Die EU KI Verordnung für SaaS Entwickler: was jetzt gilt und was auf 2027 und 2028 gerückt ist

Was sich seit der ersten Fassung geändert hat

Als ich diesen Artikel im März 2026 zum ersten Mal geschrieben habe, war der 2. August 2026 das große Datum, und die Verschiebung, über die alle sprachen, war nur ein Vorschlag. Ein Vorschlag ist sie nicht mehr. Der Digital Omnibus zur KI, die Verordnung (EU) 2026/1744, wurde am 8. Juli 2026 erlassen, am 24. Juli 2026 im Amtsblatt veröffentlicht und ist drei Tage später, am 27. Juli 2026, in Kraft getreten.¹

Er hat den größten Brocken verschoben. Die Regeln für Hochrisikosysteme nach Anhang III gelten jetzt ab dem 2. Dezember 2027. Die Regeln für KI in Produkten, die schon unter das EU Produktsicherheitsrecht fallen, gelten ab dem 2. August 2028.¹ Alles Weitere in diesem Artikel beschreibt die Rechtslage am 8. November 2026, und jedes Datum stammt aus dem Text der Verordnungen im Amtsblatt.

Der 2. August 2026 hat also stattgefunden. Er war nur ein kleinerer Tag, als die alte Schlagzeile versprochen hatte. Die Transparenzregeln kamen, die Hochrisikoregeln nicht.

Was die KI Verordnung ist, und wen sie erfasst

Die KI Verordnung ist die Verordnung (EU) 2024/1689. Sie ist am 1. August 2024 in Kraft getreten und gilt in Stufen.² Stell sie dir als die Cousine der DSGVO für KI vor: Sie reicht über die Grenzen der EU hinaus, sie sortiert nach Risiko, und die Bußgelder sind hoch. Nur regelt sie keine personenbezogenen Daten, sondern KI Systeme, und zwar danach, wie viel Risiko sie für Gesundheit, Sicherheit und Grundrechte von Menschen bedeuten.

Für ein SaaS aus Deutschland ist die Frage, ob sie gilt, schnell beantwortet: Wer KI Systeme in der EU in Verkehr bringt, ist drin. Interessanter ist die Reichweite nach außen. Die Verordnung gilt für Anbieter, die KI Systeme in der EU in Verkehr bringen, egal wo sie sitzen, und für Anbieter und Betreiber außerhalb der EU, wenn die Ausgabe des Systems in der EU verwendet wird.² Das betrifft den Modellanbieter in den USA genauso wie deinen Konkurrenten in London. Für dich heißt es: Niemand, der deinen Kunden in Hamburg oder Lyon KI verkauft, kommt um diese Regeln herum.

Was als KI System zählt, ist weit gefasst. Die Verordnung beschreibt ein maschinengestütztes System, das aus den erhaltenen Eingaben für explizite oder implizite Ziele ableitet, wie es Ausgaben wie Vorhersagen, Inhalte, Empfehlungen oder Entscheidungen erstellt.² Eine Empfehlungsmaschine fällt darunter. Ein Chatbot auch. Eine feste Regel wie "versandkostenfrei ab 50 €" nicht, denn sie leitet nichts ab.

Deutschland hat dazu sein Durchführungsgesetz. Das Gesetz zur Durchführung der Verordnung über künstliche Intelligenz vom 22. Juli 2026 steht im Bundesgesetzblatt 2026 I Nr. 223 und ist am 29. Juli 2026 in Kraft getreten. Sein erster Artikel ist das Gesetz zur Marktüberwachung und Innovationsförderung von künstlicher Intelligenz, kurz KI MIG. Es macht die Bundesnetzagentur zur Marktüberwachungsbehörde für die KI Verordnung, mit Ausnahmen etwa für die BaFin bei regulierten Finanztätigkeiten, und richtet bei ihr eine zentrale Beschwerdestelle ein.³ Für personenbezogene Daten bleiben bei privaten Unternehmen die Datenschutzaufsichtsbehörden der Länder zuständig.⁴ Wie DSGVO, KI Verordnung und die deutschen Behörden zusammenspielen, beschreibe ich in KI im Unternehmen: der komplette Leitfaden.

Die Termine, Stand 8. November 2026

Hier ist der ganze Zeitplan nach dem Omnibus. Links steht das Datum, rechts, was ab dann gilt.

Datum	Was gilt
1. August 2024	Die Verordnung tritt in Kraft
2. Februar 2025	Die verbotenen Praktiken und die Pflicht zur KI Kompetenz (Kapitel I und II)
2. August 2025	Regeln für KI Modelle mit allgemeinem Verwendungszweck, Governance und Sanktionen, außer den Bußgeldern für Modellanbieter
27. Juli 2026	Der Digital Omnibus zur KI tritt in Kraft
2. August 2026	Das allgemeine Datum: Transparenzpflichten nach Artikel 50, Bußgelder für Anbieter von KI Modellen mit allgemeinem Verwendungszweck und der Rest der Verordnung, soweit nicht anders datiert
2. Dezember 2026	Zwei neue Verbote (sexuelle Deepfakes realer Personen ohne Einwilligung und Darstellungen sexuellen Kindesmissbrauchs). Generative Systeme, die schon vor dem 2. August 2026 auf dem Markt waren, müssen ihre Ausgabe bis dahin kennzeichnen
2. August 2027	KI Modelle mit allgemeinem Verwendungszweck, die vor dem 2. August 2025 auf den Markt kamen, müssen die Regeln erfüllen. Jeder Mitgliedstaat muss ein funktionierendes KI Reallabor haben
2. Dezember 2027	Hochrisikoregeln für die Systeme in Anhang III
2. August 2028	Hochrisikoregeln für KI, die Sicherheitsbauteil eines Produkts nach den EU Harmonisierungsvorschriften in Anhang I ist oder selbst ein solches Produkt ist

Die ursprünglichen Termine stehen in Artikel 113 der Verordnung.² Der Omnibus hat die Hochrisikotermine ersetzt, die zwei Verbote ab dem 2. Dezember 2026 ergänzt, älteren generativen Systemen bis zum 2. Dezember 2026 Zeit für die Kennzeichnung gegeben und die Frist für die Reallabore auf den 2. August 2027 verschoben.¹

Eine Änderung zählt für alle, deren Produkt schon live ist. Ein Hochrisikosystem, das vor dem Geltungsbeginn der Hochrisikoregeln in Verkehr gebracht wurde, wird nur erfasst, wenn sich sein Design danach erheblich ändert.¹ Das ist kein Schlupfloch, auf das man planen sollte. Es ist ein Grund, genau zu wissen, welche Version deines Produkts wann auf dem Markt war.

