Gilt die KI-Verordnung auch für KI-Systeme, die wir nur intern nutzen?

Ja. Die Betreiberpflichten knüpfen daran an, dass ein KI-System unter eigener Verantwortung im beruflichen Kontext eingesetzt wird – nicht daran, ob es nach außen wirkt. Ein rein interner Assistent löst dieselben Grundpflichten aus wie ein Kunden-Chatbot.

Sind wir auch Betreiber, wenn wir die KI nicht selbst entwickelt haben?

Ja. Anbieter ist, wer ein System entwickelt und bereitstellt; Betreiber ist, wer es einsetzt. Bei zugekaufter Standardsoftware mit KI-Funktionen ist das einsetzende Unternehmen Betreiber. Die Verantwortung wandert nicht zum Hersteller.

Fällt privat genutzte KI unter die Verordnung?

Die rein persönliche, nicht-berufliche Nutzung durch Privatpersonen ist ausgenommen. Sobald die Nutzung dem Unternehmenszweck dient, greift die Betreiberrolle – auch wenn sie auf einem privaten Gerät stattfindet.

Was ist mit Werkzeugen, die Mitarbeitende ohne Freigabe nutzen?

Die Betreiberrolle entsteht faktisch mit dem Einsatz im beruflichen Kontext. Eine fehlende Freigabe schützt nicht vor der Pflicht, sondern erschwert den Nachweis, dass angemessene Maßnahmen ergriffen wurden. Ein KI-Inventar sollte solche Fälle deshalb aktiv erfassen.

Gilt die KI-Verordnung auch für intern genutzte KI?

Der Kernbegriff

Betreiber ist, wer einsetzt

Die KI-Verordnung unterscheidet Rollen. Anbieter ist, wer ein KI-System entwickelt und unter eigenem Namen bereitstellt. Betreiber ist, wer ein KI-System unter eigener Verantwortung im beruflichen Kontext einsetzt. Die zweite Rolle ist der Normalfall – und sie hängt nicht davon ab, ob das System nach außen wirkt.

Häufige Annahme

„Wir entwickeln keine KI, wir nutzen nur ein zugekauftes Werkzeug intern. Die Verordnung betrifft den Hersteller.“

Führt dazu, dass gar nichts dokumentiert wird.

Rechtslage

Wer ein KI-System im beruflichen Kontext einsetzt, ist Betreiber – unabhängig davon, wer es gebaut hat und ob Kunden es je zu sehen bekommen.

Betreiberpflichten treffen das eigene Unternehmen.

Konkret

Diese Fälle lösen Betreiberpflichten aus

→Ein KI-Assistent für die Belegschaft. Ob selbst gebaut oder als Lizenz zugekauft, spielt keine Rolle. Der Einsatz erfolgt unter Ihrer Verantwortung.
→KI-Funktionen in Standardsoftware. Die KI-Features in CRM, Office-Suite, Ticketsystem oder Personalsoftware. Die Verantwortung wandert nicht zum Hersteller, nur weil die Funktion mitgeliefert wurde.
→Ein Chatbot für interne Wissensfragen. Auch ohne jede Außenwirkung. Relevant sind Rolle und Risiko, nicht die Sichtbarkeit.
→KI in der Personalauswahl oder Leistungsbewertung. Hier kommt ein zweiter Punkt hinzu: Diese Anwendungen fallen typischerweise in den Hochrisiko-Bereich nach Anhang III – auch bei rein interner Nutzung.
→Schatten-KI. Von Mitarbeitenden eigenständig genutzte Werkzeuge, ohne Freigabe. Die Betreiberrolle entsteht faktisch; die fehlende Freigabe schützt nicht, sondern erschwert den Nachweis.

Grenzen

Wo die Verordnung nicht greift

Nicht jeder Einsatz ist erfasst. Die KI-Verordnung gilt nicht für die rein persönliche, nicht-berufliche Nutzung durch Privatpersonen. Wer privat einen Chatbot fragt, löst keine Pflichten aus. Sobald die Nutzung dem Unternehmenszweck dient, greift die Betreiberrolle – auch dann, wenn sie auf einem privaten Gerät stattfindet.

Ebenfalls außerhalb liegen KI-Systeme, die ausschließlich für Forschung und Entwicklung vor dem Inverkehrbringen genutzt werden, sowie Systeme unter freier Open-Source-Lizenz – letzteres allerdings mit Ausnahmen, die in der Praxis häufig greifen.

Was daraus folgt

Drei Pflichten treffen jeden Betreiber

Seit 02.02.2025KI-KompetenzMaßnahmen zur Förderung der KI-Kompetenz des Personals – Artikel 4.

Seit 02.02.2025Verbotene PraktikenKein Social Scoring, keine Emotionserkennung am Arbeitsplatz – letzteres trifft interne HR-Werkzeuge direkt.

Seit 02.08.2026TransparenzOffenlegung bei direkter KI-Interaktion nach Artikel 50 – auch gegenüber der eigenen Belegschaft.

Der praktische erste Schritt ist deshalb kein Rechtsgutachten, sondern ein KI-Inventar: Welche Systeme laufen im Unternehmen, wer nutzt sie wofür, und in welcher Rolle steht das Unternehmen jeweils. Ohne diese Liste lässt sich keine der drei Pflichten belegen.

Nächster Schritt

Erst die Lage kennen, dann handeln

Der sinnvolle Einstieg ist eine Compliance-Gap-Analyse: Welche KI-Systeme sind im Einsatz, in welcher Rolle steht das Unternehmen, welche Pflichten greifen bereits – und was davon ist bislang undokumentiert. Erst daraus ergibt sich, was zu tun ist.

Wir führen diese Analyse durch und setzen die Maßnahmen anschließend um – technisch über ABD GENIE mit Quellenbindung und Audit Trail, organisatorisch über die ABD KI-Akademie.

office@ai-bd.at

Rechtsstand: 27. Juli 2026. Grundlage sind die Verordnung (EU) 2024/1689 (KI-Verordnung) in der Fassung der Verordnung (EU) 2026/1744 (Digital Omnibus, in Kraft seit 27.07.2026). Dieser Beitrag gibt den Stand der öffentlich zugänglichen Rechtslage wieder und dient der Orientierung. Er ersetzt keine Rechtsberatung im Einzelfall. Weiterführend: EU AI Act Compliance – was jetzt schon gilt.