|
27.07.2026 16:09 Uhr |
Der Digital Omnibus hat die Fristen für Hochrisiko-KI verschoben, nicht jedoch die Verantwortung für den KI-Einsatz. Ab dem 2. August 2026 bleiben insbesondere die Transparenzpflichten des EU AI Act relevant. SAP-Kunden, die Joule oder eigene Agenten in ihren Geschäftsprozessen einsetzen, sollten deshalb ihre Rolle, ihre konkreten Use Cases und daraus folgende Pflichten prüfen.
Praktisch bedeutet das: Wer ein KI-System bereitstellt oder betreibt, muss prüfen, ob Personen über die Interaktion mit KI zu informieren sind und ob für erzeugte oder manipulierte Inhalte besondere Transparenzanforderungen gelten. In einer Joule-Oberfläche oder einem selbst entwickelten Agenten könnte beispielsweise ein klarer Hinweis stehen: „Sie interagieren mit einem KI-gestützten Assistenten. Prüfen Sie die Ergebnisse vor einer geschäftlichen Entscheidung.“ Bei künstlich erzeugten oder manipulierten Bildern, Audio- und Videoinhalten sowie bei bestimmten veröffentlichten KI-generierten Texten können darüber hinaus Kennzeichnungs- oder Offenlegungspflichten greifen. Dabei ist zwischen Anbieter- und Betreiberpflichten zu unterscheiden.
Gleichzeitig greifen die Durchsetzungsbefugnisse der Kommission gegenüber Anbietern von General-Purpose-AI-Modellen (GPAI-Modelle). Hier sind Bußgelder von bis zu 15 Millionen Euro oder drei Prozent des weltweiten Jahresumsatzes vorgesehen. Das betrifft jedoch die GPAI-Modellanbieter-Ebene und nicht automatisch den SAP-Kunden, der Joule im eigenen Betrieb verwendet.
KI verändert die SAP-Welt grundlegend – von integrierten KI-Funktionen bis hin zu autonomen Agenten, die Geschäftsprozesse steuern. Die Online-Konferenz „AI für SAP“ zeigt Ihnen, wie Sie KI-Technologien in SAP-Landschaften sinnvoll einsetzen, welche Tools bereits produktiv nutzbar sind und wie Sie den Schritt von der Idee zur Umsetzung meistern.
Die Verschiebung der Frist durch den Digital Omnibus darf also nicht als Compliance-Pause verstanden werden. Wer jetzt glaubt, bis Ende 2027 Zeit zu haben, übersieht, dass Transparenzanforderungen in wenigen Tagen relevant werden. Unternehmen müssen ihre KI-Einsätze deshalb jetzt erfassen und nach Rolle, Use Case und Risiko einordnen. Die verlängerte Frist sollte man unmittelbar zum Aufbau einer belastbaren KI-Governance nutzen, denn gerade in komplexen Landschaften kann dies ein längerer Prozess sein.
SAP ist bei den bereitgestellten Joule-Funktionen also typischerweise der Anbieter. Ein Kunde wird dann zum Betreiber, wenn er Joule oder selbst entwickelte Joule-Studio-Agents im eigenen Geschäftsprozess einsetzt. Welche Pflichten daraus konkret für den Kunden entstehen könnten, hängt jedoch vom Use Case, der eigenen Rolle und der Risikoeinstufung ab. Anforderungen wie menschliche Aufsicht, Log-Aufbewahrung oder gegebenenfalls eine Grundrechte-Folgenabschätzung sind insbesondere bei Hochrisiko-KI relevant.
Bei eigenen, selbst entwickelten Agenten muss die Rollenverteilung genauer geprüft werden. Nimmt ein Kunde einen Agenten unter seinem Namen oder seiner Marke in Betrieb oder stellt er ihn anderen Konzerngesellschaften, Kunden oder Dritten bereit, kann er zusätzlich oder statt als Betreiber auch als Anbieter einzustufen sein. Damit können weiterreichende Anbieterpflichten verbunden sein.
