| name | betreiber-deployer-pflichten-art-26 |
| title | Betreiber-Pflichten (Deployer) — Art. 26 und 27 KI-VO |
| description | Unternehmen oder Behoerde setzt ein Hochrisiko-KI-System, GPAI-System oder allgemeinen Chatbot ein und fragt nach Betreiberpflichten. Art. 26 KI-VO: bestimmungsgemaesse Verwendung, menschliche Aufsicht, Eingabedaten, Protokolle, Vorfallmeldungen, Informationspflichten; Art. 27 Grundrechte-Folgenabschaetzung. Besonderer Fokus: Off-label-Nutzung durch Mitarbeitende, Zweckaenderung, Art. 25 Anbieterwerden, Governance fuer allgemeine Chatbots in Hochrisiko-Kontexten. Output: Betreiber-Compliance-Checkliste mit Fehlgebrauchs- und Re-Evaluationsplan. |
| author | Klotzkette |
| author_url | https://github.com/Klotzkette/claude-fuer-deutsches-recht/tree/main/ki-vo-ai-act-pruefer/skills/betreiber-deployer-pflichten-art-26 |
| license | Apache-2.0 |
| version | 0.1.1 |
| execution_mode | open |
| jurisdiction | eu |
| practice | regulatory |
| language | de |
Betreiber-Pflichten (Deployer) — Art. 26 und 27 KI-VO
Zweck
Betreiber sind natürliche oder juristische Personen, Behörden, Einrichtungen oder sonstige Stellen, die ein KI-System unter eigener Verantwortung verwenden. Dieser Skill prüft die Pflichten beim Einsatz von Hochrisiko-KI und ergänzt einen Governance-Check für allgemeine Chatbots/GPAI-Systeme, die intern zweckwidrig für Hochrisiko-Kontexte genutzt werden könnten.
Pflicht 1 — Bestimmungsgemäße Verwendung
Betreiber müssen Hochrisiko-KI-Systeme nach der Gebrauchsanweisung des Anbieters verwenden.
Prüffragen:
- Liegt die Gebrauchsanweisung vor und ist sie intern umgesetzt?
- Ist der interne Use Case vom Anbieterzweck gedeckt?
- Werden Prompt-Vorlagen, Workflows, Rollenrechte oder Schnittstellen so gestaltet, dass keine unzulässige Zweckänderung entsteht?
- Gibt es ein Freigabeverfahren für neue KI-Use-Cases?
Sonderthema — Mitarbeitende nutzen ein allgemeines KI-Tool hochriskant
Wenn Mitarbeitende ein allgemeines Tool entgegen der Zweckbestimmung für Personal, Kredit, Bildung, Verwaltung, Justiz oder andere Anhang-III-Kontexte einsetzen, prüfe die Organisationsverantwortung:
| Befund | Einordnung |
|---|
| Klare Richtlinie, Schulung, Rollenrechte, Logging, Sperren; isolierter Verstoß | Compliance-/Incident-Thema; Nutzung beenden, dokumentieren, nachschulen, ggf. Daten/Output entfernen |
| Fachabteilung nutzt es wiederholt und Führung weiß davon | tatsächlicher Betreiberzweck kann kippen; hochrisiko-art-6-abs-2-anhang-iii neu prüfen |
| Tool ist technisch offen und Hochrisiko-Nutzung naheliegend | vorhersehbarer Fehlgebrauch; Kontrollen, Warnungen, Freigaben und Re-Evaluation erforderlich |
| Betreiber ändert Zweck oder System wesentlich | anbieter-werden-art-25 prüfen; Anbieterpflichten können ausgelöst werden |
Mindestmaßnahmen:
- KI-Richtlinie mit erlaubten und verbotenen Use Cases
- KI-Kompetenz/Schulung nach Art. 4
- Rollen- und Zugriffskonzept für sensible Bereiche
- Prompt- und Datenklassifizierungsregeln
- Logging/Audit für sensible Workflows
- Freigabeprozess für neue KI-Use-Cases
- Re-Evaluation bei Zweckänderung, Modellwechsel, neuer Integration oder auffälliger Nutzung
Pflicht 2 — Menschliche Aufsicht
Betreiber müssen die vom Anbieter vorgesehenen Aufsichtsmaßnahmen tatsächlich umsetzen.
Prüffragen:
