EU AI ACT | KI-GOVERNANCE IN ANGEBOTS- UND VERTRAGSPROZESSEN

Vier von fünf Führungskräften halten ihr Unternehmen für EU-AI-Act-fit – doch rund ein Fünftel weiß nicht, dass die eigenen CPQ- und CLM-Systeme bereits KI einsetzen. Genau dort, zwischen Preisempfehlung, Angebot und Vertragsklausel, entsteht der blinde Fleck der KI-Compliance. Wer nicht weiß, wo KI Entscheidungen vorbereitet, kann weder Risiken einstufen noch Verantwortung zuordnen. Der erste Schritt zur Compliance ist deshalb kein juristischer, sondern ein inventarisierender.

Management Summary – die wichtigsten Punkte für Entscheider

Das größte Compliance-Risiko ist die unbekannte KI: Nicht das leistungsfähigste System gefährdet die Compliance, sondern jenes, dessen Einsatz niemand systematisch erfasst hat.
Der blinde Fleck liegt im Tagesgeschäft: CPQ- und CLM-Systeme schlagen Produkte vor, stützen Preise, analysieren Klauseln und erkennen Risiken – KI-Funktionen werden Teil bestehender Software, ohne als »KI-System« sichtbar zu sein.
Bestandsaufnahme vor Bewertung: Welche Systeme nutzen KI, welche Funktionen sind aktiv, welche Entscheidungen werden beeinflusst, welche Daten verarbeitet, wer verantwortet und kontrolliert das Ergebnis – über Sales, Pricing, Finance, Legal und IT hinweg.
Risikoadäquate Governance statt Pauschalurteil: Ob ein System als Hochrisiko-KI gilt, hängt vom Verwendungszweck ab. Entscheidend sind klare Verantwortlichkeiten, definierte Prüfpunkte und Nachvollziehbarkeit über den gesamten Entscheidungsweg.
Compliance ist ein Dauerlauf, kein Projekt: Updates aktivieren neue KI-Funktionen. Audits, Dokumentation, Datenqualität und Schulungen gehören von Anfang an in die Investitionsplanung – und verbessern nebenbei die Prozessqualität.

Illustration: KI-Funktionen in Angebots- und Vertragsprozessen bleiben oft unsichtbar – erst die Bestandsaufnahme macht sie sichtbar.

Viele Unternehmen halten sich für gut auf den EU AI Act vorbereitet. Doch schon in alltäglichen Geschäftsprozessen setzen sie längst KI ein, ohne dass Verantwortliche dies ausreichend im Blick haben. Besonders relevant sind Angebots- und Vertragsprozesse. CPQ- und CLM-Systeme nutzen zunehmend KI, um Produkte vorzuschlagen, Preise zu unterstützen, Verträge zu analysieren oder Risiken zu erkennen. Wer nicht weiß, wo diese Funktionen arbeiten, kann auch ihre regulatorische Bedeutung nicht verlässlich beurteilen.

Mit dem EU AI Act steigen die Anforderungen an Unternehmen, ihren KI-Einsatz systematisch zu erfassen und je nach Anwendungsfall zu bewerten. Die Verordnung folgt einem risikobasierten Ansatz. Welche Pflichten gelten, hängt vom KI-System und seinem Verwendungszweck ab. Dafür brauchen Unternehmen Transparenz über ihre tatsächliche KI-Landschaft. Eine Conga-Befragung von 1.500 Führungskräften in Europa zeigt die Lücke zwischen wahrgenommener und tatsächlicher Vorbereitung: Vier von fünf Befragten halten ihr Unternehmen für vorbereitet. Gleichzeitig weiß rund ein Fünftel nicht, dass ihre Systeme für Contract Lifecycle Management (CLM) oder Configure, Price, Quote (CPQ) bereits KI integrieren.

