Article 26 — Pflichten der Betreiber von Hochrisiko-KI-Systemen (EU AI Act)

Article 26 der Verordnung (EU) 2024/1689 — Pflichten der Betreiber von Hochrisiko-KI-Systemen. Offizieller Text, praktische Auslegung, wesentliche Pflichten und Compliance-Implikationen.

Zusammenfassung des offiziellen Textes

Article 26 der Verordnung (EU) 2024/1689 legt die Pflichten fest, die Betreibern — also denjenigen, die Hochrisiko-KI-Systeme in Betrieb nehmen — obliegen, und befindet sich in Titel III, Kapitel 3 der Verordnung. Der Artikel legt fest, dass Betreiber geeignete technische und organisatorische Maßnahmen ergreifen müssen, um sicherzustellen, dass sie diese Systeme gemäß den vom Anbieter bereitgestellten Gebrauchsanweisungen nutzen (Article 26(1)). Betreiber sind verpflichtet, die Aufgabe der menschlichen Aufsicht Personen zu übertragen, die über die erforderliche Kompetenz, Ausbildung und Befugnis verfügen, diese wirksam auszuüben (Article 26(2)).

Wenn Betreiber den Verwendungszweck bestimmen oder einen erheblichen Einfluss auf den Betrieb des KI-Systems ausüben, tragen sie eine gesteigerte Verantwortung, die der Rolle eines Anbieters entspricht. Betreiber müssen den Betrieb des Hochrisiko-KI-Systems auf der Grundlage der Gebrauchsanweisungen überwachen und den Anbieter gegebenenfalls über erkannte Risiken informieren (Article 26(5)). Sie dürfen das System nicht in einer Weise verwenden, die diesen Anweisungen widerspricht, und dürfen Mitarbeiter nicht unter Druck setzen, der eine ordnungsgemäße Aufsicht gefährdet.

Article 26(7) verpflichtet Betreiber, automatisch vom Hochrisiko-KI-System erzeugte Protokolle aufzubewahren, soweit sich diese unter ihrer Kontrolle befinden, und zwar für einen Zeitraum, der dem Verwendungszweck und den geltenden Branchenvorschriften angemessen ist und mindestens sechs Monate beträgt. Article 26(9) verpflichtet Betreiber, die öffentlich-rechtliche Körperschaften oder bestimmte private Betreiber sind, vor der Inbetriebnahme eine Grundrechte-Folgenabschätzung durchzuführen und zu dokumentieren sowie diese in der gemäß Article 71 eingerichteten EU-Datenbank zu registrieren.

Bedeutung für die Praxis

Article 26 betrifft unmittelbar jede Organisation, die ein Hochrisiko-KI-System in ihren Betrieb integriert, ohne dessen Entwickler oder ursprünglicher Anbieter zu sein. Typische Betreiber sind Krankenhäuser, die KI-gestützte Diagnosetools einsetzen, Arbeitgeber, die KI für die Personalauswahl nutzen, Banken, die KI-Kreditscoring-Engines verwenden, und Behörden, die KI für Entscheidungen über Leistungsansprüche einsetzen.

Konkret muss ein Betreiber zunächst die Gebrauchsanweisungen des Anbieters sorgfältig lesen und umsetzen — diese bilden die Compliance-Grundlage. Vor der Inbetriebnahme muss der Betreiber festlegen, welcher Mitarbeiter oder welches Team die Aufsichtsverantwortung trägt, und sicherstellen, dass diese über die Ausbildung und Befugnis verfügen, die Systemausgaben zu unterbrechen, auszusetzen oder zu übersteuern. Ein Druck, Aufsichtsmechanismen zu ignorieren oder zu umgehen, ist ausdrücklich verboten.

Während des Betriebs muss der Betreiber vom System erzeugte Protokolle aufbewahren. Für eine Bank, die ein Kreditrisikomodell eines Drittanbieters einsetzt, bedeutet dies, automatisierte Entscheidungsprotokolle mindestens sechs Monate lang aufzubewahren und sicherzustellen, dass sie für Prüfungen oder Aufsichtsbehörden zugänglich sind. Wenn das System unerwartete Ausgaben produziert oder an einem Vorfall beteiligt ist, der Schäden verursacht oder verursachen könnte, muss der Betreiber unverzüglich den Anbieter und, falls erforderlich, die nationale Aufsichtsbehörde informieren.

Betreiber im öffentlichen Sektor und private Unternehmen, die öffentlich zugängliche Dienstleistungen anbieten, müssen einen zusätzlichen Schritt vornehmen: Eine formelle Grundrechte-Folgenabschätzung muss abgeschlossen und in der EU-Datenbank registriert werden, bevor das System aktiviert wird. Diese Abschätzung muss vorhersehbare Auswirkungen auf Rechte wie Nichtdiskriminierung, Datenschutz und ein faires Verfahren ermitteln und mildernde Maßnahmen dokumentieren.

