EU-KI-Verordnung: Was liechtensteinische KMU jetzt prüfen sollten

Eine Vaduzer Fondsverwaltungsgesellschaft erhält von einer deutschen Kapitalverwaltungsgesellschaft, die als institutioneller Investor auftritt, einen Due-Diligence-Fragebogen. Zwischen Fragen zu AML-Prozessen und Depotstruktur steht plötzlich ein neuer Punkt: ob und wie das Unternehmen die europäische KI-Verordnung einhält, insbesondere für die eingesetzten Tools zur Risikobewertung und Kundenklassifizierung. Ähnliches erlebt ein Schaaner Fintech-Unternehmen, dessen API zur Bonitätsprüfung von einer österreichischen Bank lizenziert wird. Beide Unternehmen sind liechtensteinisch, keines hat eine Niederlassung in der EU – und beide fragen sich zu Recht, ob eine EU-Verordnung sie überhaupt betrifft. Dieser Beitrag ordnet die Rechtslage ein und zeigt, was liechtensteinische KMU konkret prüfen sollten.

Warum die KI-Verordnung überhaupt ein Thema für Liechtenstein ist

Liechtenstein ist Mitglied des Europäischen Wirtschaftsraums (EWR) und der EFTA, aber kein EU-Mitgliedstaat. Die Verordnung (EU) 2024/1689 – die KI-Verordnung oder der AI Act – ist EU-Recht und gilt in Liechtenstein nicht automatisch, wie es bei einem EU-Mitgliedstaat der Fall wäre. Anders als etwa die DSGVO, die über das EWR-Abkommen bereits als übernommenes Recht in Liechtenstein direkt anwendbar ist, wurde die KI-Verordnung nach unserem aktuellen Kenntnisstand bislang nicht in Anhang XI des EWR-Abkommens übernommen. Ob und wann das geschieht, ist zum jetzigen Zeitpunkt offen – wir nennen hier bewusst kein Datum, weil wir keinen bestätigten Zeitplan kennen und falsche Präzision an dieser Stelle mehr schaden als nützen würde. Für liechtensteinische Unternehmen gibt es damit aktuell kein eigenständiges nationales Pendant zur KI-Verordnung.

Das bedeutet aber nicht, dass die KI-Verordnung für Liechtenstein irrelevant ist. Sie kann über einen anderen Mechanismus greifen: ihren extraterritorialen Anwendungsbereich.

Der eigentliche Hebel: Art. 2 und der EU-Marktbezug

Art. 2 der KI-Verordnung legt den räumlichen Anwendungsbereich fest – und dieser ist bewusst weit gefasst, ähnlich dem Marktortprinzip, das Art. 3 Abs. 2 DSGVO bereits bekannt gemacht hat. Die Verordnung gilt danach auch für Anbieter und Betreiber, die außerhalb der EU niedergelassen sind, sofern ein von ihnen bereitgestelltes oder betriebenes KI-System auf dem EU-Markt in Verkehr gebracht oder in der EU in Betrieb genommen wird, oder sofern das von diesem System erzeugte Ergebnis (Output) in der EU verwendet wird. Ein liechtensteinisches Unternehmen ohne jede EU-Niederlassung kann für eine konkrete Tätigkeit in den Anwendungsbereich der KI-Verordnung fallen, wenn diese Tätigkeit einen ausreichenden EU-Marktbezug hat.

Für Liechtenstein ist das keine abstrakte Möglichkeit, sondern eine strukturelle Realität. Der Fonds-, Fintech- und Bankensektor des Landes ist im Verhältnis zur Bevölkerungsgröße außergewöhnlich groß und über das EWR-Passporting eng mit dem EU-Markt verflochten: liechtensteinische Fondsleitungen verwalten Vermögen für EU-Anleger, Banken bedienen grenzüberschreitende Kunden, und Fintech- sowie Token- und Blockchain-Unternehmen – gestützt auf das liechtensteinische Blockchain-Gesetz (TVTG) – bieten Dienstleistungen an, die regelmäßig EU-Nutzer erreichen. Genau diese EU-Marktnähe ist der Auslöser, der eine an sich rein liechtensteinische Geschäftstätigkeit in den Anwendungsbereich der KI-Verordnung ziehen kann.