Die vier Risikostufen, und wo dein Produkt steht

Am leichtesten liest sich die Verordnung in vier Stufen: verbotene Praktiken, Hochrisikosysteme, Systeme mit Transparenzpflichten und alles andere. Jede Stufe hat ihre eigenen Pflichten.

Verboten: die untersagten Praktiken

Sie sind seit dem 2. Februar 2025 verboten.² Du darfst sie in der EU weder in Verkehr bringen noch in Betrieb nehmen noch verwenden. In einfachen Worten verbietet Artikel 5 KI Systeme, die

• unterschwellige, manipulative oder täuschende Techniken einsetzen, die das Verhalten eines Menschen wesentlich verzerren und ihm erheblichen Schaden zufügen oder mit hinreichender Wahrscheinlichkeit zufügen
• die Schwäche eines Menschen wegen seines Alters, einer Behinderung oder einer besonderen sozialen oder wirtschaftlichen Lage ausnutzen, mit derselben schädlichen Wirkung
• Menschen nach ihrem sozialen Verhalten oder ihren persönlichen Merkmalen bewerten, sodass sie ungerechtfertigt oder in fremdem Zusammenhang benachteiligt werden
• das Risiko vorhersagen, dass jemand eine Straftat begeht, allein auf Grundlage von Profiling oder Persönlichkeitsmerkmalen
• Datenbanken zur Gesichtserkennung durch ungezieltes Auslesen von Gesichtsbildern aus dem Internet oder aus Überwachungskameras aufbauen oder erweitern
• Emotionen am Arbeitsplatz oder in Bildungseinrichtungen erkennen, außer aus medizinischen oder Sicherheitsgründen
• Menschen anhand biometrischer Daten kategorisieren, um auf ethnische Herkunft, politische Meinung, Gewerkschaftszugehörigkeit, religiöse Überzeugung, Sexualleben oder sexuelle Orientierung zu schließen
• biometrische Fernidentifizierung in Echtzeit in öffentlich zugänglichen Räumen zur Strafverfolgung betreiben, außerhalb weniger eng gefasster Ausnahmen²

Ab dem 2. Dezember 2026 kommen durch den Omnibus zwei weitere hinzu: Systeme, die realistische sexuelle Bilder oder Videos einer identifizierbaren Person ohne deren ausdrückliche Einwilligung erzeugen, und Systeme, die Darstellungen sexuellen Kindesmissbrauchs erzeugen. Ein allgemeines Werkzeug ist erfasst, wenn eine solche Ausgabe sein Zweck ist oder ein vorhersehbares und wiederholbares Ergebnis ohne angemessene Schutzvorkehrungen.¹

Wer gegen ein Verbot verstößt, riskiert bis zu 35 Millionen € oder 7 % des weltweiten Jahresumsatzes, je nachdem, was höher ist.²

Was das für dich als SaaS Entwickler heißt: Die meisten Produkte sind weit weg von dieser Liste. Die Grenzfälle sind ein Marketingwerkzeug, das auf manipulative Techniken setzt, ein HR Tool, das in Vorstellungsgesprächen Emotionen liest, und ein Bildgenerator ohne Schutz gegen gefälschte intime Bilder. Wenn eines davon auf dich zutrifft, ist das kein Compliance Projekt. Hör auf damit.

Hohes Risiko: erlaubt, mit schweren Pflichten

Hochrisikosysteme sind erlaubt, tragen aber den Großteil der Pflichten der Verordnung. Es gibt zwei Wege hinein.

Weg eins: Produkte unter EU Sicherheitsrecht. Ein KI System ist hochriskant, wenn es Sicherheitsbauteil eines Produkts ist, das unter die in Anhang I genannten EU Rechtsvorschriften fällt, oder selbst ein solches Produkt ist, und dieses Produkt eine Konformitätsbewertung durch Dritte braucht.² Maschinen, Spielzeug, Aufzüge und Medizinprodukte sind die bekannten Beispiele. Diese Regeln gelten jetzt ab dem 2. August 2028.¹ Der Omnibus hat außerdem klargestellt, dass KI, die nur Komfort, Effizienz oder Leistung verbessert und keine Sicherheitsfunktion hat, kein Sicherheitsbauteil ist.¹

Weg zwei: die Verwendungen in Anhang III. Diesen Weg müssen die meisten SaaS Entwickler prüfen. Er gilt jetzt ab dem 2. Dezember 2027.¹ Anhang III hat acht Bereiche:²

