Betreiber, ohne KI zu bauen

Stand: Rechtslage nach Inkrafttreten der Verordnung (EU) 2026/1744 („AI Omnibus") am 27. Juli 2026. Dies ist keine Rechtsberatung. Rechtsstand ändert sich — prüf das Datum, bevor du etwas aus diesem Text übernimmst.

Lernziele

Nach dieser Lektion kannst du:

Der Satz, mit dem es fast immer anfängt

„Wir entwickeln doch keine KI. Uns betrifft das nicht." Der Satz fällt in Geschäftsführungssitzungen, und er klingt vernünftig. Ihr baut keine Sprachmodelle, ihr verkauft keine Algorithmen, ihr habt niemanden im Haus, der so etwas könnte. Also ist das Thema etwas für Konzerne und für Start-ups im Silicon Valley.

Der Satz ist trotzdem falsch, und zwar aus einem Grund, der nichts mit Technik zu tun hat: Die KI-Verordnung reguliert nicht nur, wer KI herstellt, sondern auch, wer sie einsetzt. Und einsetzen tut ihr sie längst. Meistens, ohne dass es jemand beschlossen hätte.

Anbieter oder Betreiber — und warum ihr das Zweite seid

Die Verordnung unterscheidet zwei Hauptrollen. Anbieter entwickeln ein KI-System und bringen es unter eigenem Namen auf den Markt. Betreiber setzen ein KI-System in eigener Verantwortung beruflich ein (Art. 3 Nr. 4 KI-VO).

Sobald in deinem Haus jemand ein Sprachmodell für Angebotstexte öffnet, ein Übersetzungswerkzeug über einen Vertrag laufen lässt oder eine Software Bewerbungen vorsortiert, ist dein Unternehmen Betreiber. Nicht, weil ihr etwas gebaut habt. Weil ihr etwas benutzt.

Das ist die erste und wichtigste Verschiebung in deinem Kopf: Die Rolle entsteht durch Nutzung, nicht durch Entwicklung. Sie entsteht auch dann, wenn niemand sie beantragt hat — es gibt keinen Anmeldevorgang, den ihr versäumen könntet, und keine Schwelle an Mitarbeitenden, unter der sie nicht gälte.

Für die Geschäftsführung: Die Rolle des Betreibers trifft das Unternehmen, nicht eine benannte Person. Sie lässt sich deshalb auch nicht durch Ernennung weiterreichen. Wen du benennst, ändert nicht, wer haftet — es ändert nur, wer vorbereitet.

Für Team- und Abteilungsleitung: Du entscheidest selten, welche Werkzeuge zugelassen sind. Aber du siehst als Erste, welche tatsächlich benutzt werden. Dieses Wissen ist der Teil der Aufsicht, den niemand sonst haben kann — und es nützt nur, wenn es einen Weg nach oben gibt.

Was heute gilt — und was noch ruht

Seit dem Sommer 2026 hört man häufig, der AI Act sei ja verschoben worden. Ein Teil ist es. Der Teil, der euch betrifft, ist es nicht.

RegelungStandWas das für dich heißt
Verbote (Art. 5)gilt seit 02.02.2025Einige Einsatzarten sind schlicht untersagt — unabhängig von Unternehmensgröße und Branche.
KI-Kompetenz (Art. 4)gilt seit 02.02.2025Ihr müsst Maßnahmen ergreifen, damit die Leute, die mit KI arbeiten, sie verstehen.
Transparenz (Art. 50)gilt seit 02.08.2026Wer mit einer Maschine spricht oder maschinell erzeugte Inhalte sieht, muss es erkennen können.
Betreiberpflichten bei Hochrisiko (Art. 26)ruht bis 02.12.2027 bzw. 02.08.2028Aufgeschoben, nicht aufgehoben — und wer heute ein solches System einführt, baut die Pflichten besser gleich mit ein.
Datenschutz und Betriebsverfassungsrechtgilt ohne ÜbergangsfristHier gibt es keine Schonfrist, und hier entstehen die meisten praktischen Probleme.

