Ein Betreiber unter dem EU AI Act ist eine natürliche oder juristische Person, Behörde, Einrichtung oder sonstige Stelle, die ein AI-System unter ihrer eigenen Verantwortung verwendet — also die Organisation, die ein AI-Tool in ihren Abläufen einsetzt. Die einzige Ausnahme betrifft die Nutzung im Rahmen einer persönlichen, nicht beruflichen Tätigkeit, die außerhalb der Definition liegt. In der Praxis sind die meisten Organisationen, die AI-Tools von Drittanbietern einführen, Betreiber: Wenn Ihr Unternehmen ein AI-System einsetzt, um seine Arbeit zu erledigen, sind Sie mit hoher Wahrscheinlichkeit ein Betreiber im Sinne des Gesetzes.
Dieser Artikel ist eine informative Erläuterung und keine Rechtsberatung. Er beschreibt, wie der EU AI Act die Rolle des Betreibers fasst, damit Teams verstehen, wo sie in der Verordnung stehen. Ob eine bestimmte Pflicht auf Ihre Organisation zutrifft, ist eine Frage für qualifizierte rechtliche Beratung.
Die rechtliche Definition
Der EU AI Act definiert die von ihm regulierten Rollen in Artikel 3. Nach Artikel 3 Absatz 4 ist ein Betreiber:
eine natürliche oder juristische Person, Behörde, Einrichtung oder sonstige Stelle, die ein AI-System in eigener Verantwortung verwendet, es sei denn, das AI-System wird im Rahmen einer persönlichen und nicht beruflichen Tätigkeit verwendet.
Zwei Teile dieser Definition sind entscheidend. Der erste ist „ein AI-System in eigener Verantwortung verwendet" — der Betreiber ist die Partei, die die Nutzung des Systems steuert und entscheidet, es für einen bestimmten Zweck einzusetzen. Der zweite ist die Ausnahme für persönliche, nicht berufliche Tätigkeiten — eine Einzelperson, die zu Hause mit einem AI-Chatbot experimentiert, ist kein Betreiber, doch dieselbe Person, die dasselbe Tool im Rahmen ihrer Arbeit nutzt, bringt ihren Arbeitgeber in den Anwendungsbereich.
Die praktische Konsequenz ist weitreichend. Wenn ein Unternehmen einen Assistenten eines Drittanbieters, ein Modell für den Kundenservice, ein Tool zur Bewerberauswahl oder eine in gekaufte Software eingebettete AI-Funktion einsetzt, verwendet es dieses System in eigener Verantwortung. Es wird zum Betreiber, obwohl es das zugrunde liegende Modell nicht selbst entwickelt hat.
Betreiber vs. Anbieter
Der Betreiber ist eine von mehreren Akteursrollen, die das Gesetz definiert, und er wird am häufigsten mit dem Anbieter verwechselt. Die Unterscheidung ist grundlegend dafür, wie Verantwortung zugewiesen wird.
Ein Anbieter entwickelt ein AI-System — oder lässt es entwickeln — und bringt es unter seinem eigenen Namen oder seiner eigenen Marke in Verkehr oder nimmt es in Betrieb. Der Anbieter baut das System und ist dafür verantwortlich, wie es entworfen, dokumentiert und einer Konformitätsbewertung unterzogen wird.
Ein Betreiber hingegen verwendet ein von jemand anderem gebautes System. Er erstellt das Modell nicht, sondern wendet ein bestehendes auf seine eigenen Abläufe an. Das typische Verhältnis ist eine Kette: Ein Anbieter baut das System und bietet es an, und ein Betreiber übernimmt und nutzt es.
Wenn ein Betreiber zum Anbieter wird
Die Grenze ist nicht dauerhaft. Nach Artikel 25 kann ein Betreiber in mehreren Situationen die Pflichten eines Anbieters für ein Hochrisiko-AI-System übernehmen — insbesondere dann, wenn er seinen eigenen Namen oder seine eigene Marke auf einem bereits im Verkehr befindlichen Hochrisiko-System anbringt oder wenn er eine wesentliche Veränderung an einem solchen System vornimmt, sodass es weiterhin ein Hochrisiko-System bleibt. In diesen Fällen hat der Betreiber faktisch die Verantwortung für das Verhalten des Systems übernommen und erbt die schwereren Anbieterpflichten, die daraus folgen. Dieser Übergang ist wichtig, weil ein Betreiber, der ein Hochrisiko-System anpasst oder umbenennt, unbemerkt in die Rolle des Anbieters wechseln kann.
