Das Wichtigste auf einen Blick: Pflichten von Anbietern und Betreibern nach dem EU AI Act
Der EU AI Act (Verordnung EU 2024/1689) weist je nachdem, ob eine Organisation als Anbieter (Artikel 3(3)) oder als Betreiber (Artikel 3(4)) eines KI-Systems eingestuft wird, unterschiedliche Compliance-Pflichten zu. Anbieter tragen vorgelagerte Verantwortlichkeiten, darunter Konformitätsbewertungen, Qualitätsmanagementsysteme und die Registrierung in der EU-Datenbank. Betreiber müssen die menschliche Aufsicht, Grundrechte-Folgenabschätzungen und die Meldung von Vorfällen sicherstellen. Konzerne mit mehreren Gesellschaften halten häufig über Tochtergesellschaften hinweg beide Rollen gleichzeitig, was eine zentralisierte Compliance-Orchestrierung erfordert.
Was ist ein Anbieter eines KI-Systems nach dem EU AI Act?
Der Anbieter eines KI-Systems wird in Artikel 3(3) der Verordnung (EU) 2024/1689 definiert als eine natürliche oder juristische Person, die ein KI-System oder ein KI-Modell mit allgemeinem Verwendungszweck entwickelt und unter ihrem eigenen Namen oder ihrer Marke in Verkehr bringt oder in Betrieb nimmt. Anbieter von Hochrisiko-KI-Systemen müssen die Artikel 8 bis 17 einhalten, darunter Risikomanagement, Daten-Governance, technische Dokumentation, Transparenz, Gestaltung der menschlichen Aufsicht, Genauigkeit, Robustheit und Cybersicherheit. Quelle: EUR-Lex, Verordnung (EU) 2024/1689
Was ist ein Betreiber eines KI-Systems nach dem EU AI Act?
Der Betreiber eines KI-Systems wird in Artikel 3(4) der Verordnung (EU) 2024/1689 definiert als eine natürliche oder juristische Person, die ein KI-System unter ihrer Verantwortung einsetzt, ausser wenn das KI-System im Rahmen einer persönlichen, nicht beruflichen Tätigkeit verwendet wird. Betreiber von Hochrisiko-KI-Systemen müssen Artikel 26 einhalten, der die menschliche Aufsicht durch geschultes Personal, die Überwachung der Relevanz der Eingabedaten, die Aufbewahrung von Aufzeichnungen und die Information betroffener natürlicher Personen verlangt. Für bestimmte Anwendungsfälle (Beschäftigung, Kreditwürdigkeit) müssen Betreiber zudem Grundrechte-Folgenabschätzungen nach Artikel 27 durchführen. Quelle: EUR-Lex, Verordnung (EU) 2024/1689
Was ist eine Grundrechte-Folgenabschätzung (FRIA) nach Artikel 27?
Eine Grundrechte-Folgenabschätzung ist nach Artikel 27 des EU AI Act für Betreiber von Hochrisiko-KI-Systemen erforderlich, die in der Beschäftigung, der Arbeitnehmerverwaltung, beim Zugang zu wesentlichen Diensten oder bei der Bewertung der Kreditwürdigkeit eingesetzt werden. Die FRIA muss die Auswirkungen auf die Grundrechte betroffener Personen bewerten, Schutzmassnahmen beschreiben und abgeschlossen sein, bevor das Hochrisiko-KI-System in Betrieb genommen wird. Quelle: EUR-Lex, Verordnung (EU) 2024/1689
Was ist ein Qualitätsmanagementsystem (QMS) nach Artikel 17?
