Der EU AI Act ist in Kraft. Die DSGVO-Durchsetzung weitet sich auf AI-vermittelte Datenflüsse aus. Jede Woche erscheint ein neuer Compliance-Erklärartikel, ein neues juristisches Gutachten und ein neuer Grund für SaaS-Betreiber, das Gefühl zu haben, den Anschluss zu verlieren.
Die meisten dieser Erklärartikel sind für Rechtsabteilungen geschrieben. Dieser hier ist für Betreiber geschrieben: Gründer, Engineering-Leads und Produktmanager, die ein konformes Produkt ausliefern müssen, ohne eine Compliance-Abteilung aufzubauen.
Hier erfahren Sie, was Sie tatsächlich nachweisen müssen und wie Sie praktisch darüber nachdenken.
Beginnen Sie hier: Welche Art von AI-System sind Sie?
Der EU AI Act arbeitet mit Risikostufen. Die meisten schlanken SaaS-Produkte — sofern sie nicht automatisierte Entscheidungen über Kredit, Beschäftigung, Rechtsstatus oder kritische Infrastruktur treffen — fallen in die Stufe minimales Risiko oder AI-System mit allgemeinem Verwendungszweck. Das bedeutet nicht null Anforderungen. Es bedeutet, dass die Anforderungen verhältnismäßig sind.
Die praktische Frage für die meisten Betreiber lautet nicht "Wie erfülle ich den AI Act?", sondern: "Wie weise ich meinen Käufern, Prüfern und Regulierungsbehörden nach, dass meine AI-Nutzung kontrolliert ist?" Das sind verwandte, aber unterschiedliche Fragen.
Das Folgende konzentriert sich auf die zweite, denn sie ist diejenige, die Deals ins Stocken bringt und bei Audits Warnsignale auslöst.
Wonach Ihre Käufer und Prüfer tatsächlich fragen
Wenn ein Einkaufsteam, eine Sicherheitsverantwortliche oder ein externer Prüfer nach Ihren AI-Kontrollen fragt, fragen sie in der Regel nach sechs Dingen:
-
Welche Daten gehen in Ihre AI-Modelle ein? Und konkret: Gelangen personenbezogene Daten, Kundendaten oder regulierte Daten in Modelle, die Sie nicht kontrollieren?
-
Woher wissen Sie, was eingegangen ist? Können Sie ein Protokoll vorlegen?
-
Wie sieht Ihre Datenminimierungspraxis aus? Senden Sie nur das Notwendige an das Modell, oder senden Sie alles und hoffen, dass das Modell den Rest ignoriert?
-
Wie ist Ihre Aufbewahrungsrichtlinie für AI-Eingaben und -Ausgaben? Speichern Sie rohe Prompts? Wie lange? Unter welchen Zugriffskontrollen?
-
Wer hat riskante AI-Aktionen in Ihrem System genehmigt? Wenn eine AI-Ausgabe eine folgenreiche Entscheidung antreibt, gibt es einen Nachweis über eine menschliche Genehmigung?
-
Was passiert, wenn etwas schiefgeht? Können Sie nachvollziehen, was passiert ist, warum und wer verantwortlich war?
Das ist nicht theoretisch. Es sind die tatsächlichen Fragen, die gerade jetzt in Infosec-Fragebögen, SOC 2-Audits und DSGVO-AVV-Anfragen auftauchen.
DSGVO und AI: die drei Dinge, die Warnsignale auslösen
Die DSGVO galt schon immer für die Verarbeitung personenbezogener Daten. Was sich geändert hat, ist die Durchsetzungsbereitschaft und die Sachkenntnis der Aufsichtsbehörden in Bezug auf AI-vermittelte Datenflüsse.
1. Personenbezogene Daten als Modelleingabe ohne Rechtsgrundlage verwenden
Wenn Nutzer personenbezogene Daten über Ihr Produkt übermitteln und diese Daten an ein Drittanbieter-LLM (OpenAI, Anthropic, Mistral usw.) weitergeleitet werden, verarbeiten Sie personenbezogene Daten gemäß Artikel 6. Sie benötigen eine Rechtsgrundlage. Für die meisten B2B-SaaS ist diese Grundlage das berechtigte Interesse oder die Vertragserfüllung — aber Sie müssen sie dokumentieren und nachweisen, dass Sie nicht mehr Daten senden als nötig.
