Die KI-Verordnung (EU AI Act), Verordnung (EU) 2024/1689, wird oft so diskutiert, als ginge es um eine einzige künftige Frist. Das stimmt nicht. Sie gilt stufenweise, und zwei dieser Stufen sind bereits erreicht. Für ein europäisches SaaS-Unternehmen sind heute Artikel 4 zur KI-Kompetenz und Artikel 50 zur Transparenz maßgeblich.
Beide sind eher praktisch als technisch. Beide brauchen einen Verantwortlichen, und beide werden leicht übersehen, einfach weil niemand bemerkt hat, wie viel KI im Unternehmen bereits im Einsatz ist.
Ein Hinweis vorab: Dieser Artikel erläutert, was die Regeln besagen und wie Unternehmen typischerweise darauf reagieren. Er ist keine Rechtsberatung. Für Entscheidungen, die Ihr Unternehmen konkret betreffen, wenden Sie sich an eine Anwältin oder einen Anwalt.
Was verlangen Artikel 4 und 50 der KI-Verordnung von einem SaaS-Unternehmen?
Artikel 4 gilt seit dem 2. Februar 2025 und verlangt von Unternehmen Maßnahmen, damit die Menschen, die KI nutzen, über ausreichende KI-Kompetenz verfügen; ein interner Schulungsnachweis genügt. Artikel 50 gilt seit August 2026 und verlangt, dass KI, die mit Menschen interagiert, sich als KI zu erkennen gibt, sofern das nicht offensichtlich ist, und dass Deepfakes offengelegt werden.
Keiner der beiden verlangt ein Zertifikat oder eine neue Abteilung. In der Praxis geht es um Bewusstsein, einen Nachweis und eine ehrliche Kennzeichnung.
Artikel 4: KI-Kompetenz in der Praxis
Artikel 4 gilt seit dem 2. Februar 2025, und seit August 2026 beaufsichtigen nationale Behörden die KI-Verordnung. Er verlangt von Unternehmen Maßnahmen, damit die Menschen, die in ihrem Auftrag mit KI arbeiten, sie gut genug verstehen, um sie richtig einzusetzen: wofür sie gut ist, wo sie versagt und welche Daten niemals hineingehören.
Zwei Punkte werden oft missverstanden. Erstens: Ein Zertifikat ist nicht erforderlich. Es gibt keinen offiziellen Kurs zu kaufen und keine Prüfung zu bestehen. Zweitens: Ein interner Nachweis genügt: welche Schulungen und Hinweise gegeben wurden, an wen und wann.
Für ein SaaS-Unternehmen ist nicht die Schulung das Schwierige, sondern zu wissen, wo KI tatsächlich genutzt wird. Der Work Trend Index 2024 von Microsoft und LinkedIn ergab, dass 75% der Wissensarbeiter generative KI bei der Arbeit nutzen und 78% der KI-Nutzer ihre eigenen Tools mitbringen. In einem typischen SaaS-Unternehmen heißt das: Support-Mitarbeitende entwerfen Antworten, Vertriebsmitarbeitende schreiben Akquise-Nachrichten, Entwickler nutzen Coding-Assistenten und die Finanzabteilung kopiert Zahlen in ein Chatfenster, oft ohne freigegebenes Tool und ohne Anleitung.
Ein praktikabler Ansatz hat drei Schritte:
- Bestandsaufnahme. Erfassen Sie die genutzten KI-Tools, freigegeben oder nicht, wer sie nutzt und welche Unternehmens- oder Kundendaten in sie fließen.
- Hinweise nach Rolle. Kurze, konkrete Hinweise für jedes Team: wofür die Tools genutzt werden dürfen, welche Daten draußen bleiben müssen und wie die Ergebnisse zu prüfen sind. Ein Support-Team und ein Finanzteam brauchen unterschiedliche Regeln.
- Ein Nachweis. Eine datierte Aufzeichnung, wer welche Hinweise oder Schulungen erhalten hat, aktualisiert, wenn sich Tools oder Rollen ändern.
