AI Act: Pflichten von Anbietern und Betreibern, was Ihre Organisation wirklich tun muss
Der EU AI Act weist Anbietern und Betreibern grundlegend unterschiedliche Pflichten zu. Stufen Sie Ihre Rolle falsch ein, bauen Sie vom ersten Tag an das falsche Compliance-Programm auf.
Holen Sie sich die Checkliste zu den AI-Act-Pflichten von Anbietern und Betreibern
Eine Gegenüberstellung jeder Pflicht, sortiert nach Rolle, Risikokategorie und Frist. Ohne Füllwörter. Direkt in Ihr Postfach.
Kennen Sie Ihre AI-Act-Pflichten: Anbieter oder Betreiber.
Checkliste holen
AI-Act-Pflichten über jede Einheit hinweg operativ umsetzen, ohne Tabellen-Chaos
Ob Sie als Anbieter, Betreiber oder beides in verschiedenen Tochtergesellschaften eingestuft sind: Priverion gibt Ihrem Compliance-Team zentrale Kontrolle und auditfähige Nachweise.
Anbieter + Betreiber
KI-Register für die EU-AI-Act-Bereitschaft
Erfassen Sie jedes KI-System Ihrer Gruppe mit Rollenklassifizierung (Anbieter, Betreiber oder beides), Risikostufe und verantwortlicher Einheit, alles in einem Register. Kein Nachjagen mehr bei den Geschäftsbereichen, um herauszufinden, wer was nutzt.
Die KI-gestützte Klassifizierung weist darauf hin, wenn die Änderungen einer Tochtergesellschaft sie nach Artikel 25 vom Betreiber zum Anbieter machen, so erkennen Sie Auslöser für eine Neueinstufung, bevor es die Aufsichtsbehörden tun.
5 Rollen
in der KI-Wertschöpfungskette werden pro System erfasst (Anbieter, Betreiber, Einführer, Händler, Bevollmächtigter), wie in Artikel 3 des EU AI Act (Verordnung 2024/1689) definiert
Anbieterpflichten
Technische Dokumentation und Konformitätsmanagement
Anbieter von Hochrisiko-KI müssen Dokumentation zu 11 konkreten technischen Bereichen nach Anhang IV führen. Priverion strukturiert dies in geführte Workflows mit Versionskontrolle, sodass Ihr Team die Inhalte einträgt, während die Plattform Struktur und Audit-Trail übernimmt.
Erstellen Sie auditfähige Nachweispakete für Aufsichtsbehörden in Minuten, statt der Wochen, die es braucht, wenn die Dokumentation über SharePoint-Ordner und E-Mail-Verläufe verstreut ist.
200+ Stunden gespart
Ein Medizintechnikunternehmen sparte mit Priverions strukturierten Nachweis-Workflows über 200 Stunden bei der Vorbereitung der ISO-27001-Dokumentation. Derselbe Ansatz wird nun auf die technische Dokumentation nach dem AI Act ausgeweitet
Betreiberpflichten
Grundrechte-Folgenabschätzungen und menschliche Aufsicht
Betreiber, die Hochrisiko-KI in den Bereichen Beschäftigung, Kreditwürdigkeitsprüfung oder Strafverfolgung einsetzen, müssen vor der Inbetriebnahme Grundrechte-Folgenabschätzungen durchführen. Priverions KI-gestützte DSFA- und FRIA-Workflows führen Ihr Team mit strukturierten Vorlagen und Risikobewertung durch die Beurteilung, sodass nichts übersehen wird.
Weisen Sie Verantwortlichkeiten für die menschliche Aufsicht je System zu, verfolgen Sie Kompetenzanforderungen und überwachen Sie Vorfälle, alles verknüpft mit dem jeweiligen KI-System in Ihrem Register. Die KI unterstützt beim Entwurf; Ihr Team trifft jede Entscheidung.
Gruppenweite Transparenz
Einheitenübergreifende KI-Compliance-Dashboards
Eine Tochtergesellschaft ist Anbieter. Eine andere betreibt dasselbe System. Eine dritte hat es so stark verändert, dass eine Neueinstufung ausgelöst wird. Ohne zentrale Transparenz steuern Sie drei verschiedene Compliance-Ansätze in drei verschiedenen Tabellen und hoffen, dass sie konsistent sind.
