Sind Sie konform mit dem EU AI Act?
Es befindet sich im Fragebogen als Ja/Nein-Feld. Es ist keine Ja / Nein-Frage - und die Anbieter, die es als einen behandeln, beanspruchen entweder zu wenig (und sehen unvorbereitet aus) oder zu viel (und geben dem Rat des Käufers etwas, um es in Due Diligence abzubauen). Hier ist, wie man es ehrlich und gut beantwortet.
Warum Käufer das fragen
Regulation (EU) 2024/1689 ist in Kraft und seine Verpflichtungen landen in Etappen: Die Verbote von Article 5 und die AI-Kennzeichnungsmaßnahmen von Article 4 gelten seit 2. Februar 2025, die Article 50-Transparenzpflichten gelten ab 2 August 2026 (Digital Omnibus hat sie nicht verschoben), und das Hochrisiko-Regime von Kapitel III gilt von 2. Dezember 2027 für die Annex III Anwendungsfälle (Article 6(2)) und von 2. August 2028 für die Annex I regulierte Produktroute (Article 6(1)). Das Brechen von Article 50 kann Geldbußen von bis zu €15,000,000 oder 3% des weltweiten Jahresumsatzes in Anspruch nehmen, je nachdem, welcher Wert höher ist – für KMU und Start-ups der niedrigere der beiden (Article 99). Das Rechtsteam Ihres Käufers möchte wissen, ob eine dieser Expositionen in Ihrem Produkt sitzt. Und die Frage dient als Kompetenztest: Ein Anbieter, der mit "Ja, vollständig konform" antwortet, sagt dem Rezensenten, dass er die Verordnung nicht genau gelesen hat.
Die ehrliche Antwortstruktur
Vier Teile, in dieser Reihenfolge — die gleiche Struktur, die wir in unsere vollständige Methode für AI Abschnitte:
- Klassifizierung. Wo Ihr System in den Risikostufen der Verordnung sitzt. Die meisten B2B SaaS haben ein begrenztes oder minimales Risiko - außerhalb beider Hochrisikorouten von Article 6: die Annex I-Produktroute (Article 6(1)) und die Annex III-Anwendungsfallliste (Article 6(2)). Schließen Sie beide explizit aus und überprüfen Sie, bevor Sie es sagen.
- Pflichten, die für Sie gelten. Für ein System mit begrenztem Risiko, typischerweise Article 50 Transparenz plus Article 4 AI Alphabetisierung. Achten Sie auf die Rollenfalle: Wenn Sie ein Drittmodell unter Ihrer eigenen Marke versenden, sind Sie die Anbieter des resultierenden Systems für Article 50(1)-Zwecke — die Pflicht zur Offenlegung des AI verbleibt nicht beim Modellverkäufer. Das einzige Carve-out ist, wo die AI-Interaktion für eine Person offensichtlich ist, die "vernünftig gut informiert, aufmerksam und umsichtig" ist. Vollständige Karte, wer was unter Article 50 schuldet.
- Status je Verpflichtung. Was heute tatsächlich in Kraft ist, faktisch ausgedrückt - eine Zeile pro Verpflichtung.
- Lücken, jeder mit einem Plan. Aktueller Zustand, kompensierende Kontrolle, "in Arbeit", realistisches Zieldatum, das jemand in Ihrem Unternehmen tatsächlich genehmigt hat.
Vorlage — nur zur Orientierung. Ersetzen Sie jede Klammer mit Fakten, die Sie für Ihr eigenes Produkt überprüft haben, bevor Sie senden. Wenn Ihr Produkt das Gebiet von Annex III (Biometrik, Beschäftigungsentscheidungen, Kreditbewertung und ähnliches) berührt oder in einem unter Annex I (medizinische Geräte, Maschinen und der Rest) regulierten Produkt ausgeliefert wird, halten Sie an und nehmen Sie Rechtsberatung in Anspruch, anstatt dies anzupassen.