1. Biometrie: biometrische Fernidentifizierung, biometrische Kategorisierung nach sensiblen Merkmalen und Emotionserkennung.
2. Kritische Infrastruktur: Sicherheitsbauteile beim Betrieb kritischer digitaler Infrastruktur, im Straßenverkehr oder bei der Versorgung mit Wasser, Gas, Wärme oder Strom.
3. Allgemeine und berufliche Bildung: Entscheidungen über den Zugang, die Bewertung von Lernergebnissen, die Einschätzung des Bildungsniveaus, das jemand erhält, und die Überwachung von Prüfungen auf Täuschung.
4. Beschäftigung: Einstellung und Auswahl, einschließlich gezielter Stellenanzeigen, der Filterung von Bewerbungen und der Bewertung von Kandidaten, sowie Entscheidungen über Beförderung, Kündigung, Aufgabenverteilung und Leistungsüberwachung.
5. Grundlegende Dienste: der Anspruch auf öffentliche Leistungen, Kreditwürdigkeit und Bonitätsbewertung (außer zur Betrugserkennung), Risikobewertung und Preisbildung bei Lebensversicherungen und Krankenversicherungen und die Einstufung von Notrufen.
6. Strafverfolgung: Opferrisiko, Lügendetektoren, Verlässlichkeit von Beweismitteln, Rückfallrisiko und Profiling bei Ermittlungen.
7. Migration, Asyl und Grenzkontrolle: Risikobewertungen, die Prüfung von Anträgen und die Identifizierung von Menschen.
8. Rechtspflege und demokratische Prozesse: Unterstützung von Gerichten bei der Ermittlung und Anwendung des Rechts und Systeme, die das Wahlverhalten beeinflussen sollen.

Über dieser Liste stehen zwei Regeln, beide in Artikel 6.²

Die erste ist ein Ausgang. Ein System aus Anhang III ist nicht hochriskant, wenn es kein erhebliches Schadensrisiko birgt, auch weil es das Ergebnis einer Entscheidung nicht wesentlich beeinflusst. Das gilt, wenn das System nur eine eng gefasste Verfahrensaufgabe erledigt, das Ergebnis einer schon abgeschlossenen menschlichen Tätigkeit verbessert, Muster in früheren Entscheidungen erkennt, ohne die menschliche Prüfung zu ersetzen, oder eine vorbereitende Aufgabe für eine Bewertung übernimmt. Wer sich als Anbieter auf diesen Ausgang beruft, muss seine Bewertung dokumentieren, bevor das System auf den Markt kommt.

Die zweite schließt den Ausgang wieder. Ein System aus Anhang III, das Profiling natürlicher Personen vornimmt, ist immer hochriskant, egal was sonst zutrifft.

Übersetzt auf gängige Produkte:

• Ein SaaS für Kredite oder Fintech, das Kreditwürdigkeit bewertet: hohes Risiko.
• Ein SaaS für HR oder Recruiting, das Lebensläufe sichtet oder Kandidaten reiht: hohes Risiko.
• Ein EdTech SaaS, das Prüfungen benotet oder über Zulassungen entscheidet: hohes Risiko.
• Ein SaaS für Versicherer, das Lebensversicherungen oder Krankenversicherungen bepreist: hohes Risiko.
• Ein Marketing SaaS, das Kampagnen und Zielgruppen optimiert: fast sicher nicht, mit einem Vorbehalt, zu dem ich gleich komme.
• Ein eCommerce Shop mit Empfehlungen, Preisregeln und Warenkorberinnerungen: fast sicher nicht.

Anbieter von Hochrisikosystemen müssen unter anderem ein Risikomanagement betreiben, ihre Trainingsdaten steuern, eine technische Dokumentation führen, automatische Protokollierung einbauen, den Betreibern klare Anleitungen geben, auf menschliche Aufsicht hin entwerfen, Genauigkeit, Robustheit und Cybersicherheit sicherstellen, eine Konformitätsbewertung bestehen, das System registrieren und es nach dem Inverkehrbringen beobachten.² Der Omnibus erlaubt KMU und kleinen Unternehmen mittlerer Kapitalisierung, die technische Dokumentation in einer vereinfachten Form einzureichen, die die Kommission veröffentlichen wird.¹

Wer gegen diese Pflichten verstößt, riskiert bis zu 15 Millionen € oder 3 % des weltweiten Jahresumsatzes.²

Transparenz: die Pflichten, die jetzt gelten

Hier landen die meisten SaaS Produkte mit KI Funktionen, und diese Pflichten gelten seit dem 2. August 2026.² Artikel 50 legt vier davon fest:

• Anbieter von Systemen, die direkt mit Menschen interagieren, müssen sie so gestalten, dass die Menschen wissen, dass sie mit einer KI zu tun haben, sofern das nicht aus dem Zusammenhang offensichtlich ist.
• Anbieter von Systemen, die synthetische Inhalte erzeugen, also Audio, Bilder, Videos oder Text, müssen die Ausgabe in einem maschinenlesbaren Format kennzeichnen, damit sie als künstlich erzeugt erkennbar ist. Systeme, die schon vor dem 2. August 2026 auf dem Markt waren, haben dafür bis zum 2. Dezember 2026 Zeit.¹
• Betreiber von Emotionserkennung oder biometrischer Kategorisierung müssen die betroffenen Menschen informieren.
• Betreiber, die Deepfakes veröffentlichen, müssen offenlegen, dass der Inhalt künstlich ist. Dasselbe gilt für Betreiber, die KI generierten Text veröffentlichen, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren, es sei denn, ein Mensch hat ihn geprüft und jemand trägt die redaktionelle Verantwortung.²

Die Information muss klar sein, spätestens bei der ersten Interaktion kommen und die Anforderungen an Barrierefreiheit erfüllen.² Verstöße fallen in dasselbe Bußgeldband wie die Hochrisikopflichten: bis zu 15 Millionen € oder 3 %.²

Alles andere: minimales Risiko

Spamfilter, Bestandsprognosen, Suchranking, die meisten Empfehlungsmaschinen. Die Verordnung legt ihnen außer der KI Kompetenz keine besonderen Pflichten auf und ermutigt zu freiwilligen Verhaltenskodizes. Das übrige Recht gilt trotzdem: die DSGVO, der Cyber Resilience Act und, wo es passt, die NIS2 Richtlinie.

Ein System einstufen, eine Frage nach der anderen

Die Einstufung ist eine Folge von Fragen, und die Reihenfolge zählt. Die Prüfung auf Profiling kommt vor dem Ausgang, ein Verbot kommt vor allem anderen.

