Anbieter oder Betreiber? Die Rollen der KI-Verordnung einfach erklärt

Stand: August 2026. Rechtsgrundlage: Verordnung (EU) 2024/1689 (KI-Verordnung).

Bevor ein Unternehmen auch nur eine einzige Pflicht der KI-Verordnung erfüllen kann, muss eine Vorfrage beantwortet sein: In welcher Rolle handelt es? Der Unterschied zwischen Anbieter und Betreiber nach der KI-Verordnung entscheidet über den gesamten Pflichtenumfang. Die wenigsten Unternehmen haben diese Einordnung je systematisch geprüft, und genau darin liegt ein Risiko: Wer ein KI-System wesentlich verändert oder unter eigenem Namen einsetzt, kann ungewollt in die Anbieterrolle wechseln.

Die Definitionen der Verordnung

Die KI-Verordnung definiert die Rollen in Art. 3:

Anbieter (Art. 3 Nr. 3) ist, wer ein KI-System entwickelt oder entwickeln lässt und es unter eigenem Namen oder eigener Marke in Verkehr bringt oder in Betrieb nimmt, unabhängig davon, ob dies entgeltlich geschieht.

Betreiber (Art. 3 Nr. 4) ist, wer ein KI-System in eigener Verantwortung verwendet, sofern die Nutzung nicht im Rahmen einer persönlichen, nicht beruflichen Tätigkeit erfolgt.

Daneben kennt die Verordnung weitere Akteure wie Einführer und Händler (Art. 3 Nr. 6 und 7). Für die meisten Unternehmen ist aber die Abgrenzung zwischen Anbieter und Betreiber die entscheidende.

Warum die Einordnung so folgenreich ist

Die Pflichten der beiden Rollen unterscheiden sich erheblich. Der Anbieter eines Hochrisiko-Systems trägt die Hauptlast: Risikomanagement, Daten-Governance, technische Dokumentation, Konformitätsbewertung und CE-Kennzeichnung (Art. 9 bis 15 und Art. 16 ff., anwendbar ab dem 2. Dezember 2027 nach der Verschiebung durch die Digital-Omnibus-Verordnung (EU) 2026/1744). Der Betreiber hat einen deutlich schlankeren Katalog nach Art. 26, etwa die bestimmungsgemäße Verwendung, geeignete menschliche Aufsicht und die Sicherstellung relevanter Eingabedaten.

Unabhängig von der Risikoklasse gilt für beide Rollen bereits heute die Pflicht zur KI-Kompetenz nach Art. 4, dazu ausführlich: KI-Kompetenz nach Art. 4: Was Unternehmen seit Februar 2025 nachweisen müssen. Auch die Transparenzpflichten nach Art. 50 verteilen sich je nach Konstellation auf Anbieter und Betreiber.

Der typische Fall: Unternehmen als Betreiber

Wer eine KI-Lösung von einem Softwarehersteller bezieht und sie im eigenen Betrieb einsetzt, ist im Regelfall Betreiber. Das gilt für den KI-Assistenten im Büroalltag ebenso wie für die KI-Funktion im zugekauften CRM. Die Betreiberrolle ist der Normalfall im Mittelstand, und ihre Pflichten sind erfüllbar, wenn man sie kennt.

Voraussetzung ist allerdings, dass das Unternehmen überhaupt weiß, welche Systeme es verwendet. KI-Funktionen stecken oft unbemerkt in Standardsoftware. Ohne eine dokumentierte KI-Bestandsaufnahme bleibt jede Rolleneinordnung unvollständig.

Der ungewollte Rollenwechsel: Vom Betreiber zum Anbieter

Art. 25 KI-Verordnung beschreibt Konstellationen, in denen ein Dritter, auch ein bisheriger Betreiber, zum Anbieter eines Hochrisiko-Systems wird. Die drei wichtigsten:

Eigener Name oder eigene Marke

Wer ein bestehendes Hochrisiko-System unter eigenem Namen oder eigener Marke in Verkehr bringt oder in Betrieb nimmt, übernimmt die Anbieterpflichten. In der Praxis passiert das schneller als gedacht: Ein zugekauftes System wird mit eigenem Logo versehen und Kunden als eigene Lösung präsentiert.

