EU AI Act: Diese Pflichten kommen auf Ihr Unternehmen zu, und ab wann

Der EU AI Act stellt nicht jedem Unternehmen dieselben Pflichten. Was für Sie gilt, hängt fast vollständig davon ab, welche Rolle Sie einnehmen: Anbieter, Betreiber oder Anbieter eines KI-Modells mit allgemeinem Verwendungszweck (GPAI). Diese Checkliste ordnet die Kernpflichten nach Rolle, als operative Kurzfassung. Die vollständige Einordnung liefert der Leitfaden zum EU AI Act.

Welche Pflicht trifft Sie als Anbieter?

Anbieter ist, wer ein KI-System entwickelt oder entwickeln lässt und es unter eigenem Namen oder eigener Marke in Verkehr bringt oder in Betrieb nimmt (vertiefend zur Abgrenzung: Anbieter oder Betreiber? Die zwei Rollen im AI Act). Anbieter tragen den strengsten Pflichtenkreis, insbesondere bei Hochrisiko-Systemen: Risikomanagement, Daten-Governance, technische Dokumentation, menschliche Aufsicht und Konformitätsbewertung. Ob ein konkretes System überhaupt hochriskant ist, klärt der Prüfpfad in Hochrisiko-KI: Ist mein System betroffen?. Vor jeder Rollenfrage steht die absolute Grenze: Welche Praktiken der AI Act unabhängig von Rolle und Einstufung vollständig untersagt, zeigt der Beitrag zu den verbotenen KI-Praktiken nach Art. 5 KI-VO.

Welche Pflicht trifft Sie als Betreiber?

Betreiber ist, wer ein KI-System in eigener Verantwortung einsetzt, ohne es entwickelt zu haben, etwa beim Einkauf eines fertigen KI-Tools. Der Pflichtenkreis ist schlanker, verschwindet aber nicht: Immer gilt die Pflicht zur KI-Kompetenz der damit befassten Mitarbeitenden (Art. 4 KI-VO). Transparenzpflichten treffen den Betreiber nur in den Fällen des Art. 50 Abs. 3 und 4 KI-VO, etwa bei Emotionserkennung, Deepfakes oder KI-erzeugten Texten zu Angelegenheiten von öffentlichem Interesse. Bei Hochrisiko-Systemen kommen die Betreiberpflichten nach Art. 26 KI-VO hinzu, etwa die Verwendung gemäß Betriebsanleitung. Was Sie konkret von Ihrem KI-Anbieter verlangen sollten, zeigt Eingekaufte KI-Tools: Ihre Pflichten als Betreiber. Die Transparenzpflichten gelten in ihren Fällen unabhängig von der Hochrisiko-Einstufung, dazu der Beitrag zu den vier Transparenzpflichten nach Art. 50 KI-VO.

Welche Pflicht trifft Sie als GPAI-Anbieter?

Wer ein KI-Modell mit allgemeinem Verwendungszweck entwickelt und bereitstellt, etwa ein eigenes Foundation Model, trägt einen eigenständigen Pflichtenkreis: technische Dokumentation, Informationen für nachgelagerte Anbieter, eine Strategie zur Einhaltung des Urheberrechts und eine öffentliche Zusammenfassung der Trainingsdaten. Die meisten Softwareunternehmen integrieren dagegen nur ein fremdes Modell und sind damit regelmäßig nachgelagerte Anbieter ihres eigenen KI-Systems (Art. 3 Nr. 68 KI-VO); die Modellpflichten bleiben beim GPAI-Anbieter. Die Abgrenzung im Detail: GPAI / Foundation Models: Pflichten für Anbieter.

Rollen-Checkliste im Überblick

Diese Rollen schließen sich nicht aus: Wer ein fremdes Modell einkauft, integriert und unter eigenem Namen ausliefert, wird für diesen Teil vermutlich selbst zum Anbieter. Die Rollenfrage ist deshalb keine einmalige Übung, sondern bei jedem neuen KI-Vorhaben neu zu stellen. Bei Verstößen drohen Bußgelder bis in DSGVO-Dimensionen, dazu der Beitrag zum Bußgeldrahmen der KI-Verordnung.

Wann welche Pflicht zeitlich greift, zeigt die Fristen-Referenz zum EU AI Act. Eine dauerhafte Einordnung Ihrer Rollen und Pflichten statt Einzelprüfung bietet die KI-Compliance als laufende Begleitung.

