Schatten-IT mit KI: die Rollenfrage gehört ins Freigabegespräch

Wenn deine Fachabteilung mit KI eine eigene Anwendung baut und im Haus nutzt, geht es um mehr als um Schatten-IT. Dann stellt sich die Frage, ob dein Unternehmen nach der KI-Verordnung Anbieter eines KI-Systems ist. Wer ein fertiges KI-Tool nur benutzt, ist in der Regel Betreiber, nicht Anbieter. In diesem Artikel siehst du, wann die Anbieterrolle entsteht und welche Pflichten heute schon gelten.

Baut deine Fachabteilung ein KI-System und nimmt es im eigenen Haus in Betrieb, ist dein Unternehmen in der Regel Anbieter und Betreiber zugleich. Ob überhaupt ein KI-System entstanden ist, musst du vorher prüfen.

Zur Einordnung: Schon die bloße Nutzung ist verbreitet. In gut vier von zehn Unternehmen nutzen Beschäftigte private KI-Tools für die Arbeit oder die Firma geht davon aus (8 Prozent weit verbreitet, 17 Prozent Einzelfälle, 17 Prozent vermutet). Das ergab eine Bitkom-Befragung von 604 Unternehmen in Deutschland ab 20 Beschäftigten, erhoben in den Kalenderwochen 27 bis 32 des Jahres 2025 und veröffentlicht im Oktober 2025. Wie viele Fachabteilungen selbst Anwendungen bauen, weist die Befragung nicht aus.

Erst die Vorfrage: Ist das überhaupt ein KI-System?

Für die Anwendungen deiner Fachabteilung kommt es zuerst auf die Systemdefinition der KI-Verordnung (EU) 2024/1689 an. Für KI-Modelle mit allgemeinem Verwendungszweck enthält die Verordnung eigene Regeln; sie sind hier nicht Thema. Art. 3 Nr. 1 nennt diese Merkmale:

  • Autonomie. Das System ist maschinengestützt und für einen in unterschiedlichem Grade autonomen Betrieb ausgelegt.
  • Ableitung. Es leitet aus Eingaben für ausdrückliche oder implizite Ziele ab, wie es Ausgaben erzeugt, etwa Vorhersagen, Inhalte, Empfehlungen oder Entscheidungen.
  • Wirkung. Diese Ausgaben können physische oder virtuelle Umgebungen beeinflussen.

Nach der Inbetriebnahme anpassungsfähig kann das System sein, muss es aber nicht. Erwägungsgrund 12 grenzt ausdrücklich ab: Systeme, die auf ausschließlich von Menschen festgelegten Regeln für das automatische Ausführen von Operationen beruhen, sollen nicht erfasst sein.

Die Leitlinien der EU-Kommission zur Definition des KI-Systems in der am 29. Juli 2025 angenommenen Fassung nennen die Fähigkeit, abzuleiten, eine unverzichtbare Voraussetzung. Sie betonen zugleich, dass die Definition nicht mechanisch angewendet werden soll: Jedes System ist nach seinen konkreten Merkmalen zu beurteilen. Verbindlich sind die Leitlinien nicht, das letzte Wort hat der Europäische Gerichtshof.

Für Fachabteilungen heißt das:

  • KI als Werkzeug beim Bauen. Hat ein Sprachmodell beim Schreiben des Programmcodes geholfen, macht das die fertige Anwendung nicht automatisch zum KI-System. Eine Tabellenlogik oder ein Formular mit festen Regeln bleibt klassische Software.
  • KI als Teil der laufenden Anwendung. Ruft die Anwendung im Betrieb selbst ein Modell auf, das Texte, Vorschläge oder Bewertungen erzeugt, liegt die Prüfung anders. Ob die Anwendung ein KI-System ist, bleibt anhand der Merkmale aus Art. 3 Nr. 1 zu prüfen.

Womit gebaut wurde, ob mit Programmcode, einer No-Code-Plattform oder einem KI-Baukasten, ändert an diesen Merkmalen nichts. Maßgeblich sind Architektur und Funktionsweise der Anwendung über ihren Lebenszyklus, einschließlich Bau- und Nutzungsphase. Erst wenn die Vorfrage beantwortet ist, lohnt die Rollenfrage.

