Bevollmächtigter Vertreter nach Art. 22 AI Act – Wann Drittstaaten-Anbieter einen benennen müssen

Ein US-Anbieter verkauft ein KI-gestütztes Bewerbungs-Screening-Tool an ein deutsches Unternehmen. Das System fällt unter die Hochrisiko-Kategorie des AI Act. Doch der Anbieter sitzt in Kalifornien, hat keine Niederlassung in der EU – und keinen bevollmächtigten Vertreter nach AI Act benannt. Wer steht dann gegenüber der deutschen Marktüberwachungsbehörde in der Verantwortung? Die Antwort überrascht viele EU-Kunden: Das Compliance-Problem landet schnell bei ihnen selbst – als Importeur mit eigenen Prüfpflichten, und wer das System anpasst oder unter eigenem Namen vertreibt, sogar in der Anbieterrolle mit allen Pflichten, Nachweislasten und Bußgeldrisiken.

Genau hier setzt Art. 22 AI Act an. Er verlangt von jedem Anbieter aus einem Drittstaat, der Hochrisiko-KI in der EU auf den Markt bringt, einen bevollmächtigten Vertreter zu benennen. Fehlt dieser, verschiebt sich das gesamte Haftungsgefüge. Für Hochrisiko-Systeme nach Anhang III gilt Art. 22 ab dem 2. Dezember 2027, für Hochrisiko-KI in regulierten Produkten nach Anhang I ab dem 2. August 2028 – feste Termine, die durch den Digital Omnibus (VO (EU) 2026/1744) gesetzt wurden. Dieser Artikel klärt, wann die Pflicht greift, was der Vertreter übernimmt und wie EU-Betreiber und Importeure das Fehlen zu ihrem eigenen Problem machen – oft ohne es zu merken.

Was ist ein bevollmächtigter Vertreter nach Art. 22 AI Act?

Der bevollmächtigte Vertreter (englisch: authorised representative im AI Act) ist eine in der EU niedergelassene natürliche oder juristische Person, die von einem Drittstaaten-Anbieter schriftlich beauftragt wird, in dessen Namen die Pflichten aus dem AI Act wahrzunehmen. Er ist die rechtliche Anlaufstelle innerhalb der EU – für Marktüberwachungsbehörden, für die Kommission und für die zuständigen nationalen Stellen.

Abgrenzung zu Importeur und Betreiber

Der Vertreter ist nicht mit anderen Rollen im AI Act zu verwechseln. Die Unterschiede sind entscheidend, weil sie über die Verantwortlichkeit bestimmen:

Rolle	Definition (Art. 3)	Kernfunktion
Anbieter	Entwickelt ein KI-System und bringt es unter eigenem Namen in Verkehr	Trägt die volle Konformitätsverantwortung
Bevollmächtigter Vertreter	In der EU ansässig, handelt im Auftrag eines Drittstaaten-Anbieters	Vertritt den Anbieter rechtlich gegenüber Behörden
Importeur	Bringt ein KI-System eines Drittstaaten-Anbieters erstmals in der EU in Verkehr	Prüft die Konformität vor dem Inverkehrbringen
Betreiber	Nutzt das KI-System unter eigener Verantwortung	Trägt Nutzungspflichten (z. B. Aufsicht, Transparenz)

Der Vertreter entwickelt nichts und nutzt nichts – er ist ein reines Mandatsverhältnis. Er verlängert gewissermaßen den Anbieter in den EU-Rechtsraum hinein, damit Behörden einen greifbaren Ansprechpartner haben. Wie sich die Rollen von Anbieter und Betreiber im Detail unterscheiden, lesen Sie in unserer Abgrenzung der Anbieter- und Betreiberpflichten.

Um Art. 22 richtig einzuordnen, hilft der Blick auf das Gesamtgefüge des Gesetzes – wer welche Rolle trägt, welche Fristen gelten und wie die Konformitätsbewertung greift. Diesen Überblick liefert der AI-Act-Leitfaden, auf dessen Basis sich die Vertreterpflicht als ein Baustein der Anbieterverantwortung verstehen lässt.

