Vorletzten Mittwoch, kurz vor meiner Yoga-Stunde, kam Tobias aus der IT bei mir vorbei und fragte zum dritten Mal in diesem Monat, ob "Anbieter" und "Betreiber" im AI Act nicht dasselbe seien. Ich hab kurz auf den Tisch gestarrt, weil ich es selbst nochmal nachschlagen musste — und genau da ist mir aufgefallen: Ich beantworte diese Fragen ständig einzeln, am Kaffeeautomaten, in Slack, in Meetings, nie an einer Stelle gesammelt. Also hier ist mein Zettel dazu. Kein Auszug aus der Verordnung von vorne bis hinten, sondern die Begriffe, die bei uns im Betrieb tatsächlich hochkommen, mit den Stellen im Gesetzestext, wo du nachlesen kannst, dass ich mir das nicht ausgedacht habe.
1. Definitionen und Akteure
Fangen wir mit den Rollen an, weil genau die Tobias' Frage beantworten: Wer im Unternehmen welche Rolle spielt, entscheidet direkt, welche Pflichten überhaupt greifen. Anbieter, Betreiber — bei uns ist das oft dieselbe Person in zwei verschiedenen Momenten, und das hatte ich am Anfang komplett falsch verstanden.
| Begriff | Definition gemäß EU AI Act | Rechtliche Referenz |
|---|---|---|
| KI-System | Ein maschinengestütztes System, das in unterschiedlichem Grade autonom arbeitet, nach der Inbetriebnahme anpassungsfähig sein kann und aus Eingaben ableitet, wie Ausgaben (Vorhersagen, Inhalte, Empfehlungen oder Entscheidungen) generiert werden, die physische oder virtuelle Umgebungen beeinflussen können. | Art. 3 (1) |
| Anbieter (Provider) | Eine natürliche oder juristische Person, Behörde oder Einrichtung, die ein KI-System oder ein KI-Modell mit allgemeinem Verwendungszweck (GPAI) entwickelt (oder entwickeln lässt) und es unter eigenem Namen oder eigener Marke in Verkehr bringt oder in Betrieb nimmt. | Art. 3 (3) |
| Betreiber (Deployer) | Jede natürliche oder juristische Person, Behörde oder Einrichtung, die ein KI-System in eigener Verantwortung verwendet (außer im Rahmen einer persönlichen, nichtberuflichen Tätigkeit). | Art. 3 (4) |
| Inverkehrbringen | Die erstmalige Bereitstellung eines KI-Systems oder eines KI-Modells mit allgemeinem Verwendungszweck auf dem Unionsmarkt. | Art. 3 (9) |
2. Risikoklassen und Systemtypen
Das hätte ich nicht gedacht, als ich zum ersten Mal in Anhang III geblättert habe: "Hochrisiko" ist nicht nur das, was ich erwartet hatte, sondern auch ziemlich genau das, was unser Bewerbermanagement-Tool macht — Personalauswahl steht dort ausdrücklich drin. Da bin ich schon zusammengezuckt. Das Europäische Parlament fasst den Grundgedanken in seiner eigenen Erklärung nüchtern zusammen: Es ist ein risikobasierter Ansatz — je höher das Risiko eines Systems, desto strenger die Pflichten. Klingt banal, hat mich aber gezwungen, jedes Tool bei uns im Haus einmal ehrlich durchzugehen.
| Begriff | Beschreibung / Kriterien | Beispiele / Details |
|---|---|---|
| Hochrisiko-KI-Systeme | Systeme, die erhebliche Risiken für Gesundheit, Sicherheit oder Grundrechte bergen. Sie unterliegen strengen Auflagen (Risikomanagement, Datenqualität, Dokumentation). | KI in der Personalauswahl, Kreditwürdigkeitsprüfung oder kritischen Infrastruktur (Anhang III). |
| Verbotene KI-Praktiken | KI-Anwendungen, die als unannehmbares Risiko eingestuft werden und in der EU untersagt sind. | Social Scoring, biometrische Echtzeit-Fernidentifizierung im öffentlichen Raum (mit engen Ausnahmen für Strafverfolgung), manipulative Techniken (Art. 5). |
| GPAI-Modelle (General Purpose AI) | KI-Modelle, die eine beträchtliche Allgemeingültigkeit aufweisen und in der Lage sind, ein breites Spektrum unterschiedlicher Aufgaben kompetent auszuführen. | Große Sprachmodelle, die als Basis für viele nachgelagerte Anwendungen dienen (Art. 3 (63)). |
| Systemisches Risiko | Ein Risiko, das spezifisch für GPAI-Modelle mit hohen Kapazitäten gilt. | Vermutung ab einer kumulierten Trainingsrechenleistung von mehr als 10^25 FLOPs (Art. 51). |
Mein größter „das hätte ich nicht gedacht"-Moment: Der AI Act ist keine Zukunftsmusik. Die Verbote nach Art. 5 gelten seit dem 2. Februar 2025 — und genau die Kategorie, in der ich unser Bewerbermanagement-Tool wiedergefunden habe, die Personalauswahl, steht in Anhang III als Hochrisiko. Verstöße gegen die Verbote sieht Art. 99 mit Geldbußen bis zu 35 Mio. € oder 7 % des weltweiten Jahresumsatzes vor. Das ist kein Rat von mir, nur das, was mich zum ehrlichen Nachschauen gebracht hat, ob wir überhaupt etwas im Einsatz haben, das darunterfällt.