Anbieter oder Betreiber: hier entscheidet es sich

Die KI-Verordnung kennt zwei Hauptrollen mit sehr unterschiedlichem Pflichtenumfang. Anbieter ist nach Art. 3 Nr. 3, wer ein KI-System entwickelt oder entwickeln lässt und es unter eigenem Namen in Verkehr bringt oder in Betrieb nimmt, ausdrücklich entgeltlich oder unentgeltlich. Betreiber ist nach Art. 3 Nr. 4, wer ein KI-System in eigener Verantwortung verwendet, es sei denn, die Verwendung ist persönlich und nicht beruflich.

Der entscheidende Halbsatz ist „in Betrieb nimmt“. Inbetriebnahme umfasst nach Art. 3 Nr. 11 auch die Bereitstellung zum Eigengebrauch. Du musst also nichts verkaufen, um Anbieter zu sein.

Drei Konstellationen helfen bei der Einordnung:

  • Doppelrolle. Entwickelt dein Unternehmen ein KI-System, nimmt es unter eigenem Namen oder eigener Marke in Betrieb und nutzt es in eigener Verantwortung, ist es Anbieter und Betreiber zugleich. Zu prüfen sind dann KI-Kompetenz und verbotene Praktiken. Für Hochrisiko-Systeme und bestimmte Transparenzfälle kommen weitere Pflichten hinzu.
  • Verwendung in eigener Verantwortung. Setzen Mitarbeitende ein KI-System im Arbeitskontext ein, kommt eine Betreiberrolle des Unternehmens in Betracht. Ob eine nur geduldete Nutzung dafür genügt, bleibt im Einzelfall zu klären. Wegsehen ist deshalb keine verlässliche Strategie.
  • Rollenwechsel nach Art. 25. Art. 25 betrifft nur Hochrisiko-KI-Systeme. Betreiber und andere Dritte gelten in drei Fällen als Anbieter eines solchen Systems. Erstens: Sie versehen ein bereits in Verkehr gebrachtes oder in Betrieb genommenes Hochrisiko-System mit ihrem Namen oder ihrer Marke; vertragliche Vereinbarungen über eine andere Aufteilung der Pflichten bleiben dabei unberührt. Zweitens: Sie verändern es so wesentlich, dass es ein Hochrisiko-System bleibt. Drittens: Sie ändern die Zweckbestimmung eines bisher nicht hochriskanten Systems so, dass es hochriskant wird.

Ein möglicher Fall für den dritten Weg: Die Personalabteilung ändert die Zweckbestimmung eines allgemeinen KI-Systems, um damit Bewerbungen zu sichten und zu filtern. Dieser Zweck steht in Anhang III Nr. 4 Buchstabe a. Ein Rollenwechsel setzt voraus, dass das System dadurch nach Art. 6 tatsächlich hochriskant wird; mögliche Ausnahmen sind mitzuprüfen.

Was heute gilt und was der Digital Omnibus verschoben hat

Die Verordnung (EU) 2026/1744, die Digital-Omnibus-Verordnung zur KI, wurde am 24. Juli 2026 im Amtsblatt veröffentlicht und trat am 27. Juli 2026 in Kraft, sechs Tage vor dem ursprünglichen Stichtag 2. August 2026. Sie hat die Hochrisiko-Regeln verschoben. Nach dem geänderten Art. 113 der KI-Verordnung gelten Kapitel III Abschnitte 1 bis 3, mit Ausnahme von Art. 6 Abs. 5, ab dem 2. Dezember 2027 für Hochrisiko-Systeme nach Art. 6 Abs. 2 und Anhang III. Für Hochrisiko-Systeme nach Art. 6 Abs. 1 und Anhang I ist der Termin der 2. August 2028. Das heißt nicht, dass heute nichts gilt.

Schon heute anwendbar sind:

  • Art. 4, KI-Kompetenz. Gilt seit dem 2. Februar 2025 für Anbieter und Betreiber. Seit dem 27. Juli 2026 gilt die neue Fassung: Anbieter und Betreiber ergreifen Maßnahmen, um die Entwicklung der KI-Kompetenz ihres Personals und anderer in ihrem Auftrag mit Betrieb und Nutzung befasster Personen zu unterstützen. Zu berücksichtigen sind Kenntnisse, Erfahrung, Aus- und Fortbildung, Einsatzkontext und betroffene Personengruppen. Ein bestimmtes Kompetenzniveau einzelner Personen müssen sie nicht garantieren. Wer die Maßnahmen aufschreibt, kann später zeigen, was er getan hat.
  • Art. 50, Transparenz. Gilt seit dem 2. August 2026 für bestimmte Konstellationen mit je eigenen Voraussetzungen. Ist ein System für die direkte Interaktion mit Menschen bestimmt, muss der Anbieter es so gestalten, dass diese erfahren, dass sie mit einem KI-System interagieren, soweit das nicht ohnehin offensichtlich ist (Abs. 1). Erzeugt ein System synthetische Inhalte, muss der Anbieter grundsätzlich für eine maschinenlesbare Kennzeichnung sorgen (Abs. 2). Deepfakes offenlegen müssen dagegen die Betreiber (Abs. 4). Prüfe je Anwendung, welcher Absatz greift.

