--- title: "EU AI Act für SaaS" description: "AI-Act-Pflichten für SaaS-Deployer und -Anbieter. Transparenzpflichten gelten seit 2. August 2026; Hochrisiko-Deadline per Digital Omnibus auf 2. Dezember 2027 verschoben." lastUpdated: "2026-06-23" canonical: "https://anvilstack.eu/compliance/eu-ai-act-saas" --- > Sitemap für Agenten: https://anvilstack.eu/llms.txt # EU AI Act für SaaS Der EU AI Act (Verordnung 2024/1689) ist die weltweit erste umfassende KI-Regulierung und betrifft jedes Unternehmen, das KI-Systeme entwickelt, bereitstellt oder einsetzt – auch wenn Sie ein KI-Modell nur per API einbinden. Die Verordnung trat am 1. August 2024 in Kraft und wird seit Februar 2025 schrittweise anwendbar. ([EU-Kommission: Regulatory Framework for AI](https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai)) Am **2. August 2026** werden die zentralen Transparenzanforderungen (Art. 50) vollständig anwendbar. Die Pflichten für eigenständige Hochrisiko-KI-Systeme nach Anhang III (Art. 6 Abs. 2) sollten ursprünglich ebenfalls ab dem 2. August 2026 gelten – durch den **Digital Omnibus** der EU (vom Europäischen Parlament am 16. Juni 2026 angenommen, formelle Annahme durch den Rat und Veröffentlichung im Amtsblatt im Sommer 2026 erwartet) wird dieser Geltungsbeginn jedoch auf den **2. Dezember 2027** verschoben (in regulierte Produkte eingebettete Hochrisiko-Systeme nach Anhang I: 2. August 2028). ([Rat der EU: Council and Parliament agree to simplify and streamline AI rules](https://www.consilium.europa.eu/en/press/press-releases/2026/05/07/artificial-intelligence-council-and-parliament-agree-to-simplify-and-streamline-rules/)) Für SaaS-Unternehmen im DACH-Raum bedeutet das: Wer KI-Features in seiner Plattform hat – Chatbots, Empfehlungsalgorithmen, Content-Generierung – muss jetzt handeln. > **Frist:** **Seit dem 2. August 2026** gelten die Transparenzanforderungen (Art. 50) in vollem Umfang. Die Pflichten für eigenständige Hochrisiko-KI-Systeme nach Anhang III (Art. 6–27) sollten ursprünglich ab demselben Datum gelten; der Digital Omnibus – Verordnung (EU) 2026/1744, in Kraft seit dem 27. Juli 2026 – verschiebt sie auf den **2. Dezember 2027** (in Produkte eingebettete Hochrisiko-Systeme nach Anhang I: 2. August 2028). Seit dem 2. Februar 2025 gelten bereits die Verbote unannehmbarer KI-Praktiken und die KI-Kompetenzpflicht. Seit dem 2. August 2025 gelten die Regeln für GPAI-Modelle. [EU AI Act: Digital Omnibus – Verordnung (EU) 2026/1744, in Kraft seit 27. Juli 2026](https://artificialintelligenceact.eu/ai-act-explorer/digital-omnibus/) ## Das Risikoklassifizierungssystem Der AI Act ordnet KI-Systeme in vier Risikostufen ein – und die Pflichten steigen mit dem Risiko: ([EU AI Act: High-Level Summary](https://artificialintelligenceact.eu/high-level-summary/)) - **Unannehmbares Risiko (verboten):** Soziale Bewertungssysteme (Social Scoring), manipulative KI, biometrische Kategorisierung nach sensiblen Merkmalen – seit Februar 2025 verboten - **Hohes Risiko:** KI in Kreditwürdigkeitsprüfung, Personalauswahl, kritischer Infrastruktur, Strafverfolgung – strenge Compliance-Pflichten ab dem 2. Dezember 2027 (per Digital Omnibus von ursprünglich 2. August 2026 verschoben) - **Begrenztes Risiko:** KI-Systeme mit Manipulations- oder Täuschungspotential (Chatbots, Deepfakes) – Transparenzpflichten ab dem 2. August 2026 - **Minimales Risiko:** Spamfilter, KI-gestützte Spiele – keine spezifischen Pflichten [GDPR Local: AI Risk Classification Guide](https://gdprlocal.com/ai-risk-classification/) - **35 Mio.