← Vetro Attest · KI-Bußgeldrechner · Hochrisiko-Check · Dokumentenpaket
KI-Verordnung Art. 26: Betreiberpflichten
*Technische Orientierung, keine Rechtsberatung.*
Die meisten deutschen Unternehmen entwickeln keine KI-Systeme, sie setzen sie ein: ein Bewerber-Screening vom HR-Softwareanbieter, ein Scoring-Modul im Kernbankensystem, ein Agent im Kundenservice. Die Verordnung nennt sie "Betreiber" (englisch *deployer*), und Art. 26 gibt ihnen eigene Pflichten, die nicht an den Anbieter delegiert werden können.
Die Pflichten im Überblick
| Absatz | Pflicht | Was Sie konkret tun |
|---|---|---|
| 1 | Nutzung gemäß Betriebsanleitung | Anleitung des Anbieters anfordern, Einsatz daran ausrichten |
| 2 | Menschliche Aufsicht durch kompetente Personen | Verantwortliche benennen, schulen (Art. 4), mit Befugnis ausstatten |
| 4 | Eingabedaten relevant und repräsentativ, soweit Sie sie kontrollieren | Datenqualität der eigenen Eingaben prüfen |
| 5 | Betrieb überwachen, Risiken und schwerwiegende Vorfälle melden | Monitoring einrichten, Meldeweg an Anbieter und Behörde festlegen |
| 6 | Automatisch erzeugte Protokolle mindestens sechs Monate aufbewahren | Protokolle unter eigener Kontrolle sichern |
| 7 | Arbeitnehmervertreter und Betroffene vor Einsatz am Arbeitsplatz informieren | Betriebsrat einbinden, Beschäftigte informieren |
| 11 | Betroffene informieren, wenn Entscheidungen über sie mit Hochrisiko-KI getroffen werden | Hinweis in Bescheid, Absage oder Vertrag |
Öffentliche Stellen und bestimmte private Betreiber (Kreditwürdigkeit, Lebens- und Krankenversicherung) müssen zusätzlich eine Grundrechte-Folgenabschätzung nach Art. 27 durchführen.
Die Falle bei Abs. 6: Wessen Protokolle?
Die Protokollierung baut der Anbieter ein (Art. 12). Aufbewahren müssen Sie sie, soweit sie Ihrer Kontrolle unterliegen. Läuft das System als SaaS beim Anbieter, liegen die Protokolle dort. Im Streitfall haben Sie dann nur, was der Anbieter herausgibt, und können nicht zeigen, dass es vollständig ist. Klären Sie im Vertrag, dass Sie Protokolle exportieren können, in einem Format, dessen Integrität sich unabhängig prüfen lässt.
Deutsche Besonderheiten
- Betriebsrat: Abs. 7 ergänzt das Mitbestimmungsrecht nach § 87 Abs. 1 Nr. 6 BetrVG, es ersetzt es nicht. Praktisch heißt das: Betriebsvereinbarung vor Inbetriebnahme.
- Datenschutz: Die Protokolle enthalten meist personenbezogene Daten. Die Aufbewahrungspflicht aus Abs. 6 ist eine rechtliche Verpflichtung im Sinne von Art. 6 Abs. 1 lit. c DSGVO; Löschkonzept und Verarbeitungsverzeichnis sollten sie ausdrücklich nennen.
- Finanzsektor: Für Kreditinstitute gelten Teile der Überwachungspflicht als erfüllt, wenn die Governance-Regeln des Bankaufsichtsrechts eingehalten werden (Abs. 5 Unterabs. 2).
Was ein Verstoß kostet
Pflichtverletzungen von Betreibern können mit bis zu 15 Mio. Euro oder 3 % des weltweiten Jahresumsatzes geahndet werden (Art. 99). Ihren konkreten Rahmen zeigt der KI-Bußgeldrechner.
Wie hoch wäre das Bußgeld in Ihrem Fall? Kostenlos im KI-Bußgeldrechner berechnen. Grundrechte-Folgenabschätzung (Art. 27), Entwurf der technischen Dokumentation (Anhang IV), KI-Kompetenzplan (Art. 4) und Hinweise nach Art. 50, aus Ihren Angaben erstellt und signiert: das EU-AI-Act-Dokumentenpaket auf Deutsch für 99 USD.