Software- & SaaS-Entwickler: AI Act, Data Act & DSGVO-Pflichten

Software- & SaaS-Entwickler sind meist KI-System-Anbieter — wenn sie KI entwickeln/einbetten und unter eigenem Namen vermarkten. Pflichten nach Risikoklasse: minimal (keine AI-Act-Pflicht — typische Anwendungsfälle: interne Tools, Customer-Support, Produkt-Empfehlung ohne grundrechtserhebliche Entscheidungen), begrenzt (Art. 50 Transparenz bei KI-Interaktion, KI-generierten Inhalten, Emotionserkennung), hochriskant (Art. 8–15 bei Anwendbarkeit — Recruiting-/HR-KI, Bonitäts-/Kredit-KI, Justiz-/Strafverfolgungs-KI, Bildungs-/PrüfungskI, Gesundheits-/Medizin-KI, kritische Infrastruktur-KI). Beim Einbetten eines GPAI-Modells (OpenAI/Anthropic/Google API) wird der SaaS-Entwickler zum Downstream-Anbieter des Gesamtsystems (Art. 25) — volle Anbieter-Pflichten. Eine genaue Klassifizierung jedes Produkts/Features ist entscheidend.

Praktisch: (1) Produktinventar — jedes KI-Feature klassifizieren (minimal/begrenzt/hochriskant), Zweck dokumentieren; (2) bei GPAI-Einbettung — Vertrag mit GPAI-Anbieter (Informationsfluss, Haftung, Updates, Incident-Sharing), eigene Risikobewertung, Pflichten als Downstream-Anbieter; (3) bei Hochrisiko — volles Art. 8–15-Pflichtenbündel, notifizierte Stelle bei biometrischer KI; (4) bei begrenzt — Transparenz-Mechanismen (KI-Banner, Wasserzeichen); (5) DSGVO — Verantwortlicher/Auftragsverarbeiter, Rechtsgrundlage, DSFA bei hochriskanter Verarbeitung; (6) DSA bei Plattform-Betrieb (große Plattformen: Risikobewertung Art. 34/35); (7) GPSR (allgemeine Produktsicherheit für Software als Produkt), CRA (Cybersecurity für Software). Eine durchdachte Produkt-/Feature-Klassifizierung und saubere Downstream-Verträge schützen vor Fehlklassifizierung und Haftungsrisiken. Agiles Compliance-Management: bei jedem Feature-Release AI-Act-/DSGVO-Prüfung.

Die zentrale Grenze für SaaS-Entwickler mit GPAI-Einbettung: sie werden zum Downstream-Anbieter des Gesamtsystems (Art. 25) und tragen volle Anbieter-Pflichten — nicht nur API-Aufruf, sondern Risikobewertung, Hochrisiko-Pflichten bei Anwendbarkeit, eigene Konformitätsbewertung. Der Vertrag mit dem GPAI-Anbieter (OpenAI/Anthropic/Google) ist entscheidend: er muss Informationsfluss (Art. 53 Abs. 1 lit. b), Haftungsbegrenzung, Update-Mechanismen, Incident-Sharing und Beendigung regeln. Ohne diese Vertragsgestaltung kann der Downstream-Anbieter die Pflichten nicht erfüllen. Häufige Falle: ChatGPT-Wrapper, die eine hochrisiko-Anwendung (z. B. Recruiting-KI, Bonitäts-KI) auf einem GPAI-Modell aufbauen, ohne die Art. 8–15-Pflichten zu erfüllen. Eine sorgfältige Produktklassifizierung, saubere Downstream-Verträge und agiles Compliance-Management bei jedem Release schützen vor Fehlklassifizierung, Haftungs- und Sanktionsrisiken.