Die KI-Verordnung für SaaS-Produkte

Die meisten SaaS-Teams haben in den letzten drei Jahren KI-Funktionen ergänzt: einen Copiloten, eine Zusammenfassung, einen Support-Bot, ein Scoring-Modell. Die Frage nach der KI-Verordnung lautet für SaaS selten "gilt sie überhaupt" - wenn Ihre Nutzenden in der EU sind, gilt sie fast sicher, egal wo Sie eingetragen sind. Die echten Fragen lauten: welche Funktionen tragen Pflichten, wessen Pflichten sind das, und welche sind jetzt durchsetzbar.

Auf Funktionsebene, nicht auf Unternehmensebene

Die Verordnung reguliert KI-Systeme, nicht Unternehmen. Ein typisches SaaS-Produkt besteht aus mehreren Systemen mit verschiedenen Risikoklassen:

Zuerst inventarisieren: Listen Sie Ihre KI-Funktionen auf, wen jede betrifft, und ob Gegenstand einer Bewertung eine natürliche Person ist. Die meisten SaaS-Produkte landen durchgehend bei begrenztem oder minimalem Risiko - eine vertretbare schriftliche Position, die einen Tag Arbeit kostet und nach der die Beschaffung großer Kunden früher oder später fragt.

"Wir rufen doch nur OpenAI oder Anthropic auf" - was das wirklich heißt

Ein Modell über eine API aufzurufen belässt Artikel 53 (GPAI-Pflichten) beim Modellanbieter und nicht bei Ihnen - einschließlich der Zusammenfassung der Trainingsdaten und der Urheberrechtspolitik, um die sich alle sorgen. Ein leichtes Fine-Tuning in Ihrer Domäne belässt Sie in der Regel ebenfalls nachgelagert. Was die API-Nutzung nicht tut: Sie nimmt Ihnen nicht Ihre eigenen Pflichten auf Systemebene. Ihr Chatbot legt weiterhin offen (Art. 50(1)), Ihr Produkt wird weiterhin danach klassifiziert, was es mit seinen Nutzenden macht, und ein wesentliches Nachtrainieren oder eine neue Aufgabendomäne kann Sie doch noch zum GPAI-Anbieter machen. Die Schwelle im Detail.

Was die Rolle angeht: KI-Funktionen unter eigener Marke auszuliefern macht Sie zum Anbieter dieser Funktionen, auch wenn das Modell darunter jemand anderem gehört. Ihre Kundschaft ist typischerweise Betreiber - Ihre Dokumentation ist damit deren Compliance-Eingabe, und "Position zur KI-Verordnung auf Anfrage verfügbar" wird still und leise zum Beschaffungsfilter. Anbieter gegen Betreiber.

Jetzt gültig gegen Dezember 2027

Seit dem 2. August 2026: Artikel 50 (Ihr nutzerseitiger Bot sagt beim ersten Kontakt, dass er ein Bot ist, nicht erst in der Datenschutzerklärung), Artikel 4 (eine protokollierte KI-Kompetenz-Schulung für das Personal, das die Systeme anfasst), Artikel 5 (kein Ableiten von Emotionen bei Beschäftigten oder Nutzenden in verbotenen Kontexten). Verschoben auf den 2. Dezember 2027: das schwere Kapitel-III-Paket, und auch nur, wenn etwas, das Sie ausliefern, wirklich hochriskant ist - prüfen Sie die Ausnahme nach Artikel 6(3), bevor Sie das annehmen.

US- und UK-SaaS mit Verkauf in die EU: Artikel 2 erfasst Anbieter unabhängig von ihrer Niederlassung, sobald die Ausgabe in der EU verwendet wird. Delaware hilft nicht. Was die Verordnung von typischem B2B-SaaS verlangt, ist geringer als befürchtet - aber "wir haben nachgesehen, hier ist unsere Position, datiert" ist das Ergebnis, und ihr Fehlen bringt Enterprise-Deals ins Stocken.

Die 90-Minuten-Fassung

• Inventarisieren Sie Ihre KI-Funktionen und wen jede betrifft
• Machen Sie den kostenlosen Check für jede Funktion, die Menschen berührt - je zwei Minuten
• Ergänzen Sie den einzeiligen KI-Hinweis in der Begrüßung Ihres Bots (diese Woche, es ist geltendes Recht)
• Führen Sie eine KI-Kompetenz-Schulung durch und protokollieren Sie sie
• Schreiben Sie die einseitige Position, datieren Sie sie, und legen Sie sie dem nächsten Beschaffungsfragebogen bei, der danach fragt

Wenn die Rechtsabteilung einer Interessentin mehr als eine Seite will, ist der vollständige Gap-Report (auf Englisch) die belastbare Fassung: Rolle, Risikoklasse, Pflichten, Fristen und eine Mängelliste, bezogen auf Ihr tatsächliches Produkt - €59, einmalig.