Priverions vorstandsreife Dashboards zeigen den AI-Act-Compliance-Status pro Einheit, pro System, pro Risikostufe. Ihr CISO und Ihr Head of Legal sehen dasselbe Bild, und es ist stets aktuell.
50+ Einheiten
Priverion betreut Unternehmensgruppen, die 50+ Einheiten über mehrere Jurisdiktionen hinweg mit zentraler Compliance-Aufsicht steuern
Vorfälle + Überwachung
Incident-Management und Meldungen an Behörden
Sowohl Anbieter als auch Betreiber müssen schwerwiegende Vorfälle mit Hochrisiko-KI-Systemen melden. Anbieter benötigen zusätzlich Systeme zur Beobachtung nach dem Inverkehrbringen. Priverion verknüpft Incident-Workflows mit Ihrem KI-Register, so wissen Sie bei einem Vorfall sofort, welches System, welche Einheit und welche Pflichten betroffen sind.
Die automatisierte Protokollaufbewahrung stellt sicher, dass Betreiber die Mindestanforderung von 6 Monaten für systemgenerierte Protokolle erfüllen, ohne manuelle Backup-Prozesse.
24/7-Support
Datensouveränität
In der Schweiz gehostete Infrastruktur ohne Datennutzung für KI-Training
Ihre AI-Act-Compliance-Unterlagen (Risikobewertungen, technische Dokumentation, Vorfallmeldungen) enthalten einige der sensibelsten operativen Daten Ihrer Organisation. Sie sollten den europäischen Rechtsraum nicht verlassen und niemals das Modell eines anderen trainieren.
Die gesamte Datenverarbeitung von Priverion erfolgt innerhalb der Schweizer Infrastruktur. KI-gestützte Funktionen helfen Ihrem Team, schneller zu entwerfen und Lücken zu erkennen, doch es werden niemals Kundendaten für das Modelltraining verwendet. Die KI unterstützt, Menschen entscheiden.
0 Datenpunkte
werden für das Modelltraining verwendet. Priverions Transparenzversprechen. Alle KI-Ergebnisse erfordern eine menschliche Prüfung, bevor sie zu Compliance-Unterlagen werden.
Messbare Ergebnisse von echten Kunden
Was sich ändert, wenn Sie Datenschutz nicht mehr in Tabellen verwalten
200+
Stunden gespart bei der Verwaltung des Verarbeitungsverzeichnisses
Ein Medizintechnikunternehmen verlagerte über 200 Stunden von manuellen Aktualisierungen des Verarbeitungsverzeichnisses auf die ISO-27001-Vorbereitung und schloss die Zertifizierung 3 Monate vor Plan ab.
60 %
Geringere Kosten als bei OneTrust
Ein Flugzeughersteller erzielte gruppenweite Compliance auf Enterprise-Niveau zu einem Bruchteil der Kosten, mit einem Preismodell auf Basis von Einheiten statt teurer Pro-Nutzer-Aufschläge.
3 Mon.
Vor Plan bei ISO 27001
Ein Medizintechnikunternehmen nutzte Priverions auditfähige Nachweispakete, um die ISO-27001-Zertifizierung um drei Monate zu beschleunigen.
«Wir mussten den Geschäftsbereichen früher wochenlang hinterherjagen. Jetzt haben wir ein aktuelles, korrektes Verarbeitungsverzeichnis über jede Tochtergesellschaft. Unsere Freitagnachmittage gehören wieder uns.»
Datenschutzbeauftragter, Flugzeughersteller (nach 6 Monaten mit Priverion)
Warum Datenschutzteams im Mittelstand von OneTrust wechseln
Compliance auf Enterprise-Niveau sollte weder ein Enterprise-Budget noch eine sechsmonatige Einführung erfordern.
Typische Erfahrung mit Enterprise-Plattformen
Preise pro Nutzer und pro Modul
Die Kosten explodieren, sobald Sie Tochtergesellschaften onboarden. Budgetgespräche finden jedes Quartal statt, nicht jedes Jahr.
