Konzeptkarte

EU AI Act + Schrems II für Joule-Einführungen

Stand 27. September 2026

Redaktion: Cédric Mary, alleiniger Redakteur und verantwortlich für die Veröffentlichung — 27 Jahre im SAP-Ökosystem. Wie diese Seiten entstehen und wo Automatisierung eingesetzt wird.

Was ist EU AI Act + Schrems II für Joule-Einführungen?

Ein Joule-Einsatz in der EU unterliegt zwei getrennten Regimen: dem AI Act (Hochrisiko-Pflichten für Anhang III nach dem Digital-Omnibus nun ab 2. Dezember 2027) und den DSGVO-Übermittlungsregeln (Schrems II; EU-US Data Privacy Framework am 3. September 2025 vom Gericht bestätigt, Rechtsmittel anhängig) — jedes verlangt eine eigene Entscheidung.

Ein Joule-Rollout in der EU muss zwei unterschiedliche rechtliche Prüfungen bestehen, die leicht verwechselt werden. Die erste ist der EU AI Act (Verordnung (EU) 2024/1689): Fällt das konfigurierte Joule-Szenario in eine Risikostufe mit Pflichten, und wer trägt sie — SAP oder der Kunde? Die zweite ist das DSGVO-Regime für internationale Übermittlungen, geprägt durch das Schrems-II-Urteil des Gerichtshofs (Rechtssache C-311/18, 16. Juli 2020): Wenn personenbezogene Daten einen Modell-Endpunkt oder Supportprozess außerhalb des EWR erreichen, gibt es dafür eine gültige Übermittlungsgrundlage? Ein Szenario kann die eine Prüfung bestehen und an der anderen scheitern. Aufgabe der Architektin oder des Architekten ist es, beide vor dem ersten Sprint zu beantworten — und so zu bauen, dass sich die Antworten ohne Neubau ändern lassen.

Prüfung 1 — der AI Act nach dem Omnibus

Der AI Act wurde durch den Digital-Omnibus zur KI geändert (Verordnung (EU) 2026/1744, in Kraft seit 27. Juli 2026). Hochrisiko-Anforderungen gelten nun ab 2. Dezember 2027 für Anhang-III-Systeme und ab 2. August 2028 für Anhang-I-Systeme statt ab 2. August 2026 bzw. 2. August 2027. Andere Pflichten gelten bereits: die Verbote nach Artikel 5 und Maßnahmen zur KI-Kompetenz nach Artikel 4 seit 2. Februar 2025, die Pflichten der GPAI-Anbieter seit 2. August 2025 und die Transparenz nach Artikel 50 seit 2. August 2026 — der Hinweis, dass Nutzer mit einem KI-System interagieren, ist für einen Joule-Assistenten schon heute Pflicht.

Warum es zählt

Zwei Regime, zwei Entscheidungen: AI-Act-Risikostufe (Hochrisiko ab 2. Dezember 2027 für Anhang III) und DSGVO-Übermittlungsgrundlage werden getrennt bewertet — das Bestehen der einen sagt nichts über die andere.
Beschäftigungs-KI steht ausdrücklich in Anhang III (Nummer 4): Ein Joule-Agent, der Bewerbungen reiht oder Leistungsmaßnahmen vorschlägt, ist hochriskant, sobald er die Entscheidung maßgeblich prägt.
Das EU-US Data Privacy Framework hat die Nichtigkeitsklage in erster Instanz überstanden (T-553/23, 3. September 2025), ein Rechtsmittel ist jedoch gemeldet — planen Sie eine austauschbare Übermittlungsgrundlage.

Kernpunkte

AI Act in der Fassung der Verordnung (EU) 2026/1744: Hochrisiko-Pflichten ab 2. Dezember 2027 (Anhang III) und 2. August 2028 (Anhang I); Transparenz nach Art. 50 gilt bereits seit 2. August 2026.
Joule-Auslöser: Anhang III Nr. 4 (Einstellung, Beförderung, Kündigung, Aufgabenzuweisung, Leistungsüberwachung) und Nr. 5 (Kreditwürdigkeit von Verbrauchern, Bepreisung von Lebens-/Krankenversicherung).
Art. 6 Abs. 3 kann ein Anhang-III-System aus der Hochrisiko-Stufe nehmen (eng begrenzte/vorbereitende Aufgabe, kein Profiling) — nur mit dokumentierter Bewertung.
Kunden, die Agenten in Joule Studio bauen oder SAP-Funktionen umwidmen, können Anbieter werden (Art. 25); Betreiber behalten die Pflichten nach Art. 26, einschließlich Information der Arbeitnehmervertretung.
Übermittlungen: Schrems II (C-311/18, 2020) → Data Privacy Framework (Beschluss (EU) 2023/1795), am 3. September 2025 vom Gericht bestätigt (T-553/23); Rechtsmittel gemeldet (C-703/25 P).
Die Modellwahl bestimmt die Datenresidenz: SAP-Hinweis 3437766 und Sovereign-Cloud-Kennzeichnungen prüfen; Mistral AI und Cohere sind die von SAP angekündigten souveränen Modelloptionen.

Begriffe auf dieser Seite

EU AI Act (Verordnung (EU) 2024/1689): Risikobasierte EU-Verordnung für KI-Systeme und GPAI-Modelle, in Kraft seit 1. August 2024; im Juli 2026 durch den Digital-Omnibus (Verordnung (EU) 2026/1744) geändert.
Schrems II: EuGH-Urteil C-311/18 vom 16. Juli 2020, das den EU-US Privacy Shield für ungültig erklärte und für Standardvertragsklauseln eine Einzelfallprüfung verlangte.
EU-US Data Privacy Framework: Angemessenheitsbeschluss (EU) 2023/1795 vom 10. Juli 2023 für Übermittlungen an zertifizierte US-Organisationen; Nichtigkeitsklage am 3. September 2025 vom Gericht abgewiesen (T-553/23).
Betreiberpflichten nach Artikel 26: Nutzung gemäß Gebrauchsanweisung, kompetente menschliche Aufsicht, Überwachung, Aufbewahrung der Protokolle sowie Information der Arbeitnehmervertretung vor dem Einsatz von Hochrisiko-KI am Arbeitsplatz.
Transfer-Folgenabschätzung: Seit Schrems II bei Standardvertragsklauseln erforderliche dokumentierte Prüfung, ob das Recht des Ziellandes die Garantien untergräbt.

Quellen

Vollständige Karte für Mitglieder. Was die vollständige Karte ergänzt: den vollständigen Entscheidungsrahmen · den Vergleich SAP · Snowflake · Databricks · Fabric · die häufigen Fallstricke und ihre Behebung · die Kurzreferenz · die Architekturschemata · die Codeblöcke · die zitierfähigen Kennzahlen.

In der App öffnen →

Offene SAP-Projekte

Aktuelle SAP-Analytics-Projekte und Stellen im DACH-Raum: SAP-Analytics-Projekte im DACH-Raum.