Hochrisiko (Art. 22) versus GPAI (Art. 54)

Der AI Act kennt zwei getrennte Vertreterpflichten, die häufig verwechselt werden:

Art. 22 AI Act regelt den bevollmächtigten Vertreter für Hochrisiko-KI-Systeme (Anhang III und Anhang I).
Art. 54 AI Act regelt den bevollmächtigten Vertreter für Anbieter von GPAI-Modellen (General-Purpose AI, also KI-Modelle mit allgemeinem Verwendungszweck).

Beide verfolgen dasselbe Grundprinzip – ein Ansprechpartner in der EU –, unterscheiden sich aber in Pflichtenkatalog und Fristen. Ein Anbieter, der sowohl ein GPAI-Modell als auch ein darauf aufbauendes Hochrisiko-System aus einem Drittstaat anbietet, kann von beiden Pflichten betroffen sein.

Wann Drittstaaten-Anbieter von KI einen Vertreter benennen müssen

Der Auslöser

Art. 22 Abs. 1 AI Act formuliert den Auslöser eindeutig: Anbieter mit Sitz in einem Drittland müssen vor der Bereitstellung ihrer Hochrisiko-KI-Systeme auf dem Unionsmarkt durch schriftliches Mandat einen in der Union niedergelassenen bevollmächtigten Vertreter benennen.

Zwei Bedingungen müssen also kumulativ erfüllt sein:

Der Anbieter sitzt außerhalb der EU (Drittstaat, z. B. USA, UK, Schweiz, Indien).
Sein Hochrisiko-KI-System wird in der EU in Verkehr gebracht oder in Betrieb genommen.

Ist beides gegeben, greift die Pflicht zwingend und ohne Bagatellgrenze. Es gibt keine Umsatzschwelle und keine Ausnahme für kleine Anbieter. Wer die allgemeinen Regeln zum Import von KI aus Drittstaaten vertiefen möchte, findet sie in unserem Beitrag zum AI Act und Drittstaaten-Import.

Das Mandat muss vor dem Inverkehrbringen stehen

Entscheidend ist der Zeitpunkt: Das schriftliche Mandat muss vor dem Inverkehrbringen oder der Inbetriebnahme vorliegen. Ein Anbieter kann nicht erst liefern und den Vertreter nachträglich benennen, sobald eine Behörde nachfragt. Das Mandat ist Voraussetzung des rechtmäßigen Marktzutritts, nicht dessen Reparatur.

Sonderregeln und Fristen für GPAI-Anbieter

Für GPAI-Modelle aus Drittstaaten gilt nach Art. 54 AI Act eine eigenständige Vertreterpflicht. Auch hier muss der Vertreter vor dem Inverkehrbringen des Modells auf dem Unionsmarkt bestellt werden. Der Pflichtenkatalog ist an die Besonderheiten von GPAI angepasst – der Vertreter muss insbesondere die technische Dokumentation nach Anhang XI vorhalten und mit dem AI Office kooperieren.

Wichtig ist die zeitliche Staffelung des AI Act:

Die Regeln für GPAI – einschließlich der Vertreterpflicht nach Art. 54 – gelten seit dem 2. August 2025. GPAI-Modelle, die vorher in Verkehr gebracht wurden, müssen bis zum 2. August 2027 konform sein.
Die Hochrisiko-Pflichten und damit Art. 22 gelten nach dem Digital Omnibus (VO (EU) 2026/1744, in Kraft seit 27. Juli 2026) für Anhang-III-Systeme ab dem 2. Dezember 2027 und für Anhang-I-Systeme ab dem 2. August 2028.
Hochrisiko-Systeme, die vor diesen Stichtagen in Verkehr gebracht wurden, fallen nur dann unter den AI Act, wenn sie danach wesentlich geändert werden (Art. 111 Abs. 2); Systeme für Behörden müssen in jedem Fall bis zum 2. August 2030 konform sein.

