Konzeptkarte

EU-KI-Verordnung Art. 6 + Anhang III: Risikoklassifizierung für SAP

Stand 18. Oktober 2026

Redaktion: Cédric Mary, alleiniger Redakteur und verantwortlich für die Veröffentlichung — 27 Jahre im SAP-Ökosystem. Wie diese Seiten entstehen und wo Automatisierung eingesetzt wird.

Was ist EU-KI-Verordnung Art. 6 + Anhang III?

Die Einstufung erfolgt durch den Systemarchitekten in der Entwurfsphase, nicht durch die Rechtsabteilung im Rahmen einer Prüfung — und zwei konkrete SAP-Anwendungsfälle fallen bereits unter die Kredit- und Beschäftigungskategorien des Anhangs III.

Worum es geht

Artikel 6 und Anhang III der EU-KI-Verordnung sind die Klassifizierungsmaschine, die entscheidet, ob ein in eine SAP-Landschaft eingebettetes KI-System dem vollen Hochrisiko-Regime der Verordnung unterliegen muss – technische Dokumentation, Konformitätsbewertung, Gestaltung der menschlichen Aufsicht, Marktüberwachung nach Inverkehrbringen und CE-artige Konformitätserklärung – oder unter den weit leichteren Stufen mit reiner Transparenzpflicht oder ohne Pflichten weiterlaufen kann. Für einen SAP-Analytics-Architekten ist dies kein nachträglicher juristischer Gedanke, der vor dem Go-live angeflanscht wird: Die Klassifizierung bestimmt die Form des Baus selbst, weil Hochrisikosysteme Rückverfolgbarkeit, Protokollierung und Mechanismen zur menschlichen Übersteuerung von Tag eins an eingeplant brauchen, nicht nachgerüstet, nachdem ein Pilot erfolgreich war.

Warum es wichtig ist: SAP-Landschaften sind genau der Ort, an dem sich die Auslöser von Anhang III unverhohlen verstecken. Eine Joule-Erweiterung, die Kandidaten für die interne Mobilität rankt, berührt die Beschäftigungskategorie. Ein von Datasphere gespeistes Bonitätsbewertungsmodell berührt die Kategorie des Zugangs zu wesentlichen Dienstleistungen. Ein Lieferantenrisikomodell, das Zahlungsbedingungen drosselt, berührt dieselbe Kategorie von der anderen Seite. Keines davon sieht für den Fachbereichsstakeholder, der es angefordert hat, wie ein „KI-System“ aus – es sieht aus wie eine intelligentere Version eines bereits vorhandenen Berichts. Genau in dieser Lücke zwischen subjektiver Wahrnehmung und rechtlicher Einordnung liegt das meiste Risiko.

Warum es zählt

Wird die Hochrisikoklassifizierung erst nach der Inbetriebnahme entdeckt, drohen ein Bußgeld von 15-35 Mio. € (Art. 99) plus ein verpflichtender Rückzug vom Markt
Ein Bedarfsprognosemodell, das Zahlungsbedingungen nach Lieferantenrisikoscore anpasst, fällt in die Kreditkategorie von Anhang III — ein häufiger, leicht zu übersehender Fall
Der Dokumentationsaufwand von 200-800 Personentagen muss vor dem Bau budgetiert werden, da die Entwurfsentscheidungen des Architekten die Klassifizierung bestimmen.

