Joule läuft, die Compliance nicht: Was SAP-Kunden jetzt tun müssen

Missverständnisse bei der KI-Regulierung

Die jüngsten Nachrichten rund um den sogenannten Digital Omnibus haben in vielen SAP-Abteilungen für Erleichterung gesorgt. Die Annahme, dass die KI-Regulierung pauschal auf das Jahr 2027 verschoben wurde, ist jedoch ein gefährlicher Trugschluss. Während der Digital Omnibus tatsächlich bestimmte Pflichten für Hochrisiko-KI-Systeme nach Anhang III auf den 2. Dezember 2027 und für KI im Produktkontext auf den 2. August 2028 vertagt, bleiben andere Anforderungen unberührt.

Besonders kritisch: Die Transparenzpflichten gemäß Artikel 50 des EU AI Act sind ab dem 2. August 2026 in vollem Umfang relevant. Wer KI-Systeme wie SAP Joule oder eigene Agenten in Geschäftsprozesse integriert, muss sich bereits jetzt auf diese Stichtage vorbereiten.

Transparenz als unmittelbare Pflicht

Ab August 2026 müssen Unternehmen sicherstellen, dass Nutzer klar darüber informiert werden, wenn sie mit einer KI interagieren. Ein einfacher Hinweis in der Benutzeroberfläche von Joule oder in selbst entwickelten Agenten – etwa der Appell, Ergebnisse vor geschäftlichen Entscheidungen eigenständig zu prüfen – ist hierbei ein essenzieller erster Schritt.

Darüber hinaus greifen Kennzeichnungs- und Offenlegungspflichten für künstlich erzeugte oder manipulierte Inhalte wie Bilder, Audio- und Videodateien. Unternehmen sollten zwischen ihren Rollen als Anbieter und Betreiber differenzieren. Während SAP als Anbieter der Joule-Funktionen für die Konformität der Basistechnologie verantwortlich ist, trägt der Kunde als Betreiber die Verantwortung für den operativen Einsatz im eigenen Unternehmen.

Die Rollenverteilung: Wer haftet für was?

Die Unterscheidung zwischen Anbieter und Betreiber ist nach der KI-Verordnung zentral:

* **Anbieter (Provider):** Wer ein KI-System entwickelt oder unter eigenem Namen in den Verkehr bringt, ist für die technische Dokumentation, das Risikomanagement und die Konformitätsbewertung zuständig.

* **Betreiber (Deployer):** Wer ein System unter eigener Verantwortung operativ nutzt, muss sicherstellen, dass die Anwendung rechtssicher erfolgt.

Ein Kunde wird zum Anbieter, sobald er selbst entwickelte Agenten unter eigenem Namen oder für Dritte bereitstellt. Dies zieht weitreichende Pflichten nach sich, die über die bloße Nutzung hinausgehen.

Vier Schritte zur Compliance

Um den Anforderungen des EU AI Act gerecht zu werden, sollten Unternehmen vier strategische Handlungsfelder priorisieren:

1. **Inventarisierung der KI-Landschaft:** Erfassung aller eingesetzten Joule-Instanzen, selbst entwickelter Agenten sowie angebundener Modelle und Server. Es muss transparent sein, wer die Verantwortung trägt und welche Daten verarbeitet werden.

2. **Rechtliche und organisatorische Einordnung:** Prüfung der Use Cases hinsichtlich der Risikoklasse und der spezifischen Transparenzpflichten. Nicht jeder Einsatz ist sofort als Hochrisiko-KI einzustufen, doch die Dokumentation ist unerlässlich.

3. **Risikobasiertes Kontrollkonzept:** Etablierung von Berechtigungen, Protokollierung und menschlichen Kontrollpunkten. Insbesondere bei geschäftskritischen Entscheidungen muss eine menschliche Aufsicht gewährleistet sein.

4. **Aufbau von KI-Kompetenz:** Schulung der Mitarbeitenden. Fachbereiche müssen KI-Ergebnisse bewerten können, während IT- und Compliance-Abteilungen die technische und rechtliche Überwachung sicherstellen müssen.

Unterstützung durch Governance-Tools

SAP bietet mit dem SAP AI Agent Hub eine technische Lösung an, die Kunden bei der Inventarisierung, Risikoeinstufung und Compliance-Zuordnung unterstützt. Diese Governance-Schicht kann helfen, den Lebenszyklus von Agenten strukturiert zu verwalten. Dennoch bleibt die inhaltliche Entscheidungsgewalt und damit die unternehmerische Verantwortung beim Kunden selbst. Die technische Infrastruktur entbindet nicht von der Pflicht, eigene Risikoschwellen festzulegen und die menschliche Aufsicht verbindlich zu organisieren.

Die gewonnene Zeit durch die Fristverschiebungen sollte daher keinesfalls als Pause verstanden werden. Vielmehr bietet sie die notwendige Gelegenheit, eine belastbare KI-Governance aufzubauen, die den komplexen Anforderungen des EU AI Act langfristig standhält.