# KI-Agenten, Vibe Coding und der EU AI Act

> KI-Agenten, Vibe Coding und der EU AI Act: ein Prüfkatalog für den verantwortbaren KI-Einsatz im Mittelstand. Sechs Entscheidungen, rechtlich eingeordnet.

- Kanonische URL: https://www.convios.com/de/insights/ki-agenten-vibe-coding-eu-ai-act
- Veröffentlicht: 2026-06-08 · Aktualisiert: 2026-08-10
- Autor: Dr. Oliver Gausmann — https://www.convios.com/de/autor/oliver-gausmann

## Auf einen Blick

- Regeln sind die Checkliste, die Tempo erst sicher macht.
- Eine App bauen kann heute fast jeder; sie verantwortbar zu betreiben ist die eigentliche Leistung.
- Vor jeder Aufgabe an die KI die Risikoklasse klären; im Zweifel höher einstufen.
- Sicherheit lässt sich nicht in den Prompt schieben; sie braucht Verfahren und Nachweis.

Eine App bauen kann heute fast jeder. Sie so zu betreiben, dass sie einem Audit standhält, ist die eigentliche Arbeit. Genau darum ging es beim BVMW-Impuls am 8. Juni 2026 zu KI-Agenten, Vibe Coding und dem EU AI Act: ein Prüfkatalog für den verantwortbaren KI-Einsatz im Mittelstand, sechs Entscheidungen, jeweils mit rechtlicher Einordnung.

Die Folien und den vollständigen Prüfkatalog inklusive der Anleitung zur Konfiguration in Lovable finden Sie hier zum Download:

## Warum Regeln: erst die Checkliste macht Tempo möglich

Als Pilot wird ein Flug durch Checklisten, Instrumente und klare Verfahren sicher; das Können allein reicht nicht. Mit KI ist es genauso. Das Potenzial ist groß, das Risiko real. Die Regeln sind die Checkliste, die das Potenzial nutzbar macht.

## Vibe Coding: Software per Sprache beschrieben

Beim Vibe Coding [11] beschreiben Sie in normaler Sprache, was die Software tun soll, und die KI schreibt den Code. Die Kehrseite ist belegt: Rund 45 Prozent des KI-Codes hat bekannte Sicherheitslücken [1], und ein Benchmark der Carnegie Mellon University wertet nur 10,5 Prozent des funktionierenden Codes als sicher [2].

Funktioniert und sicher sind zwei verschiedene Dinge. Tempo ohne Prüfung ist gefährlich.

## KI-Agenten und die agentische Organisation

Die Eigenständigkeit steigt vom Assistenten über den Agenten bis zu autonomen Multi-Agenten. Je höher die Stufe, desto mehr Aufsicht, Protokoll und Not-Aus braucht es; die Verantwortung bleibt im Haus. Für die Geschäftsführung heißt das: von Befehl und Kontrolle zu Koordination und Aufsicht, eigene KI-Kompetenz [10], ein menschlicher Not-Aus und klare Rechenschaft [12].

## Centaur, Cyborg, Self-Automator

Eine Studie von MIT Sloan und HBS unterscheidet drei Arbeitsweisen: Centaur (gezielte Arbeitsteilung, 14 Prozent), Cyborg (enge Verzahnung, 60 Prozent) und Self-Automator (volle Abgabe, 27 Prozent) [3]. Wählen Sie den Modus pro Aufgabe: Wichtiges als Centaur, Routine als Self-Automator. Je höher das Risiko, desto mehr Mensch.

## EU AI Act: Risikoklassen und Fristen

Der EU AI Act reguliert nach Risiko: verboten, hoch, begrenzt (Transparenz), minimal; dazu eine eigene, strengere Spur für Allzweckmodelle (GPAI). Schulungspflicht (Art. 4) und Verbote (Art. 5) gelten seit Februar 2025 [4]. Nach der vorläufigen Einigung zum Digital Omnibus verschiebt sich die Kennzeichnungspflicht für KI-Inhalte (Art. 50 Abs. 2) auf Dezember 2026, die Pflichten für eigenständige Hochrisiko-Systeme auf Dezember 2027 [5]. Rechtsverbindlich wird das erst mit der förmlichen Annahme. Bußgelder reichen bis 35 Mio. Euro oder 7 Prozent Weltumsatz (Art. 99).

## Das Regelwerk steht nicht allein

Neben dem AI Act greifen DSGVO (Rechtsgrundlage, Auftragsverarbeitung, Datenminimierung, Rechenschaftspflicht) [6], NIS2 (in Deutschland seit Dezember 2025; die Geschäftsleitung haftet persönlich) [7], die neue Produkthaftung (ab Dezember 2026 gilt Software als Produkt, Haftung ohne Verschuldensnachweis) [8] und das Urheberrecht (LG München I, 11.11.2025) [9].