Ein Qualitätsmanagementsystem nach Artikel 17 des EU AI Act ist ein dokumentierter Satz von Richtlinien, Verfahren und Anweisungen, den Anbieter von Hochrisiko-KI-Systemen einrichten und unterhalten müssen. Das QMS muss Risikomanagement, Überwachung nach dem Inverkehrbringen, Datenmanagement, Aufzeichnungsführung, Ressourcenmanagement, Rechenschaftsrahmen und die Kommunikation mit den zuständigen Behörden abdecken. Quelle: EUR-Lex, Verordnung (EU) 2024/1689
Pflichten von Anbietern und Betreibern: Vergleichstabelle
| Pflicht | Anbieter (Artikel 16) | Betreiber (Artikel 26) |
|---|
| Risikomanagementsystem | Erforderlich (Artikel 9) | Nicht zur Einrichtung verpflichtet; muss das System bestimmungsgemäss verwenden |
| Daten-Governance | Erforderlich (Artikel 10) | Muss die Relevanz der Eingabedaten sicherstellen |
| Technische Dokumentation | Erforderlich (Anhang IV: 11 Bereiche) | Muss die vom System erzeugten Protokolle aufbewahren |
| Konformitätsbewertung | Erforderlich (Artikel 43) | Nicht erforderlich |
| Registrierung in der EU-Datenbank | Erforderlich (Artikel 49) | Erforderlich für bestimmte Betreiber (Artikel 49(3)) |
| Qualitätsmanagementsystem | Erforderlich (Artikel 17) | Nicht erforderlich |
| Menschliche Aufsicht | Muss für menschliche Aufsicht ausgelegt sein (Artikel 14) | Muss menschliche Aufsicht mit geschultem Personal umsetzen (Artikel 26(2)) |
| Grundrechte-Folgenabschätzung | Nicht erforderlich | Erforderlich bei Beschäftigung, Kreditwürdigkeitsprüfung, wesentlichen Diensten (Artikel 27) |
| Meldung von Vorfällen | Erforderlich (Artikel 62) | Erforderlich bei schwerwiegenden Vorfällen (Artikel 26(5)) |
| Überwachung nach dem Inverkehrbringen | Erforderlich (Artikel 72) | Muss die Leistung überwachen und Fehlfunktionen melden |
| Sanktionen (maximal) | Bis zu 35 Mio. EUR oder 7 % des weltweiten Umsatzes | Bis zu 15 Mio. EUR oder 3 % des weltweiten Umsatzes |
Wichtige Statistiken zur AI-Act-Compliance
Gemäss dem EU AI Act (Verordnung EU 2024/1689) können Sanktionen für verbotene KI-Praktiken 35 Mio. EUR oder 7 % des weltweiten Jahresumsatzes erreichen, je nachdem, welcher Betrag höher ist, und übersteigen damit den DSGVO-Höchstbetrag von 20 Mio. EUR oder 4 %. Der Act benennt 8 Kategorien verbotener KI-Praktiken (Artikel 5) und definiert Hochrisiko-Systeme über 8 Bereiche in Anhang III. Die technische Dokumentation von Anbietern muss 11 verschiedene Bereiche gemäss Anhang IV abdecken. Laut einer IAPP-Umfrage von 2024 hatten bis Mitte 2024 weniger als 30 % der Organisationen formelle KI-Governance-Programme begonnen, was die Dringlichkeit der Compliance-Vorbereitung vor der Frist im August 2026 für die Pflichten bei Hochrisiko-Systemen unterstreicht. Quelle: IAPP
Häufig gestellte Fragen
Was ist der Unterschied zwischen einem Anbieter und einem Betreiber nach dem AI Act?
Nach dem EU AI Act (Verordnung EU 2024/1689) ist ein Anbieter die Organisation, die ein KI-System entwickelt oder in Verkehr bringt (Artikel 3(3)), während ein Betreiber die Organisation ist, die ein KI-System unter ihrer Verantwortung einsetzt (Artikel 3(4)). Anbieter tragen schwerere Pflichten, darunter Konformitätsbewertungen, Qualitätsmanagementsysteme und die Registrierung in der EU-Datenbank. Betreiber müssen die menschliche Aufsicht sicherstellen, für Hochrisiko-Systeme Grundrechte-Folgenabschätzungen durchführen und die Leistung des KI-Systems überwachen. Quelle: EUR-Lex
Was sind die wichtigsten Pflichten von Anbietern nach dem AI Act gemäss Artikel 16?
Anbieter von Hochrisiko-KI-Systemen nach dem AI Act müssen ein Qualitätsmanagementsystem einrichten (Artikel 17), technische Dokumentation führen, die 11 Bereiche gemäss Anhang IV abdeckt, die Konformitätsbewertung sicherstellen (Artikel 43), Systeme in der EU-Datenbank registrieren (Artikel 49), ein Risikomanagement umsetzen (Artikel 9) und eine Überwachung nach dem Inverkehrbringen durchführen. Anbieter müssen ausserdem sicherstellen, dass ihre Systeme die Anforderungen an Genauigkeit, Robustheit und Cybersicherheit erfüllen, bevor sie in Verkehr gebracht werden. Quelle: EUR-Lex
Was sind die wichtigsten Pflichten von Betreibern nach dem AI Act gemäss Artikel 26?
