Gemäß Art. 3 Nr. 4 EU AI Act ist ein Betreiber eine natürliche oder juristische Person, Behörde, Einrichtung oder sonstige Stelle, die ein KI-System unter ihrer Verantwortung verwendet. Ausgenommen ist die Nutzung im Rahmen einer persönlichen, nicht beruflichen Tätigkeit.
Damit können insbesondere Unternehmen, Behörden und andere Organisationen als Betreiber gelten, wenn sie KI-Systeme in ihren Geschäfts- oder Verwaltungsprozessen einsetzen.
Beispiele für Betreiber in der Praxis
- Eine Bank, die ein KI-System zur Analyse oder Bewertung von Kreditanträgen einsetzt.
- Ein Unternehmen oder Personaldienstleister, das KI zur Vorauswahl oder Bewertung von Bewerbungen nutzt.
- Ein Krankenhaus, das ein KI-System zur Unterstützung medizinischer Entscheidungen einsetzt.
- Ein Cybersicherheitsunternehmen, das KI zur Erkennung von Betrugsversuchen oder Cyberangriffen verwendet.
- Eine öffentliche Stelle, die einen KI-basierten Chatbot zur Bearbeitung von Bürgeranfragen einsetzt.
Unterschied zwischen Anbieter und Betreiber
- Der Anbieter entwickelt ein KI-System oder lässt es entwickeln und bringt es unter eigenem Namen oder eigener Marke in Verkehr bzw. nimmt es in Betrieb.
- Der Betreiber setzt ein bereits bereitgestelltes KI-System unter eigener Verantwortung für seine Tätigkeit ein.
Ein Unternehmen kann je nach konkreter Konstellation allerdings auch mehrere Rollen nach dem AI Act gleichzeitig oder nacheinander einnehmen.
Welche Pflichten hat ein Betreiber?
Die konkreten Pflichten eines Betreibers hängen von der Art und dem Einsatzbereich des KI-Systems ab. Für Hochrisiko-KI-Systeme enthält insbesondere Art. 26 EU AI Act besondere Betreiberpflichten. Dazu gehören unter anderem die Nutzung entsprechend der Gebrauchsanweisung, geeignete Maßnahmen zur menschlichen Aufsicht sowie die Überwachung des Betriebs des Systems.
Darüber hinaus verpflichtet Art. 4 EU AI Act Anbieter und Betreiber dazu, Maßnahmen zur Förderung einer angemessenen KI-Kompetenz ihrer Beschäftigten und anderer mit der Nutzung von KI-Systemen befasster Personen zu treffen. Die seit Juli 2026 geänderte Regelung stellt klar, dass dabei kein bestimmtes individuelles Kompetenzniveau garantiert werden muss.
Für Unternehmen ist die Identifikation der Betreiberrolle deshalb ein wichtiger Bestandteil einer strukturierten KI Governance: Nur wenn die jeweilige Rolle und das eingesetzte KI-System korrekt eingeordnet werden, lassen sich die einschlägigen Anforderungen des EU AI Act und die daraus resultierenden KI-Compliance-Pflichten zuverlässig bestimmen.