Was ist ein Betreiber im Sinne des EU AI Act?

Als Betreiber gilt laut EU AI Act jede natürliche oder juristische Person, die ein KI-System im eigenen Namen und unter eigener Verantwortung einsetzt — also auch KMU, die fertige KI-Tools von Drittanbietern nutzen. Die Entwicklung des Systems ist dabei nicht ausschlaggebend. Maßgeblich ist allein, wer das System im beruflichen oder betrieblichen Kontext verwendet (Art. 3 Nr. 4 EU-KI-Verordnung).

Welche KI-Systeme fallen unter die Hochrisiko-Kategorie?

Hochrisiko-KI-Systeme sind in Anhang III der EU-KI-Verordnung (EU) 2024/1689 aufgelistet. Erfasst sind unter anderem KI-Systeme in der Personalauswahl, der Kreditwürdigkeitsprüfung, im Bildungsbereich sowie in sicherheitskritischen Infrastrukturen. Wer ein KI-gestütztes Bewerbermanagementsystem einsetzt, fällt in der Regel unter diese Kategorie. Die vollständige Liste ist im Amtsblatt der EU abrufbar.

Gilt der EU AI Act auch für sehr kleine Unternehmen und Selbstständige?

Ja. Der EU AI Act unterscheidet grundsätzlich nicht nach Unternehmensgröße, sondern nach der Risikoklasse des eingesetzten KI-Systems. Für Kleinstunternehmen sieht die Verordnung bei bestimmten Pflichten vereinfachte Anforderungen vor, eine vollständige Ausnahme existiert jedoch nicht. Selbstständige, die Hochrisiko-KI einsetzen, müssen dieselben Kernpflichten erfüllen wie größere Betriebe.

Was passiert, wenn ich die Betreiberpflichten nicht erfülle?

Bei Verstößen gegen die Betreiberpflichten des EU AI Act sieht Art. 101 der Verordnung Bußgelder von bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes vor — je nachdem, welcher Betrag höher ist. Zuständig für die Aufsicht in Deutschland ist die nationale Marktüberwachungsbehörde, deren Aufbau noch andauert. Zusätzlich können zivilrechtliche Haftungsansprüche entstehen.

EU AI Act Betreiberpflichten — was gilt ab 2026?

Der EU AI Act ist längst kein Zukunftsthema mehr — für viele Betreiber von KI-Systemen sind die ersten Pflichten bereits in Kraft, und ab August 2026 gilt das volle Programm.

Gerade KMU und Selbstständige stehen jetzt vor einer konkreten Frage: Was muss ich als Betreiber tun, wenn ich KI-Tools in meinem Unternehmen einsetze? Die Antwort hängt von der Risikoklasse des Systems ab — und davon, was “Betreiber” im Sinne der Verordnung überhaupt bedeutet.

Was müssen Betreiber von KI-Systemen ab 2026 beachten?

Ab dem 2. August 2026 gelten für Betreiber von Hochrisiko-KI-Systemen die vollständigen Betreiberpflichten aus Artikel 26 der EU-KI-Verordnung (EU) 2024/1689. Dazu gehören: technische und organisatorische Maßnahmen zur Risikominimierung, die Sicherstellung menschlicher Aufsicht, die Schulung betroffener Mitarbeiter, das Führen von Betriebsprotokollen sowie die Meldung schwerwiegender Vorfälle an die zuständige Marktüberwachungsbehörde. Betreiber müssen außerdem prüfen, ob das eingesetzte System die Konformitätserklärung und die CE-Kennzeichnung des Anbieters vorweist.

Betreiber, Anbieter, Einführer — wer ist was?

Der EU AI Act unterscheidet klar zwischen verschiedenen Rollen. Für KMU ist vor allem die Rolle des Betreibers relevant.

Rolle	Definition (vereinfacht)	Typisches Beispiel im KMU-Kontext
Anbieter	Entwickelt oder lässt ein KI-System entwickeln und bringt es in Verkehr	KI-Softwareunternehmen, SaaS-Anbieter
Betreiber	Setzt ein KI-System im eigenen Namen beruflich ein	KMU, das ein KI-Tool für HR oder Kreditprüfung nutzt
Einführer	Bringt ein KI-System aus einem Drittland in die EU	Importeur von KI-Hardware oder -Software
Händler	Vertreibt ein KI-System, ohne es wesentlich zu verändern	Reseller von KI-Lösungen

Quelle: Art. 3 Nr. 3, 4, 6, 7 EU-KI-Verordnung (EU) 2024/1689

Entscheidend für KMU: Wer ein KI-System einkauft und im Betrieb verwendet, ist Betreiber — und trägt damit eigene Pflichten, auch wenn das System vollständig von einem externen Anbieter stammt.

