Hochrisiko-KI nutzen: Welche Pflichten hat unser Betrieb?

Das Problem

Ihr Betrieb hat eine KI-Software gekauft, die nach dem EU AI Act als Hochrisiko-System gilt, zum Beispiel für die Bewerberauswahl oder die Bewertung der Kreditwürdigkeit. Der Anbieter sagt: «Wir erfüllen unsere Pflichten.» Nun fragen Sie sich, was Sie als Betreiber selbst tun müssen.

Viele Betriebe unterschätzen, dass auch die Nutzung von Pflichten begleitet wird. Anbieter tragen die Hauptverantwortung für Entwicklung und Konformität, aber wer das System einsetzt, muss es sachgerecht betreiben, beaufsichtigen und dokumentieren.

Dieser Beitrag gibt eine Checkliste der wichtigsten Betreiberpflichten. Er ersetzt keine Rechtsberatung. Ob und wann sie für Ihren Betrieb gelten, hängt von EU-Bezug, Einsatz und Termin ab.

Informationspflichten sind getrennt zu prüfen: Arbeitgeber müssen vor dem Einsatz eines Hochrisiko-Systems am Arbeitsplatz die betroffenen Beschäftigten und ihre Vertretung über dessen Nutzung informieren. Bei Hochrisiko-Systemen aus Anhang III, die Entscheide über natürliche Personen treffen oder unterstützen, sind auch die betroffenen Personen über den KI-Einsatz zu informieren.

So lösen Sie es mit KI – Schritt für Schritt

1. Einstufung bestätigen: Klären Sie, ob Ihr System tatsächlich hochriskant ist. Siehe Wann gilt eine KI als Hochrisiko-System?.
2. Rolle klären: Prüfen Sie, ob Sie Betreiber oder durch Änderungen selbst Anbieter sind. Siehe Anbieter oder Betreiber.
3. Gebrauchsanweisung beschaffen und lesen: Der Anbieter muss sie liefern. Halten Sie fest, wofür das System gedacht ist und wofür nicht.
4. Nutzung danach ausrichten: Setzen Sie das System nur für den vorgesehenen Zweck und unter den beschriebenen Bedingungen ein.
5. Menschliche Aufsicht organisieren: Betrauen Sie Personen mit der nötigen Kompetenz, Ausbildung und Befugnis. Siehe Was bedeutet menschliche Aufsicht über KI im Alltag?.
6. Betrieb überwachen und Protokolle sichern: Beobachten Sie das System, melden Sie Risiken und Vorfälle dem Anbieter und den Behörden, und bewahren Sie automatisch erzeugte Protokolle gemäss den Vorgaben auf. Siehe Welche KI-Protokolle müssen wir aufbewahren?.
7. Information und Dokumentation: Prüfen Sie die Voraussetzungen der jeweiligen Informationspflicht gegenüber betroffenen Personen sowie, als Arbeitgeber bei einem Hochrisiko-Einsatz am Arbeitsplatz, gegenüber betroffenen Beschäftigten und ihrer Vertretung vorab. Dokumentieren Sie die Umsetzung.

Weitere Pflichten für bestimmte Betreiber

Betreiber, die öffentliche Aufgaben erfüllen, sowie Betreiber von Systemen zur Bewertung der Kreditwürdigkeit oder zur Risikobewertung und Preisgestaltung bei Lebens- und Krankenversicherungen müssen unter Umständen vorab eine Grundrechte-Folgenabschätzung durchführen. Mehr dazu unter Wann braucht KI eine Grundrechte-Folgenabschätzung?. Zudem haben Betroffene unter bestimmten Voraussetzungen das Recht auf Erklärung eines Entscheids, siehe Wie verlange ich eine Erklärung zu einer KI-Entscheidung?.

Die Anwendung der Hochrisiko-Pflichten wurde 2026 teilweise verschoben. Prüfen Sie den aktuellen Stand wie in Ab wann gelten welche Pflichten des EU AI Act? beschrieben.