3. Konformität und Marktüberwachung
Für Frau Krüger aus der Fertigung war das der Moment, wo ihr klar wurde, dass hinter einem KI-System noch ein paar formale Schritte stehen, bevor es produktiv läuft — nicht nur die Frage, ob es funktioniert und die Kollegen zufrieden sind. Diese Begriffe beschreiben die Verfahren, mit denen die Verordnung die Konformität eines Hochrisiko-Systems prüfen und dokumentieren lässt — auf dem Papier, vor dem Inverkehrbringen.
| Begriff | Bedeutung | Anforderung |
|---|---|---|
| Konformitätsbewertung | Verfahren zur Überprüfung, ob ein Hochrisiko-KI-System die Anforderungen der Verordnung erfüllt. | Muss vor dem Inverkehrbringen durchgeführt werden (Art. 43). |
| CE-Kennzeichnung | Ein sichtbares Zeichen dafür, dass ein KI-System konform mit dem EU AI Act und anderen geltenden EU-Vorschriften ist. | Pflicht für alle Hochrisiko-KI-Systeme (Art. 48). |
| Post-Market Monitoring | Beobachtung von KI-Systemen nach deren Inverkehrbringen; die Verordnung verlangt ein entsprechendes System und einen Plan dafür. | Anbieter müssen einen Plan zur Überwachung nach dem Inverkehrbringen erstellen (Art. 72). |
| KI-Reallabor (Regulatory Sandbox) | Ein kontrollierter Rahmen, der von Behörden eingerichtet wird, um innovative KI-Systeme vor der Markteinführung unter Aufsicht zu testen. | Soll Innovationen fördern und KMU unterstützen (Art. 57). |
4. Sanktionen und Fristen
Als ich diese Zahlen zum ersten Mal auf einer Folie für die Geschäftsführung zusammengeschrieben habe, ist mir kurz schlecht geworden. Verstöße gegen die Verordnung werden mit Geldbußen geahndet, die sich am weltweiten Jahresumsatz orientieren — nicht am deutschen, am weltweiten.
- Geldbußen für verbotene Praktiken: Bis zu 35.000.000 EUR oder 7 % des weltweiten Jahresumsatzes (je nachdem, welcher Betrag höher ist) (Art. 99 (3)).
- Geldbußen für sonstige Verstöße: Bis zu 15.000.000 EUR oder 3 % des weltweiten Jahresumsatzes (Art. 99 (4)).
- Falschangaben gegenüber Behörden: Bis zu 7.500.000 EUR oder 1 % des weltweiten Jahresumsatzes (Art. 99 (5)).
Ich dachte lange, der 2. August 2026 sei DER eine Stichtag für alles. Das war mein "das hätte ich nicht gedacht"-Moment in dieser ganzen Geschichte: Die Verordnung trat schon am 1. August 2024 in Kraft, die Verbote unzulässiger Praktiken gelten bereits seit dem 2. Februar 2025 — und ich hatte schlicht verpennt nachzuschauen, ob wir überhaupt etwas im Einsatz haben, das darunterfällt. Die meisten Bestimmungen, insbesondere für Hochrisiko-Systeme, finden erst ab dem 2. August 2026 vollständige Anwendung (Art. 113).
Ein Punkt, den ich nicht auslassen will, weil er bei uns fast schiefgegangen wäre: Sobald ein KI-System bei der Bewerberauswahl oder in Personalentscheidungen mitmischt, ist bei uns nicht nur der AI Act relevant geworden — plötzlich saßen auch der Betriebsrat und unser Datenschutz mit am Tisch. Nur auf den AI Act zu starren und diese anderen Themen zu übersehen, ist genau die Kombination, die bei uns fast zum Problem geworden wäre. Wie das im Detail rechtlich zusammenspielt, ist ein eigenes Thema — und nichts, was ich hier verlässlich aufdröseln kann.
Zur Einordnung, weil das hier kein Kleingedrucktes irgendwo unten sein soll: Das ist mein persönliches Lern-Tagebuch, keine Rechtsberatung — ich bin keine Juristin, sondern HR-Managerin, die sich das gerade selbst beibringt. Was bei uns im Betrieb funktioniert hat, muss bei dir nicht eins zu eins passen. Wenn's bei euch konkret wird, sprich mit einer Fachanwältin für IT-Recht oder eurer Datenschutzbeauftragten — die kennen euren Fall, ich kenne nur meinen.
Last verified: 2026-07-16Sources
- EU AI Act, Art. 3 – Begriffsbestimmungen (KI-System, Anbieter, Betreiber, Inverkehrbringen, GPAI)
- EU AI Act, Anhang III – Hochrisiko-KI-Systeme
- EU AI Act, Art. 5 – Verbotene KI-Praktiken
- EU AI Act, Art. 51 – Einstufung von GPAI-Modellen mit systemischem Risiko
- EU AI Act, Art. 43 – Konformitätsbewertung
- EU AI Act, Art. 48 – CE-Kennzeichnung
- EU AI Act, Art. 72 – Überwachung nach dem Inverkehrbringen
- EU AI Act, Art. 57 – KI-Reallabore
- EU AI Act, Art. 99 – Sanktionen / Geldbußen
- EU AI Act, Art. 113 – Inkrafttreten und Geltungsbeginn
- Europäisches Parlament: Briefing zum KI-Gesetz