In den USA gehostete Infrastruktur
Nach Schrems II schafft US-Hosting ausgerechnet bei dem Tool, das Ihre Compliance steuern soll, ein Compliance-Risiko. Für die Compliance-Plattform selbst sind zusätzliche Standardvertragsklauseln erforderlich.
200+ oberflächliche Integrationen
Hunderte von Konnektoren, die ständige Wartung erfordern. Die meisten Teams nutzen fünf oder weniger, zahlen aber den Komplexitätsaufwand für alle 200.
Einführung von 6+ Monaten
Eigene Implementierungsberater, umfangreiche Schulungsprogramme und laufende Professional-Services-Budgets, bevor Sie überhaupt einen Mehrwert sehen.
Funktionsüberladung
ESG-Module, Ethik-Hotlines, Cookie-Einwilligung, GRC: Sie zahlen für eine Plattform, die alles macht, während Sie eine brauchen, die Datenschutzmanagement aussergewöhnlich gut beherrscht.
Die Priverion-Erfahrung
Berechenbare Preise pro Unternehmen
Auf Basis der Anzahl Einheiten und der Organisationsgrösse, nicht pro Nutzer oder pro Modul. Onboarden Sie Ihr gesamtes Team, ohne die Kosten in die Höhe schnellen zu sehen.
In der Schweiz entwickelt, in der Schweiz gehostet
Alle Daten werden innerhalb der Schweizer Infrastruktur verarbeitet. Europäischer Datenstandort garantiert. Ihre Compliance-Plattform sollte nicht ihr eigenes Compliance-Problem schaffen.
Tiefgehende Integrationen, die zählen
Gezielte Integrationen mit HR-, Beschaffungs- und IT-Asset-Management-Systemen: jenen Workflows, die Datenschutz-Compliance tatsächlich vorantreiben. Kein Wartungsaufwand durch Konnektoren, die Sie nie nutzen.
In Wochen einsatzbereit
Intuitive Bedienung, entwickelt für Datenschutzexperten, nicht für IT-Abteilungen. Ein Medizintechnikunternehmen sparte über 200 Stunden bei der ISO-27001-Vorbereitung, schon wenige Wochen nach dem Onboarding.
Medizintechnikunternehmen, Phase der ISO-27001-Vorbereitung
Eigens für Datenschutz entwickelt
Verarbeitungsverzeichnis, DSFA/TIA, Lieferantenrisiko, Incident-Management, Bearbeitung von Betroffenenanfragen und AI-Act-Bereitschaft: alles, was ein Gruppen-Datenschutzbeauftragter braucht. Nichts, was er nicht braucht. Wir decken kein ESG, keine Ethik-Hotlines und keine Cookie-Einwilligung ab, und das ist Absicht.
100 %
Rezertifizierungsquote des Verarbeitungsverzeichnisses
Schweizer Versicherer, vollständig automatisiert
24/7
Datenschutz-Support über alle Einheiten
200+
Stunden gespart bei der ISO-27001-Vorbereitung
Medizintechnikunternehmen
Sehen Sie, wie Priverion für Ihre spezifische Gruppenstruktur abschneidet, ganz unverbindlich
Verwalten Sie Datenschutz nicht länger in Tabellen. Steuern Sie ihn als Programm.
Sehen Sie in einer 30-minütigen, auf Ihre Struktur zugeschnittenen Demo, wie Priverion Organisationen mit mehreren Einheiten gruppenweite Compliance-Transparenz, automatisierte Rezertifizierung und Auditfähigkeit verschafft.
«Wir mussten den Geschäftsbereichen über alle Tochtergesellschaften hinweg für Aktualisierungen des Verarbeitungsverzeichnisses hinterherjagen. Jetzt haben wir eine vollständig automatisierte Rezertifizierung. Unser Datenschutzbeauftragter konzentriert sich endlich auf strategische Datenschutzarbeit statt auf Tabellenpflege.»