Lies es von oben. Jede Raute ist eine Frage zur Zweckbestimmung des Systems, und die Kästen danach sind die Antworten. Mitnehmen solltest du die Reihenfolge. Ein System, das in einem Bereich aus Anhang III Menschen profiliert, erreicht den Ausgang nie, und ein System, das nicht in Anhang III steht, braucht ihn nie.

Rechenbeispiel: wo GrowCentric.ai landet

So habe ich mein eigenes Produkt eingestuft, denn diese Übung muss jeder SaaS Entwickler machen.

GrowCentric.ai ist ein SaaS zur Marketingoptimierung. Es analysiert die Leistung von Kampagnen, verteilt Budget zwischen Kanälen um, segmentiert Zielgruppen, erkennt Konflikte zwischen konkurrierenden Kunden und passt Kampagneneinstellungen an. Wie ich in meinem Beitrag zur KI gestützten Marketingautomatisierung beschrieben habe, arbeitet es mit spezialisierten Agenten, die sich über einen gemeinsamen Event Bus abstimmen.

Schritt 1: Ist etwas verboten? Nein. Nichts von der Verbotsliste: keine unterschwelligen Techniken, kein Social Scoring, keine Biometrie, keine Emotionserkennung. Es optimiert Kampagnen. Es manipuliert keine Einzelnen ohne ihr Wissen.

Schritt 2: Ist es Sicherheitsbauteil eines regulierten Produkts? Nein.

Schritt 3: Steht seine Verwendung in Anhang III? Bereich für Bereich: keine Biometrie, keine kritische Infrastruktur, keine Bildung. Am nächsten liegen die grundlegenden Dienste. GrowCentric segmentiert Zielgruppen für Werbung. Es entscheidet nicht, ob jemand einen Kredit, eine Versicherung, medizinische Versorgung oder eine öffentliche Leistung bekommt. Es entscheidet, wer welche Anzeige sieht und wie viel für die Aufmerksamkeit geboten wird. Das ist Marketing, keine Torwächterrolle.

Einen Vorbehalt hat die erste Fassung dieses Artikels übersehen. Anhang III Nummer 4 erfasst KI für die Einstellung von Personal und nennt ausdrücklich das Schalten gezielter Stellenanzeigen.² Ein Marketingwerkzeug, mit dem ein Arbeitgeber Stellenanzeigen gezielt ausspielt, tut genau das. Würde ein Kunde GrowCentric dafür einsetzen, änderte er die Zweckbestimmung eines Systems ohne hohes Risiko so, dass es hochriskant wird, und die Verordnung behandelt diesen Kunden dann als Anbieter eines Hochrisikosystems.² Seit dem Omnibus muss der ursprüngliche Anbieter dem neuen Anbieter keine Dokumentation und keinen technischen Zugang übergeben, wenn er eindeutig festgelegt hat, dass sein System nicht in ein Hochrisikosystem umgewandelt werden darf.¹ Deshalb stehen die Zweckbestimmung und die Verwendungen, die ich ausschließe, in den Nutzungsbedingungen.

Schritt 4: Transparenz. Ja. Die Agenten von GrowCentric erstellen Berichte für die Dashboards der Kunden und erzeugen synthetische Inhalte wie Varianten von Anzeigentexten. Diese Berichte sollten sagen, dass sie KI generiert sind, und der erzeugte Text braucht nach Artikel 50 eine maschinenlesbare Kennzeichnung.

Schritt 5: Profiling. GrowCentric profiliert Verhalten, um Zielgruppen für Werbung zu bilden. Nach der DSGVO ist das Profiling und schon geregelt. Nach der KI Verordnung erzwingt Profiling die Einstufung als hochriskant nur innerhalb eines Bereichs aus Anhang III, und Werbung ist keiner.

Meine Einstufung: GrowCentric.ai ist nicht hochriskant. Es hat Transparenzpflichten.

In der ersten Fassung stand, Artikel 6 Absatz 4 verlange, dass ich das dokumentiere. Streng genommen tut er das nicht: Artikel 6 Absatz 4 gilt für ein System aus Anhang III, dessen Anbieter sich auf den Ausgang beruft.² GrowCentric steht gar nicht in Anhang III. Ich dokumentiere die Bewertung trotzdem. Lieber habe ich die Dokumentation und brauche sie nicht, als dass ich sie brauche und nicht habe.

Rechenbeispiel: ein Solidus Shop und ein HR Tool

Zwei erfundene Unternehmen, damit du die Grenze von beiden Seiten siehst.

Radhaus Ehrenfeld ist ein Fahrradladen in Köln, der online unter radhausehrenfeld.example verkauft, gebaut auf Ruby on Rails und Solidus. Er nutzt fünf KI Funktionen. Jede einzelne, eingestuft:

1. Produktempfehlungen ("wer diesen Sattel gekauft hat, kaufte auch"): nicht in Anhang III. Minimales Risiko.
2. Preisregeln, die Preise mit Bestand und Nachfrage bewegen: keine Kreditwürdigkeit, keine Versicherung. Minimales Risiko. Würden Preise pro Person aus ihrem Verhalten gesetzt, wäre das Profiling nach der DSGVO, die Profiling als automatisierte Verarbeitung personenbezogener Daten beschreibt, um persönliche Aspekte wie die wirtschaftliche Lage, Vorlieben oder das Verhalten eines Menschen zu analysieren oder vorherzusagen.⁵ Das ist eine Frage des Datenschutzes, keine der KI Verordnung.
3. Abwanderungsprognose, die Kunden für eine Rückgewinnungsmail markiert: kein Zugang zu einem grundlegenden Dienst. Minimales Risiko.
4. Warenkorbmails, die ein Modell zeitlich steuert: Marketingautomatisierung. Minimales Risiko.
5. Ein Chatassistent auf den Produktseiten: spricht direkt mit Menschen. Transparenzpflicht nach Artikel 50, seit dem 2. August 2026 in Kraft. Der Assistent muss bei der ersten Nachricht sagen, dass er eine KI ist.

