EU AI Act für SaaS — eine praktische Compliance-Checkliste für 2026

Sophie Laurent Legal & Compliance Lead, YuSMP Group · Praktikerin für DSGVO, HIPAA und EU-KI-Verordnung

Gilt sie für Sie? Territoriale und rollenbezogene Eingrenzung

Die Verordnung (EU) 2024/1689 — die KI-Verordnung — kümmert sich nicht darum, wo Ihre Server stehen. Artikel 2(1)(c) erstreckt die Zuständigkeit auf außerhalb der Union niedergelassene Anbieter und Betreiber, sofern die vom KI-System erzeugte Ausgabe in der Union verwendet wird. Wenn ein zahlender Kunde in Berlin Ihre in San Francisco gehostete KI-Funktion nutzt, um einen Lebenslauf zu bewerten, gilt die Verordnung für Sie.

Bevor Sie irgendetwas anderes tun, klären Sie Ihre Rolle. Ein einzelnes SaaS spielt oft drei Rollen gleichzeitig, und die Pflichten summieren sich:

• Anbieter — Sie entwickeln das KI-System oder lassen es entwickeln und bringen es unter Ihrem Namen in Verkehr (Artikel 3(3)).
• Betreiber — Sie verwenden ein KI-System unter Ihrer Verantwortung (Artikel 3(4)). Nahezu jedes SaaS, das OpenAI, Anthropic oder Mistral nutzt, ist mindestens Betreiber.
• Anbieter durch Umwandlung — Artikel 25 stuft einen Betreiber zum Anbieter hoch, wenn Sie (a) ein Hochrisiko-System mit Ihrer Marke versehen, (b) es wesentlich verändern oder (c) es für einen Hochrisiko-Zweck umwidmen.

Nicht-EU-Anbieter von Hochrisiko- oder GPAI-Systemen müssen vor dem Inverkehrbringen nach Artikel 22 einen bevollmächtigten Vertreter in der Union benennen. Das ist nicht optional, und das KI-Büro hat begonnen, Nachweise zu verlangen.

Zeitplan 2025–2027 und der Sanktionsstapel

Die Sanktionen nach Artikel 99 sind gestaffelt. Verbotene Praktiken nach Artikel 5: bis zu 35 Mio. EUR oder 7 % des weltweiten Jahresumsatzes. Die meisten anderen Anbieterpflichten: 15 Mio. EUR oder 3 %. Übermittlung unrichtiger, unvollständiger oder irreführender Informationen an Behörden: 7,5 Mio. EUR oder 1 %. Sanktionen für GPAI-Anbieter nach Artikel 101: 3 % des weltweiten Umsatzes oder 15 Mio. EUR.

Ihr KI-System in 30 Minuten klassifizieren

Die Risikoklassifizierung ist die folgenreichste Einzelentscheidung in Ihrem KI-Verordnungs-Programm. Schätzen Sie sie zu hoch ein, geben Sie 200.000 EUR für ein Qualitätsmanagementsystem aus, das Sie nicht gebraucht hätten. Schätzen Sie sie zu niedrig ein, liefern Sie ein verbotenes oder nicht konformes Produkt in die EU.

Führen Sie die vierstufige Prüfung der Reihe nach durch:

1. Nach Artikel 5 verboten? Social Scoring durch öffentliche Stellen, ungezieltes Scraping von Gesichtserkennungsbildern, Emotionserkennung am Arbeitsplatz und in Schulen, vorausschauende Polizeiarbeit allein auf Basis von Profiling, biometrische Echtzeit-Fernidentifizierung in öffentlichen Räumen durch Strafverfolgungsbehörden (mit engen Ausnahmen) und ausbeuterische Manipulation von Schwächen. Falls ja — nicht ausliefern.
2. Sicherheitsbauteil nach Anhang I? Wenn Ihre KI ein Sicherheitsbauteil eines Produkts ist, das unter die in Anhang I aufgeführten Harmonisierungsrechtsvorschriften der Union fällt (Medizinprodukte nach MDR/IVDR, Maschinen, Aufzüge, Funkanlagen, Spielzeug usw.) und das Produkt einer Konformitätsbewertung durch Dritte unterliegt — ist das System hochriskant.
3. Anwendungsfall nach Anhang III? Biometrische Kategorisierung, kritische Infrastruktur, Bewertung in der allgemeinen und beruflichen Bildung, Beschäftigung und Personalmanagement (Lebenslauf-Sichtung, Leistungsüberwachung, Aufgabenzuweisung), Zugang zu wesentlichen Diensten (Kreditwürdigkeit, öffentliche Leistungen, Notfall-Triage, Preisgestaltung bei Lebens- und Krankenversicherungen), Strafverfolgung, Migration und Grenzkontrolle, Rechtspflege und demokratische Prozesse. Hochriskant, sofern keine Ausnahme nach Artikel 6(3) gilt (rein vorbereitend, enge prozedurale Aufgabe usw. — vom KI-Büro eng ausgelegt).
4. Begrenztes Risiko nach Artikel 50? Chatbots, Emotionserkennung (sofern nicht verboten), biometrische Kategorisierung (sofern nicht verboten), generative KI, die synthetische Inhalte erzeugt, Deepfakes. Nur Transparenzpflichten.

Alles Übrige ist minimales Risiko. Die überwiegende Mehrheit der SaaS-KI-Funktionen (Zusammenfassung, Suche, Inhaltsentwürfe für nicht regulierte Zwecke, interne Analysen) landet hier. Minimales Risiko ist durch die Verordnung nicht reguliert, aber die KI-Kompetenz nach Artikel 4 und Ihre übrigen Gesetze (DSGVO, sektoral) gelten weiterhin.

Artikel 5 — Praktiken, die Sie zu keinem Preis ausliefern dürfen

Artikel 5 gilt seit dem 2. Februar 2025, und die Europäische Kommission veröffentlichte am 4. Februar 2025 verbindliche Leitlinien (C(2025) 884) zu seiner Auslegung. Liefern Sie etwas aus, das diesen Mustern entspricht, droht Ihnen das Maximum von 35 Mio. EUR / 7 %:

• Unterschwellige Techniken jenseits des Bewusstseins einer Person oder manipulative Techniken, die das Verhalten erheblich verzerren und erheblichen Schaden verursachen (Artikel 5(1)(a)).
• Ausnutzung von Schwächen aufgrund von Alter, Behinderung oder sozioökonomischer Lage (Artikel 5(1)(b)).
• Social Scoring, das in unzusammenhängenden Kontexten zu nachteiliger Behandlung führt (Artikel 5(1)(c)).
• Vorausschauende Polizeiarbeit allein auf Basis von Profiling oder Persönlichkeitsmerkmalen (Artikel 5(1)(d)).
• Ungezieltes Scraping von Gesichtsbildern aus dem Internet oder von Videoüberwachung zum Aufbau von Gesichtserkennungsdatenbanken (Artikel 5(1)(e)).
• Emotionserkennung am Arbeitsplatz und im Bildungsbereich (Artikel 5(1)(f)). Medizinische und sicherheitsbezogene Ausnahmen bestehen, sind aber eng.
• Biometrische Kategorisierung, die auf Rasse, politische Meinung, sexuelle Orientierung, Religion usw. schließt (Artikel 5(1)(g)).
• Biometrische Echtzeit-Fernidentifizierung in öffentlich zugänglichen Räumen durch Strafverfolgungsbehörden, abgesehen von den aufgeführten Ausnahmen (Artikel 5(1)(h)).

