Betreiber-Pflichten nach Art. 26 EU AI Act: Der vollständige Leitfaden
Art. 26 EU AI Act definiert zehn Pflichten für Deployer (Betreiber) von Hochrisiko-KI: Nutzungseinschränkung, menschliche Aufsicht, Datenqualität, Logging, Bewerber-Information, FRIA, Vorfall-Meldung, DPIA-Verzahnung, Schulung und behördliche Kooperation. Dieser Ratgeber erklärt jede Pflicht — konkret, umsetzbar, mit Checkliste.
Wenn dein Unternehmen ein Hochrisiko-KI-System einsetzt (auch wenn ihr es nicht entwickelt habt), seid ihr Deployer im Sinne des EU AI Act. Art. 26 listet zehn Pflichten — von der Anwendungs-Disziplin bis zur behördlichen Kooperation. Dieser Leitfaden erklärt jede einzeln, mit operativen Schritten.
Deployer oder Provider — wer bist du?
Bevor du dich um Art. 26 kümmerst, kläre die Rolle:
- Provider (Anbieter): entwickelt das KI-System oder lässt es entwickeln und bringt es unter eigenem Namen in den EU-Markt → Pflichten nach Art. 16
- Deployer (Betreiber): nutzt ein KI-System unter eigener Verantwortung — z.B. setzt SAP SuccessFactors mit KI-Funktionen ein, nutzt OpenAI API für Kundenservice, deployed eine Salesforce Einstein-Funktion → Pflichten nach Art. 26
Wichtig: Wer ein eingekauftes KI-System wesentlich modifiziert (z.B. Trainings-Daten austauscht, neuen Hauptzweck definiert), wird nach Art. 25(1)(b) zum Provider — und unterliegt dann Art. 16 statt Art. 26.
Die meisten KMU sind Deployer. Der Rest dieses Artikels behandelt Art. 26.
Die 10 Pflichten nach Art. 26 im Einzelnen
1. Bestimmungsgemässe Verwendung (Abs. 1)
Du darfst das System nur in der Weise einsetzen, wie es vom Provider in der Bedienungsanleitung beschrieben ist. Eine Off-Label-Nutzung (z.B. ein Recruiting-Tool für Leistungsbewertung verwenden) macht dich potenziell zum Provider mit zusätzlichen Pflichten.
Operativ: lies die Anleitung des Providers vollständig, dokumentiere euren Anwendungszweck schriftlich, prüfe ob er innerhalb der intended use liegt.
2. Menschliche Aufsicht (Abs. 2)
Hochrisiko-Systeme dürfen nicht ohne qualifizierte menschliche Aufsicht laufen. Die zuständige Person muss:
- die Funktionsweise des Systems verstehen
- Anomalien und Bias erkennen können
- Entscheidungen überschreiben können (Override-Recht)
- den Betrieb anhalten können (Stop-Mechanismus)
Operativ: Schule eine konkrete Person für genau dieses System, dokumentiere ihre Rolle, gib ihr technische Override-Rechte. Eine Stellvertretung ist Pflicht.
3. Datenqualität bei Input-Daten (Abs. 4)
Soweit du Kontrolle über Input-Daten hast, müssen diese relevant und ausreichend repräsentativ für den Zweck des Systems sein. Du musst sicherstellen, dass die Daten nicht systematisch zu Diskriminierung führen.
Operativ: Datenquellen dokumentieren, regelmässige Stichproben auf Bias prüfen, Filter und Transformationen protokollieren.
4. Monitoring und Operations (Abs. 5)
Du musst den Betrieb des Systems basierend auf der Bedienungsanleitung überwachen. Wenn das System anders als erwartet funktioniert, musst du:
- den Provider informieren
- den Betrieb ggf. einstellen
- die Marktüberwachung benachrichtigen (bei schwerwiegenden Vorfällen)
Operativ: monatliche Performance-Reviews, Anomalie-Schwellen definieren, Eskalationskette einrichten.