€** – oder 7% des Umsatzes – Höchststrafe für verbotene KI-Praktiken - **15 Mio.€** – oder 3% des Umsatzes – Höchststrafe für Transparenzverstöße - **2. Aug.** – 2026 – Deadline für Transparenzpflichten (Art. 50) - **2. Dez.** – 2027 – verschobene Deadline für Hochrisiko-Pflichten (Digital Omnibus) - **6 Monate** – Mindestaufbewahrungspflicht für automatisch generierte Logs ## Provider vs. Deployer: Welche Rolle hat Ihr SaaS-Unternehmen? Der AI Act unterscheidet zwischen **Providern** (Anbietern) und **Deployern** (Betreibern). Ihre Rolle bestimmt Ihre Pflichten: ([MinnaLearn: Deployer oder Provider unter dem AI Act?](https://www.minnalearn.com/2025/06/eu-ai-act-explained-are-you-a-deployer-or-a-provider-or-does-it-matter/)) **Sie sind Provider, wenn Sie:** - Ein KI-System selbst entwickeln und unter eigenem Namen auf den Markt bringen - Ein bestehendes KI-Modell wesentlich modifizieren (Finetuning, Zweckänderung, Integration in ein größeres System) - Ein Third-Party-Modell unter eigenem Branding vertreiben **Sie sind Deployer, wenn Sie:** - Ein KI-System eines Drittanbieters in Ihre Plattform einbinden (z.B. OpenAI API, Claude API) - Ein SaaS-Tool mit KI-Features nutzen, ohne das Modell selbst zu verändern - KI-gestützte Empfehlungen oder Automatisierungen in Ihrem Produkt einsetzen > **Achtung:** **Achtung Rollenwechsel:** Wenn Sie ein Third-Party-Modell wesentlich verändern – durch Finetuning, eigene Trainingsdaten oder Zweckänderung – werden Sie nach Art. 25 AI Act vom Deployer zum Provider. Damit gelten alle Provider-Pflichten für Sie. [EyreACT: AI Provider unter dem EU AI Act](https://eyreact.com/ai-provider-ai-act/) ## Deployer-Pflichten für Hochrisiko-Systeme (Art. 26) Die Mehrheit der SaaS-Unternehmen im Mittelstand sind Deployer. Artikel 26 definiert ihre Pflichten präzise: ([EU AI Act: Artikel 26 – Deployer-Pflichten](https://artificialintelligenceact.eu/article/26/)) - **Nutzung gemäß Anweisungen:** Hochrisiko-Systeme nur entsprechend der vom Provider bereitgestellten Gebrauchsanweisung einsetzen - **Menschliche Aufsicht:** Natürliche Personen mit der nötigen Kompetenz, Ausbildung und Befugnis für die Überwachung einsetzen – die Aufsicht muss **real** sein, nicht nur formal - **Eingabedaten-Relevanz:** Sicherstellen, dass die Eingabedaten für den Verwendungszweck relevant und hinreichend repräsentativ sind - **Überwachungspflicht:** Den Betrieb des KI-Systems aktiv überwachen und bei erkannten Risiken sofort Provider und Behörden informieren - **Log-Aufbewahrung:** Automatisch generierte Logs mindestens **6 Monate** aufbewahren - **Informationspflicht:** Personen, die von Entscheidungen eines Hochrisiko-KI-Systems betroffen sind, müssen darüber informiert werden ## Grundrechte-Folgenabschätzung (Art. 27) Deployer von Hochrisiko-KI-Systemen im öffentlichen Sektor – sowie private Unternehmen, die KI für **Kreditwürdigkeitsprüfung** oder **Versicherungs-Risikoeinschätzung** einsetzen – müssen vor der Inbetriebnahme eine Fundamental Rights Impact Assessment (FRIA) durchführen. ([EU AI Act: Artikel 27 – FRIA](https://artificialintelligenceact.eu/article/27/)) Diese umfasst: - Beschreibung der Einsatzprozesse und des Verwendungszwecks - Identifikation betroffener Personengruppen - Bewertung spezifischer Schadensrisiken für Grundrechte - Dokumentation der