KI-Verordnung für Betreiber: Vollständiger Leitfaden 2026

Die EU KI-Verordnung (AI Act) ist das weltweit erste umfassende KI-Gesetz. Wenn Ihr Unternehmen KI-Tools nutzt — auch Drittanbieter-Dienste wie ChatGPT, Copilot oder Midjourney — gelten Sie als Betreiber im Sinne des Gesetzes. Dieser Leitfaden erklärt alles, was Sie wissen müssen.

Wer ist ein Betreiber?

Artikel 3 Absatz 4 der KI-Verordnung definiert einen Betreiber als:

Eine natürliche oder juristische Person, Behörde, Einrichtung oder sonstige Stelle, die ein KI-System in eigener Verantwortung einsetzt, es sei denn, das KI-System wird im Rahmen einer persönlichen, nicht beruflichen Tätigkeit verwendet.

Einfach gesagt: Wenn Ihre Organisation ein KI-System in einem beruflichen Kontext nutzt, sind Sie ein Betreiber. Das umfasst:

• Nutzung von ChatGPT oder Claude für den Kundensupport
• Einsatz von GitHub Copilot für Ihr Entwicklungsteam
• Betrieb von KI-gestützten HR-Screening-Tools
• Nutzung von KI-Analyseplattformen für Geschäftsentscheidungen

Das risikobasierte Rahmenwerk

Die KI-Verordnung klassifiziert KI-Systeme in vier Risikostufen. Ihre Pflichten als Betreiber hängen davon ab, in welche Stufe Ihre KI-Tools fallen.

Verbotene KI-Praktiken (Artikel 5)

Bestimmte KI-Nutzungen sind vollständig verboten. Dazu gehören Social-Scoring-Systeme, die Ausnutzung schutzbedürftiger Gruppen und nicht autorisierte biometrische Echtzeit-Identifizierung. Strafen erreichen bis zu 35 Millionen Euro oder 7 % des weltweiten Umsatzes.

Hochrisiko-KI-Systeme (Anhang III)

KI, die in den Bereichen Beschäftigung, Kreditvergabe, Strafverfolgung, Bildung und kritische Infrastruktur eingesetzt wird, wird als hochriskant eingestuft. Betreiber von Hochrisiko-Systemen haben die umfangreichsten Pflichten, einschließlich der Durchführung einer Grundrechte-Folgenabschätzung (FRIA).

Begrenztes Risiko — Transparenzpflichten

KI-Systeme, die direkt mit Menschen interagieren (Chatbots), synthetische Inhalte generieren (Deepfakes) oder Emotionserkennung durchführen, müssen die Transparenzanforderungen nach Artikel 50 erfüllen.

Minimales Risiko

KI-Systeme, die nicht in die oben genannten Kategorien fallen, haben keine spezifischen Pflichten nach der Verordnung, obwohl Best Practices weiterhin gelten.

Wichtige Fristen für Betreiber

Die Frist 2. August 2026 ist für die meisten Betreiber die entscheidende. Bis zu diesem Datum müssen vollständige Compliance-Programme für alle genutzten Hochrisiko-KI-Systeme vorhanden sein.

Ihre Kernpflichten als Betreiber

1. KI-Kompetenz (Artikel 4) — Jetzt fällig

Jede Organisation, die KI nutzt, muss sicherstellen, dass ihr Personal über ausreichende KI-Kompetenz verfügt. Dies ist keine Option — es ist seit dem 2. Februar 2025 durchsetzbar.

Was dies in der Praxis bedeutet:

• Schulung der Mitarbeiter, die mit KI-Systemen interagieren
• Dokumentation der Schulungsabschlüsse und Kompetenzstufen
• Anpassung der Schulung an die spezifischen KI-Tools und deren Risikostufen

2. Transparenz (Artikel 50)

Wenn Ihre KI-Systeme mit der Öffentlichkeit interagieren, müssen Sie:

• Nutzer informieren, dass sie mit KI interagieren
• KI-generierte Inhalte angemessen kennzeichnen
• Synthetische Medien (Deepfakes) als KI-generiert markieren

3. Menschliche Aufsicht (Artikel 14)

Bei Hochrisiko-KI-Systemen müssen Betreiber:

• Sicherstellen, dass qualifizierte Menschen KI-Entscheidungen überwachen können
• Mechanismen implementieren, um KI-Ausgaben zu überschreiben oder rückgängig zu machen
• Die Leistung des KI-Systems in Echtzeit überwachen

4. Daten-Governance

Betreiber von Hochrisiko-KI müssen sicherstellen:

• Eingabedaten sind relevant und repräsentativ
• Die Datenverarbeitung entspricht der DSGVO
• Verzerrungen in Trainingsdaten werden identifiziert und gemindert

5. Grundrechte-Folgenabschätzung

Vor dem Einsatz eines Hochrisiko-KI-Systems müssen Sie eine FRIA durchführen, die die Auswirkungen des Systems auf die Grundrechte bewertet.

Erfahren Sie mehr über FRIAs in unserem speziellen Leitfaden.

Strafen bei Nichteinhaltung

Die KI-Verordnung hat drei Sanktionsstufen:

• Stufe 1 — Verbotene Praktiken: Bis zu 35 Mio. € oder 7 % des weltweiten Umsatzes
• Stufe 2 — Hochrisiko-Verstöße: Bis zu 15 Mio. € oder 3 % des weltweiten Umsatzes
• Stufe 3 — Sonstige Pflichten: Bis zu 7,5 Mio. € oder 1 % des weltweiten Umsatzes

Erste Schritte: Ein 5-Punkte-Aktionsplan

1. Inventarisieren Sie Ihre KI-Tools — Listen Sie jedes KI-System auf, das Ihre Organisation nutzt. Vergessen Sie nicht eingebettete KI in SaaS-Produkten.

2. Klassifizieren Sie Risikostufen — Bestimmen Sie, in welche Risikokategorie jedes Tool fällt. Nutzen Sie das Complior KI-Register als Referenz.

3. Führen Sie eine Lückenanalyse durch — Vergleichen Sie Ihre aktuellen Praktiken mit den Anforderungen der KI-Verordnung für jede Risikostufe.

4. Implementieren Sie Kontrollen — Führen Sie Schulungsprogramme, Transparenzmaßnahmen, Aufsichtsmechanismen und Dokumentation ein.

5. Überwachen Sie kontinuierlich — Compliance ist kein einmaliges Projekt. Richten Sie eine laufende Überwachung und regelmäßige Neubewertungen ein.

Wie Complior hilft

Complior automatisiert die schwierigsten Teile der KI-Act-Compliance:

• Auto-Erkennung scannt Ihren Code und SaaS-Stack, um jedes KI-Tool zu finden
• Risikoklassifizierung ordnet jedes Tool der richtigen Risikostufe mit spezifischen Artikelverweisen zu
• Dokumentengenerierung erstellt FRIAs, Transparenzhinweise und Compliance-Richtlinien mit einem Klick
• Laufende Überwachung verfolgt Ihren Compliance-Status und warnt Sie bei Änderungen

Starten Sie jetzt einen kostenlosen Scan:

npx complior scan

Oder prüfen Sie Ihre Pflichten online — keine Anmeldung erforderlich.

---

Dieser Artikel dient nur zu Informationszwecken und stellt keine Rechtsberatung dar. Für spezifische Hinweise zu Ihren Compliance-Pflichten wenden Sie sich an einen qualifizierten Rechtsberater.