion daran sogar scheitern – insbesondere dann, wenn sich im Rahmen der Due Diligence herausstellt, dass die vermeintlich eigene KI-Technologie überwiegend auf externen Modellen basiert und der selbst entwickelte Anteil deutlich geringer ist als ursprünglich angenommen.“
Im M&A-Prozess rückt damit zunehmend die Frage in den Fokus, wie belastbar die Darstellung des Geschäftsmodells rund um KI tatsächlich ist. Je weniger klar dokumentiert ist, welche technologische Substanz und Datenbasis vorhanden sind und wer Verantwortung trägt, desto eher entstehen in der Due Diligence zusätzliche Rückfragen und längere Prüfungsphasen. Lassen sich regulatorische Risiken dabei nicht abschließend bewerten, versuchen Käufer häufig, Teile dieser Unsicherheit vertraglich abzusichern – etwa über Garantien, variable Kaufpreisbestandteile oder Kaufpreiseinbehalte.
Eine nachvollziehbare Darstellung des Geschäftsmodells hilft, solche Unsicherheiten früh einzuordnen und reduziert zugleich das Risiko des sogenannten AI-Washings – also den Eindruck, dass ein Unternehmen mehr technologische KI-Substanz verspricht, als tatsächlich vorhanden ist. In einem Regulierungsumfeld, in dem Transparenz und klare Verantwortlichkeiten stärker in den Fokus rücken, schafft das auf Käuferseite mehr Vertrauen und eine verlässlichere Grundlage für Bewertung und Vertragsverhandlung.
Wer jetzt Struktur schafft, gewinnt später Zeit
Nahs plädiert bei der Aufarbeitung der eigenen KI-Landschaft für Pragmatismus statt Panik: „Die aktuellen Diskussionen erinnern an die Einführung der DSGVO. Auch damals war die Unsicherheit groß und viele Prozesse mussten erst entstehen. Entscheidend ist, dass Unternehmen jetzt nicht abwarten, sondern Struktur schaffen.“ Wer früh dokumentiere, könne auf spätere Prüfungen schneller und glaubwürdiger reagieren.
Dass Unternehmen in frühen Phasen noch nicht vollständig vorbereitet seien, sei derzeit nicht ungewöhnlich. „Mit wachsender regulatorischer Reife dürften sich jedoch auch hier standardisierte Prüfungsansätze und eingespielte Marktpraktiken entwickeln“, sagt Nahs. Die Einhaltung der KI-Vorgaben werde voraussichtlich zu einem zusätzlichen Prüfungsfeld zwischen rechtlicher und technischer Unternehmensprüfung – und könne Transaktionen kurzfristig komplexer machen.
Unternehmen, die ihre KI-Systeme, Rechte und externen Abhängigkeiten heute sauber dokumentieren, reduzieren damit nicht nur regulatorische Risiken, sondern schaffen zugleich bessere Voraussetzungen für einen schnelleren und verlässlicheren Verkaufsprozess.