Betreiber, die über ihre Anweisungen hinausgehen — indem sie ein System für einen anderen Anwendungsfall zweckentfremden oder seine Konfiguration wesentlich ändern —, riskieren eine Umklassifizierung als Anbieter gemäß Article 25, was die vollständige Last der Anbieterpflichten einschließlich der Konformitätsbewertung mit sich bringt.

Wesentliche Pflichten

• Gebrauchsanweisungen befolgen: Das Hochrisiko-KI-System strikt gemäß den Anweisungen des Anbieters einsetzen und betreiben; jede Nutzung außerhalb der bestimmungsgemäßen Verwendung kann zur Umklassifizierung als Anbieter führen.
• Kompetente menschliche Aufsicht sicherstellen: Personen mit der erforderlichen Kompetenz, Ausbildung und Befugnis bestimmen, die eine wirksame menschliche Aufsicht ausüben; Mitarbeiter nicht anweisen oder anreizen, Aufsichtsfunktionen zu umgehen.
• Risiken und Vorfälle überwachen und melden: Die Systemleistung kontinuierlich überwachen; den Anbieter und gegebenenfalls die zuständige Marktüberwachungsbehörde unverzüglich über erkannte schwerwiegende Risiken oder Vorfälle informieren.
• Automatisch erzeugte Protokolle aufbewahren: Vom KI-System erzeugte Protokolle mindestens sechs Monate oder länger aufbewahren, wenn dies durch geltendes Recht oder Branchenvorschriften vorgeschrieben ist, soweit diese Protokolle unter der Kontrolle des Betreibers stehen.
• Grundrechte-Folgenabschätzung durchführen und registrieren: Betreiber, die öffentlich-rechtliche Körperschaften sind, und private Betreiber, die öffentliche Dienste erbringen, müssen eine dokumentierte Grundrechte-Folgenabschätzung abschließen und diese vor der Inbetriebnahme in der EU-Datenbank registrieren.
• Betroffene Arbeitnehmer informieren und schützen: Wenn das System in Beschäftigungskontexten eingesetzt wird, müssen Betreiber die Arbeitnehmervertreter und die betroffenen Personen gemäß geltendem Unions- und nationalem Recht vor der Inbetriebnahme informieren.

Verhältnis zu anderen Artikeln

Article 26 ist zusammen mit mehreren miteinander verknüpften Bestimmungen zu lesen. Article 25 legt fest, wann ein Betreiber als Anbieter umklassifiziert wird — einen Schwellenwert, den Betreiber aktiv überwachen müssen, wenn sie ein System modifizieren oder zweckentfremden. Article 13 (Transparenz und Bereitstellung von Informationen für Betreiber) regelt, was der Anbieter über Gebrauchsanweisungen mitteilen muss, und bestimmt damit unmittelbar, wie Compliance gemäß Article 26(1) aussieht. Article 14 (Menschliche Aufsicht) erläutert die technischen Anforderungen, die Anbieter in Systeme einbauen müssen, damit Betreiber ihre Aufsichtspflichten gemäß Article 26(2) erfüllen können.

Article 71 (EU-Datenbank) unterstützt die Registrierungspflicht, die öffentlichen Betreibern durch Article 26(9) auferlegt wird. Article 73 (Meldung schwerwiegender Vorfälle) ergänzt Article 26(5), indem er den Verfahrensrahmen für Vorfallsmeldungen beschreibt. In Beschäftigungskontexten überschneidet sich Article 26(6) mit der Richtlinie 2002/14/EG über die Unterrichtung und Anhörung der Arbeitnehmer. Für Betreiber in regulierten Sektoren — Finanzen, Gesundheit, Verkehr — können sektorspezifische Unionsvorschriften zusätzliche oder überlappende Pflichten auferlegen, die mit dem Rahmen von Article 26 zusammenwirken.

Zeitplan für die Compliance

Der EU AI Act trat am 1. August 2024 in Kraft, wobei die Pflichten nach einem abgestuften Zeitplan gelten. Bestimmungen über verbotene KI-Praktiken galten ab dem 2. Februar 2025. Pflichten in Bezug auf Allzweck-KI-Modelle galten ab dem 2. August 2025.

Article 26 als Pflicht für in Annex III aufgeführte Hochrisiko-KI-Systeme gilt ab dem 2. August 2026 für die meisten Hochrisikosysteme, mit einer verlängerten Frist bis zum 2. August 2027 für Hochrisiko-KI-Systeme in den Bereichen Beschäftigung, Bildung und Zugang zu wesentlichen Dienstleistungen, für die bestehende unionsrechtliche Harmonisierungsvorschriften gelten (in Annex I aufgeführte Systeme). Betreiber sollten den 2. August 2026 daher als primären Compliance-Stichtag für die operative Bereitschaft, die Bestimmung der menschlichen Aufsicht, die Infrastruktur zur Protokollaufbewahrung und die Verfahren zur Grundrechte-Folgenabschätzung betrachten und unverzüglich mit den Vorbereitungen beginnen, um ausreichend Zeit für Governance, Beschaffungsüberprüfungen und Mitarbeiterschulungen zu haben.