Die ganze Arbeit von Radhaus Ehrenfeld mit der KI Verordnung ist ein Satz zur Offenlegung und eine kurze schriftliche Einstufung.

Listenplatz ist ein erfundenes HR SaaS aus Leipzig, unter listenplatz.example. Es reiht Lebensläufe gegen eine Stellenbeschreibung, für Kunden, die Personalvermittler in Deutschland und der übrigen EU sind. Das Reihen von Kandidaten steht in Anhang III Nummer 4, und Menschen nach ihren Merkmalen zu reihen ist Profiling, der Ausgang ist also zu.² Listenplatz ist ab dem 2. Dezember 2027 Anbieter eines Hochrisikosystems, mit allen Pflichten: Risikomanagement, Datengovernance, Dokumentation, Protokollierung, menschliche Aufsicht, Konformitätsbewertung und Registrierung. Seine Kunden als Betreiber müssen es nach Anleitung verwenden, geschulte Menschen mit der Aufsicht betrauen, seine Protokolle mindestens sechs Monate aufbewahren und Bewerberinnen und Bewerbern sagen, dass ein Hochrisikosystem auf sie angewendet wird.²

Etwas mehr als ein Jahr klingt nach viel Zeit. Für eine Konformitätsbewertung, ein Qualitätsmanagementsystem und eine Prüfung der Datengovernance ist es das nicht.

Rechenbeispiel: was die Bußgeldobergrenze für ein kleines Unternehmen heißt

Die Bußgeldbänder haben in der ganzen Verordnung dieselbe Form: ein fester Betrag oder ein Anteil am Umsatz. Für die meisten Unternehmen gilt der höhere der beiden. Für KMU, und seit dem Omnibus auch für kleine Unternehmen mittlerer Kapitalisierung, gilt der niedrigere.²¹

$$\text{cap}_{\text{large}} = \max(F,\; p \times T) \qquad \text{cap}_{\text{SME}} = \min(F,\; p \times T)$$

Dabei ist $F$ der feste Betrag in Euro für die Art des Verstoßes, $p$ der Prozentsatz dieses Bands als Dezimalzahl, $T$ der gesamte weltweite Jahresumsatz des Unternehmens im vorangegangenen Geschäftsjahr, $\max$ nimmt den größeren der beiden Werte und $\min$ den kleineren. $\text{cap}_{\text{large}}$ ist die Obergrenze für große Unternehmen, $\text{cap}_{\text{SME}}$ die für KMU. Wie man Prozente als Dezimalzahlen schreibt, erklärt Grundlagen: Prozent.

Nimm Listenplatz mit einem Umsatz von 12 Millionen € und nimm an, es gilt als KMU (beides sind Annahmen des Beispiels). Ein Verstoß gegen die Transparenzpflichten liegt im Band 15 Millionen € oder 3 %.

$$p \times T = 0{,}03 \times 12.000.000 = 360.000$$

Dabei ist $0{,}03$ das Band von 3 % und $12.000.000$ der Umsatz von Listenplatz in Euro. Als KMU liegt seine Obergrenze beim niedrigeren Wert, 360.000 €. Ein größeres Unternehmen mit demselben Umsatz stünde vor dem höheren, 15 Millionen €. Das sind Obergrenzen, keine Tarife: Die Verordnung verlangt von den Behörden, die Umstände jedes Falls und die wirtschaftliche Tragfähigkeit kleinerer Unternehmen zu berücksichtigen.²¹

Die Pflichten, die für alle gelten

Egal auf welcher Stufe, zwei Dinge gelten für jeden Anbieter und jeden Betreiber.

KI Kompetenz. Die Pflicht gilt seit dem 2. Februar 2025, und der Omnibus hat sie neu gefasst. Anbieter und Betreiber müssen jetzt Maßnahmen ergreifen, um die Entwicklung der KI Kompetenz ihres Personals und anderer Personen zu unterstützen, die in ihrem Auftrag KI Systeme betreiben und nutzen, und dabei deren Kenntnisse und den Einsatzkontext berücksichtigen. Ausdrücklich verpflichtet sie das nicht, "für irgendeine Person ein bestimmtes Niveau" an Kompetenz zu garantieren.¹ In der ersten Fassung dieses Artikels stand, der Omnibus werde die Pflicht auf die Mitgliedstaaten verlagern. Der beschlossene Text lässt sie bei dir, nur abgeschwächt. Praktisch heißt das: Schul dein Team darin, was die KI tut, wo sie scheitert und wie man ihre Ausgaben liest, und halte fest, dass du es getan hast.

Transparenz, wo sie greift. Chatbots legen offen, erzeugte Inhalte werden gekennzeichnet, Deepfakes markiert. Das gilt jetzt.

Darüber hinaus führe ich für jede KI Funktion Aufzeichnungen, auch wo die Verordnung sie nicht verlangt: was sie tut, mit welchen Daten sie trainiert wurde, wofür sie gedacht ist. Die Einstufung könnte angefochten werden, die DSGVO und der Cyber Resilience Act verlangen ähnliche Aufzeichnungen, und gute Technik ist es sowieso.

Wie das im Code aussieht, auf Rails

So sieht die Architektur aus, wenn du wie ich auf Ruby on Rails baust. Nichts davon ist für ein System mit minimalem Risiko gesetzlich vorgeschrieben. Alles davon braucht ein Hochrisikosystem, und das meiste braucht jedes System an dem Tag, an dem ein Kunde fragt, warum die KI etwas getan hat.