Die Pflichten des Betreibers
Die Pflichten eines Betreibers sind leichter als die eines Anbieters, aber real, und sie konzentrieren sich auf die verantwortungsvolle Nutzung eines Systems statt auf dessen Entwicklung. Insbesondere für Hochrisiko-AI-Systeme umfassen die Pflichten, die typischerweise auf Betreiber zutreffen:
Das System bestimmungsgemäß verwenden
Betreiber müssen ein Hochrisiko-AI-System gemäß den vom Anbieter bereitgestellten Betriebsanleitungen verwenden. Ein System außerhalb seines dokumentierten Zwecks zu betreiben, ist eine der Weisen, wie ein Betreiber den Schutz der Konformitätsbewertung des Anbieters verlieren kann.
Menschliche Aufsicht sicherstellen
Betreiber müssen die menschliche Aufsicht Personen übertragen, die über die Kompetenz, die Befugnis und die nötige Unterstützung verfügen, um sie auszuüben. Die Aufsicht, die der Anbieter in ein Hochrisiko-System einbaut, wirkt nur, wenn der Betreiber sie in der Praxis besetzt und befähigt.
Den Betrieb überwachen und Protokolle aufbewahren
Betreiber müssen den Betrieb des Systems anhand seiner Anleitungen überwachen und handeln, wo die Nutzung ein Risiko darstellen kann. Sie müssen außerdem die vom System automatisch erzeugten Protokolle aufbewahren, soweit diese ihrer Kontrolle unterliegen — die Aufzeichnung, die eine spätere Prüfung und Rechenschaft erst möglich macht.
Betroffene Personen informieren
Wo erforderlich, müssen Betreiber die von einem Hochrisiko-System betroffenen Personen darüber informieren, dass sie dessen Nutzung unterliegen, und — in relevanten Kontexten wie am Arbeitsplatz — Beschäftigte und ihre Vertretungen informieren, bevor das System in Betrieb genommen wird.
Die Transparenzpflicht nach Artikel 50 Absatz 4
Die für den Betrieb einer Website relevanteste Pflicht ist die Transparenzpflicht nach Artikel 50. Nach Artikel 50 Absatz 4 muss ein Betreiber, der ein AI-System verwendet, um Bild-, Audio- oder Videoinhalte zu erzeugen oder zu manipulieren, die ein Deepfake darstellen, offenlegen, dass der Inhalt künstlich erzeugt oder manipuliert wurde. Eine entsprechende Pflicht gilt für AI-erzeugten oder manipulierten Text, der veröffentlicht wird, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren, und der ebenfalls als AI-erzeugt offengelegt werden muss.
Für jede Organisation, die AI-gestützte Medien oder Texte veröffentlicht, ist dies eine konkrete Kennzeichnungspflicht. Die praktische Antwort besteht darin, AI-erzeugte Inhalte offenzulegen — klar und konsistent zum Zeitpunkt der Veröffentlichung, sodass die Transparenzpflicht standardmäßig erfüllt wird und nicht von Fall zu Fall. Eine ausführlichere Darstellung der Pflicht finden Sie im Hilfe-Leitfaden zu Artikel 50.
Wie der Betreiber zu den anderen Akteuren steht
Das Gesetz reguliert eine Lieferkette von Rollen, nicht einen einzelnen Akteur. Neben dem Betreiber und dem Anbieter stehen Einführer, Händler und Produkthersteller — zusammen die Akteure, die die Verordnung definiert. Jeder trägt Pflichten, die darauf abgestimmt sind, wie viel Kontrolle er über das System hat.
Der Anbieter steht am Anfang der Kette und ist dafür verantwortlich, ein konformes System zu bauen. Der Betreiber steht am Punkt der Nutzung und ist dafür verantwortlich, es bestimmungsgemäß zu betreiben und transparent damit umzugehen. Weil der Betreiber den letztlich betroffenen Personen am nächsten steht, sind seine Pflichten — Aufsicht, Überwachung und Offenlegung — diejenigen, die die reale Erfahrung mit einem AI-System prägen, obwohl der Betreiber selbst keine Zeile des Modells geschrieben hat.
Ein vollständigeres Bild davon, wie diese Rollen zusammenpassen und welche Risikostufe gilt, bieten der Glossareintrag zum EU AI Act und der praxisnahe Leitfaden zum EU AI Act.