Hochrisiko-Pflichten: Artikel 9, 10, 14, 15, 17

Landet Sie die Klassifizierung nach Anhang III oder Anhang I im Hochrisiko-Bereich, greift der operative Kern der Verordnung. Die fünf Artikel, die 80 % Ihrer Engineering-Arbeit antreiben:

• Artikel 9 — Risikomanagementsystem. Ein fortlaufender, iterativer Prozess über den gesamten Lebenszyklus. Dokumentierte Identifizierung vorhersehbarer Risiken, Abschätzung bei bestimmungsgemäßer Verwendung und bei vernünftigerweise vorhersehbarem Missbrauch, Einführung risikomindernder Maßnahmen, vertretbares und den Nutzern kommuniziertes Restrisiko. Kein einmaliges PDF, sondern ein lebendiger, in Ihren SDLC integrierter Prozess.
• Artikel 10 — Daten und Daten-Governance. Trainings-, Validierungs- und Testdatensätze müssen relevant, hinreichend repräsentativ, fehlerfrei und vollständig sein. Prüfung auf Verzerrungen, die zu nach Unionsrecht verbotener Diskriminierung führen könnten. Artikel 10(5) ist die einzige Stelle der Verordnung, an der die Verarbeitung besonderer Kategorien personenbezogener Daten ausschließlich zur Erkennung und Korrektur von Verzerrungen erlaubt ist, mit strengen Schutzmaßnahmen.
• Artikel 14 — Menschliche Aufsicht. Wirksame Aufsicht durch natürliche Personen während der Verwendung. Mittel zum Überwachen, zur korrekten Interpretation der Ausgabe, zur Entscheidung, die Ausgabe nicht zu verwenden („Stopp“ oder Übersteuerung), sowie zum Eingreifen oder Unterbrechen des Systems. Für die biometrische Identifizierung nach Anhang III(1)(a) — Vier-Augen-Prüfung vor jeder Maßnahme.
• Artikel 15 — Genauigkeit, Robustheit, Cybersicherheit. Angemessene Genauigkeit, in der Anleitung erklärt. Widerstandsfähigkeit gegenüber Fehlern, Störungen, Inkonsistenzen — und gegnerischen Eingaben einschließlich Data Poisoning, Model Evasion, Vertraulichkeitsangriffen und Modellfehlern. Die harmonisierten Normen (CEN-CENELEC JTC 21) entstehen gerade, und die Konformitätsvermutung wird ihnen folgen.
• Artikel 17 — Qualitätsmanagementsystem. Dokumentierte Strategien zur Einhaltung der Vorschriften, Designkontrolle, Verifizierungs- und Testverfahren, Datenmanagementverfahren, Marktbeobachtung nach Inverkehrbringen, Vorfallmeldung, Kommunikation mit Behörden, Aufzeichnungen und Ressourcenmanagement. SaaS-Anbieter, die bereits nach ISO/IEC 42001:2023 und ISO/IEC 27001:2022 zertifiziert sind, haben rund 70 % der Struktur bereits vorliegen.

Artikel 50 — Transparenz bei begrenztem Risiko für Chatbots und generative KI

Artikel 50 gilt unabhängig davon, ob das zugrunde liegende System hochriskant ist. Vier Pflichten, alle fällig am 2. August 2026:

• 50(1) Anbieterpflicht für nutzerseitige KI: Nutzer müssen darüber informiert werden, dass sie mit einem KI-System interagieren, sofern dies nicht offensichtlich ist. Umsetzung: dauerhaftes UI-Label („Sie chatten mit einem KI-Assistenten“), kein versteckter Tooltip.
• 50(2) Anbieterpflicht für Ausgaben generativer KI: Synthetische Audio-, Bild-, Video- oder Textinhalte müssen in einem maschinenlesbaren Format gekennzeichnet und als künstlich erzeugt oder manipuliert erkennbar sein. Technische Lösungen: C2PA Content Credentials, SynthID-artige Wasserzeichen für Bilder, Audio-Wasserzeichen über Resemble oder Ähnliches. Der Zusatz „soweit technisch machbar“ wird eng gelesen — „wir hatten keine Lust“ ist nicht technisch unmöglich.
• 50(3) Betreiberpflicht für Emotionserkennung und biometrische Kategorisierung: Informieren Sie die betroffenen Personen. Holen Sie eine Einwilligung ein, wo personenbezogene Daten nach der DSGVO verarbeitet werden.
• 50(4) Betreiberpflicht für Deepfakes: Legen Sie den künstlichen oder manipulierten Ursprung offen. Künstlerische und satirische Ausnahmen bestehen, sind aber eng.