Human-Oversight-Maßnahmen - Maßnahmenplan bei Risikorealisierung - **Meldepflicht:** Ergebnisse der FRIA an die zuständige Marktüberwachungsbehörde [Nemko: FRIA unter dem EU AI Act](https://digital.nemko.com/insights/fundamental-rights-impact-assessments-frias-under-the-eu-ai-act-what-you-need-to-know) ## Transparenzpflichten für alle KI-Systeme (Art. 50) Auch wenn Ihre KI kein Hochrisiko-System ist – die Transparenzpflichten nach Artikel 50 gelten seit dem 2. August 2026 für fast alle KI-Systeme und sind von der Verschiebung des Digital Omnibus nicht betroffen: ([EU AI Act: Artikel 50 – Transparenzpflichten](https://artificialintelligenceact.eu/article/50/)) - **Chatbots:** Nutzer müssen erkennen können, dass sie mit einem KI-System interagieren – es sei denn, dies ist offensichtlich - **Synthetische Inhalte:** KI-generierte Texte, Bilder, Audio und Video müssen maschinenlesbar als KI-generiert gekennzeichnet werden - **Deepfakes:** Deployer müssen offenlegen, dass Inhalte künstlich erzeugt oder manipuliert wurden - **Emotionserkennung/Biometrische Kategorisierung:** Betroffene Personen müssen über den Einsatz informiert werden Die EU-Kommission hat im Dezember 2025 über das AI Office einen ersten Entwurf des **Code of Practice zur Kennzeichnung KI-generierter Inhalte** veröffentlicht. ([EU-Kommission: Code of Practice – AI-Generated Content](https://digital-strategy.ec.europa.eu/en/policies/code-practice-ai-generated-content)) | Kriterium | Provider-Pflichten | Deployer-Pflichten | | ------------------------- | -------------------------------------------- | ---------------------------------------- | | Konformitätsbewertung | Muss vor Markteinführung durchgeführt werden | Nicht erforderlich | | Technische Dokumentation | Umfassend – Architektur, Daten, Tests | Nutzung gemäß Provider-Dokumentation | | Qualitätsmanagementsystem | Pflicht | Nicht erforderlich | | Menschliche Aufsicht | System muss Oversight ermöglichen | Oversight muss aktiv durchgeführt werden | | Log-Aufbewahrung | System muss Logs generieren | Logs mind. 6 Monate aufbewahren | | FRIA | Nicht erforderlich | Pflicht für bestimmte Sektoren | | Transparenz (Art. 50) | System muss Kennzeichnung ermöglichen | Kennzeichnungspflicht gegenüber Nutzern | ## Bußgelder: Abgestuft nach Schwere Der AI Act sieht ein dreistufiges Bußgeldsystem vor: ([EU AI Act: Artikel 99 – Sanktionen](https://artificialintelligenceact.eu/article/99/)) - **Stufe 1 (verbotene KI):** Bis zu **35 Mio. EUR** oder **7 %** des weltweiten Jahresumsatzes - **Stufe 2 (sonstige Verstöße):** Bis zu **15 Mio. EUR** oder **3 %** des weltweiten Jahresumsatzes - **Stufe 3 (falsche Angaben):** Bis zu **7,5 Mio. EUR** oder **1 %** des weltweiten Jahresumsatzes **Für KMU und Startups gilt eine Verhältnismäßigkeitsregel:** Die Strafe ist auf den jeweils niedrigeren Betrag gedeckelt (Art. 99 Abs. 6 AI Act: „whichever thereof is lower"). Zur Illustration: Ein Startup mit 500.000 EUR Jahresumsatz riskiert bei einem Stufe-1-Verstoß maximal 35.000 EUR (eigene Rechnung: 7 % von 500.000 EUR) statt 35 Mio. EUR. ([EU AI Act Service Desk: Artikel 99 – Sanktionen](https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-99)) ## Vibe Coding und der AI Act: Ein doppeltes Risiko Vibe-codierte Plattformen stehen vor einem **doppelten Compliance-Problem** – eine detaillierte Analyse der Risiken und des richtigen Umgangs mit KI-generiertem Code finden Sie in unserem Artikel [Vibe