Protokollierung jeder KI Entscheidung

Hochrisikosysteme müssen Ereignisse automatisch protokollieren (Artikel 12), und Betreiber müssen diese Protokolle mindestens sechs Monate aufbewahren (Artikel 26).² Für alle anderen ist es dringend zu empfehlen. Dieses Muster nutze ich in all meinen Implementierungen von KI Agenten:

module AIAuditLoggable
  extend ActiveSupport::Concern

  def record_ai_decision(agent:, input:, output:, confidence:, metadata: {})
    AIAuditLog.create!(
      agent_name: agent,
      input_data: sanitise_pii(input),
      output_data: output,
      confidence_score: confidence,
      model_version: current_model_version(agent),
      decision_timestamp: Time.current,
      human_override: false,
      explainability_trace: generate_explanation(agent, input, output),
      metadata: metadata.merge(
        request_id: Current.request_id,
        user_id: Current.user&.id
      )
    )
  end

  def record_human_override(audit_log_id:, override_by:, reason:, new_output:)
    log = AIAuditLog.find(audit_log_id)
    log.update!(
      human_override: true,
      override_by: override_by,
      override_reason: reason,
      override_output: new_output,
      override_timestamp: Time.current
    )
    publish_override_event(log)
  end

  private

  def sanitise_pii(data)
    PIISanitiser.sanitise(data) # Personenbezogene Daten vor dem Protokollieren entfernen (Datenminimierung)
  end

  def generate_explanation(agent, input, output)
    ExplainabilityService.explain(agent: agent, input_features: input, output: output)
  end
end

Jede KI Entscheidung wird protokolliert, mit dem Agenten, der sie getroffen hat, der Eingabe, der Ausgabe, der Konfidenz, der Modellversion und einer lesbaren Erklärung. Jedes menschliche Eingreifen wird ebenfalls protokolliert.

Diese eine Tabelle dient mehreren Gesetzen zugleich. Sie ist die Rückverfolgbarkeit nach Artikel 12, das Material für die Betriebsanleitung nach Artikel 13 und der Nachweis der Aufsicht nach Artikel 14.² Und nach der DSGVO darf eine Entscheidung mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung grundsätzlich nicht ausschließlich automatisiert fallen. Wo sie es ausnahmsweise darf, weil sie für einen Vertrag erforderlich ist oder die Person ausdrücklich eingewilligt hat, muss der Verantwortliche mindestens das Eingreifen einer Person, die Darlegung des eigenen Standpunkts und die Anfechtung der Entscheidung ermöglichen.⁶ Ohne Aufzeichnung dessen, was das System entschieden hat und warum, geht nichts davon.

Menschliches Eingreifen, in Stufen

Artikel 14 verlangt, dass Hochrisikosysteme auf wirksame menschliche Aufsicht hin entworfen werden.² Für alles andere ist es gute Praxis. Das ist das Muster der gestuften Autonomie:

class TieredAutonomyController
  AUTONOMY_LEVELS = {
    observe_only: { requires_approval: true,  auto_execute: false },
    low_risk:     { requires_approval: false, auto_execute: true,
                    max_impact_pounds: 100, max_affected_users: 10 },
    medium_risk:  { requires_approval: true,  auto_execute: false,
                    approval_timeout: 4.hours },
    high_risk:    { requires_approval: true,  auto_execute: false,
                    approval_roles: %w[admin compliance_officer],
                    approval_timeout: 24.hours }
  }.freeze

  def execute_decision(agent:, decision:, autonomy_level:)
    level = AUTONOMY_LEVELS.fetch(autonomy_level)

    if level[:auto_execute] && within_bounds?(decision, level)
      execute_and_log(agent, decision, autonomy_level)
    else
      queue_for_approval(agent, decision, level)
    end
  end

  def emergency_stop(agent:, reason:)
    AgentManager.pause(agent) # Jeder Mensch kann jeden KI Agenten jederzeit anhalten
    AIAuditLog.create!(agent_name: agent, event_type: "emergency_stop",
                       override_by: Current.user.id, override_reason: reason)
    AlertService.notify("AI agent #{agent} halted by #{Current.user.name}: #{reason}")
  end
end

Entscheidungen mit mehr Wirkung brauchen eine höhere Freigabe, und jeder kann jederzeit den Notstopp drücken. Ich nutze dieses Muster in der Agentenarchitektur von GrowCentric.ai und in jedem Agenten, den ich für Kunden baue.

Technische Dokumentation, aus dem System erzeugt

Hochrisikosysteme brauchen die technische Dokumentation nach Anhang IV, beginnend mit einer allgemeinen Beschreibung, der Zweckbestimmung, dem Anbieter und der Version.² Auch unterhalb des hohen Risikos schützt es dich, sie bereit zu haben, falls deine Einstufung je hinterfragt wird:

class AISystemDocumentation
  def generate_for(ai_system)
    {
      general_description: {
        intended_purpose: ai_system.intended_purpose,
        excluded_uses: ai_system.excluded_uses,
        provider: ai_system.provider_details,
        version: ai_system.current_version,
        date: Date.current
      },
      risk_classification: {
        level: ai_system.risk_level,
        annex_iii_assessment: ai_system.annex_iii_assessment,
        profiles_individuals: ai_system.profiles_individuals?,
        rationale: ai_system.classification_rationale,
        documented_by: ai_system.classification_documented_by,
        documented_at: ai_system.classification_documented_at
      },
      development: {
        training_methodology: ai_system.training_details,
        validation_methodology: ai_system.validation_details,
        data_governance: ai_system.data_governance_policy
      },
      oversight: {
        human_oversight_measures: ai_system.oversight_measures,
        monitoring_plan: ai_system.monitoring_plan,
        log_retention_policy: ai_system.log_retention_policy
      },
      accuracy_and_robustness: {
        performance_metrics: ai_system.latest_metrics,
        known_limitations: ai_system.known_limitations
      }
    }
  end
end

Das Feld excluded_uses ist seit der ersten Fassung neu. Dort steht der Satz "nicht für Recruiting" aus dem Beispiel mit GrowCentric.

