Der EU AI Act stellt nicht jedem Unternehmen dieselben Pflichten. Was für Sie gilt, hängt fast vollständig davon ab, welche Rolle Sie einnehmen: Anbieter, Betreiber oder Anbieter eines KI-Modells mit allgemeinem Verwendungszweck (GPAI). Diese Checkliste ordnet die Kernpflichten nach Rolle, als operative Kurzfassung. Die vollständige Einordnung liefert der Leitfaden zum EU AI Act.
Das Wichtigste in Kürze
- Welche Pflichten Sie treffen, hängt fast vollständig von Ihrer Rolle ab: Anbieter, Betreiber oder Anbieter eines KI-Modells mit allgemeinem Verwendungszweck.
- Anbieter tragen den strengsten Pflichtenkreis, insbesondere bei Hochrisiko-Systemen mit Risikomanagement, technischer Dokumentation und Konformitätsbewertung.
- Betreiber eingekaufter Tools haben schlankere Pflichten, vor allem KI-Kompetenz, transparenten Einsatz und die Beachtung der Vorgaben des Anbieters.
- Die Rollen schließen sich nicht aus, weshalb die Rollenfrage bei jedem neuen KI-Vorhaben erneut zu stellen ist.
Welche Pflicht trifft Sie als Anbieter?
Anbieter ist, wer ein KI-System entwickelt oder entwickeln lässt und es unter eigenem Namen oder eigener Marke in Verkehr bringt (vertiefend zur Abgrenzung: Anbieter oder Betreiber? Die zwei Rollen im AI Act). Anbieter tragen den strengsten Pflichtenkreis, insbesondere bei Hochrisiko-Systemen: Risikomanagement, Daten-Governance, technische Dokumentation, menschliche Aufsicht und Konformitätsbewertung. Ob ein konkretes System überhaupt hochriskant ist, klärt der Prüfpfad in Hochrisiko-KI: Ist mein System betroffen?.
Welche Pflicht trifft Sie als Betreiber?
Betreiber ist, wer ein KI-System in eigener Verantwortung einsetzt, ohne es entwickelt zu haben, etwa beim Einkauf eines fertigen KI-Tools. Der Pflichtenkreis ist schlanker, verschwindet aber nicht: KI-Kompetenz der damit befassten Mitarbeiter, transparenter Einsatz gegenüber Betroffenen und die Beachtung der Vorgaben des Anbieters. Was Sie konkret von Ihrem KI-Anbieter verlangen sollten, zeigt Eingekaufte KI-Tools: Ihre Pflichten als Betreiber.
Welche Pflicht trifft Sie als GPAI-Anbieter?
Wer ein KI-Modell mit allgemeinem Verwendungszweck entwickelt und bereitstellt, etwa ein eigenes Foundation Model, trägt einen eigenständigen Pflichtenkreis: technische Dokumentation, Informationen für nachgelagerte Anbieter, eine Strategie zur Einhaltung des Urheberrechts und eine öffentliche Zusammenfassung der Trainingsdaten. Die meisten Softwareunternehmen integrieren dagegen nur ein fremdes Modell und sind damit nachgelagerte Nutzer, nicht GPAI-Anbieter. Die Abgrenzung im Detail: GPAI / Foundation Models: Pflichten für Anbieter.
Rollen-Checkliste im Überblick
| Rolle | Kernpflichten | Vertiefung |
|---|---|---|
| Anbieter eines KI-Systems | Risikomanagement, technische Dokumentation, Konformitätsbewertung, Registrierung (bei Hochrisiko) | Anbieter oder Betreiber? |
| Betreiber eines eingekauften Tools | KI-Kompetenz, Transparenz gegenüber Betroffenen, Vorgaben des Anbieters einhalten | Eingekaufte KI-Tools |
| Anbieter eines GPAI-Modells | Technische Dokumentation, Information nachgelagerter Anbieter, Urheberrechts-Strategie, Trainingsdaten-Zusammenfassung | GPAI-Pflichten |
Diese Rollen schließen sich nicht aus: Wer ein fremdes Modell einkauft, integriert und unter eigenem Namen ausliefert, wird für diesen Teil vermutlich selbst zum Anbieter. Die Rollenfrage ist deshalb keine einmalige Übung, sondern bei jedem neuen KI-Vorhaben neu zu stellen.
Wann welche Pflicht zeitlich greift, zeigt die Fristen-Referenz zum EU AI Act. Eine dauerhafte Einordnung Ihrer Rollen und Pflichten statt Einzelprüfung bietet die KI-Compliance als laufende Begleitung.
Häufige Fragen
Wer gilt als Anbieter im Sinne des EU AI Act?
Anbieter ist, wer ein KI-System entwickelt oder entwickeln lässt und es unter eigenem Namen oder eigener Marke in Verkehr bringt. Anbieter tragen den strengsten Pflichtenkreis, der bei Hochrisiko-Systemen Risikomanagement, Daten-Governance, technische Dokumentation, menschliche Aufsicht und Konformitätsbewertung umfasst.
Welche Pflichten hat ein Betreiber eines eingekauften KI-Tools?
Betreiber ist, wer ein KI-System in eigener Verantwortung einsetzt, ohne es entwickelt zu haben. Der Pflichtenkreis ist schlanker und umfasst vor allem die KI-Kompetenz der befassten Mitarbeiter, den transparenten Einsatz gegenüber Betroffenen sowie die Beachtung der Vorgaben des Anbieters.
Wann wird ein Unternehmen zum GPAI-Anbieter?
Zum Anbieter eines KI-Modells mit allgemeinem Verwendungszweck wird, wer ein solches Modell selbst entwickelt und bereitstellt, etwa ein eigenes Foundation Model. Wer dagegen nur ein fremdes Modell integriert, ist nachgelagerter Nutzer und nicht GPAI-Anbieter.
Kann ein Unternehmen mehrere Rollen zugleich einnehmen?
Ja. Wer ein fremdes Modell einkauft, integriert und unter eigenem Namen ausliefert, wird für diesen Teil vermutlich selbst zum Anbieter. Die Rollenfrage ist deshalb keine einmalige Übung, sondern bei jedem neuen KI-Vorhaben neu zu stellen.
Primärquelle: Verordnung (EU) 2024/1689 (EU AI Act) — EUR-Lex.
Sie wollen wissen, welche Pflicht Sie konkret trifft? In einem 30-minütigen Erstgespräch ordnen wir Ihre Rolle und Ihren Handlungsbedarf ein.
