Der EU AI Act gilt für Anbieter, Betreiber, Einführer und Händler von KI-Systemen — und damit für praktisch jedes Unternehmen, das KI beruflich einsetzt, denn wer KI nutzt, ist bereits Betreiber. Die häufigste Fehleinschätzung lautet trotzdem: „Wir entwickeln keine KI, also betrifft uns das nicht.” Sie ist falsch — die Verordnung setzt nicht am Entwickeln an, sondern am Einsetzen.
Die vier Rollen der Verordnung
Anbieter und Betreiber
Anbieter entwickelt ein KI-System und bringt es unter eigenem Namen auf den Markt. Er trägt die Hauptlast der Pflichten — technische Dokumentation, Konformitätsbewertung, Risikomanagement.
Betreiber setzt ein KI-System im beruflichen Kontext ein. Das sind die allermeisten Unternehmen im Mittelstand. Der Pflichtenkatalog ist deutlich kürzer, aber nicht leer — mindestens Artikel 4 (KI-Kompetenz) greift immer.
Einführer und Händler
Einführer bringen Systeme aus Drittstaaten in den EU-Markt, Händler vertreiben sie innerhalb der EU weiter. Für die meisten Unternehmen sind diese beiden Rollen nicht relevant, sie betreffen primär den Handel mit KI-Produkten.
Die Rollen im Überblick
| Rolle | Kurzbeschreibung | Pflichtenlast |
|---|---|---|
| Anbieter | entwickelt und vermarktet unter eigenem Namen | hoch |
| Betreiber | setzt KI beruflich ein | gering, mind. Art. 4 |
| Einführer | bringt Drittstaaten-System in EU | mittel |
| Händler | vertreibt System in der EU | mittel |
Ein Unternehmen kann mehrere Rollen zugleich einnehmen — etwa Betreiber für die eingekaufte KI und Anbieter für ein eigenes, nach außen gegebenes Werkzeug. Die Pflichten addieren sich dann.
Wann ein Betreiber zum Anbieter wird
Das ist die praktisch wichtigste Falle. Nach Artikel 25 gilt ein Betreiber als Anbieter — mit der vollen Pflichtenlast —, wenn er eine von drei Schwellen überschreitet:
- Er bietet ein System unter eigenem Namen oder eigener Marke an.
- Er verändert ein Hochrisiko-System wesentlich.
- Er ändert die Zweckbestimmung so, dass ein System zum Hochrisiko-System wird.
Die relevante Grenze für Eigenbau
Für Unternehmen, die eigene Assistenten bauen, ist das entscheidend. Ein rein internes Werkzeug bleibt in aller Regel unkritisch. Wer aber einen Assistenten unter eigener Marke an Kunden ausliefert, wechselt die Rolle — vom schlanken Betreiber-Katalog zu den vollen Anbieterpflichten.
Warum die Grenze schleichend überschritten wird
Der Rollenwechsel passiert selten bewusst. Ein Chatbot, der erst nur intern lief, wird auf die Website gestellt; ein Auswertungstool, das für das eigene Team gebaut wurde, wird einem Partner zur Verfügung gestellt. In beiden Fällen kann aus dem Betreiber ein Anbieter werden, ohne dass jemand eine Grundsatzentscheidung getroffen hätte. Deshalb gehört die Rollenfrage an jeden Punkt, an dem ein Werkzeug nach außen geht.
Der räumliche Anwendungsbereich
Sitz ist nicht entscheidend
Die Verordnung gilt für Anbieter, die Systeme in der EU in Verkehr bringen — unabhängig davon, wo sie sitzen. Und für Betreiber mit Sitz in der EU. Zusätzlich erfasst sind Anbieter und Betreiber aus Drittstaaten, wenn die Ausgabe des Systems in der EU verwendet wird.
Das Beispiel US-Anbieter
Ein US-Anbieter, dessen Werkzeug von einem deutschen Unternehmen genutzt wird, fällt also unter die Verordnung. Der Marktortgedanke verhindert, dass sich Anbieter durch einen Sitz außerhalb der EU der Regulierung entziehen. Für den deutschen Betreiber ändert das nichts an seinen eigenen Pflichten — er bleibt Betreiber, egal woher das Werkzeug stammt.
Was ausgenommen ist
Vier Bereiche liegen außerhalb des Anwendungsbereichs:
- KI-Systeme ausschließlich für militärische Zwecke und nationale Sicherheit
- Systeme für reine Forschung und Entwicklung vor dem Inverkehrbringen
- Die rein persönliche, nicht berufliche Nutzung durch natürliche Personen
- Freie und quelloffene Systeme, soweit sie nicht als Hochrisiko oder unter das Verbot des Artikel 5 fallen
Die Grenze zwischen privat und beruflich
Der dritte Punkt bedeutet konkret: Wer privat ChatGPT nutzt, ist nicht betroffen. Sobald dieselbe Nutzung beruflich erfolgt, sieht es anders aus — dann greift mindestens die KI-Kompetenzpflicht, die sich mit einer EU-AI-Act-Schulung erfüllen lässt. Genau an dieser Grenze entsteht das Schattennutzungs-Problem: Der Mitarbeiter empfindet die Nutzung als privat, rechtlich ist sie es nicht mehr, sobald sie der Arbeit dient.
Die Einordnung in drei Fragen
Ob und wie die Verordnung ein konkretes Unternehmen trifft, klären drei Fragen:
- Setzen wir KI-Systeme beruflich ein? Wenn ja: Betreiberpflichten, mindestens Artikel 4 (KI-Schulungspflicht).
- Bieten wir etwas mit KI unter eigenem Namen an? Wenn ja: Anbieterpflichten prüfen.
- Fällt eine Anwendung unter Anhang III? Wenn ja: Hochrisiko-Pflichten prüfen.
Wer unsicher ist, in welche Rolle das eigene Unternehmen fällt, sortiert das am schnellsten in einem Erstgespräch — oder liest die Fristen und Pflichten im Überblicksbeitrag zum EU AI Act nach.
Quellen: Verordnung (EU) 2024/1689 (EUR-Lex) · EU-Kommission: Rechtsrahmen für KI