Offenlegung nach Artikel 50

So setze ich in Rails die Offenlegung für Chatbots und erzeugte Inhalte um:

module AITransparency
  class DisclosureMiddleware # Ergänzt Antworten mit erzeugtem Inhalt um eine maschinenlesbare Markierung
    def initialize(app)
      @app = app
    end

    def call(env)
      status, headers, response = @app.call(env)
      if env["ai.generated_content"]
        headers["X-AI-Generated"] = "true"
        headers["X-AI-Model"] = env["ai.model_identifier"]
      end
      [status, headers, response]
    end
  end

  module ViewHelpers
    def chatbot_disclosure
      tag.p(class: "chatbot-disclosure", role: "status") do
        "You are chatting with an AI assistant. A person is available if you prefer."
      end
    end
  end
end

Im deutschen Shop steht im Hinweis natürlich der deutsche Satz, etwa "Du chattest mit einem KI Assistenten. Auf Wunsch ist ein Mensch für dich da." Ein Antwortheader ist ein Anfang, nicht die ganze Antwort. Die Kennzeichnungspflicht betrifft die Ausgabe selbst, und die Kommission fördert Verhaltenskodizes dazu, wie erzeugte Inhalte markiert und erkannt werden, die sie in verbindliche gemeinsame Regeln umwandeln kann, wenn sie nicht reichen.¹ Behalt das im Blick, bevor du dich auf ein Format festlegst.

Anbieter oder Betreiber, und warum dich das als SaaS Entwickler angeht

Die Verordnung trennt den Anbieter, der ein KI System entwickelt und unter eigenem Namen in Verkehr bringt, vom Betreiber, der ein KI System im Rahmen seiner Tätigkeit verwendet.² Als SaaS Entwickler bist du meist der Anbieter. Deine Kunden sind Betreiber.

Als Anbieter drehen sich deine Pflichten darum, das System richtig zu bauen: Risikomanagement, Datengovernance, Dokumentation, Konformität, Transparenz, Protokollierung und Betriebsanleitung. Die Pflichten deiner Kunden als Betreiber drehen sich darum, es richtig zu nutzen: deiner Anleitung folgen, menschliche Aufsicht zuweisen, dafür sorgen, dass ihre Eingabedaten passen, das System beobachten und seine Protokolle aufbewahren.²

Hier liegt die Falle. Ein Kunde, der ein Hochrisikosystem unter eigenem Namen anbietet, eines wesentlich verändert oder die Zweckbestimmung eines gewöhnlichen Systems so ändert, dass es hochriskant wird, gilt ab dann als Anbieter.² Der ursprüngliche Anbieter muss dann mit ihm zusammenarbeiten, Dokumentation teilen und technischen Zugang geben, es sei denn, er hat eindeutig festgelegt, dass sein System nicht in ein Hochrisikosystem umgewandelt werden darf.¹

Was das in der Praxis heißt:

1. Deine Nutzungsbedingungen nennen die Zweckbestimmung jeder KI Funktion und die Verwendungen, die du ausschließt.
2. Deine Dokumentation sagt klar, was abgedeckt ist und was nicht.
3. Wenn du weißt, dass Kunden dein Produkt hochriskant einsetzen, bist du selbst nah dran, Anbieter eines Hochrisikosystems zu sein.
4. Deine Betriebsanleitung versetzt Betreiber in die Lage, ihre eigenen Pflichten zu erfüllen.

Wie die KI Verordnung neben den Gesetzen steht, die du schon kennst

Europäische Regulierung lebt nicht für sich, und der Omnibus hat an den Nahtstellen einiges aufgeräumt.

Die DSGVO. Verarbeitet deine KI personenbezogene Daten, und das tut die meiste, gilt die DSGVO daneben. Der Omnibus hat bekräftigt, dass die KI Verordnung die DSGVO unberührt lässt, mit zwei benannten Ausnahmen.¹ Eine ist neu: Anbieter und Betreiber dürfen ausnahmsweise besondere Kategorien personenbezogener Daten wie ethnische Herkunft oder Gesundheit verarbeiten, wo das unbedingt nötig ist, um Verzerrungen zu erkennen und zu korrigieren, unter Bedingungen wie Pseudonymisierung, strenger Zugriffskontrolle und Löschung, sobald die Verzerrung korrigiert ist.¹ Die andere spart Zeit: Ein Betreiber, der eine Grundrechte Folgenabschätzung macht, kann auf seine Datenschutz Folgenabschätzung verweisen, statt alles doppelt zu schreiben.¹ Für Entscheidungen über Menschen gilt Artikel 22 DSGVO ohnehin aus eigenem Recht.⁶ Tiefer gehe ich in DSGVO konforme KI Features in deinem SaaS bauen und in DSGVO und KI: das Recht auf Vergessenwerden.

In der ersten Fassung dieses Artikels stand, der Digital Omnibus werde das berechtigte Interesse als Rechtsgrundlage für KI Training zulassen. Diese Idee gehörte zu einem eigenen Vorschlag zur Änderung der DSGVO, nicht zum beschlossenen Omnibus zur KI Verordnung, und nichts in der Verordnung 2026/1744 sagt das. Ich habe es gestrichen.

Der Cyber Resilience Act. Ein SaaS Produkt mit einer KI Funktion kann unter beide fallen. Der Omnibus hat eine nützliche Brücke gebaut: Ein Hochrisikosystem, das unter den Cyber Resilience Act fällt und dessen grundlegende Anforderungen erfüllt, gilt als konform mit der Cybersicherheitsanforderung der KI Verordnung in Artikel 15.¹ Den Rest behandelt mein Beitrag zum Cyber Resilience Act.

Die NIS2 Richtlinie. Bedient dein SaaS wesentliche oder wichtige Einrichtungen, fragt deren Einkauf wegen ihrer Lieferkettenpflichten nach NIS2 im Rahmen der Lieferantenprüfung auch nach deiner KI Governance.