Der Vorlauf ist trotzdem kurz: Ein Mandat lässt sich zwar schnell unterzeichnen, aber der Vertreter muss Konformitätserklärung und technische Dokumentation prüfen können – und die entstehen erst mit Risikomanagement, Dokumentation und Qualitätsmanagement, für die Anbieter realistisch 12 bis 18 Monate einplanen sollten.

Details zu GPAI-Modellen und ihren Anbieterpflichten haben wir am Beispiel ChatGPT und GPAI aufbereitet.

Aufgaben und Haftung des bevollmächtigten Vertreters

Der Pflichtenkatalog aus Art. 22 Abs. 3

Art. 22 Abs. 3 AI Act definiert präzise, was der Vertreter tun muss. Das Mandat muss ihn mindestens zu folgenden Aufgaben ermächtigen:

Konformität prüfen: Er überprüft, ob die EU-Konformitätserklärung und die technische Dokumentation erstellt wurden und der Anbieter ein angemessenes Konformitätsbewertungsverfahren durchgeführt hat.
Unterlagen vorhalten: Er hält die Kontaktdaten des Anbieters, eine Kopie der EU-Konformitätserklärung, die technische Dokumentation und ggf. die Bescheinigung der benannten Stelle zehn Jahre nach dem Inverkehrbringen oder der Inbetriebnahme für die Behörden bereit.
Behördenkooperation: Auf begründetes Verlangen stellt er der Behörde alle Informationen und Unterlagen zum Nachweis der Konformität zur Verfügung – einschließlich Zugang zu den automatisch erzeugten Protokollen, soweit diese unter der Kontrolle des Anbieters stehen.
Zusammenarbeit bei Risikominderung: Er kooperiert mit den Behörden bei allen Maßnahmen, die diese in Bezug auf das Hochrisiko-System ergreifen.
Registrierung: Er nimmt, wo vorgesehen, die Registrierung nach Art. 49 Abs. 1 selbst vor oder stellt sicher, dass die Angaben zu seiner Person in der Registrierung des Anbieters korrekt sind.
Ansprechpartner sein: Die Behörden können sich in allen Compliance-Fragen zusätzlich zum Anbieter oder an dessen Stelle an ihn wenden.

Die Registrierungsaufgabe verweist auf die EU-Datenbank für Hochrisiko-KI, deren Funktionsweise wir in einem eigenen Beitrag zur Registrierungspflicht in der EU-Datenbank erläutern. Die Zusammenarbeit mit den Behörden betrifft in Deutschland die zuständigen Stellen, die wir im Artikel zur Marktüberwachungsbehörde in Deutschland einordnen.

Das Kündigungsrecht des Vertreters

Ein oft übersehener, aber praktisch bedeutsamer Punkt: Art. 22 Abs. 4 AI Act macht aus dem Kündigungsrecht eine Kündigungspflicht. Hat der Vertreter Grund zu der Annahme, dass der Anbieter gegen seine Pflichten aus dem AI Act verstößt, muss er das Mandat beenden. In diesem Fall muss er unverzüglich die zuständige Marktüberwachungsbehörde und ggf. die benannte Stelle informieren und die Gründe angeben.

Diese Pflicht ist keine bloße Formalität. Es bedeutet, dass ein Vertreter, der Compliance-Mängel feststellt, das Mandat nicht stillschweigend fortführen darf, um seine Vergütung zu sichern. Für Drittstaaten-Anbieter heißt das umgekehrt: Wer seinen Vertreter durch Verstöße in eine Zwangslage bringt, riskiert, dass dieser das Mandat niederlegt – und das System damit schlagartig nicht mehr rechtskonform in der EU vertrieben werden kann.

Mithaftung und ihre Grenzen

Der Vertreter übernimmt keine Produkthaftung für die inhaltliche Konformität des Systems – diese bleibt beim Anbieter. Seine Haftung ist verfahrensbezogen: Er haftet dafür, die ihm zugewiesenen Aufgaben (Dokumentation vorhalten, kooperieren, registrieren) korrekt zu erfüllen. Vernachlässigt er diese, kann er selbst Adressat von Sanktionen werden.