GPAI und Artikel 53: wann Sie zum Modellanbieter werden

Wenn Sie ein Open-Weights-Modell feinabstimmen und weiterverbreiten oder ein eigenes Foundation-Modell trainieren, sind Sie ein GPAI-Anbieter nach Artikel 3(63). Die Pflichten nach Artikel 53 (seit dem 2. August 2025 in Kraft):

• Technische Dokumentation gemäß Anhang XI, aktuell gehalten und dem KI-Büro auf Anfrage zur Verfügung gestellt.
• Informationen für nachgelagerte Anbieter gemäß Anhang XII — ausreichend, damit diese das Modell verantwortungsvoll integrieren und ihre eigenen Pflichten erfüllen können.
• Eine Richtlinie zur Einhaltung des EU-Urheberrechts, insbesondere unter Beachtung des Text-und-Data-Mining-Opt-outs nach Artikel 4(3) der Richtlinie (EU) 2019/790 (CDSM-Richtlinie). Praktische Mittel: Beachten Sie TDM-Direktiven in robots.txt und den IETF-Entwurf ai.txt.
• Eine hinreichend detaillierte Zusammenfassung der Trainingsinhalte, veröffentlicht anhand der Vorlage des KI-Büros.

Übersteigt der Trainings-Compute 10^25 Gleitkommaoperationen (Artikel 51(2)), oder benennt die Kommission das Modell nach Artikel 51(1)(b), fallen Sie zudem unter die Pflichten zu systemischem Risiko nach Artikel 55: Modellbewertung einschließlich gegnerischem Testen, Bewertung und Minderung systemischer Risiken, Nachverfolgung schwerwiegender Vorfälle und Meldung an das KI-Büro, angemessene Cybersicherheit für Modell und physische Infrastruktur.

Der vom KI-Büro 2025 veröffentlichte Verhaltenskodex für KI mit allgemeinem Verwendungszweck begründet eine Konformitätsvermutung mit Artikel 53. Die Unterzeichnung ist freiwillig, aber pragmatisch — Nicht-Unterzeichner müssen eine gleichwertige Compliance nachweisen und tragen die Beweislast.

Betreiberpflichten nach Artikel 26 und Grundrechte-Folgenabschätzungen

Die meisten SaaS, die Drittanbieter-LLMs nutzen, sind Betreiber. Artikel 26 verlangt:

• Das System gemäß der Verwendungsanleitung des Anbieters zu verwenden.
• Die menschliche Aufsicht natürlichen Personen mit der erforderlichen Kompetenz, Schulung und Befugnis zuzuweisen (Artikel 26(2)).
• Sicherzustellen, dass die Eingabedaten für den beabsichtigten Zweck relevant und hinreichend repräsentativ sind (Artikel 26(4)).
• Den Betrieb zu überwachen und den Anbieter über schwerwiegende Vorfälle oder Fehlfunktionen zu informieren (Artikel 26(5)).
• Protokolle mindestens sechs Monate aufzubewahren (Artikel 26(6)).
• Arbeitnehmervertreter und betroffene Arbeitnehmer müssen informiert werden, bevor Hochrisiko-KI am Arbeitsplatz eingesetzt wird (Artikel 26(7)).
• Natürliche Personen, die einer auf Hochrisiko-KI-Ausgaben gestützten Entscheidung unterliegen, zu informieren (Artikel 26(11)).

Öffentliche Betreiber und große private Betreiber von Anhang-III-Hochrisiko-Systemen müssen vor der ersten Verwendung eine Grundrechte-Folgenabschätzung nach Artikel 27 durchführen. Das Ergebnis geht an die nationale Marktüberwachungsbehörde. Sie ist nicht optional und keine aufgehübschte DSFA.