Die Risikoklassen im Überblick

Nicht jedes KI-Tool löst dieselben Pflichten aus. Der EU AI Act stuft KI-Systeme in vier Kategorien ein.

Risikoklasse	Beispiele	Betreiberpflichten
Verbotene Praktiken	Social Scoring, manipulative Systeme	Einsatz vollständig untersagt
Hochrisiko	KI in Personalauswahl, Kreditvergabe, Bildung, kritische Infrastruktur	Umfangreiche Pflichten (Art. 26 EU AI Act)
Begrenztes Risiko	Chatbots, Deepfake-Generatoren	Transparenzpflichten (Kennzeichnung)
Minimales Risiko	KI-Spamfilter, einfache Empfehlungssysteme	Keine spezifischen Pflichten

Quelle: Art. 5, 6 und Anhang III EU-KI-Verordnung (EU) 2024/1689

Die meisten KI-Tools, die KMU im Alltag einsetzen — etwa KI-gestützte Textgenerierung für Marketing — fallen in die Kategorie “minimales oder begrenztes Risiko”. Der kritische Punkt: Sobald ein System Entscheidungen über Menschen beeinflusst (Einstellungen, Kredite, Bewertungen), steigt die Risikoklasse.

Die Betreiberpflichten im Detail — was gilt ab August 2026?

Artikel 26 der EU-KI-Verordnung listet die konkreten Pflichten für Betreiber von Hochrisiko-KI-Systemen auf. Hier sind die wichtigsten im Überblick:

1. Geeignete Nutzung sicherstellen Du musst das KI-System so einsetzen, wie es der Anbieter in der Betriebsanleitung vorgesehen hat. Eigenmächtige Zweckänderungen können dich rechtlich in die Verantwortung eines Anbieters rücken.

2. Menschliche Aufsicht gewährleisten Hochrisiko-KI-Entscheidungen dürfen nicht vollautomatisch und ohne menschliche Prüfmöglichkeit ablaufen. Du musst sicherstellen, dass zuständige Mitarbeiter eingreifen können — und das auch nachweisbar tun.

3. Mitarbeiter schulen Wer das KI-System bedient oder beaufsichtigt, braucht nachweislich die nötige Kompetenz dafür. Eine interne Schulung, deren Inhalte und Teilnahme dokumentiert sind, reicht als Grundlage. Das BSI empfiehlt, KI-Kompetenzen als Teil des allgemeinen IT-Sicherheitskonzepts zu verankern.

4. Protokolle führen und aufbewahren Automatisch generierte Betriebsprotokolle des KI-Systems müssen — soweit technisch möglich — gespeichert und für einen angemessenen Zeitraum aufbewahrt werden. Diese Logs können bei behördlichen Prüfungen oder im Streitfall entscheidend sein.

5. Datenschutz einhalten Verarbeitest du mit dem KI-System personenbezogene Daten, greifen zusätzlich die Anforderungen der DSGVO. Das bedeutet in vielen Fällen: Datenschutz-Folgenabschätzung (DSFA), Verzeichnis der Verarbeitungstätigkeiten und Abstimmung mit deinem Datenschutzbeauftragten. Der LfDI Baden-Württemberg und das BayLDA haben hierzu eigene Orientierungshilfen veröffentlicht.

6. Schwerwiegende Vorfälle melden Kommt es durch ein Hochrisiko-KI-System zu ernsthaften Schäden — etwa Diskriminierung bei Einstellungsentscheidungen oder Fehler in sicherheitsrelevanten Prozessen — bist du als Betreiber meldepflichtig gegenüber der zuständigen Marktüberwachungsbehörde.

7. Konformität des Anbieters prüfen Bevor du ein Hochrisiko-KI-System einsetzt, prüfst du, ob der Anbieter eine EU-Konformitätserklärung und CE-Kennzeichnung vorweisen kann. Fehlen diese, darfst du das System für Hochrisiko-Anwendungen nicht einsetzen.

