Art. 25 Abs. 1 der KI-Verordnung (EU) 2024/1689 kennt drei Auslöser, die einen Betreiber in die Anbieterrolle kippen: eigener Name oder eigene Handelsmarke, wesentliche Veränderung, Änderung der Zweckbestimmung. Der marktübliche Beschaffungsvertrag für agentische KI-Werkzeuge erfüllt regelmässig den dritten, ohne ihn zu erwähnen. Und der Satz, auf den sich Beschaffungsstellen dabei verlassen, schützt sie nicht: Schliesst der Lieferant Hochrisiko-Anwendungen in seinen Nutzungsbedingungen aus, ist das die Voraussetzung Ihrer Haftung und zugleich seine Entlastung von der Dokumentenherausgabe.

Der Wortlaut lohnt die Lektüre. Art. 25 Abs. 1 erfasst jeden Händler, Einführer, Betreiber oder sonstigen Dritten, der (a) ein bereits in Verkehr gebrachtes Hochrisiko-KI-System mit seinem Namen oder seiner Handelsmarke versieht, (b) ein solches System wesentlich verändert, oder (c) die Zweckbestimmung eines nicht als hochriskant eingestuften KI-Systems, einschliesslich eines KI-Systems mit allgemeinem Verwendungszweck, so ändert, dass es nach Art. 6 hochriskant wird. Die Rechtsfolge ist in allen drei Fällen dieselbe: die vollen Anbieterpflichten nach Art. 16. Entscheidend ist, wo der Vorbehalt steht. Nur Buchstabe a trägt den Zusatz «unbeschadet vertraglicher Vereinbarungen, die eine andere Aufteilung der Pflichten vorsehen». Buchstabe b und Buchstabe c tragen ihn nicht.

Das ist Systematik, keine Nachlässigkeit. Wer ein Etikett aufklebt, verändert das Produkt nicht; wer den Zweck verschiebt, schon. Die verbreitete Beschaffungsempfehlung, sämtliche Auslöser des Art. 25 im Rahmenvertrag abzubedingen, greift deshalb bei zwei von dreien ins Leere. Die Einstufung eines Systems als hochriskant ist eine Statusfrage gegenüber der Marktüberwachungsbehörde. Ein Freizeichnungssatz verschiebt den Regress zwischen den Parteien; den Adressaten der Pflicht lässt er unberührt.

Buchstabe c ist der Auslöser, der den Käufer agentischer Werkzeuge trifft. Die Zweckbestimmung definiert nach Art. 3 Nr. 12 der Anbieter, und zwar über Gebrauchsanweisung, Werbe- und Verkaufsmaterial sowie technische Dokumentation. Sie ändern sie nicht, indem Sie ein Dokument umschreiben, sondern indem Sie das Werkzeug ausserhalb dieses Rahmens einsetzen. Ein Agent, der Bewerbungen sichtet, fällt unter Anhang III Ziff. 4 Bst. a: Analyse und Filterung von Bewerbungen, Bewertung von Bewerbern. Die Kommission zieht die Linie beim materiellen Einfluss auf die Personalentscheidung — Systeme, die Kandidaten analysieren, filtern, bewerten oder ranken, sind hochriskant, während das blosse Strukturieren von Lebenslaufdaten oder das Legen von Terminen draussen bleibt, wie DLA Piper aus dem Entwurf referiert. Die Ausnahme des Art. 6 Abs. 3 rettet nur die eng umgrenzte Vorbereitungshandlung, und sie entfällt, sobald das System Profiling betreibt.

Der praktisch schwierigere Fall liegt eine Stufe tiefer als das Beispiel des Recruiting-Agenten. Viele Beschaffungsstellen kaufen kein trainiertes Modell, sondern konfigurieren ein KI-System mit allgemeinem Verwendungszweck über Systemprompt, Werkzeugzugriffe und Orchestrierungslogik auf einen konkreten Anwendungsfall hin. Trainiert wird dabei nichts; verändert wird trotzdem etwas, nämlich die Zweckbestimmung im Sinne von Art. 3 Nr. 12. Ob diese Konfiguration für sich genommen bereits eine Änderung der Zweckbestimmung nach Art. 25 Abs. 1 Bst. c auslöst, oder ob sie unterhalb der Schwelle bleibt, solange der ursprüngliche Anbieter den Anwendungsfall in seiner eigenen Dokumentation bereits vorgesehen hat, sagt der Verordnungstext nicht. Die Antwort liefert erst die Praxis der Marktüberwachungsbehörden, gestützt auf die Leitlinien nach Art. 6 Abs. 5.

Hier kollidieren zwei Papiere. Am 19. Mai 2026 hat die Kommission ihre Entwurfsleitlinien zur Einstufung von Hochrisiko-Systemen nach Art. 6 Abs. 5 veröffentlicht. Sie verlangen vom Anbieter breit einsetzbarer Systeme, Hochrisiko-Anwendungen ausdrücklich und durchgehend auszuschliessen, über technische Dokumentation, Gebrauchsanweisung, Vertragsbedingungen und Werbematerial hinweg; ein einzelner Satz in den Nutzungsbedingungen genügt nicht, wenn die Gesamtdarstellung solche Anwendungen faktisch anbietet, wie Jones Day den Entwurf liest. Für den Lieferanten ist das ein Anreiz, den Ausschluss zu schärfen. Für Sie kehrt sich der Anreiz um. Denn Art. 25 Abs. 2 Satz 3 nimmt genau diesen Ausschluss zum Anlass: Hat der ursprüngliche Anbieter eindeutig festgelegt, dass sein System nicht in ein Hochrisiko-System umgewandelt werden darf, entfällt seine Pflicht zur Zusammenarbeit und zur Herausgabe der Dokumentation. Je sauberer der Ausschluss, desto klarer Ihr Auslöser nach Buchstabe c und desto leerer Ihre Akte.