Technische Dokumentation: Anhänge IV, XI, XII

Drei Anhänge treiben Ihre Dokumentation:

• Anhang IV — Technische Dokumentation für Hochrisiko-KI-Systeme (Artikel 11). Bestimmungsgemäßer Zweck, Designvorgaben, Systemarchitektur, Datenanforderungen, Trainingsmethoden, Validierung und Tests, Metriken, vorhersehbare unbeabsichtigte Ergebnisse, Maßnahmen zur menschlichen Aufsicht, Lebenszyklusmanagement. Für KMU steht eine vereinfachte Form zur Verfügung (Artikel 11(1) Unterabs. 2). Rechnen Sie mit 60–120 Seiten plus Anhängen.
• Anhang XI — Technische Dokumentation für GPAI-Modelle (Artikel 53(1)(a)). Beschreibung, Design, Training, Bewertung, beabsichtigte Aufgaben, Grenzen, Rechenressourcen, Energieverbrauch, bekannte und vernünftigerweise vorhersehbare Fehler. ~30–80 Seiten.
• Anhang XII — Informationen für nachgelagerte Anbieter (Artikel 53(1)(b)). Modellfähigkeiten und -grenzen, akzeptable Nutzung, Integrationsanforderungen, technische Mittel zur Identifizierung des Modells.

Für Hochrisiko-Anbieter folgen die EU-Konformitätserklärung (Artikel 47, Inhalt in Anhang V) und die CE-Kennzeichnung (Artikel 48). Die meisten Anhang-III-Hochrisiko-Systeme verwenden die interne Konformitätsbewertung nach Anhang VI; biometrische Systeme nach Anhang III(1) erfordern die Beteiligung einer benannten Stelle nach Anhang VII.

Meldung schwerwiegender Vorfälle (Artikel 73) und Marktbeobachtung nach Inverkehrbringen (Artikel 72)

Artikel 72 verlangt von Hochrisiko-Anbietern, ein dem Risiko und der Nutzung angemessenes System zur Marktbeobachtung nach Inverkehrbringen einzurichten, das während der gesamten Lebensdauer aktiv und systematisch Daten zur Systemleistung sammelt, dokumentiert und analysiert. Ein Durchführungsrechtsakt der Kommission nach Artikel 72(3) legt die detaillierte Planvorlage fest.

Die Meldefristen für schwerwiegende Vorfälle nach Artikel 73 greifen hart:

• Unverzüglich nach Feststellung eines Kausalzusammenhangs und spätestens 15 Tage nach Kenntnisnahme — bei gewöhnlichen schwerwiegenden Vorfällen.
• 10 Tage bei Vorfällen mit Todesfolge.
• 2 Tage bei weitverbreiteten Verstößen oder schwerwiegenden und irreversiblen Störungen kritischer Infrastruktur.

Die Meldung geht an die Marktüberwachungsbehörde des Mitgliedstaats, in dem der Vorfall aufgetreten ist. Richten Sie die Vorfall-Pipeline vor dem Launch ein, nicht nach dem ersten Vorfall.

Engineering-Kontrollen, die mehrere Artikel zugleich erfüllen

Kluge Programme wählen Kontrollen, die mehrere Lücken schließen. Die Kontrollen, die wir bei den meisten SaaS-KI-Verordnungs-Builds installieren:

1. Strukturiertes Prompt- und Output-Logging mit PII-Tokenisierung — erfüllt die Aufzeichnungspflicht nach Artikel 12, die Betreiberprotokolle nach Artikel 26(6), die Marktbeobachtung nach Artikel 72 und das Verarbeitungsverzeichnis nach Artikel 30 der DSGVO.
2. Evaluations-Harness, der vor der Freigabe auf einem eingefrorenen Testset mit Bias-Slices läuft — Artikel 10 Daten-Governance, Artikel 15 Genauigkeit, Artikel 9 Risikomanagement.
3. Human-in-the-Loop-UI mit expliziter Übersteuerung und Begründungserfassung — Artikel 14 Aufsicht, Artikel 26(2) Betreiberkompetenz, Artikel 86 Recht betroffener Personen auf Erläuterung.
4. Model Card und System Card, automatisch aus dem Eval-Harness generiert — Anhang IV §3 und Anhang XI §1.
5. C2PA Content Credentials auf allen generierten Medien — maschinenlesbare Kennzeichnung nach Artikel 50(2).
6. Red-Team-Programm im Quartalsrhythmus — Artikel 15 Robustheit, Artikel 55(1)(b) gegnerisches Testen des systemischen GPAI-Risikos, soweit anwendbar.
7. Vereinbarung mit einem bevollmächtigten Vertreter einer in der EU niedergelassenen Stelle — Artikel 22.