Wer in der Praxis besonders betroffen ist

Nicht jedes liechtensteinische Unternehmen, das irgendein Tool mit KI-Bezug nutzt, muss sich intensiv mit der Verordnung befassen. Entscheidend ist der reale EU-Bezug der konkreten Anwendung. Typische Konstellationen mit erhöhter Relevanz: Fondsverwaltungsgesellschaften und Vermögensverwalter, die KI-gestützte Tools zur Risikoklassifizierung, Portfolio-Scoring oder Kundenbewertung einsetzen und Ergebnisse an EU-Investoren oder EU-Fondspartner liefern; Banken und Zahlungsdienstleister, die automatisierte Bonitäts- oder Betrugserkennungssysteme nutzen, deren Output Kunden mit Wohnsitz in der EU betrifft; Fintech- und Token-Unternehmen, deren KI-gestützte Produkte über die EWR-Dienstleistungsfreiheit auch an EU-Kunden vermarktet werden; sowie jedes Unternehmen, das als Zulieferer oder Dienstleister von EU-regulierten Instituten in deren Lieferantenfragebögen zur KI-Verordnung Auskunft geben muss, selbst wenn es formal nicht direkt reguliert ist. Ein rein binnenliechtensteinisches oder binnen-EWR-Angebot ohne Output-Verwendung in der EU löst diesen Mechanismus dagegen nicht aus – hier lohnt sich eine genaue, ehrliche Prüfung des tatsächlichen Marktbezugs, statt einer pauschalen Einschätzung in die eine oder andere Richtung.

Was ein Verstoß kosten kann

Die KI-Verordnung sieht ein gestuftes Sanktionssystem vor. Für verbotene KI-Praktiken drohen nach Art. 99 Bußgelder von bis zu 35 Mio. Euro oder 7 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Für andere schwerwiegende Verstöße, etwa gegen Pflichten für Hochrisiko-KI-Systeme, liegt der Rahmen bei bis zu 15 Mio. Euro oder 3 % des weltweiten Jahresumsatzes. Art. 99 Abs. 6 sieht für KMU und Start-ups eine Erleichterung vor: Bei ihnen ist jeweils der niedrigere der beiden möglichen Beträge maßgeblich – eine Abmilderung, aber keine Ausnahme von der Pflicht selbst. Wichtig für liechtensteinische Unternehmen: Da die Verordnung bislang nicht ins EWR-Abkommen übernommen wurde, ist unklar und unseres Wissens nicht abschließend geklärt, über welchen konkreten Mechanismus eine EU-Behörde ein Bußgeld gegen ein Unternehmen ohne EU-Niederlassung tatsächlich durchsetzen würde. Das ist kein Grund, den extraterritorialen Anwendungsbereich zu ignorieren – aber ein Punkt, den wir hier bewusst offen benennen, statt eine Durchsetzungspraxis zu behaupten, die wir nicht bestätigen können. Praktisch relevanter als eine Behördensanktion ist ohnehin oft das nähere Risiko: Wer die KI-Verordnung-Fragen von EU-Geschäftspartnern nicht plausibel beantworten kann, riskiert den Verlust des Mandats oder der Lieferantenlistung, bevor überhaupt eine Behörde tätig wird.

Was Sie jetzt konkret prüfen sollten

Statt sofort ein umfassendes Compliance-Programm aufzusetzen, lohnt sich zunächst eine nüchterne Bestandsaufnahme anhand weniger Fragen:

• Welche Systeme mit KI-Komponente setzen wir tatsächlich ein – auch solche, die intern als „normale Software“ gelten, aber automatisierte Bewertungen oder Entscheidungen treffen?
• Wird das Ergebnis (Output) eines dieser Systeme von Kunden, Investoren oder Partnern mit Sitz oder Wohnsitz in der EU genutzt?
• Bringen wir ein KI-System direkt oder über einen Vertriebspartner auf den EU-Markt?
• Haben EU-Geschäftspartner in Fragebögen oder Audits bereits konkret nach unserer Einhaltung der KI-Verordnung gefragt?
• Fällt eine betroffene Anwendung in einen möglichen Hochrisiko-Bereich nach Anhang III, etwa Kreditwürdigkeitsprüfung, Personalauswahl oder Betrugserkennung?
• Können wir die relevante Datenschutzstelle als liechtensteinische Aufsichtsbehörde und deren Zuständigkeit von der noch offenen Frage einer künftigen KI-Aufsicht sauber auseinanderhalten?

Allgemeine Information, keine Rechtsberatung

Dieser Beitrag bietet eine allgemeine Einordnung und ersetzt keine Rechtsberatung im Einzelfall – insbesondere nicht dort, wo die Rechtslage noch offen ist, etwa bei der EWR-Übernahme der KI-Verordnung oder der konkreten Durchsetzung gegenüber Unternehmen ohne EU-Niederlassung. Komplya unterscheidet konsequent zwischen redaktionell geprüften Inhalten und Entwurfsmaterial, damit Sie einschätzen können, worauf Sie sich bei welcher Aussage verlassen können.

Der pragmatischste nächste Schritt ist keine vollständige Rechtsanalyse, sondern eine erste, schnelle Einordnung Ihrer konkreten Situation. Beantworten Sie unseren kurzen Fragebogen zur Anwendbarkeit der KI-Verordnung auf Ihr Unternehmen – Sie erhalten in wenigen Minuten eine erste Einschätzung, ob Ihre Systeme voraussichtlich einen EU-Bezug haben und welche Unterlagen Sie vorbereiten sollten, bevor der nächste Fragebogen eines EU-Kunden bei Ihnen eintrifft.