Coding richtig gemacht](https://anvilstack.eu/insights/vibe-coding-done-right.md): ([LegalNodes: EU AI Act 2026 – Compliance Requirements](https://www.legalnodes.com/article/eu-ai-act-2026-updates-compliance-requirements-and-business-risks)) 1. **KI-generierter Code:** Der Produktionscode selbst wurde von KI-Systemen geschrieben – ohne Dokumentation der KI-Beteiligung, Qualitätssicherung oder Conformity Assessment 2. **KI-Features im Produkt:** Chatbots, Empfehlungsalgorithmen oder Content-Generierung, die über APIs eingebunden werden – oft ohne Transparenzkennzeichnung, Log-Aufbewahrung oder Human Oversight Wenn ein Startup seine gesamte Plattform mit KI-Tools baut **und** KI-Features in das Produkt integriert, entsteht eine Compliance-Lücke, die weder automatisierte Tests noch Overlay-Lösungen schließen können. Die Dokumentationspflichten des AI Act verlangen eine **nachvollziehbare Architektur** – nicht nachträglich rekonstruierte Spezifikationen. ## Wie AnvilStack KI-Compliance in SaaS-Plattformen einbaut Wir setzen KI-Tools für schnelles Prototyping ein – aber jede KI-Integration wird von Engineers bewertet, dokumentiert und konform implementiert: - **Risikoklassifizierung:** Systematische Bewertung jeder KI-Komponente nach dem Risikoklassifizierungssystem des AI Act – einschließlich [DSGVO-konformer Auftragsverarbeiter-Prüfung](https://anvilstack.eu/compliance/gdpr-vendor-audit.md) für alle eingebundenen KI-APIs - **Transparenz by Design:** Chatbot-Kennzeichnung, KI-Content-Markierung und Nutzerinformation als Architekturentscheidung - **Log-Infrastruktur:** Automatische Log-Generierung und -Aufbewahrung für alle KI-Interaktionen auf Hetzner (DE) - **Human-Oversight-Architektur:** Schnittstellen für menschliche Überprüfung, Korrektur und Eskalation – nicht als Checkbox, sondern als Workflow - **Dokumentation:** Technische Dokumentation der KI-Komponenten, Datenflüsse und Entscheidungsprozesse – bereit für behördliche Prüfung. Unser [Security-Hardening-Service](https://anvilstack.eu/services/mvp-engineering.md) implementiert die technischen Schutzmaßnahmen - **EU-souveräne Infrastruktur:** Alle KI-Logs und Nutzerdaten auf Hetzner (Deutschland) – keine US-Jurisdiktion, keine [CLOUD-Act-Exposition](https://anvilstack.eu/compliance/cloud-act-data-risk.md) Im kostenlosen Erstgespräch klären wir die AI-Act-Relevanz Ihrer SaaS-Plattform; die Analyse bewertet anschließend Risikoklassifizierung und Transparenzkennzeichnung. Für €6.000 pro Monat über 6 Monate (€36.000 gesamt) migrieren und härten wir Ihre Plattform vollständig: rechtzeitig für die Transparenzpflichten am 2. August 2026 und gut vorbereitet auf die Hochrisiko-Deadline am 2. Dezember 2027. [Unverbindliches Erstgespräch vereinbaren](https://anvilstack.eu/contact) ## Häufig gestellte Fragen ### Betrifft der EU AI Act mein SaaS-Unternehmen? Wenn Sie KI-Systeme entwickeln, bereitstellen oder einsetzen – auch nur per API-Einbindung (z.B. OpenAI, Claude) – betrifft Sie der AI Act. Chatbots, Empfehlungsalgorithmen und Content-Generierung in Ihrer Plattform lösen mindestens Transparenzpflichten aus. ### Bin ich Provider oder Deployer unter dem AI Act? Sie sind Deployer, wenn Sie ein KI-System eines Drittanbieters einbinden, ohne es wesentlich zu verändern. Sie werden zum Provider, wenn Sie ein Modell durch Finetuning, eigene Trainingsdaten oder Zweckänderung wesentlich modifizieren (Art. 25 AI Act) – dann gelten alle