Die letzte Zeile ist die, die im Alltag zählt. Während alle über Fristen der KI-Verordnung reden, greifen Datenschutz und Mitbestimmung sofort — sie warten nicht auf den 2. Dezember 2027. Beides bekommt in diesem Kurs eine eigene Lektion.

Delegieren kannst du die Arbeit — die Aufsicht nicht

An dieser Stelle sagen viele: „Gut, dann kümmert sich die IT darum." Oder die Personalabteilung. Oder der externe Datenschutzbeauftragte. Das ist vernünftig, solange man weiß, was dieser Satz leistet und was nicht.

Das deutsche Ordnungswidrigkeitenrecht kennt dafür einen eigenen Tatbestand. Nach § 130 OWiG handelt ordnungswidrig, wer als Inhaber eines Betriebes die erforderlichen Aufsichtsmaßnahmen unterlässt — und es deshalb zu einer Zuwiderhandlung kommt, die mit Strafe oder Geldbuße bedroht ist. Bemerkenswert ist, was die Norm ausdrücklich zu den Aufsichtsmaßnahmen zählt: die Bestellung, die sorgfältige Auswahl und die Überwachung von Aufsichtspersonen.

Damit ist die Delegation im Gesetz selbst geregelt — als eine Form der Aufsicht, nicht als deren Ende. Wer jemanden benennt, hat einen Teil der Pflicht erfüllt. Wer jemanden benennt und danach nicht mehr hinsieht, hat sie verfehlt. Über § 30 OWiG kann die Geldbuße zudem das Unternehmen selbst treffen, nicht nur die handelnde Person.

Das ist kein KI-Sonderrecht. Es ist dasselbe Prinzip, nach dem Arbeitsschutz, Produktsicherheit und Kartellrecht schon immer funktionieren. Neu ist nur, dass KI an sehr vielen Stellen gleichzeitig auftaucht — und die meisten davon hat niemand angeordnet.

Was die Verordnung von der Leitung verlangt — und was nicht

Art. 4 KI-VO verlangt Maßnahmen zur Förderung der KI-Kompetenz bei den Menschen, die in eurem Auftrag mit KI-Systemen arbeiten. Was die Norm nicht verlangt, ist genauso wichtig:

Daraus folgt etwas Unbequemes: Es gibt keinen Haken, den du setzen kannst, um fertig zu sein. Es gibt nur einen Zustand, den du herstellen und belegen musst. Was ihr dafür tatsächlich braucht — Richtlinie, Freigabeweg, Verzeichnis, Nachweis —, steht in Lektion 5.

Die drei Fragen

Wenn du aus dieser Lektion drei Sätze mitnimmst, dann diese. Sie taugen als Tagesordnungspunkt, und sie sind unangenehm genau:

  1. Wo wird bei uns KI eingesetzt — auch dort, wo wir es nie beschlossen haben? Wer diese Frage nicht beantworten kann, hat kein KI-Problem, sondern ein Wahrnehmungsproblem.
  2. Wer hat entschieden, dass das erlaubt ist, und woran kann man diese Entscheidung sehen? „Wir haben nie Nein gesagt" ist keine Entscheidung und im Zweifel auch keine Verteidigung.
  3. Was passiert, wenn es schiefgeht — wer merkt es, und wer erfährt davon? Ein Fehler, der niemanden erreicht, wiederholt sich.

Die ehrlichste Antwort auf alle drei lautet in den meisten Betrieben heute: Wissen wir nicht genau. Das ist der normale Ausgangspunkt. Der Unterschied entsteht danach.

Merksätze

- Die Betreiberrolle entsteht durch Nutzung, nicht durch Entwicklung. Wer KI nur benutzt, hat trotzdem Pflichten. - Verschoben ist nicht abgeschafft — und Datenschutz und Mitbestimmung waren nie verschoben. - Delegation ist eine Aufsichtsmaßnahme, kein Ersatz für Aufsicht. Auswahl und Überwachung gehören dazu. - Die Verordnung verlangt Maßnahmen, keine Rolle und kein Zertifikat. Deshalb gibt es nichts abzuhaken, sondern etwas zu belegen.

Quellen