Das ist auch gute Betriebsführung, ob mit oder ohne Gesetz. Ein Unternehmen, das weiß, wohin seine Daten gehen, kann den Sicherheitsfragebogen eines Kunden ehrlich beantworten.
Artikel 50: Menschen sagen, dass sie mit KI sprechen
Artikel 50 gilt seit August 2026. Sein Kern ist einfach: Ein KI-System, das mit Menschen interagiert, muss deutlich machen, dass es KI ist, sofern das nicht aus dem Kontext offensichtlich ist. Deepfakes, also KI-generierte Bilder, Audio- oder Videoinhalte, die als echt durchgehen könnten, müssen offengelegt werden.
Für ein SaaS-Unternehmen sind die zu prüfenden Stellen in der Regel:
- Der Assistent im Produkt. Ein In-App-Helfer, der Nutzern antwortet, sollte sagen, dass er eine KI ist.
- Website-, Vertriebs- und Support-Chat. Ein Chat, der Kunden oder Interessenten antwortet, braucht einen klaren Hinweis, dass die Antworten von einer KI stammen.
- Sprache und Video. Eine KI-Stimme in einem Anruf oder ein KI-generierter Sprecher in einem Produktvideo oder einer Werbung muss offengelegt werden.
Die Offenlegung ist eher eine Designaufgabe als eine rechtliche: eine Zeile im Chatfenster, ein Hinweis in der Oberfläche, ein Satz zu Beginn eines Anrufs. Am günstigsten ist sie, wenn sie von Anfang an Teil des Designs ist. Dasselbe gilt für interne Agenten: Der NordOps AI Agent ist für europäische Regeln gebaut, und jede Frage und jede Aktion wird protokolliert.
Was noch nicht gilt
Ein Großteil der Aufmerksamkeit rund um die Verordnung gilt Hochrisiko-KI, und für die meisten SaaS-Unternehmen liegt dieser Teil noch vor ihnen:
- 2. Dezember 2027: Die Regeln für die in Anhang III aufgeführten Hochrisikobereiche, etwa KI in der Personalauswahl, gelten.
- 2. August 2028: Die Regeln für KI in regulierten Produkten gelten.
Diese Daten folgen der Änderung der Verordnung von 2026, die am 27. Juli 2026 in Kraft getreten ist. Ein SaaS-Unternehmen, dessen Produkt in der Personalgewinnung oder einem anderen Bereich nach Anhang III eingesetzt wird, sollte die Zeit zur Vorbereitung nutzen, statt abzuwarten. Für alle anderen haben die beiden bereits geltenden Artikel Vorrang.
Eine praktische Checkliste für dieses Quartal
- Benennen Sie eine verantwortliche Person für KI im Unternehmen, mit der nötigen Zeit für die Aufgabe.
- Erstellen Sie eine Bestandsaufnahme der genutzten KI, einschließlich der Tools, die Mitarbeitende selbst eingeführt haben.
- Schreiben Sie kurze Hinweise für jedes Team und dokumentieren Sie, wer sie erhalten hat.
- Prüfen Sie jede Stelle, an der KI mit Kunden, Interessenten oder der Öffentlichkeit spricht, und ergänzen Sie einen klaren Hinweis, wo er fehlt.
- Prüfen Sie Marketinginhalte auf KI-generierte Personen oder Stimmen und kennzeichnen Sie sie.
- Wenn Ihr Produkt in der Personalauswahl oder einem anderen Bereich nach Anhang III eingesetzt wird, beginnen Sie mit der Planung für Dezember 2027.
Nichts davon macht einen Chief AI Officer zur gesetzlichen Pflicht; es ist eine Rolle, keine Verpflichtung. Aber die Arbeit braucht einen Verantwortlichen, und in den meisten wachsenden Unternehmen gibt es noch keinen. Das gehört zu dem, was ein Fractional Chief AI Officer übernimmt, und unser AI Snapshot beginnt genau mit dieser Bestandsaufnahme und der Prüfung von KI-Kompetenz und Transparenz.
Quelle: Verordnung (EU) 2024/1689, Artikel 4, 50 und 113, in der 2026 geänderten Fassung. Dieser Artikel dient der Information; er ist keine Rechtsberatung.