Die Bußgeldrahmen des AI Act sind erheblich – bis zu 15 Mio. Euro oder 3 % des weltweiten Jahresumsatzes bei Verstößen gegen Pflichten der Wirtschaftsakteure. Welche Verstöße welche Sanktionshöhe auslösen, zeigt unser Überblick zu Bußgeldern und Strafen.

Was EU-Betreiber und Importeure prüfen müssen

Hier wird Art. 22 für europäische Unternehmen unmittelbar relevant. Denn die Vertreterpflicht ist keine Angelegenheit, die allein den Drittstaaten-Anbieter betrifft – sie erzeugt Sorgfaltspflichten auf der Abnehmerseite.

Sorgfaltspflicht: Ist ein Vertreter benannt und erreichbar?

Bevor Sie als Importeur ein Hochrisiko-System eines Nicht-EU-Anbieters in Verkehr bringen, müssen Sie prüfen, ob ein bevollmächtigter Vertreter benannt wurde. Das ist keine Kür, sondern Teil der Importeurspflichten (Art. 23 AI Act). Betreiber, die direkt bei einem Drittstaaten-Anbieter beziehen, trifft diese Prüfpflicht nicht ausdrücklich – sie sollten den Vertreterstatus aber aus eigenem Interesse ebenso prüfen.

Konkret prüfen Sie:

Existiert ein benannter Vertreter mit Sitz in der EU?
Ist er tatsächlich erreichbar (nicht nur eine Briefkastenadresse)?
Liegt das schriftliche Mandat vor bzw. lässt es sich nachweisen?

Kontaktdaten in Dokumentation und Kennzeichnung

Die Kontaktdaten des Vertreters gehören in die Betriebsanleitung des Systems (Art. 13 AI Act) und in die Registrierung in der EU-Datenbank. Fehlen diese Angaben, ist das ein deutliches Warnsignal, dass die Vertreterpflicht nicht erfüllt wurde.

Die zentrale Konsequenz: Rollenwechsel

Und hier liegt der schärfste Hebel des Gesetzes: Bringt ein Importeur oder Betreiber ein Hochrisiko-System unter eigenem Namen oder eigener Marke in Verkehr, nimmt er eine wesentliche Änderung vor oder ändert die Zweckbestimmung – dann gilt er nach Art. 25 AI Act selbst als Anbieter und übernimmt sämtliche Anbieterpflichten.

Auch unabhängig davon gilt: Wer mit einem Drittstaaten-Anbieter ohne bevollmächtigten Vertreter zusammenarbeitet, arbeitet mit einem nicht verkehrsfähigen Produkt. Ein Importeur, der ein solches System dennoch in Verkehr bringt, verletzt seine eigenen Pflichten. Und sobald er oder ein Betreiber das System anpasst oder unter eigenem Namen anbietet, droht die volle Anbieterverantwortung – inklusive Konformitätsbewertung, technischer Dokumentation und Registrierung.

Rechenbeispiel: Ein Berliner Personaldienstleister lizenziert ein Screening-Tool eines indischen Anbieters ohne EU-Vertreter für 40.000 Euro pro Jahr und vertreibt es unter eigener Marke an seine Kunden weiter. Fällt das System ab Dezember 2027 durch eine Marktüberwachungsprüfung, muss der Dienstleister als Anbieter die vollständige technische Dokumentation und Konformitätsbewertung nachliefern – ein Aufwand, der die Lizenzkosten schnell um ein Vielfaches übersteigt und im Verzugsfall zusätzlich zu Bußgeldern führen kann.