## Die sechs Entscheidungen des Prüfkatalogs

An sechs Stellen fällt eine echte Entscheidung. Der Prüfkatalog führt durch jede davon:

## Nachweispflicht

Ein Auditor prüft nicht nur, ob eine Richtlinie existiert, sondern ob der Beweis von der Anforderung bis zum Nachweis lückenlos vorliegt. Aus Anforderung wird Policy, daraus Control, daraus Evidence. Fehlt der Nachweis, entsteht das Risiko automatisch.

DSGVO Art. 5 Abs. 2: Der Verantwortliche muss die Einhaltung nachweisen können (Rechenschaftspflicht) [6].

## Unsere Einordnung

In der Praxis ist das Hindernis selten das Tool und selten das Gesetz. Es ist die fehlende Zuständigkeit für die Nachweis-Ebene. Solange niemand im Haus dafür verantwortlich ist, aus Anforderung, Policy und Control belastbares Evidence zu erzeugen, entsteht es erst, wenn ein Vorfall es erzwingt. Benennen Sie diese Person, bevor das erste Audit kommt, dann ist der Prüfkatalog schon zur Hälfte umgesetzt.

## Materialien und Kontakt

Die Folien und der vollständige Prüfkatalog stehen oben zum Download. Für Fragen oder Begleitung beim verantwortbaren KI-Einsatz vernetzen Sie sich gern.

## Quellen

1. Veracode, GenAI Code Security Report 2025 — https://www.veracode.com/resources/state-of-software-security/
2. Zhao u. a., SUSVIBES, Carnegie Mellon University, 2026 — https://arxiv.org/abs/2512.03262
3. Kellogg, Lifshitz, Dell'Acqua, Mollick u. a., MIT Sloan / Harvard Business School, 2024 — https://ssrn.com/abstract=4921696
4. EU AI Act, Verordnung (EU) 2024/1689 (Art. 4, 5, 12, 26, 50, 99) — https://eur-lex.europa.eu/eli/reg/2024/1689/oj
5. Digital Omnibus on AI, vorläufige politische Einigung vom 7. Mai 2026 — https://www.hoganlovells.com/en/publications/eu-legislators-agree-to-delay-for-highrisk-ai-rules
6. DSGVO, Verordnung (EU) 2016/679 (Art. 5, 6, 28, 32) — https://eur-lex.europa.eu/eli/reg/2016/679/oj
7. NIS2-Richtlinie (EU) 2022/2555; NIS2-Umsetzungsgesetz, § 38 BSIG — https://eur-lex.europa.eu/eli/dir/2022/2555/oj
8. Produkthaftung, Richtlinie (EU) 2024/2853 — https://eur-lex.europa.eu/eli/dir/2024/2853/oj
9. LG München I, Urteil vom 11.11.2025, 42 O 14139/24 (GEMA gegen OpenAI) — https://www.gema.de/de/aktuelles/presse
10. ISO/IEC 42001:2023, KI-Managementsystem — https://www.iso.org/standard/81230.html
11. Vibe Coding: Karpathy 2025; Collins Word of the Year 2025 — https://www.collinsdictionary.com/woty
12. Gassmann, Wincent, California Management Review 2025 — https://journals.sagepub.com/home/cmr

## Häufige Fragen

### Was ist Vibe Coding und wie sicher ist der so erzeugte Code?

Beim Vibe Coding beschreiben Sie in normaler Sprache, was die Software tun soll, und die KI schreibt den Code. Rund 45 Prozent des KI-Codes hat bekannte Sicherheitslücken, und ein Benchmark der Carnegie Mellon University wertet nur 10,5 Prozent des Codes als sicher.

### Seit wann gelten welche Pflichten des EU AI Act?

Schulungspflicht (Art. 4) und Verbote (Art. 5) gelten seit Februar 2025. Nach der vorläufigen Digital-Omnibus-Einigung verschiebt sich die Kennzeichnungspflicht (Art. 50 Abs. 2) auf Dezember 2026, Hochrisiko-Pflichten auf Dezember 2027. Bußgelder bis 35 Mio. Euro oder 7 Prozent Weltumsatz.

### Was bedeuten Centaur, Cyborg und Self-Automator?

Eine Studie von MIT Sloan und HBS unterscheidet drei Arbeitsweisen: Centaur (gezielte Arbeitsteilung, 14 Prozent), Cyborg (enge Verzahnung, 60 Prozent) und Self-Automator (volle Abgabe, 27 Prozent). Wählen Sie den Modus pro Aufgabe; je höher das Risiko, desto mehr Mensch.

### Welche Regelwerke gelten neben dem EU AI Act?

Neben dem AI Act greifen die DSGVO (mit Rechenschaftspflicht), NIS2 (in Deutschland seit Dezember 2025, mit persönlicher Haftung der Geschäftsleitung), die neue Produkthaftung ab Dezember 2026 sowie das Urheberrecht (LG München I, 11.11.2025).