KI-Tool nutzen: Verantwortung bleibt im Unternehmen

Ein KI-Feature zu kaufen ist einfach.

Schwieriger ist zu wissen, was es im eigenen Unternehmen tut.

Der Anbieter stellt vielleicht das System bereit. Das Unternehmen nutzt es in einem echten Ablauf. Trotzdem muss jemand die Ausgabe verstehen, prüfen und entscheiden, was danach passiert.

Das ist der praktische Punkt hinter den Begriffen Provider und Deployer im EU AI Act. Das bedeutet nicht, dass jedes Unternehmen, das ChatGPT nutzt, zum Provider wird. Es bedeutet: Der Name des Anbieters beschreibt nicht die ganze Situation.

Für Geschäftsinhaber und Verantwortliche im Betrieb ist die erste nützliche Frage deshalb nicht: „Welche Rolle habe ich?“ Besser ist: „Was passiert in diesem Ablauf genau, und wer kann handeln, wenn etwas schiefläuft?“

Der Anbieter ist nicht die ganze Geschichte

Der EU AI Act unterscheidet verschiedene Rollen.

Ein Provider ist die Person oder Organisation, die ein KI-System entwickelt oder entwickeln lässt und es unter eigenem Namen oder eigener Marke auf den Markt bringt oder in Betrieb nimmt.[1]

Ein Deployer ist eine Person oder Organisation, die ein KI-System unter ihrer Verantwortung nutzt. Rein private, nicht berufliche Nutzung ist davon ausgenommen.[1]

Diese Einordnung hängt von den Fakten ab. Ein Unternehmen, das ein Tool eines Anbieters nutzt, ist nicht automatisch der Provider. Aber der Kauf des Tools macht den eigenen Arbeitsablauf auch nicht unsichtbar.

Die Europäische Kommission beschreibt außerdem Pflichten zur KI-Kompetenz für Provider und Deployer. Dazu gehören Mitarbeitende und andere Personen, die in ihrem Auftrag mit KI-Systemen arbeiten.[2] Die Verordnung (EU) 2026/1744, der Digital Omnibus für KI, wurde am 24. Juli 2026 veröffentlicht und ist in Kraft. Sie hat Artikel 4 geändert: Die Pflicht bleibt bestehen, aber für einzelne Personen ist kein bestimmtes oder „ausreichendes“ Niveau der KI-Kompetenz vorgeschrieben. Die FAQ der Kommission beschreibt diese Änderung weiterhin als Vorschlag. Für den aktuellen Rechtstext ist deshalb die konsolidierte Verordnung maßgeblich; die FAQ dient hier nur als praktische Orientierung. Daraus folgt kein einheitliches Zertifikat, kein Test und kein fester Kurs.

Darum reicht eine Liste der Tools nicht aus. „Wir nutzen ChatGPT“ nennt das Produkt. Der Satz sagt nicht, was es im Ablauf tut, wer das Ergebnis prüft oder wer den Einsatz stoppen kann.

Dasselbe Tool, andere Fragen

Stellen Sie sich drei Unternehmen vor, die denselben KI-Assistenten nutzen:

• Eines erstellt damit interne E-Mails.
• Eines sortiert damit Bewerbungen.
• Eines beantwortet damit Kundenfragen.

Der Produktname ist gleich. Der Arbeitsablauf ist es nicht.

Auch die Ausgabe ist anders. Andere Menschen können betroffen sein. Eine andere Person prüft vielleicht das Ergebnis. Und ein Fehler kann unterschiedliche Folgen haben.

Diese Beispiele ordnen keinem bestimmten Unternehmen eine rechtliche Rolle oder ein Risikoniveau zu. Sie zeigen nur, warum der konkrete Einsatz beschrieben werden muss, bevor man sinnvoll über Kontrollen oder Beratung sprechen kann.

Einen echten Einsatz aufschreiben

Schreiben Sie für jeden KI-Einsatz sechs Zeilen auf:

1. System: Welches Produkt, Feature oder Modell ist beteiligt?
2. Ablauf: Welche Aufgabe erledigt es, und wo liegt sie im Prozess?
3. Ausgabe: Was erzeugt das System, und was passiert danach?
4. Personen: Wer stellt es bereit, nutzt es, prüft es oder kann betroffen sein?
5. Verantwortung: Wer kann den Einsatz stoppen, die Ausgabe korrigieren oder über den nächsten Schritt entscheiden?
6. Unbekannt: Welche Fakten sind noch nicht geprüft?

Markieren Sie unbekannte Punkte als unbekannt. Das ist besser, als die Lücke mit einer Annahme zu füllen.

Zum Beispiel:

System: KI-Funktion im CRM Ablauf: Eine Follow-up-Mail aus den Notizen eines Vertriebsmitarbeiters entwerfen Ausgabe: E-Mail-Entwurf; der Vertriebsmitarbeiter prüft und sendet ihn Personen: Der Anbieter stellt die Funktion bereit; das Unternehmen nutzt sie; der Kunde erhält die Nachricht Verantwortung: Die Vertriebsleitung entscheidet, ob der Ablauf weiter genutzt wird Unbekannt: Aufbewahrung, Zugriffsrechte und Eskalationsweg müssen noch geprüft werden

Das ist noch kein Compliance-Urteil. Es ist eine brauchbare Beschreibung der Arbeit. Damit kann ein Verantwortlicher den konkreten Einsatz mit juristischen, technischen oder Datenschutz-Fachleuten besprechen, wenn die Nutzung folgenschwer ist.

Verantwortung ist nicht dasselbe wie Schuld

Die nützliche Frage ist nicht: „Wer ist schuld, wenn die KI falsch liegt?“

Besser ist:

Wer weiß, dass dieses System genutzt wird, wer prüft die Ausgabe und wer kann den Ablauf stoppen, wenn er nicht funktioniert?

Die Antwort kann beim Anbieter, beim Unternehmen, bei einer Führungskraft, einem Dienstleister oder bei mehreren Personen liegen. Sie kann auch noch unbekannt sein. Machen Sie das sichtbar, bevor Sie entscheiden, welche Regeln oder Kontrollen wichtig sind.

Groundlens-Empfehlung: Schreiben Sie fünf konkrete KI-Einsätze auf. Nennen Sie für jeden die verantwortliche Person und halten Sie System, Ablauf, Ausgabe, Anbieterbeziehung, Nutzer, Prüfer, betroffene Personen und unbekannte Punkte fest. Nennen Sie die Liste kein vollständiges Compliance-Programm. Sie ist die erste Ebene operativer Sichtbarkeit.

Quellen

[1] EU AI Act Service Desk, Artikel 2 und 3: https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-2 und https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-3

[2] Europäische Kommission, Fragen und Antworten zur KI-Kompetenz: https://digital-strategy.ec.europa.eu/en/faqs/ai-literacy-questions-answers

[3] EUR-Lex, Verordnung (EU) 2026/1744 (Digital Omnibus für KI), am 24. Juli 2026 im Amtsblatt veröffentlicht und am dritten Tag nach der Veröffentlichung in Kraft getreten: https://eur-lex.europa.eu/eli/reg/2026/1744/oj/eng