Wie das in der Praxis aussieht

Ein Beispiel, wie es in dieser Form häufig vorkommt: Ein Anbieter einer Plattform für Hausverwaltungen mit rund 55 Mitarbeitenden nutzt ein eingekauftes Tool zur Rechnungsprüfung, hat in sein Produkt ein fremdes Sprachmodell für einen Mieter-Chat eingebaut und überlegt, ein eigenes Modell zu trainieren und Partnern bereitzustellen. Die Geschäftsführung fragt nach den Pflichten aus dem AI Act. Zu klären ist die Rolle je Vorhaben, weil die Pflichten davon abhängen, und ein Unternehmen kann mehrere Rollen einnehmen.

Danach trennen sich die Wege. Beim eingekauften Tool zur Rechnungsprüfung ist das Unternehmen Betreiber und sorgt für die KI-Kompetenz der Mitarbeitenden; weitere Betreiberpflichten entstehen erst bei Hochrisiko-Einsatz oder in den Transparenzfällen des Art. 50 KI-VO. Beim Mieter-Chat bringt es ein eigenes KI-System unter eigenem Namen in Verkehr und ist Anbieter dieses Systems; die Pflichten für das Modell selbst bleiben beim Modellanbieter. Wird das eigene Modell für allgemeine Zwecke entwickelt und bereitgestellt, kommt ein eigener Pflichtenkreis hinzu, etwa technische Dokumentation und eine Zusammenfassung der Trainingsdaten. Daraus entsteht eine Liste der Vorhaben mit Rolle und Pflichten, fortgeschrieben bei jedem neuen Projekt. Welche Pflichten Ihre KI-Vorhaben auslösen, ordnet das Rechtliche Audit.

Häufige Fragen

Wer gilt als Anbieter im Sinne des EU AI Act?

Anbieter ist, wer ein KI-System entwickelt oder entwickeln lässt und es unter eigenem Namen oder eigener Marke in Verkehr bringt. Anbieter tragen den strengsten Pflichtenkreis, der bei Hochrisiko-Systemen Risikomanagement, Daten-Governance, technische Dokumentation, menschliche Aufsicht und Konformitätsbewertung umfasst.

Welche Pflichten hat ein Betreiber eines eingekauften KI-Tools?

Betreiber ist, wer ein KI-System in eigener Verantwortung einsetzt, ohne es entwickelt zu haben. Der Pflichtenkreis ist schlanker: Immer gilt die Pflicht zur KI-Kompetenz der befassten Mitarbeitenden (Art. 4 KI-VO). Transparenzpflichten bestehen nur in den Fällen des Art. 50 Abs. 3 und 4 KI-VO, etwa bei Emotionserkennung oder Deepfakes. Bei Hochrisiko-Systemen kommen die Betreiberpflichten nach Art. 26 KI-VO hinzu, etwa die Verwendung gemäß Betriebsanleitung.

Wann wird ein Unternehmen zum GPAI-Anbieter?

Zum Anbieter eines KI-Modells mit allgemeinem Verwendungszweck wird, wer ein solches Modell selbst entwickelt und bereitstellt, etwa ein eigenes Foundation Model. Wer dagegen nur ein fremdes Modell in sein KI-System integriert, ist regelmäßig nachgelagerter Anbieter im Sinne des Art. 3 Nr. 68 KI-VO; die Modellpflichten bleiben beim GPAI-Anbieter.

Kann ein Unternehmen mehrere Rollen zugleich einnehmen?

Ja. Wer ein fremdes Modell einkauft, integriert und unter eigenem Namen ausliefert, wird für diesen Teil vermutlich selbst zum Anbieter. Die Rollenfrage ist deshalb keine einmalige Übung, sondern bei jedem neuen KI-Vorhaben neu zu stellen.

Primärquelle: Verordnung (EU) 2024/1689 (EU AI Act) — EUR-Lex.

Welche Pflichten aus dem AI Act Ihr Unternehmen treffen, hängt an KI-Systemen, deren Liste die Geschäftsführung oft nicht vollständig kennt. Das Rechtliche Audit erfasst Ihren KI-Einsatz gemeinsam mit Verträgen und Datenschutz und zeigt, welche Pflichten zuerst anzugehen sind. Rechtliches Audit: Ihr KI-Einsatz im Überblick

Sie wollen wissen, welche Pflicht Sie konkret trifft? In einem 60-minütigen Strategiegespräch ordnen wir Ihre Rolle und Ihren Handlungsbedarf ein.