Pflichten der Betreiber nach Art. 26–27 EU AI Act

Überblick

Nicht nur Entwickler von KI-Systemen unterliegen regulatorischen Anforderungen. Auch Unternehmen, Behörden oder Organisationen, die ein KI-System einsetzen, gelten nach dem EU AI Act als Betreiber (Deployer) – und tragen eigenständige Pflichten.

Gerade für Unternehmen, die KI-Systeme von Drittanbietern nutzen (z. B. Recruiting-Tools, Kreditscoring-Software oder KI-Chatbots), ist diese Rolle besonders relevant.

Dieser Beitrag erläutert:

• Wer als Betreiber gilt
• Welche Pflichten Art. 26–27 vorsehen
• Wann Betreiber zu Anbietern werden können
• Wie sich Betreiberpflichten von Anbieterpflichten unterscheiden
• Welche praktischen Schritte jetzt notwendig sind

Wer ist „Betreiber"?

Ein Betreiber ist jede natürliche oder juristische Person, die:

• ein KI-System im eigenen Verantwortungsbereich nutzt
• es in Geschäftsprozesse integriert
• Entscheidungen auf Grundlage der KI-Ausgaben trifft

Beispiele:

• Ein Unternehmen nutzt ein KI-Recruiting-System
• Eine Bank setzt ein Kreditscoring-Tool ein
• Eine Universität verwendet KI zur Prüfungsbewertung

Kernpflichten der Betreiber (Art. 26)

Betreiber von Hochrisiko-KI-Systemen müssen insbesondere:

1. Das System bestimmungsgemäß einsetzen
2. Menschliche Aufsicht sicherstellen
3. Input-Datenqualität gewährleisten
4. Systemleistung überwachen
5. Vorfälle melden
6. Transparenzpflichten gegenüber Betroffenen erfüllen

Bestimmungsgemäßer Einsatz

Das KI-System darf nur:

• innerhalb des vorgesehenen Anwendungsbereichs
• entsprechend der Herstellerdokumentation
• unter Einhaltung der bereitgestellten Anweisungen

eingesetzt werden.

Ein Einsatz außerhalb der Zweckbestimmung kann:

• zu Rechtsverstößen führen
• Haftungsrisiken erhöhen
• die Betreiberrolle in eine Anbieterrolle verschieben

Menschliche Aufsicht

Betreiber müssen sicherstellen, dass:

• qualifiziertes Personal das System überwacht
• Eingriffe möglich sind
• Entscheidungen überprüft werden können
• Fehlfunktionen erkannt werden

Das bedeutet in der Praxis:

• Schulung der Mitarbeitenden
• Klare Verantwortlichkeiten
• Interventionsprozesse definieren

Input-Datenqualität

Betreiber tragen Verantwortung für:

• Relevanz der eingespeisten Daten
• Vermeidung offensichtlicher Verzerrungen
• Aktualität der Daten

Beispiel: Wenn ein Kreditscoring-System mit fehlerhaften Kundendaten gespeist wird, liegt die Verantwortung beim Betreiber – nicht beim Anbieter.

Monitoring & Leistungsüberwachung

Betreiber müssen:

• Systemausgaben überwachen
• Auffälligkeiten dokumentieren
• Leistungsabweichungen erkennen
• bei Bedarf Anpassungen vornehmen

Das ist besonders relevant bei:

• HR-Systemen
• Finanzentscheidungen
• Bildungssystemen

Meldepflichten

Schwerwiegende Vorfälle oder Fehlfunktionen müssen:

• dem Anbieter gemeldet werden
• ggf. den zuständigen Marktüberwachungsbehörden gemeldet werden

Beispiele:

• Systematische Diskriminierung
• Sicherheitslücken
• gravierende Fehlentscheidungen

Grundrechte-Folgenabschätzung (FRIA)

In bestimmten Fällen müssen Betreiber eine Grundrechte-Folgenabschätzung durchführen.

Diese ist insbesondere relevant bei:

• staatlichen Stellen
• großflächigem Einsatz mit erheblichem Grundrechtsbezug

Die FRIA bewertet:

• potenzielle Grundrechtsbeeinträchtigungen
• Diskriminierungsrisiken
• Transparenzdefizite
• Kontrollmechanismen

Transparenz gegenüber Betroffenen

Je nach Einsatzbereich müssen Betroffene informiert werden über:

• Einsatz eines KI-Systems
• Art der Entscheidungsunterstützung
• Möglichkeiten menschlicher Überprüfung

Dies kann mit DSGVO-Informationspflichten zusammenfallen.

Wann wird ein Betreiber zum Anbieter?

Ein Betreiber kann Anbieter werden, wenn er:

• das System wesentlich verändert
• eigene KI-Komponenten integriert
• das System unter eigener Marke vertreibt
• den vorgesehenen Zweck erheblich ändert

In diesem Fall gelten sämtliche Anbieterpflichten zusätzlich.

Abgrenzung Anbieter vs. Betreiber

Viele Unternehmen nehmen beide Rollen ein.

Verbindung zur DSGVO

Betreiber müssen zusätzlich prüfen:

• Art. 22 DSGVO (automatisierte Entscheidungen)
• Transparenzpflichten (Art. 13/14 DSGVO)
• Datenschutz-Folgenabschätzung (Art. 35 DSGVO)
• Drittlandtransfers bei Cloud-KI

Eine isolierte AI-Act-Betrachtung reicht daher nicht aus.

Praktische Umsetzung

Schritt 1 – Rollenklärung

• Sind wir ausschließlich Betreiber?
• Haben wir das System verändert?
• Vertreiben wir es weiter?

Schritt 2 – Einsatzanalyse

• Entspricht der Einsatz der Zweckbestimmung?
• Sind Schulungen durchgeführt?
• Sind Überwachungsprozesse definiert?

Schritt 3 – Dokumentation

• Interne Richtlinien zum KI-Einsatz
• Schulungsnachweise
• Monitoring-Protokolle
• Incident-Reporting-Prozess

Schritt 4 – Schnittstelle Datenschutz

• Ist eine DSFA erforderlich?
• Sind Betroffene informiert?
• Ist Transparenz ausreichend?

Nächste Schritte

1. Identifizieren Sie Ihre Rolle im KI-Ökosystem.
2. Prüfen Sie, ob Ihr KI-System Hochrisiko ist.
3. Implementieren Sie interne Überwachungsprozesse.
4. Schulen Sie verantwortliche Mitarbeitende.
5. Dokumentieren Sie alle Einsatz- und Kontrollmaßnahmen.