Praktische Kontrolle: Eine Prompt-Prüfungsschicht, die personenbezogene Daten erkennt und vor Erreichen des Modells eine konfigurierte Handhabung anwendet (maskieren, tokenisieren oder blockieren). Das ist Datenminimierung in der Praxis.
2. Keine Dokumentation darüber, welche AI personenbezogene Daten verarbeitet
Gemäß DSGVO Artikel 30 sind Sie verpflichtet, ein Verzeichnis von Verarbeitungstätigkeiten zu führen. Wenn Sie AI in einem Workflow einsetzen, der personenbezogene Daten verarbeitet, gehört diese AI-Komponente in Ihr Verzeichnis von Verarbeitungstätigkeiten (VVT). Viele Betreiber haben sie nicht aufgenommen.
Praktische Kontrolle: Ein Audit-Trail, der pro AI-Anfrage festhält, welche Datenkategorien erkannt und wie sie gehandhabt wurden. Das wird zu Ihrem Nachweis nach Artikel 30.
3. Automatisierte Entscheidungsfindung ohne menschlichen Prüfpfad
DSGVO Artikel 22 beschränkt ausschließlich automatisierte Entscheidungen, die erhebliche Auswirkungen auf Personen haben. Wenn Ihr AI-System Entscheidungen über Menschen trifft oder maßgeblich beeinflusst — Preisgestaltung, Anspruchsberechtigung, Zugang — und es keinen menschlichen Prüfpfad gibt, haben Sie eine Compliance-Lücke.
Praktische Kontrolle: Ein Genehmigungsgate, das AI-getriebene Entscheidungen oberhalb eines definierten Risikoschwellenwerts abfängt und an einen menschlichen Prüfer weiterleitet, wobei die Entscheidung protokolliert wird.
Der EU AI Act: was schlanke Betreiber jetzt tatsächlich tun müssen
Die Anforderungen des Acts werden schrittweise eingeführt. Für die meisten schlanken SaaS-Betreiber in der Stufe minimales oder begrenztes Risiko sind die unmittelbaren Pflichten:
Transparenz gegenüber Nutzern Wenn Ihr Produkt AI auf eine Weise einsetzt, die Nutzer betrifft — insbesondere in einer dialogorientierten Oberfläche oder bei automatisierten Ausgaben — müssen Sie dies klar kenntlich machen. Dies wird bereits durch die DSGVO-Grundsätze gefordert; der AI Act macht es explizit.
Praktische Kontrolle: Klare Produkttexte und Geschäftsbedingungen, die beschreiben, wo AI eingesetzt wird und welche Daten sie verarbeitet.
Genauigkeit und Robustheit AI-Systeme sollten genaue Ausgaben erzeugen. Bei folgenreichen Ausgaben sollten Sie eine menschliche Aufsicht nachweisen können.
Praktische Kontrolle: Protokollierung von AI-Ausgaben, insbesondere in folgenreichen Workflows. Menschliche Genehmigungsgates für Aktionen, die auf Basis von AI-Empfehlungen ausgeführt werden.
Dokumentation der Daten-Governance Sie sollten nachweisen können, wie Ihre AI-Systeme trainiert wurden (falls Sie feinjustieren), welche Daten sie verarbeiten und wie Sie Qualitäts- und Verzerrungsrisiken managen.
Praktische Kontrolle: Wenn Sie Foundation-Modelle (OpenAI, Anthropic usw.) nutzen und nicht feinjustieren, besteht Ihre Pflicht hier in erster Linie darin, Ihre Nutzung zu dokumentieren, nicht das zugrunde liegende Modell zu prüfen. Die Compliance-Dokumentation Ihres Anbieters deckt die Modellseite ab.
Der praktische Kontroll-Stack: worauf es wirklich ankommt
Für einen schlanken SaaS-Betreiber, der die sechs oben genannten Käufer-/Prüferfragen beantworten und die Dokumentationsanforderungen von DSGVO und AI Act erfüllen möchte, sieht der funktionale Kontroll-Stack so aus:
1. Prompt-Prüfung und Datenminimierung Eine Schicht, die personenbezogene Daten, Geheimnisse und regulierte Informationen in AI-Eingaben erkennt und vor der Weiterleitung an das Modell eine konfigurierte Handhabung anwendet (maskieren, tokenisieren, blockieren). Das ist Ihr Nachweis der Datenminimierung.