Datenschutzverantwortlicher, Flugzeughersteller
60 % weniger Compliance-Verwaltungszeit innerhalb der ersten 6 Monate
Wochen
Zeit bis zum Go-live
Durchschnitt über den Kundenstamm
200+
Stunden gespart bei ISO 27001
Medizintechnikunternehmen, Zertifizierungsvorbereitung
▸ Über diese Seite: Quellen, Definitionen und FAQ
Das Wichtigste auf einen Blick
Der EU AI Act (Verordnung 2024/1689) weist je nachdem, ob eine Organisation als Anbieter oder als Betreiber eines KI-Systems eingestuft wird, grundlegend unterschiedliche Compliance-Pflichten zu. Anbieter tragen die schwerste Last, darunter Konformitätsbewertungen, technische Dokumentation zu 11 Bereichen nach Anhang IV und die Beobachtung nach dem Inverkehrbringen. Betreiber müssen Grundrechte-Folgenabschätzungen durchführen, die menschliche Aufsicht sicherstellen und systemgenerierte Protokolle mindestens sechs Monate lang aufbewahren. Nach Artikel 25 kann ein Betreiber als Anbieter neu eingestuft werden, wenn er ein System wesentlich verändert oder mit seiner eigenen Marke versieht. Organisationen mit mehreren Einheiten benötigen zentrale Transparenz, um diese Pflichten über Tochtergesellschaften und Jurisdiktionen hinweg konsistent zu steuern.
Definitionen
Was ist ein Anbieter eines KI-Systems nach dem EU AI Act?
Anbieter eines KI-Systems ist in Artikel 3(3) des EU AI Act definiert als eine natürliche oder juristische Person, die ein KI-System oder ein KI-Modell mit allgemeinem Verwendungszweck entwickelt oder entwickeln lässt und es unter ihrem eigenen Namen oder ihrer eigenen Marke in Verkehr bringt oder in Betrieb nimmt. Anbieter von Hochrisiko-KI-Systemen tragen die umfangreichsten Pflichten, darunter Konformitätsbewertung, technische Dokumentation, Qualitätsmanagement und Beobachtung nach dem Inverkehrbringen. Quelle: Verordnung (EU) 2024/1689, Artikel 3
Was ist ein Betreiber eines KI-Systems nach dem EU AI Act?
Betreiber eines KI-Systems ist in Artikel 3(4) definiert als eine natürliche oder juristische Person, die ein KI-System unter ihrer Verantwortung verwendet, es sei denn, das KI-System wird im Rahmen einer persönlichen, nicht beruflichen Tätigkeit verwendet. Betreiber von Hochrisiko-KI-Systemen müssen die menschliche Aufsicht sicherstellen, Grundrechte-Folgenabschätzungen durchführen (Artikel 27) und die vom System generierten Protokolle mindestens sechs Monate lang aufbewahren (Artikel 26). Quelle: Verordnung (EU) 2024/1689, Artikel 3
Was ist ein Hochrisiko-KI-System?
Ein Hochrisiko-KI-System ist ein KI-System, das unter einen der in Anhang III des EU AI Act aufgeführten Anwendungsfälle fällt, darunter biometrische Identifizierung, Verwaltung kritischer Infrastrukturen, Beschäftigung und Personalmanagement, Zugang zu wesentlichen Diensten (Kreditwürdigkeitsprüfung), Strafverfolgung, Migration und Grenzkontrolle sowie Rechtspflege. Diese Systeme unterliegen sämtlichen Anbieter- und Betreiberpflichten nach Titel III, Kapitel 2 und Kapitel 3. Quelle: Verordnung (EU) 2024/1689, Anhang III
Häufig gestellte Fragen
Was ist der Unterschied zwischen einem Anbieter und einem Betreiber nach dem AI Act?
