Definition: KI-Betreiber
Ein KI-Betreiber ist eine natürliche oder juristische Person, Behörde, Einrichtung oder sonstige Stelle, die ein KI-System unter eigener Verantwortung in einem beruflichen Kontext verwendet, so definiert in Artikel 3 Nummer 4 der EU-KI-Verordnung.
Kernmerkmale von KI-Betreiber
Die Betreiberrolle bemisst sich an der Nutzung, nicht an der Entwicklung. Ein Unternehmen wird zum Betreiber, sobald es ein System operativ einsetzt.
- Nutzt ein KI-System unter eigener Verantwortung, ausserhalb rein persönlicher Tätigkeit
- Eigenständige Rechtsrolle gegenüber dem Anbieter, beide Rollen können in einer Organisation zusammenfallen
- Pflichtenumfang richtet sich nach der Risikoklassifikation des Systems
- Verantwortlich für die tatsächliche Nutzung, nicht für die Konstruktion des Systems
KI-Betreiber vs. KI-Anbieter
Der Anbieter entwickelt ein KI-System oder lässt es entwickeln und bringt es unter eigenem Namen in Verkehr. Der Betreiber setzt dieses System anschliessend unter eigener Verantwortung ein. Ein Speditionsunternehmen, das ein Tool zur Routenoptimierung kauft, ist Betreiber; der Softwareanbieter ist Provider. Anbieter dokumentieren die Konformität; Betreiber müssen das System im dokumentierten Rahmen und mit menschlicher Aufsicht einsetzen.
Bedeutung von KI-Betreiber im Enterprise-KI-Umfeld
Die meisten Mittelstandsunternehmen entwickeln keine eigenen KI-Systeme, sondern lizenzieren sie - damit ist Betreiberstatus die Standardrolle fast jedes Unternehmens. Eine Secure-Privacy-Umfrage ergab, dass 78 % der Organisationen bis April 2026 keine wesentlichen Compliance-Schritte unternommen hatten und über die Hälfte kein Grundverzeichnis ihrer KI-Systeme führte.
Methoden und Verfahren für KI-Betreiber
Drei Schritte setzen die Betreiberrolle in der Praxis um.
Rollen- und Systemverzeichnis
Zuerst muss ein Unternehmen wissen, welche Systeme es einsetzt, und seine Rolle je System klären.
- Alle genutzten KI-Systeme erfassen, auch KI-Funktionen in gekaufter Software
- Für jedes System klären: Anbieter, Betreiber oder beides
- Systeme gegen Anhang III abgleichen, um Hochrisiko-KI-Systeme zu erkennen
Aufsichts- und Überwachungsdesign
Artikel 26 verlangt von Betreibern von Hochrisikosystemen, die Aufsicht geschulten Mitarbeitenden zuzuweisen und den Betrieb anhand der Anbieteranweisungen zu überwachen - das überschneidet sich mit bestehenden KI-Governance-Strukturen.
Protokollierung und Vorfallmeldung
Betreiber müssen die automatisch erzeugten Protokolle eines Hochrisikosystems mindestens sechs Monate aufbewahren und den Anbieter unverzüglich über schwerwiegende Vorfälle informieren, unabhängig von der Konformitätsbewertung, die Sache des Anbieters bleibt.
Wichtige Kennzahlen für KI-Betreiber
Die Betreiber-Readiness lässt sich über Dokumentation, Aufsicht und Prüfrisiko messen.
Operative Compliance-Kennzahlen
- Verzeichnisabdeckung: Anteil der Systeme mit bestätigter Rollenklassifikation
- Hochrisiko-Abgleich: Anteil der gegen Anhang III geprüften Systeme
- Protokoll-Aufbewahrung: Anteil der Hochrisikosysteme mit aktiver Sechs-Monats-Protokollierung
Strategische Kennzahlen
Die Geschäftsführung sollte verfolgen, wie stark die Betreiberpflichten von der Mitwirkung der Lieferanten abhängen. Gartner erwartet, dass Ausgaben für KI-Data-Governance-Tools 2026 auf 492 Millionen US-Dollar steigen und bis 2030 die Marke von 1 Milliarde US-Dollar überschreiten.
Qualitätskennzahlen für Lieferantendokumentation
Betreiber sollten jeden Anbieter danach bewerten, ob Dokumentation tatsächlich und aktuell geliefert wird, da Lücken hier das Compliance-Risiko auf den Betreiber verlagern.
Risikofaktoren und Kontrollen bei KI-Betreiber
Anbieter-Konformität mit Betreiber-Compliance verwechseln
Der häufigste Fehler ist, die Konformitätskennzeichnung des Anbieters als Beleg für eine konforme Nutzung zu werten. Sie deckt ab, wie das System gebaut wurde - nicht, wie ein konkretes Unternehmen es einsetzt.
- Rolle und Pflichten bei jeder Erweiterung des Anwendungsfalls neu prüfen
- Schriftliche Aufzeichnung der Nutzungsanweisungen führen, abgeglichen mit der tatsächlichen Nutzung
Schwache Kontrolle der Eingabedaten
Wo ein Betreiber die Kontrolle über die Eingabedaten eines Hochrisikosystems hat, etwa Personalunterlagen in einem Bewerbungstool, verlangt Artikel 26 relevante und repräsentative Daten. Schwache Datenqualität vor dem KI-System schafft Betreiberrisiko, selbst wenn das Modell vom Anbieter zertifiziert ist.
KI-Haftung unterschätzen
Betreiber, die Artikel-26-Pflichten verfehlen, tragen ein eigenständiges Durchsetzungsrisiko, unabhängig von der Haftung des Anbieters für das Systemdesign. Behörden können ein System bis zur Nachbesserung aus der Nutzung des Betreibers nehmen.
Praxisbeispiel
Ein 220-Personen-Speditionsunternehmen in Nordrhein-Westfalen lizenzierte ein KI-System eines Drittanbieters zur automatisierten Vorauswahl von Fahrerbewerbungen. Vor der Prüfung der Betreiberpflichten gab es keine schriftliche Zuständigkeit für die Ablehnungsentscheidungen des Tools und keine Protokoll-Aufbewahrung. Ein Compliance-Sprint ordnete das Tool Anhang III zu, bestätigte den Hochrisikostatus und benannte eine geschulte Personalleiterin als verantwortliche Aufsichtsperson.
- Schriftliche Aufsichtszuweisung mit benannter Prüfperson für jede automatisierte Vorauswahl
- Sechs-Monats-Protokollierung direkt in der Admin-Konsole des Anbieters eingerichtet
- Quartalsweise Prüfung der Anbieteranweisungen gegen den tatsächlichen Einstellungsprozess
- Eskalationsweg zum Anbieter für jeden gemeldeten Vorfall definiert
Aktuelle Entwicklungen und Auswirkungen
Betreiberpflichten werden mit den Fristen von 2026 von der Theorie zur täglichen Praxis.
Die Digital-Omnibus-Verschiebung
Das im Mai 2026 politisch vereinbarte Digital-Omnibus-Paket der Kommission verschob die Anwendung der eigenständigen Hochrisikosysteme nach Anhang III vom 2. August 2026 auf den 2. Dezember 2027.
- Artikel-50-Transparenz und Artikel-26-Betreiberpflichten bleiben auf dem ursprünglichen Datum
- Eine neue Small-Mid-Cap-Kategorie (bis 750 Mitarbeitende) erhält vereinfachte Vorlagen
Lieferantenverträge übernehmen Betreiberklauseln
Enterprise-Softwareanbieter bündeln zunehmend Betreiberunterstützung direkt im Vertrag: Nutzungsanweisungen, Protokoll-Export und Vorfallmeldekanäle als Standardleistung.
DACH-Regulierungsleitfäden reifen
Bitkoms Umsetzungsleitfaden zur KI-Verordnung und BSI-Hinweise für Betreiber von KI-Systemen laufen auf eine gemeinsame Botschaft hinaus: Die Betreiberrolle trägt Pflichten, die sich nicht allein an die Lieferantenbeziehung delegieren lassen.
Fazit
Die Rolle des KI-Betreibers ist keine abstrakte Rechtskategorie, sondern die Standardposition jedes Unternehmens, das KI-Systeme eines Dritten lizenziert. Die Pflichten aus Artikel 26 gelten seit August 2026, unabhängig davon, wie der Digital Omnibus den Hochrisiko-Zeitplan für Anbieter neu geordnet hat. Mittelstandsunternehmen, die jetzt ein genaues Systemverzeichnis aufbauen und Aufsicht namentlich zuweisen, ersparen sich späteren Zeitdruck. Betreiber-Compliance funktioniert am besten als Nebenprodukt guter operativer Governance, nicht als isolierte Übung.
Häufig gestellte Fragen
Was unterscheidet einen KI-Betreiber von einem KI-Anbieter?
Ein Anbieter entwickelt ein KI-System und bringt es unter eigenem Namen in Verkehr. Ein Betreiber nutzt dieses System unter eigener Verantwortung. Die meisten Unternehmen, die KI-Software lizenzieren, sind Betreiber, keine Anbieter.
Gilt die Betreiberrolle auch für ein Unternehmen mit nur 50 Mitarbeitenden?
Ja. Die Pflichten nach Artikel 26 gelten unabhängig von der Unternehmensgrösse. Die Small-Mid-Cap-Kategorie des Omnibus vereinfacht die Dokumentation, hebt aber Aufsichts- und Protokollpflichten nicht auf.
Was kostet die Betreiber-Compliance nach der KI-Verordnung?
Die Kosten hängen davon ab, wie viele Hochrisikosysteme ein Unternehmen betreibt und wie ausgereift die bestehende Data Governance bereits ist. Ein sauberes Systemverzeichnis hält den Zusatzaufwand gering.
Brauchen wir dafür eigene IT-Ressourcen?
Keine eigene KI-Compliance-Abteilung ist nötig. Die meisten Mittelstandsunternehmen wickeln Betreiberpflichten über bestehende Compliance-, HR- oder Betriebsfunktionen ab, mit einer benannten, geschulten Person für die Aufsicht.
Wie wirkt sich der Digital Omnibus auf Betreiberpflichten aus?
Er verschob eigenständige Hochrisikosysteme nach Anhang III auf den 2. Dezember 2027, nicht aber die Artikel-26-Betreiberpflichten oder die Artikel-50-Transparenz, die beide seit dem 2. August 2026 bindend sind.
Wie hängt die Betreiberrolle mit dem Ansatz von Superkind zusammen?
Superkind setzt KI-Agenten innerhalb der eigenen Systeme eines Unternehmens und unter dessen Verantwortung ein, wodurch der Kunde von Anfang an in der Betreiberrolle für diese Agenten steht. Aufsicht und Protokollierung werden von Beginn an mitgedacht, nicht nachträglich angeflickt.