"Einstufung: Auf der Grundlage seines derzeitigen Verwendungszwecks ist [Ihr Produkt] weder ein Produkt noch ein Sicherheitsbauteil eines Produkts, das unter die in Annex I aufgeführten Harmonisierungsrechtsvorschriften der Union fällt und einer Konformitätsbewertung durch Dritte unterliegt (Article 6(1)), und es fällt nicht unter die Anwendungsfälle mit hohem Risiko von Annex III (Article 6(2)) und ist daher ein AI-System mit begrenztem Risiko. Anwendbare Verpflichtungen: Da [Ihr Produkt] [einen AI-Assistenten] unter unserer eigenen Marke anbietet, gelten die Transparenzpflichten von Article 50 für uns als Anbieter von 2. August 2026 neben den Article 4 AI-Kenntnissen (geltend seit 2. Februar 2025). Status: Benutzer werden darüber informiert, dass sie bei der ersten Interaktion mit einem AI-System interagieren [Zustand, wo]; Mitarbeiter, die das System betreiben, schließen Ihre AI-Schulung ab, wobei Abschlussaufzeichnungen aufbewahrt werden. Im Gange: [maschinenlesbare Markierung von AI-generierten Inhalten] wird implementiert, gezielt auf [genehmigtes Datum]. Wir überprüfen diese Einschätzung als die verbleibenden Bestimmungen der Verordnung Phase in.
Beachten Sie, was die Vorlage niemals sagt: "full compliant". Nach dieser Verordnung erfolgt die Einhaltung pro Verpflichtung und pro Datum - ein unqualifizierter Anspruch ist einer, den der Käufer testen kann.
Der Fehler, der Deals kostet
Die Decke "Ja". Es fühlt sich an wie die starke Antwort, und es ist die schwache: Es ist eine garantieförmige Behauptung über eine Verordnung, deren Verpflichtungen immer noch schrittweise eingeführt werden, die in einem Dokument gemacht wird, das Sie später vertraglich hinter sich lassen müssen. Wenn eine Überforderung in der Due Diligence auftaucht, wird jede andere Antwort in Ihrem Fragebogen mit Argwohn erneut gelesen.
Die leisere Version des gleichen Fehlers ist die Überforderung von Verpflichtungen, die Sie nicht haben - zum Beispiel die Präsentation Ihrer Human-Review-Maßnahmen als Erfüllung der Anforderungen der Verordnung an die menschliche Aufsicht. Die menschliche Aufsicht von Article 14 bindet nur Systeme mit hohem Risiko; für ein System mit begrenztem Risiko beschreiben Sie solche Maßnahmen als freiwillige gute Praxis, die das Risikomanagement des Käufers unterstützt, nicht als AI Act-Compliance.
Mini-FAQ
Können wir einfach "Ja, wir sind konform" antworten?
Nein. Die Verpflichtungen werden an gestaffelten Daten eingeführt und unterscheiden sich nach Risikoklasse und Rolle, so dass "Compliance" nur pro Verpflichtung sinnvoll ist. Rezensenten behandeln eine pauschale ja als rote fahne - und durch vertragsphase können sie aufgefordert werden, es zu rechtfertigen.
Welche Verpflichtungen gelten für einen typischen B2B SaaS Anbieter?
Die meisten B2B SaaS sind begrenzt oder minimal: typischerweise Article 50 Transparenz (von 2. August 2026) und Article 4 AI Alphabetisierung (seit 2. Februar 2025). Das Hochrisikoregime gilt von 2. Dezember 2027 für Annex III Anwendungsfälle (Article 6(2)) und von 2. August 2028 für die Annex I regulierte Produktroute (Article 6(1)) - schließen beide aus, bevor Sie sich als begrenztes Risiko bezeichnen. Für die Inhaltskennzeichnung unter Article 50(2) haben Systeme, die vor 2. August 2026 in Verkehr gebracht wurden, einen Übergang bis 2. Dezember 2026.
Wir verwenden ein Drittanbietermodell - ist die Compliance nicht ihr Problem?
Nicht ganz. Versand eines Modells unter Ihrem eigenen Namen oder Ihrer Marke und Sie sind der Anbieter des resultierenden Systems: Die Article 50(1) Offenlegungspflicht liegt bei Ihnen. Unsere Free Article 50 Checker Karten, welche Aufgaben Ihr Produkt in sieben Fragen getroffen.
Related: "Werden unsere Daten verwendet, um Ihre AI Modelle zu trainieren?" - normalerweise die Frage daneben - und Das erste 24-Stunden-Spielbuch Wenn der Fragebogen gerade gelandet ist.