SAP unterstützt Kunden beim operativen Teil der Betreiberpflichten über den SAP AI Agent Hub etwa bei Inventarisierung, Risikoeinstufung, Compliance-Zuordnung und Lifecycle-Governance von Agenten, Modellen und MCP-Servern. Der SAP AI Agent Hub ist als Governance- und Discovery-Lösung bereits nutzbar, insbesondere im LeanIX-Kontext. SAP baut ihn zugleich als zentrale Governance-Schicht über den gesamten Lebenszyklus eines Agenten aus. Welche Funktionen ein Kunde konkret einsetzen kann, hängt jedoch vom Produktumfang, der angebundenen Landschaft und, bei neuen Joule-Studio-Funktionen, vom jeweiligen Verfügbarkeitsstatus ab.
Die inhaltliche Verantwortung kann SAP dem Kunden aber nicht abnehmen: Jedes Unternehmen entscheidet selbst, welche Agentenes freigegibt, welche Daten und Aktionen zulässig sind, welche Risikoschwellen gelten und wie menschliche Aufsicht konkret organisiert wird. Die Governance-Infrastruktur kommt zunehmend von SAP, doch die Governance-Verantwortung bleibt beim Betreiber.
Zweitens: die Use Cases rechtlich und organisatorisch einordnen. Dabei geht es nicht darum, jede Joule-Nutzung vorschnell als Hochrisiko-KI zu klassifizieren. Unternehmen sollten vielmehr ihre Rolle als Anbieter oder Betreiber, den konkreten Zweck, die Risikoklasse und die einschlägigen Transparenzpflichten prüfen. Art. 50 des EU AI Act ist dabei keine Risikokategorie, sondern betrifft unter anderem die Information über KI-Interaktionen sowie bestimmte Kennzeichnungs- und Offenlegungspflichten für erzeugte oder manipulierte Inhalte.
Drittens: ein risikobasiertes Freigabe- und Kontrollkonzept aufsetzen. Gerade bei Agenten, die auf Unternehmensdaten zugreifen, Prozessschritte ausführen oder geschäftskritische Entscheidungen vorbereiten, braucht es klare Berechtigungen, dokumentierte Freigaben, Protokollierung, Eskalationswege und, soweit Risiko und Einsatz dies erfordern, menschliche Kontroll- und Entscheidungspunkte.
Viertens: AI Literacy gezielt aufbauen. Unternehmen müssen sicherstellen, dass Mitarbeitende, die KI-Systeme einsetzen oder überwachen, über angemessene KI-Kompetenz verfügen. Es muss nicht zwingend ein Zertifikatsprogramm für alle sein. Erforderlich ist hierbei vielmehr eine zielgruppengerechte Befähigung. Fachbereiche müssen Ergebnisse richtig einordnen können, IT und Security müssen Datenzugriffe und Integrationen kontrollieren, die Compliance-Abteilung muss Risiken bewerten können und Personen, die Agenten freigeben oder überwachen, brauchen Klarheit über ihre Verantwortung und Eskalationswege.
Der SAP AI Agent Hub kann für die ersten drei Punkte eine technische Grundlage liefern: SAP positioniert ihn als herstellerneutrale Lösung zur Discovery, Inventarisierung und Governance von Agents sowie MCP-Servern. Er unterstützt strukturierte Bewertungen, einschließlich Risikoeinstufung und Compliance-Zuordnung. Das Tool unterstützt außerdem Governance, ersetzt aber nicht die unternehmerische Entscheidung. Welche Agenten zugelassen werden, welche Risiken akzeptabel sind und wie menschliche Aufsicht organisiert wird, muss jedes Unternehmen selbst entscheiden.
In der Serie „Drei Fragen und Antworten“ will die iX die heutigen Herausforderungen der IT auf den Punkt bringen – egal ob es sich um den Blick des Anwenders vorm PC, die Sicht des Managers oder den Alltag eines Administrators handelt. Haben Sie Anregungen aus Ihrer tagtäglichen Praxis oder der Ihrer Nutzer? Wessen Tipps zu welchem Thema würden Sie gerne kurz und knackig lesen? Dann schreiben Sie uns gerne oder hinterlassen Sie einen Kommentar im Forum.
(fo)