Rollen und Pflichten beim KI-Einsatz

Welche Anforderungen die KI-Verordnung an betroffene Unternehmen stellt, hängt maßgeblich von dessen Rolle und der Risiko-Klassifizierung der KI-Anwendung ab, die genutzt wird.
Die KI-Verordnung unterscheidet mehrere Akteure mit unterschiedlichem Pflichtenprogramm.

Die Rollen kurz erklärt:
  • Anbieter entwickeln eine KI-Anwendung oder lassen es entwickeln und bringen sie unter eigenem Namen auf den Markt oder nehmen sie selbst in Betrieb.
  • Betreiber verwenden ein KI-Anwendungen in eigener Verantwortung. Hierzu gehören die meisten Unternehmen, die KI-Anwendungen einsetzen.
  • Importeure bringen KI-Anwendungen eines außerhalb der EU niedergelassenen Anbieters auf den europäischen Markt.
  • Händler stellen KI-Anwendungen innerhalb der Lieferkette auf dem EU-Markt bereit, ohne selbst Anbieter oder Importeur zu sein.
Ein Unternehmen kann mehrere Rollen einnehmen. Betreiber, Importeure oder Händler können selbst zum Anbieter eines Hochrisiko-KI-Systems werden, wenn sie es unter eigenem Namen oder eigener Marke anbieten, wesentlich verändern oder seinen vorgesehenen Zweck so ändern, dass es dadurch zur Hochrisiko-KI wird. Damit gehen auch die umfangreicheren Anbieterpflichten auf das Unternehmen über.

Welche Pflichten gelten?

Einige Pflichten sind für alle betroffenen Unternehmen und Arbeitgeber relevant. So dürfen Unternehmen keine verbotenen KI-Praktiken, wie manipulative Anwendungen oder Anwendungen zum Social Scoring oder der Emotionserkennung anbieten oder einsetzen.
Nahezu alle Unternehmen müssen die Transparenz- und Kennzeichnungspflichten im Blick behalten. Demnach muss für Außenstehende erkennbar sein, dass KI eingesetzt wird. Das betrifft etwa Kunden-Chatbots, Deepfakes und bestimmte KI-generierte Texte zu Themen von öffentlichem Interesse.
Gleichermaßen müssen Unternehmen als Anbieter oder Betreiber von KI-Anwendungen sicherstellen, dass die KI-Kompetenzen und Kenntnisse aller Mitarbeiter gefördert werden. Dies gilt unabhängig von der Unternehmensgröße oder der Risikoklassifizierung der eingesetzten KI-Anwendung.
Bei Hochrisiko-KI kommen umfangreiche rollenbezogene Pflichten hinzu.

Pflichten der Anbieter

Anbieter tragen die Verantwortung für die regelkonforme Gestaltung der KI-Anwendung und müssen generell:
  • ein Risiko- und Qualitätsmanagement einrichten,
  • Anforderungen an Datenkontrolle und Datenverwaltung erfüllen,
  • technische Dokumentationen und Betriebsanleitungen erstellen,
  • Protokollierung und menschliche Aufsicht ermöglichen,
  • Genauigkeit, Robustheit und Cybersicherheit gewährleisten,
  • die erforderliche Konformitätsbewertung durchführen,
  • EU-Konformitätserklärung und Registrierung sicherstellen sowie
  • das System nach dem Inverkehrbringen überwachen und bei Verstößen Korrekturmaßnahmen ergreifen.

Pflichten der Betreiber

Betreiber sind für den konkreten Einsatz verantwortlich und müssen bei Hochrisiko-KI insbesondere:
  • die KI-Anwendung entsprechend der Betriebsanleitung verwenden,
  • geeignete technische und organisatorische Maßnahmen treffen,
  • qualifizierte und befugte Personen mit der menschlichen Aufsicht betrauen,
  • die Eignung der von ihnen kontrollierten Eingabedaten sicherstellen,
  • den Betrieb überwachen und bei erkennbaren Risiken gegebenenfalls aussetzen,
  • schwerwiegende Vorfälle melden und
  • automatisch erzeugte Protokolle grundsätzlich mindestens sechs Monate aufbewahren, soweit diese ihrer Kontrolle unterliegen.

Pflichten der Importeure und Händler

Importeure müssen vor dem Inverkehrbringen einer Hochrisiko-KI insbesondere prüfen, ob Konformitätsbewertung, technische Dokumentation, EU-Konformitätserklärung und Betriebsanleitung vorliegen. Händler müssen vor der Bereitstellung ebenfalls die erforderlichen Kennzeichnungen und Unterlagen kontrollieren. Bei Zweifeln an der Konformität dürfen Importeure und Händler das System nicht in Verkehr bringen oder weitergeben. Sie müssen gegebenenfalls zuständige Stellen informieren, Unterlagen bereitstellen und an Korrekturmaßnahmen, Rücknahmen oder Rückrufen mitwirken.

Stand: 5. August 2026