Der rote Faden ist bei allen derselbe: Protokollierung, Meldung von Vorfällen, Risikomanagement, Dokumentation und menschliche Aufsicht. Einmal gebaut, dienen sie mehreren Gesetzen. Derselbe Event Bus, der meine Agentic AI Architektur antreibt, füllt auch das Protokoll, und derselbe Controller für gestufte Autonomie, der für wirksame menschliche Aufsicht sorgt, erfüllt die Aufsichtspflicht der Verordnung.

Was jetzt zu tun ist, rund ein Jahr vor dem Hochrisikotermin

Das ist keine Rechtsberatung. Ich bin Entwickler, kein Anwalt. Es ist technische Orientierung von jemandem, der KI SaaS für den europäischen Markt baut.

Schritt 1: Erfass deine KI Systeme. Liste jede KI Funktion auf, nicht nur die offensichtlichen Modelle: die Empfehlungen, die Bewertungen, die Inhaltserzeugung, die Chatbots. Leitet etwas Ausgaben aus Eingaben ab, ist es möglicherweise ein KI System im Sinne der Verordnung.

Schritt 2: Stuf jedes einzelne ein. Geh es entlang des Ablaufs oben durch. Verboten? Anhang I? Anhang III? Profiling? Transparenz? Schreib die Begründung auf, mit Datum und Version.

Schritt 3: Kläre deine Rolle. Anbieter, Betreiber oder beides? Prüfe für jedes Modell eines Dritten, auf dem du baust, ob du darauf dein eigenes KI System baust, was dich meist zu dessen Anbieter macht.

Schritt 4: Erfüll die Transparenzpflichten heute. Sie gelten seit dem 2. August 2026. Offenlegung beim Chatbot, maschinenlesbare Kennzeichnung erzeugter Inhalte und für ältere generative Systeme die Frist zum 2. Dezember 2026.

Schritt 5: Bau die Grundlagen. Protokollierung, menschliches Eingreifen, Offenlegung, Erklärungsspuren, Datengovernance, Vorlagen für die Dokumentation. Du brauchst sie auf jeder Risikostufe, und sie kosten jetzt weit weniger als später nachgerüstet.

Schritt 6: Bring deine Verträge in Ordnung. Zweckbestimmung und ausgeschlossene Verwendungen in die Nutzungsbedingungen. Die KI Verarbeitung in die Datenschutzerklärung. Eine klare Verteilung der Compliance Pflichten mit jedem KI Lieferanten.

Schritt 7: Bist du hochriskant, läuft die Uhr. 2. Dezember 2027 für Anhang III, 2. August 2028 für Anhang I. Achte auf das vereinfachte Dokumentationsformular der Kommission für KMU und ihre Leitlinien zu den Hochrisikoregeln.

Unterm Strich

Die KI Verordnung kommt nicht irgendwann. Teile davon gelten seit Februar 2025, die Transparenzpflichten seit August 2026, und die Hochrisikoregeln haben jetzt feste Termine im Dezember 2027 und August 2028, in einer beschlossenen Verordnung und nicht in einem Vorschlag. In Deutschland steht mit dem KI MIG und der Bundesnetzagentur auch fest, wer hinschaut.

Die meisten SaaS Produkte haben minimales Risiko oder nur Transparenzpflichten. Das ist die gute Nachricht. Die Einstufung muss trotzdem gemacht und aufgeschrieben werden, und die Verwendungen, die du ausschließt, gehören in deine Nutzungsbedingungen, denn ein Kunde kann dich ohne Rückfrage eine Stufe höher schieben.

Die bessere Nachricht: Compliance mit der KI Verordnung deckt sich zum großen Teil mit guter Technik. Protokollierung, menschliche Aufsicht, Datengovernance und Dokumentation würde ich ohnehin bauen. Nachrüsten ist teuer. Von Anfang an einbauen ist einfach gute Architektur.

Footnotes

1. Europäisches Parlament und Rat, Verordnung (EU) 2026/1744 vom 8. Juli 2026 zur Änderung der Verordnung (EU) 2024/1689 (Digital Omnibus zur KI), Artikel 1 Nummern 2, 5, 6, 7, 8, 10, 12, 13, 18, 20, 22, 38, 39 und 40 sowie Artikel 4, Amtsblatt der Europäischen Union, 24. Juli 2026, EUR Lex, https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=OJ:L_202601744

2. Europäisches Parlament und Rat, Verordnung (EU) 2024/1689 zur Festlegung harmonisierter Vorschriften für künstliche Intelligenz (Verordnung über künstliche Intelligenz), Artikel 2, 3, 4, 5, 6, 12, 13, 14, 25, 26, 50, 99, 111 und 113 sowie Anhänge I, III und IV, Amtsblatt der Europäischen Union, 12. Juli 2024, EUR Lex, https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=OJ:L_202401689

3. Gesetz zur Durchführung der Verordnung über künstliche Intelligenz vom 22. Juli 2026, BGBl. 2026 I Nr. 223, Artikel 1 (KI MIG), §§ 2, 8 und 13, sowie Artikel 5 (Inkrafttreten), recht.bund.de, https://www.recht.bund.de/eli/bund/bgbl-1/2026/223

4. Bundesministerium der Justiz und für Verbraucherschutz, Bundesdatenschutzgesetz (BDSG), § 40 Aufsichtsbehörden der Länder, Gesetze im Internet, https://www.gesetze-im-internet.de/bdsg_2018/__40.html

5. Europäisches Parlament und Rat, Verordnung (EU) 2016/679 (Datenschutz Grundverordnung), Artikel 4 Nummer 4, Begriffsbestimmung Profiling, EUR Lex, https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679

6. Europäisches Parlament und Rat, Verordnung (EU) 2016/679 (Datenschutz Grundverordnung), Artikel 22, automatisierte Entscheidungen im Einzelfall einschließlich Profiling, EUR Lex, https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679