Dieser Widerspruch ist entscheidend. Ein Unternehmen kann die regulatorischen Auswirkungen seiner KI-Nutzung nur bewerten, wenn es weiß, wo KI arbeitet, welche Aufgabe sie übernimmt und welche Entscheidungen sie beeinflusst. Ob ein konkretes KI-System als Hochrisiko-System im Sinne des EU AI Act gilt, hängt von seinem Einsatzzweck und den gesetzlichen Kriterien ab. CPQ- oder CLM-Systeme pauschal als Hochrisiko-KI einzuordnen, wäre daher ebenso falsch, wie sie ungeprüft aus der Compliance-Betrachtung auszuklammern.

Der Compliance Blind Spot steckt im Alltag

KI ist in Angebots- und Vertragsprozessen keine Zukunftstechnologie mehr. Bei der Angebotserstellung stellt sie Produktinformationen bereit, empfiehlt passende Artikel oder SKUs und unterstützt komplexe Konfigurationen. Bei der Preisfindung wertet sie historische Transaktionen, Kosteninformationen und andere Daten aus. Im Vertragsmanagement erstellt KI erste Entwürfe, analysiert Klauseln, erkennt Abweichungen und Risiken und überwacht nach Vertragsabschluss Fristen und Verpflichtungen.

Mit jeder dieser Funktionen verändert sich die Compliance-Frage. Ein KI-System, das einen Text zusammenfasst, wirkt anders auf einen Geschäftsprozess als eines, das Preise empfiehlt, Vertragsrisiken bewertet oder weitere Prozessschritte anstößt. Unternehmen brauchen deshalb Klarheit darüber, welche Funktion die KI im konkreten Prozess übernimmt. Hier entsteht der blinde Fleck: KI-Funktionen werden zunehmend Bestandteil bestehender Software und erscheinen nicht zwangsläufig als eigenständiges »KI-System«. Ein Update oder eine neu aktivierte Funktion kann die Rolle einer Anwendung verändern, während Zuständigkeiten und Kontrollen unverändert bleiben.

Eine belastbare Compliance beginnt deshalb mit einer Bestandsaufnahme und der Bearbeitung folgender Fragen:

Welche Systeme verwenden KI?
Welche Funktionen sind aktiviert?
Welche Entscheidungen bereiten sie vor oder beeinflussen sie?
Welche Daten verarbeiten sie?
Wer verantwortet die Anwendung?
Wer kontrolliert ihre Ergebnisse?

Diese Inventarisierung endet nicht an Abteilungsgrenzen. Angebots- und Vertragsprozesse betreffen Sales, Pricing, Finance, Legal und IT. Jede Abteilung kann ihre Anwendungen kennen, während dem Unternehmen trotzdem die Gesamtsicht fehlt.

Nachvollziehbarkeit wird zur Kernanforderung

Auf dieser Bestandsaufnahme baut die Governance auf. Unternehmen legen fest, wer KI-Anwendungen verantwortet, welche Ergebnisse eine Prüfung erfordern und wann ein Mensch eine Entscheidung übernimmt. Bei relevanten KI-gestützten Entscheidungen bleibt nachvollziehbar, welche Informationen das System verwendet, welche Empfehlung es erzeugt und wie anschließend entschieden wurde. Gerade in Angebots- und Vertragsprozessen bauen Entscheidungen aufeinander auf: Eine Preisempfehlung fließt in ein Angebot ein, daraus entstehen Vertragsbedingungen, die wiederum Umsatz, Marge oder Verpflichtungen beeinflussen. Ein Fehler kann sich so über mehrere Arbeitsschritte fortsetzen.

Auditierbarkeit betrifft deshalb den gesamten Entscheidungsweg. Woher stammten die Daten? Welche Version galt? Welche Empfehlung erzeugte das System? Hat ein Mitarbeiter sie übernommen oder verändert? Damit rückt die Datenqualität in den Mittelpunkt. Veraltete Produktdaten, widersprüchliche Vertragsinformationen oder unvollständige Kundenhistorien erschweren sowohl den operativen Prozess als auch die Nachvollziehbarkeit KI-gestützter Entscheidungen.