Nach Artikel 3 des EU AI Act (Verordnung 2024/1689) entwickelt ein Anbieter ein KI-System oder bringt es unter seinem eigenen Namen in Verkehr, während ein Betreiber ein KI-System unter seiner Verantwortung verwendet. Anbieter müssen Konformitätsbewertungen durchführen, technische Dokumentation zu 11 Bereichen nach Anhang IV führen, Qualitätsmanagementsysteme einrichten und die Beobachtung nach dem Inverkehrbringen durchführen. Betreiber müssen die menschliche Aufsicht sicherstellen, für bestimmte Anwendungsfälle Grundrechte-Folgenabschätzungen durchführen und systemgenerierte Protokolle mindestens sechs Monate lang aufbewahren. Quelle: Verordnung (EU) 2024/1689
Wann wird ein Betreiber nach dem EU AI Act zum Anbieter?
Artikel 25 des EU AI Act nennt drei Auslöser für eine Neueinstufung: (1) der Betreiber bringt seinen eigenen Namen oder seine Marke auf einem bereits in Verkehr befindlichen Hochrisiko-KI-System an, (2) der Betreiber nimmt eine wesentliche Änderung am System vor oder (3) der Betreiber ändert die Zweckbestimmung des Systems so, dass es zum Hochrisiko-System wird. Nach der Neueinstufung übernimmt der frühere Betreiber sämtliche Anbieterpflichten, einschliesslich Konformitätsbewertung und technischer Dokumentation. Quelle: Verordnung (EU) 2024/1689, Artikel 25
Welche Sanktionen drohen bei Verstössen gegen den EU AI Act?
Der EU AI Act sieht nach Artikel 99 ein gestaffeltes Sanktionssystem vor: bis zu 35 Mio. EUR oder 7 % des weltweiten Jahresumsatzes für verbotene KI-Praktiken (Verstösse gegen Artikel 5), bis zu 15 Mio. EUR oder 3 % für Verstösse gegen andere Anbieter- oder Betreiberpflichten und bis zu 7,5 Mio. EUR oder 1 % für die Übermittlung unrichtiger Informationen an Behörden. Für KMU und Start-ups gilt jeweils der niedrigere der beiden Beträge. Quelle: Verordnung (EU) 2024/1689, Artikel 99
Was ist eine Grundrechte-Folgenabschätzung (FRIA) nach dem AI Act?
Artikel 27 verpflichtet Betreiber von Hochrisiko-KI-Systemen in den Bereichen Beschäftigung, Kreditwürdigkeitsprüfung, wesentliche öffentliche Dienste und Strafverfolgung dazu, vor der Inbetriebnahme des Systems eine Grundrechte-Folgenabschätzung durchzuführen. Die FRIA muss die Prozesse des Betreibers, den Zeitraum und die Häufigkeit der Nutzung, die Kategorien der betroffenen Personen, die konkreten Risiken für die Grundrechte, die Massnahmen zur menschlichen Aufsicht sowie die zu ergreifenden Massnahmen bei Eintritt der Risiken beschreiben. Die Abschätzung muss der zuständigen Marktüberwachungsbehörde gemeldet werden. Quelle: Verordnung (EU) 2024/1689, Artikel 27
Welche technische Dokumentation müssen Anbieter von Hochrisiko-KI-Systemen führen?
Anhang IV des EU AI Act verpflichtet Anbieter, Dokumentation zu 11 Bereichen zu führen: (1) allgemeine Systembeschreibung, (2) detaillierte Beschreibung der Elemente und des Entwicklungsprozesses, (3) Informationen zu Beobachtung, Funktionsweise und Massnahme, (4) Beschreibung des Risikomanagementsystems, (5) Praktiken der Daten-Governance und -Verwaltung, (6) Beschreibung der Änderungen über den Lebenszyklus hinweg, (7) Leistungskennzahlen und Massnahmen zur Robustheit, (8) Cybersicherheitsmassnahmen, (9) Beschreibung des Qualitätsmanagementsystems, (10) Beschreibung des Konformitätsbewertungsverfahrens und (11) EU-Konformitätserklärung. Quelle: Verordnung (EU) 2024/1689, Anhang IV
Wie wirkt sich der EU AI Act auf Schweizer Organisationen aus?