Für die Kennzeichnung nach Abs. 2 gilt eine Übergangsfrist bis zum 2. Dezember 2026, wenn das System vor dem 2. August 2026 in Verkehr gebracht wurde. Ob diese Frist auch bei einer rein internen Inbetriebnahme greift, bleibt gesondert zu klären.

Für die Vorbereitung auf Hochrisiko-Anwendungen sind außerdem wichtig:

  • Art. 6 Abs. 3 und 4, Ausnahme von der Hochrisiko-Einstufung. Die Ausnahme für ein System nach Anhang III setzt voraus, dass es kein erhebliches Risiko für Gesundheit, Sicherheit oder Grundrechte birgt und eine der dort genannten Bedingungen erfüllt. Bei Profiling natürlicher Personen greift sie nicht. Art. 6 Abs. 4 verlangt vom Anbieter, der die Ausnahme beansprucht, eine dokumentierte Bewertung vor dem Inverkehrbringen oder der Inbetriebnahme. Ob und ab wann diese Vorschriften im konkreten Fall greifen, ist anhand der Übergangsregelung zu prüfen.
  • Art. 25, Rollenwechsel. Steht in Kapitel III Abschnitt 3. Für den konkreten Rollenwechsel ist die zeitliche Anwendung anhand von Art. 113 zu prüfen.

Der Aufschub verschafft dir also Zeit für die Hochrisiko-Pflichten, nicht für die Bestandsaufnahme. Eine Übersicht deiner Anwendungen erleichtert es, Art. 4 und Art. 50 gezielt umzusetzen.

Was bei Verstößen droht

Die Obergrenzen stehen in Art. 99 der KI-Verordnung. Verstöße gegen die Transparenzpflichten aus Art. 50 können nach Art. 99 Abs. 4 mit Geldbußen bis zu 15 Millionen Euro oder bis zu 3 Prozent des weltweiten Jahresumsatzes des Vorjahres geahndet werden, je nachdem, welcher Betrag höher ist. Für kleine und mittlere Unternehmen gilt nach Abs. 6 jeweils der niedrigere Betrag. Nach dem neuen Abs. 6a gilt das bei Geldbußen nach Abs. 4 und 5 auch für kleine Midcap-Unternehmen. Die Anbieter- und Betreiberpflichten für Hochrisiko-Systeme stehen ebenfalls in Abs. 4, gelten aber erst ab den genannten Terminen.

Sanktionen für Verstöße gegen die übrigen Vorschriften, etwa gegen Art. 4, legen nach Abs. 1 die Mitgliedstaaten fest. In Deutschland nennt die Bußgeldvorschrift, § 15 des KI-Marktüberwachungs- und Innovationsförderungsgesetzes (KI-MIG), Art. 4 nicht. Ein Verstoß gegen Art. 4 ist dort also derzeit nicht mit Bußgeld bedroht. Die Pflicht gilt trotzdem.

Warum eine einmalige Freigabe nicht reicht

Eine einzelne Freigabe ist eine Momentaufnahme. Danach können sich Abhängigkeiten, Konfigurationen, Zugänge und Funktionen ändern. Ohne laufende Kontrolle können solche Änderungen unbemerkt bleiben. Aus einer klassischen Anwendung kann so später eine Anwendung mit KI-Funktion werden, für die dann die Fragen oben neu zu beantworten sind. Ein Freigabeprozess sollte deshalb auch spätere Änderungen erfassen.

Mögliche Schwachstellen selbstgebauter Anwendungen sind schutzbedürftige Schnittstellen ohne angemessene Zugangskontrolle, Zugangsdaten im Programmcode oder in der Build-Konfiguration und veraltete Abhängigkeiten. Wenn du entscheidest, ob deine Fachabteilungen bauen dürfen, ist deshalb nicht nur die Frage wichtig, ob sie es können, sondern ob danach regelmäßig jemand nachschaut.