So benennen Sie den bevollmächtigten Vertreter rechtssicher

Inhalt des Mandats und Mindestangaben

Nach Art. 22 Abs. 3 AI Act muss das Mandat dem Vertreter mindestens die Befugnis erteilen, die im Pflichtenkatalog genannten Aufgaben wahrzunehmen; nach Abs. 2 muss der Anbieter ihn dazu auch in die Lage versetzen. Ein rechtssicheres Mandat enthält daher:

Identifikation beider Parteien: vollständige Namen, Anschriften und Rechtsform von Anbieter und Vertreter.
Eindeutige Bezeichnung der KI-Systeme, für die das Mandat gilt.
Ausdrückliche Ermächtigung zu den Aufgaben aus Art. 22 Abs. 3 – insbesondere Konformität prüfen, Dokumentation vorhalten, Behördenkooperation, Registrierung.
Verpflichtung des Anbieters, dem Vertreter alle notwendigen Unterlagen zur Verfügung zu stellen.
Regelungen zu Laufzeit, Kündigung und zur Informationspflicht bei Verstößen.

Der Vertreter muss der Marktüberwachungsbehörde auf Verlangen eine Kopie des Mandats vorlegen – in einer von der Behörde angegebenen Amtssprache der EU.

Dokumentation und Nachweisführung

Gegenüber der Marktüberwachung tragen Vertreter und Anbieter die Nachweislast. Halten Sie deshalb bereit:

das unterzeichnete schriftliche Mandat,
die EU-Konformitätserklärung,
die vollständige technische Dokumentation (10 Jahre Aufbewahrung),
den Nachweis der Registrierung in der EU-Datenbank.

Praxis-Checkliste

Für Drittstaaten-Anbieter:

Ist mein KI-System ein Hochrisiko-System (Anhang III / Anhang I)?
Habe ich einen in der EU niedergelassenen Vertreter ausgewählt?
Liegt ein schriftliches Mandat vor dem Inverkehrbringen vor?
Deckt das Mandat alle Aufgaben aus Art. 22 Abs. 3 ab?
Stelle ich dem Vertreter Dokumentation und Konformitätserklärung bereit?
Sind die Kontaktdaten des Vertreters in Dokumentation und Kennzeichnung eingetragen?
Bei GPAI zusätzlich: Vertreterpflicht nach Art. 54 geprüft?

Für EU-Importeure und Betreiber:

Ist ein bevollmächtigter Vertreter benannt und tatsächlich erreichbar?
Sind die Kontaktdaten dokumentiert und plausibel?
Habe ich mir das Mandat oder einen Nachweis vorlegen lassen?
Ist die Registrierung in der EU-Datenbank erfolgt?
Habe ich geprüft, ob ich durch eigene Änderungen selbst zum Anbieter werde?

Fazit

Der bevollmächtigte Vertreter nach Art. 22 AI Act ist das Bindeglied, das Drittstaaten-Anbieter von Hochrisiko-KI verpflichtend in den EU-Rechtsraum einbindet. Die Pflicht greift immer dann, wenn ein Anbieter außerhalb der EU ein Hochrisiko-System auf den Unionsmarkt bringt – ohne Umsatzschwelle und vor dem Inverkehrbringen durch schriftliches Mandat. Der Vertreter prüft und hält Dokumentation und Konformitätserklärung vor, kooperiert mit den Behörden, übernimmt wo vorgesehen die Registrierung und muss bei Verstößen des Anbieters das Mandat kündigen. Für Anhang-III-Systeme gilt Art. 22 ab dem 2. Dezember 2027, für Anhang-I-Systeme ab dem 2. August 2028. Für GPAI-Modelle gilt die parallele Vertreterpflicht aus Art. 54 bereits seit dem 2. August 2025.

Für europäische Unternehmen ist die zentrale Erkenntnis der Rollenwechsel: Fehlt der Vertreter oder ist er nicht erreichbar, ist das System nicht verkehrsfähig – der Importeur verletzt eigene Pflichten, und wer das System anpasst oder unter eigenem Namen vertreibt, rückt in die volle Anbieterrolle mit sämtlichen Pflichten und Bußgeldrisiken. Eine sorgfältige Prüfung des Vertreterstatus vor jedem Bezug aus einem Drittstaat ist deshalb keine Formalie, sondern ein wirksamer Schutz vor Haftung, die eigentlich beim ausländischen Anbieter liegen sollte.