Was das kostet, steht in Art. 16: Risikomanagement, Daten-Governance, technische Dokumentation nach Art. 11, deren Aufbewahrung Art. 18 vorschreibt, Qualitätsmanagementsystem nach Art. 17, Konformitätsbewertung nach Art. 43, CE-Kennzeichnung nach Art. 48, Registrierung nach Art. 49. Anhang IV Ziff. 2 verlangt dabei die Beschreibung der Systemarchitektur sowie Datenblätter zu Trainingsmethoden, Herkunft und Auswahl der Trainingsdatensätze — für ein Modell, das Sie nicht trainiert haben und dessen Anbieter Ihnen nach Art. 25 Abs. 5 überdies Geschäftsgeheimnisse entgegenhalten kann. Sitzt Ihre Gesellschaft in der Schweiz, kommt nach Art. 22 der in der Union niedergelassene Bevollmächtigte hinzu, schriftlich bestellt vor der Bereitstellung. Der Verstoss kostet nach Art. 99 Abs. 4 Bst. a bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahrs, je nachdem, welcher Betrag höher ist.

Die Zuständigkeit knüpft nicht am Sitz an. Art. 2 Abs. 1 Bst. a erfasst Anbieter, die ein KI-System in der Union in Verkehr bringen oder in Betrieb nehmen, unabhängig vom Niederlassungsort, und die Inbetriebnahme umfasst nach Art. 3 Nr. 11 ausdrücklich die Bereitstellung zum Eigengebrauch. Die Zuger Holding, die ihren konzernweit ausgerollten Recruiting-Agenten der Münchner Tochter zur Verfügung stellt, nimmt ihn in der Union in Betrieb. Ein Randfall ist das nicht: Nach Eurostat setzten im Erhebungsjahr 2025 rund 55,0 Prozent der grossen Unternehmen in der EU KI-Technologien ein, gegenüber knapp 20,0 Prozent aller Unternehmen.

Vier Eingriffe gehören in den nächsten Beschaffungsvertrag. Erstens: Buchstabe a ausdrücklich zuweisen, denn er ist der einzige der drei Auslöser, den Sie zuweisen können; eine Klausel, die pauschal «sämtliche Pflichten nach Art. 25» verschiebt, greift bei Buchstabe b und c ins Leere und täuscht eine Absicherung vor, die nicht besteht. Zweitens: die schriftliche Vereinbarung nach Art. 25 Abs. 4 jetzt aufsetzen, mit Herausgabe der Anhang-IV-Unterlagen im Auslösefall und einem ausdrücklichen Verzicht des Lieferanten darauf, Ihnen gegenüber die Entlastung nach Art. 25 Abs. 2 Satz 3 einzuwenden; die aktualisierten EU-Musterklauseln für die KI-Beschaffung vom 5. März 2025 liefern dafür eine Vollversion für Hochrisiko-Systeme als Redaktionsgrundlage. Drittens: ein Verzeichnis der Anwendungsfälle mit Freigabepflicht, kein neuer Agenten-Workflow ohne vorherige Einstufung gegen Anhang III. Viertens: eine Änderungskontrolle für Systemprompt, Werkzeugzugriffe und Orchestrierung, denn jede Anpassung dieser Parameter ist eine mögliche Zweckänderung nach Buchstabe c, keine reine IT-Konfiguration — die Freigabepflicht aus Punkt drei muss diese Änderungen ausdrücklich miterfassen, nicht nur den erstmaligen Rollout.

Die Verschiebung der Anhang-III-Pflichten auf den 2. Dezember 2027 nimmt Ihnen keine Arbeit ab, sie gibt Ihnen Vorlauf — vorbehaltlich der Veröffentlichung im Amtsblatt: Gibson Dunn bezeichnete das Massnahmenpaket in seinem Alert vom 27. Mai 2026 als politisch vereinbart, aber formell noch nicht angenommen. Der Vertrag, den Sie im Juli 2026 unterschreiben, läuft an diesem Datum noch, wie wir bereits zur KI-Zusicherung im Aktienkaufvertrag festgehalten haben.

Bekannt ist der Text. Die drei Auslöser und die Entlastung nach Art. 25 Abs. 2 Satz 3 stehen unverändert in der geltenden Fassung; die verfügbaren Zusammenfassungen des Digital Omnibus, etwa der Überblick von Gibson Dunn, nennen keine Änderung an Art. 25. Offen ist die Reichweite von Buchstabe c dort, wo der Betreiber nicht nachtrainiert, sondern nur Systemprompt, Werkzeugzugriffe und Orchestrierung konfiguriert. Diese Frage entscheidet vorerst nicht die Rechtsprechung, sondern die Endfassung der Kommissionsleitlinien nach Art. 6 Abs. 5: Die gezielte Konsultation zum Entwurf ist am 23. Juli 2026 abgelaufen, die Annahme ist für Ende 2026 angekündigt. Bis dahin ist der Entwurf die beste verfügbare Auslegung, und er liest sich nicht zu Ihren Gunsten.