Provider-Pflichten. ### Welche Strafen drohen bei AI-Act-Verstößen? Bis zu €35 Mio. oder 7% des Umsatzes für verbotene KI-Praktiken, €15 Mio. oder 3% für sonstige Verstöße, €7,5 Mio. oder 1% für falsche Angaben. Für KMU und Startups gilt eine Verhältnismäßigkeitsregel: Die Strafe ist auf den jeweils niedrigeren Betrag gedeckelt. ### Ab wann gelten die AI-Act-Pflichten? Seit Februar 2025 gelten die Verbote unannehmbarer KI-Praktiken und die KI-Kompetenzpflicht. Seit August 2025 gelten die GPAI-Regeln. Seit dem 2. August 2026 greifen die Transparenzpflichten nach Art. 50. Die Pflichten für eigenständige Hochrisiko-Systeme nach Anhang III (ursprünglich ebenfalls 2. August 2026) hat der Digital Omnibus – Verordnung (EU) 2026/1744 – auf den 2. Dezember 2027 verschoben (in Produkte eingebettete Hochrisiko-Systeme nach Anhang I: 2. August 2028). ### Muss ich Chatbots auf meiner Plattform kennzeichnen? Ja. Ab dem 2. August 2026 müssen Nutzer erkennen können, dass sie mit einem KI-System interagieren – die Transparenzpflichten nach Art. 50 bleiben auf diesem Datum. Auch KI-generierte Texte, Bilder und Videos müssen maschinenlesbar als KI-generiert gekennzeichnet werden. ### Was bedeutet der AI Act für Vibe-Coded-Plattformen? Ein doppeltes Compliance-Problem: Der Produktionscode wurde von KI geschrieben (ohne Dokumentation), und KI-Features im Produkt werden ohne Transparenzkennzeichnung, Log-Aufbewahrung oder Human Oversight betrieben. Beides muss adressiert werden – die Transparenzpflichten ab dem 2. August 2026, die Hochrisiko-Pflichten bis zum verschobenen Stichtag 2. Dezember 2027. ## Quellen - [EU-Kommission: Regulatory Framework for AI](https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai) - [EU AI Act: High-Level Summary](https://artificialintelligenceact.eu/high-level-summary/) - [EU AI Act: Artikel 26 – Deployer-Pflichten](https://artificialintelligenceact.eu/article/26/) - [EU AI Act: Artikel 27 – FRIA](https://artificialintelligenceact.eu/article/27/) - [EU AI Act: Artikel 50 – Transparenzpflichten](https://artificialintelligenceact.eu/article/50/) - [EU AI Act: Artikel 99 – Sanktionen](https://artificialintelligenceact.eu/article/99/) - [EU AI Act Service Desk: Artikel 99 – Sanktionen](https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-99) - [Rat der EU: Council and Parliament agree to simplify and streamline AI rules](https://www.consilium.europa.eu/en/press/press-releases/2026/05/07/artificial-intelligence-council-and-parliament-agree-to-simplify-and-streamline-rules/) - [MinnaLearn: Deployer oder Provider unter dem AI Act?](https://www.minnalearn.com/2025/06/eu-ai-act-explained-are-you-a-deployer-or-a-provider-or-does-it-matter/) - [EyreACT: AI Provider unter dem EU AI Act](https://eyreact.com/ai-provider-ai-act/) - [GDPR Local: AI Risk Classification Guide](https://gdprlocal.com/ai-risk-classification/) - [Nemko: FRIA unter dem EU AI Act](https://digital.nemko.com/insights/fundamental-rights-impact-assessments-frias-under-the-eu-ai-act-what-you-need-to-know) - [EU-Kommission: Code of Practice – AI-Generated Content](https://digital-strategy.ec.europa.eu/en/policies/code-practice-ai-generated-content) - [LegalNodes: EU AI Act 2026 – Compliance Requirements](https://www.legalnodes.com/article/eu-ai-act-2026-updates-compliance-requirements-and-business-risks) - [AiActo: AI Act und KMU – Compliance bis 2026](https://www.aiacto.eu/en/blog/ai-act-conformite-pme-2026)