Nach Artikel 2 hat der EU AI Act extraterritoriale Reichweite. Er gilt für Anbieter, die KI-Systeme auf dem EU-Markt in Verkehr bringen, unabhängig vom Niederlassungsort, sowie für Betreiber mit Sitz in der EU. Er erfasst zudem Anbieter und Betreiber in Drittstaaten, wenn das Ergebnis des KI-Systems in der EU verwendet wird. Schweizer Organisationen, die KI-Systeme einsetzen, deren Ergebnisse Personen mit Sitz in der EU betreffen, etwa bei der Personalbeschaffung, bei Kreditentscheidungen oder im Kundendienst, müssen die geltenden Betreiberpflichten erfüllen. Laut dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) sollten Schweizer Unternehmen angesichts der engen wirtschaftlichen Verflechtung zwischen der Schweiz und der EU ihre AI-Act-Betroffenheit proaktiv prüfen.
Zeitplan zur EU-AI-Act-Compliance
| Datum | Meilenstein | Betroffene |
|---|---|---|
| 02.02.2025 | Verbot verbotener KI-Praktiken tritt in Kraft (Artikel 5) | Alle Akteure |
| 02.08.2025 | Pflichten für KI-Modelle mit allgemeinem Verwendungszweck gelten (Kapitel V) | Anbieter von GPAI |
| 02.08.2026 | Sämtliche Hochrisiko-KI-Pflichten gelten (Systeme nach Anhang III) | Anbieter & Betreiber von Hochrisiko-KI |
| 02.08.2027 | Pflichten für Hochrisiko-KI nach Anhang I (EU-Harmonisierungsrechtsvorschriften) | Anbieter von Systemen nach Anhang I |
Vergleich der Pflichten von Anbietern und Betreibern
| Pflicht | Anbieter | Betreiber |
|---|---|---|
| Konformitätsbewertung | Vor dem Inverkehrbringen erforderlich | Nicht erforderlich |
| Technische Dokumentation (Anhang IV) | Muss zu 11 Bereichen erstellt und geführt werden | Muss Zugang zur Anbieterdokumentation haben |
| Qualitätsmanagementsystem | Erforderlich (Artikel 17) | Nicht erforderlich |
| Beobachtung nach dem Inverkehrbringen | Erforderlich (Artikel 72) | Nicht erforderlich |
| Grundrechte-Folgenabschätzung | Nicht erforderlich | Für bestimmte Anwendungsfälle erforderlich (Artikel 27) |
| Menschliche Aufsicht | Muss auf menschliche Aufsicht ausgelegt sein | Muss die menschliche Aufsicht umsetzen und sicherstellen |
| Protokollaufbewahrung | Muss die automatische Protokollierung ermöglichen | Muss Protokolle mindestens 6 Monate aufbewahren |
| Meldung schwerwiegender Vorfälle | Erforderlich (Artikel 73) | Erforderlich (Artikel 26(5)) |
| Registrierung in der EU-Datenbank | Erforderlich (Artikel 49) | Für bestimmte Anwendungsfälle erforderlich (Artikel 49) |
Statistiken und Branchenkontext
Laut einer IAPP-Umfrage zur KI-Governance aus dem Jahr 2024 verfügen trotz des wachsenden regulatorischen Drucks nur 30 % der Organisationen über einen formalen KI-Governance-Rahmen. Der EU AI Act ist die weltweit erste umfassende KI-Regulierung und erfasst nach Schätzungen aus der Folgenabschätzung der Europäischen Kommission schätzungsweise 6'000 bis 7'000 bereits in der EU eingesetzte Hochrisiko-KI-Systeme. Der Bericht der ENISA zur KI-Bedrohungslandschaft 2024 hebt hervor, dass Lieferkettenrisiken bei KI-Systemen zu den grössten Sorgen von Organisationen zählen, die KI von Dritten einsetzen, was die Notwendigkeit unterstreicht, dass Betreiber eine robuste Lieferantenaufsicht aufrechterhalten. Quelle: ENISA AI Security
Der EU AI Act (Verordnung 2024/1689) trat am 01.08.2024 in Kraft. Wie die Europäische Kommission feststellt, ist «der AI Act der weltweit erste umfassende Rechtsrahmen für KI, der die Risiken von KI adressiert und Europa in die Lage versetzt, eine weltweit führende Rolle einzunehmen.»