Die meisten davon sind auch das Chassis, das wir standardmäßig in SaaS-Entwicklungs-Projekte einbauen, und sie sind zentral für unseren Ansatz zur EU-AI-Act-Compliance. Für Gründer ohne internen Compliance-Verantwortlichen ist ein Fractional CTO, der bereits unter der Verordnung ausgeliefert hat, schneller als ein rein anwaltlich getragenes Programm.

FAQ

Gilt die EU-KI-Verordnung für mein US-SaaS, wenn ich EU-Kunden habe?

Ja. Artikel 2(1)(c) erstreckt die Zuständigkeit überall dorthin, wo KI-Ausgaben in der Union verwendet werden. Nicht-EU-Anbieter von Hochrisiko- und GPAI-Systemen müssen vor dem Inverkehrbringen einen bevollmächtigten Vertreter nach Artikel 22 benennen.

Was sind die wichtigsten Fristen für 2026?

Die meisten Hochrisiko-Pflichten gelten ab dem 2. August 2026. Die Transparenz nach Artikel 50 zum selben Datum. Die GPAI-Pflichten (Artikel 53) sind seit dem 2. August 2025 in Kraft. Die Verbote nach Artikel 5 seit dem 2. Februar 2025. In Anhang-I-Produktsicherheit integrierte KI folgt am 2. August 2027.

Ist meine SaaS-Funktion hochriskant?

Führen Sie die Prüfung durch: nach Artikel 5 verboten → Sicherheitsbauteil nach Anhang I → Anwendungsfall nach Anhang III → Transparenz nach Artikel 50. Trifft keines davon zu, sind Sie für Zwecke der KI-Verordnung minimales Risiko.

Was verlangt Artikel 50 operativ?

Eine dauerhafte UI-Offenlegung, dass der Nutzer mit einer KI spricht, maschinenlesbare Kennzeichnung (C2PA, Wasserzeichen) auf generierten Audio-/Bild-/Video-/Textinhalten, Deepfake-Offenlegung sowie Offenlegung bei biometrischer Erkennung / Emotionserkennung.

Ich nutze nur Drittanbieter-LLMs — was schulde ich?

Sie sind Betreiber nach Artikel 26 — menschliche Aufsicht, Eignung der Eingabedaten, sechsmonatige Protokollaufbewahrung, Vorfallmeldung. Wenn Sie feinabstimmen und weiterverbreiten, werden Sie GPAI-Anbieter nach Artikel 53 und ergänzen die Anhang-XI/XII-Dokumentation sowie die Urheberrechts- und Trainingszusammenfassungs-Pflichten.

Wie hoch ist das Sanktionsrisiko?

Artikel 99: bis zu 35 Mio. EUR oder 7 % des weltweiten Umsatzes für Verstöße gegen Artikel 5; 15 Mio. EUR oder 3 % für die meisten anderen Anbieterpflichten; 7,5 Mio. EUR oder 1 % für irreführende Informationen an Behörden. GPAI: 3 % oder 15 Mio. EUR nach Artikel 101.

Bauen Sie Ihr KI-Verordnungs-Programm auf Engineering auf, nicht auf Papierkram

Die günstigsten Readiness-Programme 2026 werden jene sein, bei denen Compliance ein Build-Time-Artefakt des SDLC ist, kein paralleler Papierstrom. Wir gestalten KI-Funktionen so, dass die Anhang-IV-Dokumentation aus der CI herausfällt und die Aufsicht nach Artikel 14 ein erstklassiges UI-Primitiv ist.

Zuletzt aktualisiert am 26. Mai 2026. Verweise auf Artikel und Anhänge beziehen sich auf die Verordnung (EU) 2024/1689. Nichts in diesem Artikel stellt eine Rechtsberatung für einen konkreten Fall dar.