5. Protokollierung (Abs. 6)
Du musst die automatisch generierten Logs des Systems aufbewahren — mindestens 6 Monate, sektoral oft länger. Die Logs müssen Folgendes enthalten:
- Zeitraum der Nutzung
- Referenz-Datenbank gegen die Eingaben verglichen wurden
- Eingabedaten, die zu Entscheidungen führten
- die natürlichen Personen, die das System überwacht haben
Operativ: Logging-Konfiguration vom Provider verifizieren, sichere Aufbewahrung, Lösch-/Aufbewahrungsregeln dokumentieren.
6. Bewerber- und Mitarbeiter-Information (Abs. 7)
Wenn du das System am Arbeitsplatz einsetzt (z.B. Recruiting, Performance-Bewertung), musst du Mitarbeiter und ihre Vertretungen vorher informieren. Bewerbern muss kommuniziert werden, dass eine KI an der Entscheidung beteiligt ist.
Operativ: Datenschutzerklärung anpassen, Betriebsrat einbeziehen (DE/AT) oder Personalvorsorge-Stiftungsrat (CH), Bewerberportal mit klarem KI-Hinweis.
7. Information natürlicher Personen (Abs. 11)
Personen, die einer Entscheidung des Hochrisiko-Systems unterliegen, müssen darüber informiert werden. Das geht über Art. 13 EU AI Act hinaus, denn es ist eine proaktive Bring-Schuld des Deployers.
Operativ: standardisierte Hinweise vorbereiten, in den Workflow integrieren, dokumentieren wann wer informiert wurde.
8. FRIA — Grundrechte-Folgenabschätzung (Abs. 9)
Wenn du öffentlicher Sektor oder privater Anbieter öffentlicher Dienste bist (z.B. Banken, Versicherungen, Versorger), musst du vor der ersten Nutzung eine Fundamental Rights Impact Assessment (FRIA) nach Art. 27 durchführen.
Operativ: FRIA-Prozess aufsetzen, dokumentierte Risikoanalyse, Massnahmen zur Risikominderung, Aktualisierung bei wesentlichen Änderungen.
9. DPIA-Verzahnung (Abs. 9)
Wenn du parallel eine DPIA nach DSGVO Art. 35 durchführen musst, muss diese mit der FRIA verzahnt werden. Beide Dokumente müssen sich gegenseitig referenzieren und Inkonsistenzen vermeiden.
Operativ: DPO und KI-Verantwortlichen früh zusammenbringen, gemeinsames Template, gemeinsame Reviews.
10. Vorfall-Meldung und Behörden-Kooperation (Abs. 10)
Bei schwerwiegenden Vorfällen musst du den Provider und die Marktaufsicht innerhalb der Fristen aus Art. 73 informieren — bei Tod oder schwerer Gesundheitsschädigung 7 Tage, sonst 15 Tage.
Operativ: Vorfall-Meldekette dokumentieren, Eskalationsstufen, vorbereitete Templates für die Erstmeldung.
Sonderregelung: KI-Literacy nach Art. 4
Art. 4 ist zwar nicht Teil von Art. 26 — gilt aber zusätzlich für alle Deployer, unabhängig vom Risikolevel des Systems. Mitarbeiter, die KI-Systeme bedienen oder betreffende Entscheidungen treffen, müssen ausreichende KI-Kompetenz haben. Das ist seit 2. Februar 2025 verpflichtend.
Operativ: dokumentierter Schulungsplan, regelmässige Auffrischungen, rollenspezifisches Curriculum.
Checkliste: Bist du Art.-26-compliant?
Drucke diese Liste aus und gehe sie pro Hochrisiko-System durch:
- KI-System ist als Hochrisiko klassifiziert und im KI-Inventar erfasst
- Konformitätserklärung des Providers liegt vor
- Bedienungsanleitung des Providers ist gelesen und der Anwendungszweck dokumentiert
- Verantwortliche Person für menschliche Aufsicht benannt und geschult
- Logs werden mind. 6 Monate aufbewahrt
- Mitarbeiter / Bewerber sind informiert
- FRIA ist durchgeführt (falls anwendbar)
- DPIA ist mit FRIA verzahnt (falls anwendbar)
- Vorfall-Meldekette mit klaren Fristen ist dokumentiert
- KI-Literacy-Schulung wurde durchgeführt und ist nachweisbar
Wenn auch nur ein Punkt fehlt, hast du Compliance-Lücken nach Art. 26.