Praxisbeispiel

Steuerberatungskanzlei — 12 Mitarbeiter

Eine Steuerberatungskanzlei führt ein KI-gestütztes Tool ein, das automatisch Belege kategorisiert, Buchungsvorschläge erstellt und Auffälligkeiten im Jahresabschluss markiert. Das Tool läuft als SaaS-Lösung eines deutschen Anbieters mit Serverstandort in Deutschland, geschlossenem Auftragsverarbeitungsvertrag (AVV) und KI-Verarbeitung ausschließlich auf EU-Infrastruktur.

Auf den ersten Blick wirkt das unproblematisch. Doch sobald das System Empfehlungen mit konkreten finanziellen Auswirkungen für Mandanten liefert und diese Empfehlungen ohne weitere menschliche Prüfung übernommen werden, ist die Grenze zu einer Hochrisiko-Anwendung möglicherweise überschritten — abhängig vom konkreten Einsatzzweck und der Klassifizierung durch den Anbieter.

Die Kanzlei holt zunächst die Konformitätsdokumentation beim Anbieter ein, klärt im nächsten Schritt mit dem Datenschutzbeauftragten, ob eine DSFA notwendig ist, und legt intern fest, welcher Mitarbeiter die KI-Vorschläge vor der Mandantenkommunikation prüft. Eine kurze interne Schulung — dokumentiert mit Datum, Inhalt und Teilnehmerliste — schließt die Erstmaßnahmen ab. Der Aufwand für diese initiale Compliance-Runde liegt erfahrungsgemäß bei einigen Tagen, nicht Monaten.

Das sagt Olga Reyes-Busch

“Ich erlebe bei KMU immer wieder dieselbe Erleichterung: Wenn wir die Pflichten konkret auf ihr Unternehmen herunterbrechen, ist der tatsächliche Aufwand deutlich überschaubarer als befürchtet. Das größte Risiko ist nicht Komplexität — es ist das Warten, bis die erste Behördenanfrage kommt.”

— Olga Reyes-Busch, KI-Expertin für KMU, HeadUpHigh GmbH

In fünf Schritten zur Betreiber-Compliance

KI-Inventar erstellen: Liste alle KI-Systeme auf, die in deinem Unternehmen eingesetzt werden — von der Textgenerierung bis zum automatisierten Bewerberscreening. Schon diese Übersicht zeigt, wo Handlungsbedarf besteht.
Risikoklasse bestimmen: Prüfe für jedes System anhand von Anhang III der EU-KI-Verordnung, ob es als Hochrisiko-System einzustufen ist. Im Zweifel hilft eine rechtliche Ersteinschätzung oder der Blick in die Anbieter-Dokumentation.
Anbieter-Dokumentation einfordern: Verlange vom Anbieter die EU-Konformitätserklärung, technische Dokumentation und Betriebsanleitung. Prüfe dabei auch, ob ein AVV vorliegt, wo die Server stehen und wo die KI-Verarbeitung stattfindet. Fehlt diese Dokumentation, ist das ein klares Warnsignal.
Interne Prozesse anpassen: Lege schriftlich fest, wer das KI-System bedient, wer es beaufsichtigt und wie menschliche Kontrollpunkte in den Workflow integriert sind. Das muss kein aufwendiges Handbuch sein — eine klare interne Richtlinie reicht als Ausgangspunkt.
Mitarbeiter schulen und dokumentieren: Führe eine nachvollziehbare Schulung für alle durch, die mit dem System arbeiten, und halte Datum, Inhalte und Teilnehmer fest. Das ist gleichzeitig dein Nachweis gegenüber Behörden.

So bringt dich HeadUpHigh weiter

Wenn du verstehen willst, welche Betreiberpflichten konkret für dein Unternehmen gelten und wie du dein Team auf den EU AI Act vorbereitest, ist eine strukturierte Schulung der schnellste Weg. Schau dir die Online-Schulung an — praxisnah, ohne Juristendeutsch, direkt auf den KMU-Alltag zugeschnitten.

Zuletzt geprüft

Dieser Artikel wurde am 7. August 2026 aktualisiert.

Sonnige Grüße, Olga

Fragen? Einfach melden — oder direkt ein kurzes Gespräch buchen.

Kurzes Gespräch buchen →