Kernpunkte

Zweistufige Klassifizierung nach Art. 6 EU-KI-Verordnung: (1) Prüfung des Produktsicherheitsanhangs (gilt selten für reine SAP-Analytics); (2) Prüfung der Liste in Anhang III — 8 Kategorien, zwei für SAP besonders relevant: Kategorie 4 (Beschäftigung) und Kategorie 5 (Kredit).
SAP-Hochrisikoauslöser: Joule für HR-Leistung/Beförderung → Kategorie 4. Lieferantenrisikobewertung, die Zahlungsbedingungen speist → Kategorie 5. KI für Energienetz / Transportlogistik → Kategorie 2.
Hochrisikopflichten: Art. 9 Risikomanagement + Art. 10 Daten-Governance + Art. 11 technische Dokumentation (EU-Vorlage mit 47 Feldern) + Art. 13 Transparenz + Art. 14 HITL + Art. 15 Genauigkeit/Robustheit + Art. 43 Konformitätsbewertung + CE-Kennzeichnung.
Geschätzter Compliance-Aufwand: 200-800 Personentage pro Hochrisikosystem (Folgenabschätzung der EU-Kommission).
Bußgeldrisiko bei Verstoß: bis zu 15-35 Mio. € oder 3-7 % des weltweiten Jahresumsatzes nach Art. 99.
GPAI-Pflichten (Joule-LLMs): Art. 50 Transparenz gilt für alle GPAI; Art. 55 systemisches Risiko gilt, wenn die Trainingsrechenleistung > 10^25 FLOPs liegt. SAP deckt die GPAI-Konformität auf Modellebene ab; Kunden verantworten die Anhang-III-Klassifizierung auf Anwendungsebene.
Wirksamkeitsdatum für die Pflichten aus Anhang III: 2027-12-02 (Digital-Omnibus, in Kraft seit 2026-07-27) (Begleitstudie „Regulatory Impact 2026“, Teil II.1).

Begriffe auf dieser Seite

Art. 6 EU-KI-Verordnung: Artikel, der die zweistufige Klassifizierungslogik für Hochrisiko-KI-Systeme definiert: (1) Prüfung des Produktsicherheitsanhangs; (2) Prüfung der Liste in Anhang III.
Anhang III: Die Liste der acht Kategorien von Hochrisiko-KI-Systembereichen in der EU-KI-Verordnung. Die Kategorien 4 (Beschäftigung) und 5 (Kredit) sind für SAP-Einsätze am relevantesten.
CE-Kennzeichnung (KI-Verordnung): Verpflichtende Konformitätskennzeichnung, die nach einer Konformitätsbewertung gemäß Art. 43 an Hochrisiko-KI-Systemen und ihrer EU-Konformitätserklärung angebracht wird.
Art. 11 Technische Dokumentation: Vorgeschriebene Dokumentationsdatei für Hochrisiko-KI-Systeme: EU-Kommissionsvorlage mit 47 Feldern zu Architektur, Trainingsdaten, Leistungskennzahlen, Einschränkungen und HITL-Design.
GPAI (General-Purpose AI): KI-Modelle, die eine breite Palette von Aufgaben ausführen können. Unterliegen den Transparenzpflichten nach Art. 50. GPAI mit systemischem Risiko (> 10^25 FLOPs) unterliegt zusätzlich Art. 55.
Systemisches Risiko (KI-Verordnung): Klassifizierung für GPAI-Modelle, die mit > 10^25 FLOPs Rechenleistung trainiert wurden. Löst zusätzliche Pflichten nach Art. 55 aus, einschließlich adversarialer Tests und Vorfallmeldung an das EU-Büro für Künstliche Intelligenz.
Art. 99: Bußgeldartikel der EU-KI-Verordnung: bis zu 35 Mio. € oder 7 % des weltweiten Jahresumsatzes bei Verstößen gegen verbotene KI-Praktiken; bis zu 15 Mio. € oder 3 % bei Nichteinhaltung der Hochrisikopflichten.

Quellen

Vollständige Karte für Mitglieder. Was die vollständige Karte ergänzt: den vollständigen Entscheidungsrahmen · den Vergleich SAP · Snowflake · Databricks · Fabric · die häufigen Fallstricke und ihre Behebung · die Kurzreferenz · die Architekturschemata · die Codeblöcke · die zitierfähigen Kennzahlen.

In der App öffnen →

Offene SAP-Projekte

Aktuelle SAP-Analytics-Projekte und Stellen im DACH-Raum: SAP-Analytics-Projekte im DACH-Raum.