Wesentliche Veränderung

Wer an einem bereits in Verkehr gebrachten Hochrisiko-System eine wesentliche Veränderung vornimmt, wird für das veränderte System zum Anbieter. Eine wesentliche Veränderung liegt nach Art. 3 Nr. 23 vor, wenn die Änderung die Konformität beeinträchtigt oder die Zweckbestimmung verändert.

Zweckänderung

Wer ein KI-System, das nicht als Hochrisiko-System eingestuft war, so einsetzt oder verändert, dass es zu einem Hochrisiko-System im Sinne von Art. 6 wird, übernimmt ebenfalls die Anbieterrolle. Beispiel: Ein allgemeines Textanalyse-Werkzeug wird intern zur Vorauswahl von Bewerbungen umfunktioniert, einem Anwendungsfall aus Anhang III.

Grenzfälle aus der Praxis

Einige Konstellationen tauchen in der Beratung immer wieder auf:

• ●Feinabstimmung von Modellen: Wer ein zugekauftes Modell mit eigenen Daten nachtrainiert, muss prüfen, ob darin eine wesentliche Veränderung liegt. Das hängt vom Umfang des Eingriffs und der Auswirkung auf die Zweckbestimmung ab.
• ●Eigenentwicklungen für den internen Gebrauch: Auch wer ein KI-System nur für sich selbst entwickelt und in Betrieb nimmt, kann Anbieter sein. Die Definition verlangt kein Inverkehrbringen an Dritte, die Inbetriebnahme unter eigenem Namen genügt.
• ●Konzernstrukturen: Entwickelt eine Konzerngesellschaft ein System und nutzen es die Schwestergesellschaften, stellt sich die Rollenfrage für jede Gesellschaft gesondert.
• ●Agentur- und Dienstleisterlösungen: Lässt ein Unternehmen ein KI-System entwickeln und setzt es unter eigenem Namen ein, ist es Anbieter, nicht der Dienstleister.

So gehen Sie die Rollenklärung an

Eine belastbare Rolleneinordnung folgt einem einfachen Schema, muss aber je System einzeln durchgeführt und dokumentiert werden:

• ●Systembestand erfassen: Ohne vollständiges Inventar keine vollständige Einordnung.
• ●Je System klären: Woher stammt das System, wer hat es entwickelt, unter wessen Namen läuft es, wurde es verändert oder umgewidmet?
• ●Rolle dokumentieren: Anbieter, Betreiber oder Sonderfall nach Art. 25, mit Begründung.
• ●Pflichtenkatalog ableiten: Welche Artikel der Verordnung gelten für dieses System in dieser Rolle, ab wann?

Das Ergebnis ist keine akademische Übung, sondern die Arbeitsgrundlage für alles Weitere: Schulungsumfang nach Art. 4, Kennzeichnungen nach Art. 50 und die Vorbereitung auf die Hochrisiko-Anforderungen ab Dezember 2027, zu deren Zeitplan mehr im Beitrag Digital-Omnibus: Warum die Hochrisiko-Pflichten auf Dezember 2027 verschoben wurden.

Wir führen die Rollenklärung als eigenständige Leistung durch, dokumentiert je System und mit abgeleitetem Pflichtenkatalog: Rollenklärung nach der KI-Verordnung.

Quellen

• ●Art. 3 Nr. 3, 4, 6, 7, 23 Verordnung (EU) 2024/1689 (Begriffsbestimmungen)
• ●Art. 6 und Anhang III Verordnung (EU) 2024/1689 (Hochrisiko-Einstufung)
• ●Art. 16 ff., Art. 25, Art. 26 Verordnung (EU) 2024/1689 (Pflichten und Rollenwechsel)
• ●Verordnung (EU) 2026/1744 (Digital-Omnibus, Verschiebung der Hochrisiko-Anforderungen)

Dieser Beitrag ist eine fachliche Einordnung und keine Rechtsberatung im Sinne des RDG.