Betreiber von Hochrisiko-KI-Systemen müssen kompetente Personen für die menschliche Aufsicht benennen (Artikel 14), die Systemleistung überwachen, für Anwendungsfälle im Beschäftigungsbereich und bei der Kreditwürdigkeitsprüfung Grundrechte-Folgenabschätzungen durchführen (Artikel 27), betroffene Personen informieren und schwerwiegende Vorfälle an die Aufsichtsbehörden melden. Betreiber müssen zudem sicherstellen, dass die Eingabedaten relevant und repräsentativ sind. Quelle: EUR-Lex
Kann eine Organisation nach dem AI Act sowohl Anbieter als auch Betreiber sein?
Ja. Nach Artikel 25 des EU AI Act kann eine Organisation über verschiedene KI-Systeme oder Tochtergesellschaften hinweg sowohl als Anbieter als auch als Betreiber eingestuft werden. So kann ein Konzern beispielsweise ein KI-System in einer Tochtergesellschaft entwickeln (Anbieter) und es in einer anderen einsetzen (Betreiber). Jede Gesellschaft muss die Pflichten erfüllen, die ihrer Rolle für das jeweilige KI-System entsprechen. Diese doppelte Einstufung ist in Konzernen mit mehreren Gesellschaften üblich und erfordert eine zentralisierte Compliance-Nachverfolgung. Quelle: EUR-Lex
Wann treten die Pflichten des EU AI Act in Kraft?
Der EU AI Act ist am 1. August 2024 in Kraft getreten. Verbotene KI-Praktiken gelten ab dem 2. Februar 2025. Die Pflichten für KI-Modelle mit allgemeinem Verwendungszweck gelten ab dem 2. August 2025. Die meisten Pflichten für Hochrisiko-KI-Systeme von Anbietern und Betreibern gelten ab dem 2. August 2026, wobei für bestimmte Hochrisiko-Systeme nach Anhang I eine Frist bis zum 2. August 2027 gilt. Organisationen sollten mit der Compliance-Vorbereitung deutlich vor diesen Fristen beginnen. Quelle: EUR-Lex
Welche Sanktionen drohen bei Verstössen gegen den EU AI Act?
Sanktionen bei Verstössen gegen den EU AI Act können bei verbotenen KI-Praktiken bis zu 35 Mio. EUR oder 7 % des weltweiten Jahresumsatzes erreichen, bis zu 15 Mio. EUR oder 3 % bei sonstigen Verstössen und bis zu 7,5 Mio. EUR oder 1,5 % bei der Übermittlung falscher Informationen. Damit zählen sie zu den höchsten regulatorischen Bussgeldern im EU-Recht und übersteigen die Höchstbeträge der DSGVO. KMU und Start-ups können verhältnismässige Sanktionen erhalten. Quelle: EUR-Lex
Wie wirkt der AI Act mit der DSGVO zusammen?
Der EU AI Act gilt neben der DSGVO und ersetzt sie nicht. KI-Systeme, die personenbezogene Daten verarbeiten, müssen beide Frameworks gleichzeitig einhalten. Artikel 10 des AI Act verweist ausdrücklich auf die DSGVO-Anforderungen an Trainingsdaten. Betreiber, die Grundrechte-Folgenabschätzungen nach Artikel 27 durchführen, sollten diese mit ihren bestehenden Datenschutz-Folgenabschätzungen (DSFA) nach der DSGVO gemäss Artikel 35 DSGVO abstimmen. Organisationen, die bereits Prozesse für das Verarbeitungsverzeichnis und die DSFA unterhalten, können bestehende Governance-Strukturen für die AI-Act-Compliance nutzen.
Wie unterstützt Priverion bei der AI-Act-Compliance für Konzerne mit mehreren Gesellschaften?
Priverion bietet ein zentrales KI-Register zur Einstufung jedes KI-Systems als Anbieter, Betreiber oder beides über Tochtergesellschaften hinweg. Die Schweiz-gehostete Plattform umfasst KI-unterstützte Vorlagen für DSFA und Grundrechte-Folgenabschätzungen, die auf die Artikel 9 und 27 ausgerichtet sind, eine Nachverfolgung der menschlichen Aufsicht mit automatisierter Rezertifizierung, gesellschaftsübergreifende Compliance-Dashboards und eine Dokumentation des Qualitätsmanagementsystems, die bestehende ISO-27001- und ISO-27701-Massnahmen auf die Anforderungen des AI Act abbildet. Alle Daten werden innerhalb der Schweizer Infrastruktur verarbeitet, ohne dass Kundendaten für das Training von KI-Modellen verwendet werden.