Vorlage zum Kopieren

Ich bereite die Umsetzung der Betreiberpflichten für ein Hochrisiko-KI-System in unserem Betrieb vor.
System und Zweck: [Name, Verwendungszweck]
Betrieb: [Branche, Grösse, Land], EU-Bezug: [ja/nein/unklar]
Erstelle eine Tabelle zum Ausfüllen mit den Spalten: Pflicht, Was bedeutet das bei uns, Verantwortliche Person, Frist, Stand (offen/in Arbeit/erledigt), Beleg.
Zeilen: Gebrauchsanweisung, Zweckbindung, menschliche Aufsicht, Schulung der Aufsichtspersonen, Datenqualität, Überwachung und Meldewege, Protokolle, Information der Beschäftigten, Information Betroffener, Dokumentation.
Füge eine Liste mit Fragen an den Anbieter und an eine Fachperson hinzu.
Gib keine rechtliche Beurteilung ab und weise auf offene Punkte hin.

Füllen Sie die Tabelle mit Ihrem Team aus. Die KI liefert die Struktur, den Inhalt klären Sie selbst.

Worauf Sie achten müssen

• Vertrag mit dem Anbieter: Regeln Sie Gebrauchsanweisung, Protokolle, Support und Meldungen von Vorfällen.
• Schulung: Aufsichtspersonen müssen das System verstehen. Siehe Artikel 4 EU AI Act: Was bedeutet KI-Kompetenz?.
• Mitwirkung: Arbeitgeber informieren betroffene Beschäftigte und ihre Vertretung vor dem Einsatz eines Hochrisiko-Systems am Arbeitsplatz über dessen Nutzung; anwendbare Informationsverfahren sind zu beachten.
• Datenschutz: Der AI Act ersetzt das Datenschutzrecht nicht. Beide sind zu beachten.
• Aktualität: Pflichten und Fristen können sich ändern. Legen Sie eine Person für die Beobachtung fest.

Ein Beispiel aus der Praxis

Ein Beispiel: Eine Privatbank in Zürich mit Kunden in der EU nutzt eine Software zur Bewertung der Kreditwürdigkeit von Privatpersonen.

Vorher verlässt sich die Bank auf die Zusage des Anbieters. Nachher erstellt sie eine Pflichtentabelle: Wer überwacht das System? Welche Schulungen gibt es? Wo liegen die Protokolle, und wie lange werden sie aufbewahrt? Wie werden Kundinnen informiert, und wer prüft ablehnende Entscheide? Für offene Fragen holt die Bank eine rechtliche Beurteilung ein.

So hilft Ihnen Alpasana

Wenn Sie die KI-Kompetenz Ihrer Mitarbeitenden systematisch aufbauen möchten, bietet absofort die KI-Weiterbildung für Unternehmen an. Sie behandelt Schweizer Praxisbezug und Datenschutz, den verantwortungsbewussten Umgang mit Unternehmensdaten und bei EU-Bezug den EU AI Act, mit verifizierbaren Abschlüssen.

Für Firmenlösungen und Teambuchungen gibt es eine Kontaktmöglichkeit. Das Angebot ist eine Weiterbildung und ersetzt keine Rechtsberatung.

Häufige Fragen

Muss ich die Protokolle selbst speichern?

Soweit sie sich unter Ihrer Kontrolle befinden, müssen Sie sie für einen bestimmten Mindestzeitraum aufbewahren. Klären Sie im Vertrag, wer sie technisch speichert.

Brauche ich eine Person, die nur für die Aufsicht zuständig ist?

Nicht zwingend eine eigene Stelle, aber eine benannte Person mit Kompetenz, Zeit und Befugnis. Wichtig ist, dass sie eingreifen kann.

Was gilt, wenn der Anbieter sein System ändert?

Fragen Sie nach Änderungen und prüfen Sie, ob sich Zweck oder Risiken verschieben. Bei wesentlichen Änderungen klären Sie die Einstufung erneut.