2. Konfigurierbare Aufbewahrungsrichtlinie Speichern Sie keine rohen Prompts mit personenbezogenen Daten, es sei denn, Sie haben eine klare Rechtsgrundlage und Zugriffskontrollen. Protokollieren Sie die gehandhabte Version (maskiert / tokenisiert). Konfigurieren Sie Aufbewahrungsfristen und Zugriffskontrollen explizit.
3. Strukturierter Audit-Trail Ein durchsuchbares, strukturiertes Protokoll jeder AI-Anfrage: was erkannt wurde, wie es gehandhabt wurde, welche Richtlinienentscheidung galt, ob eine Genehmigung eingeholt wurde. Das ist Ihr Nachweis nach Artikel 30 und Ihre Fähigkeit zur Vorfallrekonstruktion.
4. Genehmigungsgates für folgenreiche Aktionen Ein Mechanismus, um AI-getriebene Aktionen an einem definierten Risikoschwellenwert anzuhalten, an einen menschlichen Prüfer weiterzuleiten und die Entscheidung zu protokollieren. Das ist Ihr Compliance-Pfad nach Artikel 22 und Ihr Change-Management-Nachweis für folgenreiche AI-Entscheidungen.
5. Richtliniendokumentation Ein schriftliches, versioniertes Dokument, das beschreibt, welche AI-Anbieter Ihr System nutzt, welche Datenkategorien sie verarbeiten dürfen, wie Sie Datenminimierung anwenden und welche Genehmigungsanforderungen für folgenreiche Aktionen gelten. Das ist es, was Sie einer Datenschutzbehörde, einem Prüfer oder einem Einkaufsteam vorlegen.
Wie das in einem gründergeführten Vertriebsgespräch aussieht
Wenn Sie im gründergeführten Vertrieb an regulierte Käufer tätig sind und der Infosec-Fragebogen in Ihrem Posteingang landet, sieht ein solider Satz von Antworten so aus:
"Welche Kontrollen haben Sie rund um die AI-Datenverarbeitung?" Wir wenden vor allen Modellaufrufen eine Prompt-Prüfung an. Personenbezogene Daten werden vor der Weiterleitung erkannt und maskiert oder tokenisiert. Wir speichern keine rohen Prompts mit personenbezogenen Daten.
"Können Sie ein Audit-Protokoll der AI-Verarbeitung vorlegen?" Ja. Jede AI-Anfrage erzeugt einen strukturierten Audit-Datensatz mit erkannten Datenkategorien, angewendeter Handhabung, getroffener Richtlinienentscheidung und Ergebnis. Die Datensätze sind durchsuchbar und exportbereit.
"Wie handhaben Sie automatisierte Entscheidungen?" Folgenreiche AI-Aktionen erfordern vor der Ausführung eine menschliche Genehmigung. Der Prüfer sieht eine geschwärzte Version der vorgeschlagenen Aktion. Die Genehmigungsentscheidung wird mit Prüferidentität und Zeitstempel protokolliert.
Diese Fragen klar beantworten zu können, ist der Unterschied zwischen einem Deal, der zustande kommt, und einem, der in der rechtlichen Prüfung stecken bleibt.
Das Fazit
EU-AI-Act- und DSGVO-Konformität für schlanke SaaS-Betreiber geht nicht um die komplexeste Auslegung der Vorschriften. Es geht darum, die Kontrollen bereitzuhalten, die es Ihnen ermöglichen, die Audit-Fragen zu beantworten, die tatsächlich gestellt werden — und die Nachweise zu liefern, die regulierte Käufer für eine Unterschrift verlangen.
Die Kontrollen sind nicht exotisch: Prompt-Prüfung, ein strukturierter Audit-Trail, Genehmigungsgates für folgenreiche Aktionen und ein Richtliniendokument. Die Herausforderung ist, dass die meisten AI-Bereitstellungen sie nicht haben, weil sie für Geschwindigkeit gebaut wurden, nicht für Governance.
Qadar AI stellt diese Kontrollen als bereitstellbare Suite bereit — Shield Web für die Prompt-Prüfung auf Browser-Ebene, Shield Control für zentrale Richtlinien und Audit — ohne dass Sie Ihre AI-Architektur neu aufbauen müssen.
Erfahren Sie, wie Qadar AI schlanken SaaS-Teams hilft, regulierte Deals schneller abzuschließen. Buchen Sie eine Walkthrough
