Der EU AI Act verteilt Pflichten nach Rolle. Bevor Sie klären können, was für Sie gilt, müssen Sie feststellen, welche Rolle Sie innehaben – und Unternehmen nehmen häufig an, es sei keine davon, weil sie ja keine KI bauen. Diese Annahme ist meist falsch.
Die zwei Rollen, die für die meisten zählen
Ein Anbieter entwickelt ein KI-System oder lässt es entwickeln und bringt es unter eigenem Namen oder eigener Marke in Verkehr oder in Betrieb.
Ein Betreiber verwendet ein KI-System in eigener Verantwortung im beruflichen Kontext.
Wenn Ihr Unternehmen eine KI-Assistenz für seine Arbeit nutzt, sind Sie Betreiber. Das überrascht Menschen, die annahmen, die Verordnung betreffe Technologieunternehmen. Betreiberpflichten sind leichter als Anbieterpflichten, aber es gibt sie.
Wie sich die Rollen verschieben
Die Unterscheidung hängt nicht davon ab, welche Art Unternehmen Sie sind. Sie hängt davon ab, was Sie im konkreten Fall tun.
Eine Plattform kaufen und wie geliefert nutzen: Betreiber. Eine individuelle Integration für den eigenen internen Gebrauch bauen lassen: in der Regel weiterhin Betreiber, wobei die Vereinbarung dokumentiert sein sollte. Ein System nehmen und es eigenen Kunden unter eigener Marke anbieten: möglicherweise sind Sie Anbieter geworden, mit deutlich schwereren Pflichten.
Dieser letzte Übergang erwischt Menschen. Eine KI-Fähigkeit umzuetikettieren und weiterzuverkaufen kann Sie ins Anbieterlager schieben, ganz ohne eigene technische Arbeit.
Risikokategorien
Die Pflichten skalieren mit dem Risiko. Bestimmte Praktiken sind vollständig verboten. Ein definierter Kreis von Anwendungen gilt als hochriskant – darunter, für normale Unternehmen besonders relevant, Beschäftigungskontexte wie Bewerberauswahl und Entscheidungen über Beschäftigte sowie der Zugang zu wesentlichen Diensten.
Der übliche geschäftliche Einsatz – Entwürfe, Zusammenfassungen, interne Wissenssuche, Dokumentenverarbeitung – fällt meist nicht in die Hochrisikokategorie. Wenn Sie aber KI bei Einstellungen oder Personalentscheidungen erwägen, greift die Verordnung genau dort am stärksten, und das verlangt eine ordentliche Prüfung statt einer Annahme.
Transparenz
Wo Menschen mit einem KI-System interagieren, sollten sie das erkennen können. Wenn Sie eine kundenseitige Assistenz betreiben, sagen Sie, dass es eine ist. Für bestimmte erzeugte Inhalte bestehen zudem Kennzeichnungserwartungen.
KI-Kompetenz
Diese Pflicht verdient besondere Beachtung, weil sie breit gilt und weithin übersehen wird. Von Anbietern wie Betreibern wird erwartet, Maßnahmen zu ergreifen, damit Mitarbeiter, die in ihrem Auftrag mit diesen Systemen umgehen, über ausreichende KI-Kompetenz verfügen.
Praktisch heißt das: Ihre Leute sollten verstehen, was die Systeme können und was nicht, dass Ergebnisse falsch sein können und was sie prüfen müssen. Für die meisten Unternehmen ist das eine überschaubare Schulungspflicht – aber eine, der „wir haben KI nicht formell eingeführt“ nicht entgeht, wenn Mitarbeiter diese Werkzeuge in ihrer Arbeit nutzen.
Was zu tun ist
Schreiben Sie auf, welche KI-Systeme im Einsatz sind und wofür. Bestimmen Sie Ihre Rolle für jedes. Prüfen Sie, ob eine Nutzung in eine Hochrisikokategorie fällt, mit besonderem Blick auf alles, was Beschäftigung berührt. Sorgen Sie dafür, dass die Nutzer schriftlich wissen, wofür sie verantwortlich sind. Und vereinbaren Sie die Rollen ausdrücklich in Verträgen mit Anbietern – die Zuordnung sollte nicht der Auslegung überlassen bleiben.
Dieser Beitrag ist allgemeine Information und keine Rechtsberatung. Lassen Sie Ihren konkreten Fall von einer Anwältin oder einem Anwalt prüfen.