Governance bedeutet nicht, jede Entscheidung einem Menschen vorzulegen. Entscheidend ist eine risikoadäquate Kontrolle. Das automatische Befüllen eines standardisierten Dokuments hat eine andere Tragweite als eine ungewöhnliche Vertragsklausel oder eine wirtschaftlich bedeutende Preisentscheidung. Unternehmen definieren, welche Ergebnisse automatisch weiterlaufen und wo ein Mensch prüft und entscheidet.

Compliance endet nicht mit der Bestandsaufnahme

Compliance ist keine einmalige Übung. KI-Funktionen verändern sich, Softwareanbieter erweitern ihre Anwendungen und Unternehmen aktivieren neue Möglichkeiten. Eine heute vollständige Bestandsaufnahme kann deshalb bald Lücken aufweisen. Unternehmen erfassen solche Veränderungen, bewerten neue KI-Funktionen vor ihrem Einsatz in geschäftskritischen Abläufen und prüfen bestehende Anwendungen regelmäßig auf Veränderungen bei Funktion, Datenbasis oder Risikoprofil.

Das bindet Ressourcen. Audits, Dokumentation, Schulungen und technische Anpassungen gehören deshalb von Anfang an in die Investitionsplanung. Mitarbeiter brauchen keine Ausbildung zu KI-Spezialisten, aber ein Verständnis dafür, wann sie mit einem KI-gestützten System arbeiten, wo dessen Grenzen liegen und wann eine zusätzliche Prüfung sinnvoll ist. Zugleich verbessert diese Arbeit die Prozessqualität: Wer KI-Anwendungen inventarisiert, Verantwortlichkeiten festlegt, Datenquellen überprüft und Entscheidungswege dokumentiert, gewinnt einen besseren Überblick über seine kommerziellen Prozesse.

Die gefährlichste KI ist die unbekannte

Die Frage lautet längst nicht mehr, ob Unternehmen KI in Angebots- und Vertragsprozessen einsetzen. Entscheidend ist vielmehr, ob sie wissen, wo die KI arbeitet und welche Entscheidungen sie beeinflusst. Dort beginnt jede belastbare Compliance-Strategie. Bevor Unternehmen ihre KI-Nutzung regulatorisch bewerten, brauchen sie ein vollständiges Bild ihrer tatsächlichen KI-Landschaft, einschließlich Software, die ursprünglich für einen anderen Zweck eingeführt wurde und inzwischen KI-Funktionen enthält.

Der EU AI Act bietet Anlass, neben einzelnen Anwendungen auch Verantwortlichkeiten und Kontrollmechanismen zu überprüfen. Unternehmen sollten jederzeit erklären können, wo KI arbeitet, auf welcher Grundlage sie Entscheidungen vorbereitet, welche Entscheidungen sie beeinflusst und wer dafür Verantwortung trägt. Das größte Compliance-Risiko ist möglicherweise nicht die leistungsfähigste KI im Unternehmen, sondern eine KI, deren Einsatz niemand systematisch erfasst hat.

Der erste Schritt zur KI-Compliance lässt sich daher einfach formulieren: Unternehmen klären zunächst, wo KI überhaupt eingesetzt wird. Erst dann können sie beurteilen, ob ihr Einsatz den regulatorischen Anforderungen entspricht.

Nick Boyer, Senior Director, Strategic Consulting bei Conga

Nick Boyer ist Pricing-Experte bei Conga und unterstützt Unternehmen bei der Bewältigung komplexer Preisgestaltungsaufgaben. Der ausgebildete Wirtschaftsprüfer und Chartered Accountant ist auf Preisstrategien, Angebots- und Verpackungsmodelle sowie den Einsatz von Künstlicher Intelligenz zur Unterstützung fundierter kaufmännischer Entscheidungen spezialisiert. Sein besonderes Interesse gilt der Frage, wie neue Technologien Unternehmen dabei helfen können, ihre Preisgestaltung zu optimieren und ihre kommerzielle Leistungsfähigkeit nachhaltig zu steigern.