Wie du jetzt vorgehst

  1. Bestand aufnehmen. Liste jede selbstgebaute Anwendung mit vier Angaben: wer hat gebaut, welche Daten fließen hinein, wer ist zuständig, wann zuletzt geprüft. Diese Liste hilft dir, die folgenden Fragen systematisch zu beantworten.
  2. Erst die KI-System-Frage, dann die Rollenfrage. Erfüllt die Anwendung die Merkmale aus Art. 3 Nr. 1? Wenn nein, endet diese Systemprüfung für die Anwendung. Beim Bauen eingesetzte KI-Werkzeuge und mögliche Tätigkeiten mit KI-Modellen mit allgemeinem Verwendungszweck sind gesondert zu betrachten. Datenschutz bleibt bei personenbezogenen Daten im jeweiligen Anwendungsbereich relevant; Anforderungen an die IT-Sicherheit hängen vom Einsatzkontext ab.
  3. Rolle je System bestimmen. Anbieter, Betreiber oder beides, pro Anwendung und nicht pro Unternehmen. Bei einem selbst gebauten KI-System für den Eigenbedarf lautet die Antwort in aller Regel: beides.
  4. KI-Kompetenz fördern und festhalten. Halte fest, welche Maßnahmen die Beteiligten erhalten haben, etwa Schulungen oder interne Leitfäden. Die Maßnahmenpflicht nach Art. 4 gilt bereits; die Dokumentation empfiehlt die Bundesnetzagentur als Nachweis.
  5. Transparenz umsetzen, wo Art. 50 greift. Prüfe je Anwendung, welcher Absatz einschlägig ist, und setze Hinweis oder Kennzeichnung entsprechend um. Beachte die genannte Übergangsfrist für Abs. 2 und die offene Frage bei rein interner Inbetriebnahme.
  6. Hochrisiko-Frage jetzt schon beantworten. Eine kurze schriftliche Einschätzung je KI-Anwendung zeigt dir früh, ob eine davon in einen Bereich aus Anhang III fällt, etwa Personalauswahl. Prüfe dabei auch, ob und ab wann die Dokumentationspflicht nach Art. 6 Abs. 4 greift.
  7. Regelmäßig nachprüfen statt einmalig freigeben. Plane eine wiederkehrende Prüfung auf offene Schnittstellen, Zugangsdaten im Code und veraltete Abhängigkeiten, am besten automatisiert.

Beispiel: Registereintrag für eine selbstgebaute Anwendung

Das folgende Beispiel ist erfunden. Es zeigt, welche Felder ein Eintrag haben kann, nicht, wie der Einzelfall rechtlich zu entscheiden ist. Für ein Auswertungswerkzeug im Controlling oder in einer anderen Abteilung sind die Felder dieselben.

Anwendung          Angebotsrechner Vertrieb
Gebaut von         Vertriebsinnendienst (2 Personen), seit 03/2026

KI-System?         ja, ruft im Betrieb ein Sprachmodell auf, das
                   Angebotstexte entwirft (Begründung: Anlage 1)
Rolle nach KI-VO   Anbieter (Eigenentwicklung, Inbetriebnahme im Haus)
                   und Betreiber (eigene Verwendung)

Daten              Kundenstammdaten, Preislisten
                   keine Personalentscheidung
Hochrisiko?        kein Bereich aus Anhang III erkennbar
                   (Einschätzung: Anlage 2)
Art. 50            Abs. 1 und Abs. 2 geprüft, Ergebnis: Anlage 3
Art. 4             Maßnahmen für beide Ersteller: Schulung vom 14.04.2026
Letzte Prüfung     01.09.2026, 2 Befunde mittel, 1 davon offen

Ein gepflegter Registereintrag macht Zuständigkeiten und offene Befunde sichtbar. Die Kontrollen selbst und die Bearbeitung der Befunde ersetzt er nicht.

Über AthenaRun

AthenaRun bietet Individualsoftware für den Mittelstand an. Eine regulatorische Vorprüfung sollte vor Design und Bau stehen. Sie ersetzt keine anwaltliche Prüfung. Wenn du über eine Eigenentwicklung in deinem Haus sprechen willst, erreichst du uns über Kontakt.

Dieser Beitrag ist eine fachliche Einordnung, keine Rechtsberatung. Die Rollenzuordnung im Einzelfall gehört anwaltlich geprüft.

Weiterlesen im Wissen-Hub

Den operativen Rahmen dazu mit Rollen, Freigaben und Protokollierung findest du in Governance-Rahmen für KI-generierte Anwendungen. Wie du Eigenentwicklung in Fachabteilungen steuerst, statt sie zu verbieten, steht in Schatten-IT oder gesteuerte Eigenentwicklung?.