Was passiert bei Verstößen?
Verstöße gegen Art. 26 fallen unter Art. 99 Abs. 4 — bis 15 Mio. Euro oder 3% des weltweiten Jahresumsatzes (das Höhere). Für KMU gilt nach Art. 99 Abs. 6 der niedrigere Betrag. In der Praxis werden die Bussgelder graduiert verhängt — eine fehlende KI-Literacy-Schulung allein wird kaum sofort 15 Mio. kosten, aber bei systematischer Non-Compliance über mehrere Pflichten kumulieren sich die Beträge schnell.
FAQ
Die häufigsten Fragen zu Art. 26 EU AI Act für Deployer.
Häufig gestellte Fragen
Bin ich Deployer wenn ich ChatGPT nutze?+
Wenn dein Anwendungszweck unter Hochrisiko-KI fällt (z.B. Recruiting, Kreditscoring), ja. Bei rein generischer Nutzung (Texterstellung, Brainstorming) gelten primär die GPAI-Transparenzpflichten (Art. 50), nicht der volle Art. 26-Pflichtenkatalog. Die Klassifikation hängt vom Anwendungszweck ab, nicht vom Tool.
Brauche ich für jedes Hochrisiko-System eine eigene FRIA?+
Wenn du öffentliche Stelle oder privater Anbieter öffentlicher Dienste bist: Ja, vor der ersten Nutzung. Eine generische FRIA für mehrere Systeme reicht nicht — die Risikobewertung muss systemspezifisch sein. Aktualisierungen nur bei wesentlichen Änderungen erforderlich.
Was zählt als "schwerwiegender Vorfall" nach Art. 73?+
Tod, schwere Gesundheitsschädigung, schwere Sachschäden, schwere Beeinträchtigung kritischer Infrastruktur, schwere Verletzung von Grundrechten. Die Fristen sind: 7 Tage bei Tod/schwerer Gesundheit, 15 Tage sonst. Die Erstmeldung kann unvollständig sein — eine vollständige Untersuchung folgt nach.
Muss der Betriebsrat (DE/AT) bei KI-Systemen informiert werden?+
Ja, das ist sowohl arbeitsrechtlich (Mitbestimmungsrecht in HR-Angelegenheiten) als auch nach Art. 26 Abs. 7 EU AI Act vorgeschrieben. Vor Einführung des Systems muss der Betriebsrat informiert und ggf. einbezogen werden. In der Schweiz gilt die analog die Mitwirkungsverordnung der Personalvorsorgestiftung.
Was wenn der Provider keine vollständige technische Dokumentation liefert?+
Du bist verpflichtet, sie einzufordern (Art. 26 Abs. 4 verlangt die Nutzung gemäß Bedienungsanleitung). Wenn der Provider verweigert, hast du zwei Optionen: das System nicht einsetzen, oder den Provider gegenüber der Marktaufsicht melden. Du kannst dich nicht hinter "der Provider hat mir nichts gegeben" verstecken — das ist eigene Sorgfaltsverletzung.
Reicht eine einmalige KI-Literacy-Schulung?+
Nein. Art. 4 verlangt "ausreichende" KI-Kompetenz — was bei sich verändernden Systemen regelmässige Auffrischungen impliziert. Best Practice: jährliche Pflichtschulung plus zusätzliche Schulung bei jeder wesentlichen Systemänderung. Dokumentierter Schulungsplan ist Pflicht.
Direkt prüfen — kostenlos
Prüfe in 5 Minuten ob deine KI-Systeme unter den EU AI Act fallen — mit sofortigem Ergebnis.
Kostenloser EU AI Act Check →Dieser Artikel basiert auf der Verordnung (EU) 2024/1689 (EUR-Lex Originaltext) und EU-AI-Office-Guidelines. Wird monatlich aktualisiert. Hinweis: Technische Orientierung — kein Ersatz für Rechtsberatung.
Zuletzt aktualisiert: Mai 2026