FAQ: KI-Compliance in Angebots- und Vertragsprozessen

Was ist der »blinde Fleck« der KI-Compliance?
Der Einsatz von KI in alltäglichen Geschäftsprozessen, den niemand systematisch erfasst hat – typischerweise KI-Funktionen, die in bestehende Software für Angebots- und Vertragsprozesse eingebettet sind und nicht als eigenständiges »KI-System« erscheinen.
Warum sind ausgerechnet CPQ- und CLM-Systeme kritisch?
Weil sie Produkte und SKUs empfehlen, Konfigurationen unterstützen, Preise auf Basis historischer Transaktionen stützen, Vertragsentwürfe erstellen, Klauseln analysieren, Abweichungen und Risiken erkennen sowie Fristen überwachen – also Entscheidungen mit direkter Wirkung auf Umsatz, Marge und Verpflichtungen vorbereiten.
Was besagt die Conga-Befragung?
Von 1.500 befragten Führungskräften in Europa halten vier von fünf ihr Unternehmen für vorbereitet, während rund ein Fünftel nicht weiß, dass die eigenen CLM- oder CPQ-Systeme bereits KI integrieren.
Sind CPQ- und CLM-Systeme automatisch Hochrisiko-KI?
Der EU AI Act folgt einem risikobasierten Ansatz: Maßgeblich sind Einsatzzweck und gesetzliche Kriterien. Eine pauschale Einstufung wäre ebenso falsch wie ein ungeprüftes Ausklammern aus der Compliance-Betrachtung.
Womit beginnt eine belastbare KI-Compliance?
Mit einer Bestandsaufnahme: Welche Systeme verwenden KI, welche Funktionen sind aktiviert, welche Entscheidungen bereiten sie vor, welche Daten verarbeiten sie, wer verantwortet die Anwendung und wer kontrolliert die Ergebnisse?
Warum reicht es nicht, wenn jede Abteilung ihre Systeme kennt?
Angebots- und Vertragsprozesse laufen quer durch Sales, Pricing, Finance, Legal und IT. Jede Abteilung kann ihre Anwendungen kennen – dem Unternehmen fehlt trotzdem die Gesamtsicht.
Was bedeutet Auditierbarkeit konkret?
Nachvollziehbar bleibt der gesamte Entscheidungsweg: Woher stammten die Daten, welche Version galt, welche Empfehlung erzeugte das System, und hat ein Mitarbeiter sie übernommen oder verändert?
Welche Rolle spielt die Datenqualität?
Eine zentrale: Veraltete Produktdaten, widersprüchliche Vertragsinformationen oder unvollständige Kundenhistorien erschweren den operativen Prozess ebenso wie die Nachvollziehbarkeit KI-gestützter Entscheidungen.
Muss ein Mensch jede KI-Empfehlung prüfen?
Nein, entscheidend ist eine risikoadäquate Kontrolle. Das automatische Befüllen eines Standarddokuments hat eine andere Tragweite als eine ungewöhnliche Vertragsklausel oder eine wirtschaftlich bedeutende Preisentscheidung. Unternehmen definieren, was automatisch weiterläuft und wo ein Mensch prüft.
Ist die Bestandsaufnahme damit abgeschlossen?
Anbieter erweitern ihre Anwendungen, Updates aktivieren neue Funktionen – eine heute vollständige Übersicht kann bald Lücken aufweisen. Neue KI-Funktionen werden vor dem Einsatz in geschäftskritischen Abläufen bewertet, bestehende regelmäßig auf Funktion, Datenbasis und Risikoprofil geprüft. Audits, Dokumentation, Schulungen und technische Anpassungen gehören in die Investitionsplanung.

Management Summary, FAQ und Bild wurden mit Hilfe von KI erstellt

3491 Artikel zu „KI Compliance“

News | IT-Security | Künstliche Intelligenz | Services

KI-Governance für Entwickler im Einklang mit deutscher Compliance

23. Juli 2026

Auf dem Okta AI Identity Summit in Frankfurt am Main im Juni sprach die manage it mit Jan Brose, Area Sales Director Auth0 von Okta, über die Herausforderung der Identitätssicherheit in Zeiten von KI-Agenten und benutzerfreundlicher Customer Experience. Herr Brose, was tut Auth0, warum wurde die Firma von Okta im Jahr 2021 gekauft und…