EU AI Act Artikel 3 einfach erklärt: Bedeutung für Unternehmen
Artikel 3 EU AI Act: Warum Definitionen für Unternehmen entscheidend sind
Der EU AI Act beginnt nicht mit einer langen Liste konkreter Handlungsanweisungen für Unternehmen. Artikel 3 schafft zunächst die sprachliche Grundlage: Er legt fest, was zentrale Begriffe der Verordnung bedeuten. Das klingt technisch, ist für die Praxis aber entscheidend. Denn ob ein Unternehmen in einer bestimmten Rolle handelt oder ob eine Software als KI-System einzuordnen ist, hängt nicht vom Marketingnamen eines Tools ab, sondern von den gesetzlichen Begriffsbestimmungen.
Für deutsche Unternehmen ist Artikel 3 deshalb ein sinnvoller Startpunkt. Wer KI einkauft, selbst entwickelt, in Fachprozesse integriert oder für Kundinnen und Kunden bereitstellt, sollte die verwendeten Begriffe sauber auseinanderhalten. Andernfalls entstehen schnell Missverständnisse: Ein Unternehmen kann beispielsweise Nutzer eines Tools sein, in einer anderen Konstellation aber durch eigenes Branding oder eine wesentliche Änderung eine andere Rolle einnehmen.
Dieser Beitrag erklärt ausschließlich Artikel 3 der Verordnung (EU) 2024/1689, also die Begriffsbestimmungen des EU AI Act. Er trennt zwischen dem Wortlaut, einer praktischen Einordnung und sinnvollen ersten Schritten. Abrufstand der Primärquelle: 4. September 2026.
Was regelt Artikel 3 des EU AI Act?
Artikel 3 trägt die Überschrift „Begriffsbestimmungen“. Er enthält eine umfangreiche Liste definierter Begriffe, die an vielen anderen Stellen der Verordnung wieder auftauchen. Dazu gehören etwa „KI-System“, „Risiko“, „Anbieter“, „Betreiber“, „Einführer“, „Händler“, „Inverkehrbringen“, „Inbetriebnahme“, „bestimmungsgemäße Verwendung“ und „vernünftigerweise vorhersehbare Fehlanwendung“.
Wichtig ist die Abgrenzung: Artikel 3 beschreibt vor allem, was diese Begriffe im Sinne der Verordnung bedeuten. Konkrete Anforderungen, Fristen oder Sanktionen ordnet dieser Artikel nicht selbst an. Seine Funktion besteht darin, den rechtlichen Rahmen sprachlich zu präzisieren. Praktisch ist das dennoch relevant, weil spätere Bewertungen stets auf diesen Definitionen aufbauen.
Der verbindliche Wortlaut steht in der offiziellen EUR-Lex-Fassung der Verordnung (EU) 2024/1689. Bei Zweifeln ist diese Primärquelle maßgeblich; vereinfachte Erklärungen können den Gesetzestext nicht ersetzen.
Die Definition des KI-Systems: Mehr als ein Chatbot
Artikel 3 Nummer 1 definiert ein KI-System als maschinengestütztes System, das für einen Betrieb mit unterschiedlichem Grad an Autonomie ausgelegt ist. Es kann nach seiner Betriebsaufnahme anpassungsfähig sein. Für explizite oder implizite Ziele leitet es aus erhaltenen Eingaben ab, wie Ausgaben erzeugt werden. Als Beispiele nennt der Artikel Vorhersagen, Inhalte, Empfehlungen oder Entscheidungen, die physische oder virtuelle Umgebungen beeinflussen können.
Für die betriebliche Einordnung sind mehrere Elemente dieser Definition wichtig. Erstens geht es um ein maschinengestütztes System. Zweitens ist ein gewisser Grad an Autonomie vorgesehen; ein vollständig selbstständig handelndes System ist nach dem Wortlaut nicht erforderlich. Drittens kann Anpassungsfähigkeit vorhanden sein, sie muss aber nicht zwingend gegeben sein. Viertens steht das Ableiten von Ausgaben aus Eingaben für bestimmte Ziele im Mittelpunkt.
Das verhindert zwei verbreitete Kurzschlüsse. Nicht jedes digitale Werkzeug ist automatisch ein KI-System. Umgekehrt ist ein KI-System nicht nur dann relevant, wenn es als Chatbot auftritt oder menschliche Sprache erzeugt. Auch Systeme, die beispielsweise Prognosen, Empfehlungen oder priorisierte Vorschläge ausgeben, können unter die Definition fallen. Die Einordnung muss am konkreten System und seiner Funktionsweise erfolgen.
„Risiko“: Nicht nur die Wahrscheinlichkeit zählt
Artikel 3 Nummer 2 beschreibt Risiko als die Kombination aus der Wahrscheinlichkeit des Eintritts eines Schadens und der Schwere dieses Schadens. Die Definition ist bewusst allgemein. Sie liefert keine fertige Risikobewertung für ein einzelnes Unternehmen und nennt in Artikel 3 selbst keine Punktwerte, Schwellen oder Prüfformulare.
Für die Praxis hilft diese Definition dennoch als Denkmodell. Ein möglicher Schaden sollte nicht isoliert betrachtet werden. Ebenso wichtig ist, wie wahrscheinlich sein Eintritt ist. Bei KI-Anwendungen können Unternehmen damit strukturierter fragen: Welche negativen Folgen wären denkbar? Wen könnten sie betreffen? Unter welchen Bedingungen könnten sie eintreten? Und wie schwer wären die Folgen im jeweiligen Einsatzkontext?
Artikel 3 beantwortet diese Fragen nicht abschließend. Er sorgt aber dafür, dass „Risiko“ im weiteren Regelungszusammenhang nicht bloß als vages Bauchgefühl verstanden wird. Für interne Gespräche zwischen Fachbereich, IT, Datenschutz, Informationssicherheit und Geschäftsleitung kann diese gemeinsame Sprache sehr nützlich sein.
Anbieter und Betreiber: Die Rolle entscheidet mit
Besonders wichtig für Unternehmen sind die Begriffe „Anbieter“ und „Betreiber“. Artikel 3 Nummer 3 definiert den Anbieter als eine natürliche oder juristische Person, Behörde, Einrichtung oder sonstige Stelle, die ein KI-System oder ein KI-Modell mit allgemeinem Verwendungszweck entwickelt oder entwickeln lässt und es unter ihrem Namen oder ihrer Marke in Verkehr bringt oder in Betrieb nimmt. Dabei spielt es nach dem Wortlaut keine Rolle, ob dies entgeltlich oder unentgeltlich geschieht.
Artikel 3 Nummer 4 definiert den Betreiber als eine natürliche oder juristische Person, Behörde, Einrichtung oder sonstige Stelle, die ein KI-System unter ihrer Aufsicht verwendet. Ausgenommen ist die Nutzung im Rahmen einer persönlichen, nicht beruflichen Tätigkeit.
Vereinfacht gesagt: Wer ein fremdes KI-Tool im eigenen Arbeitsprozess nutzt, wird häufig zunächst auf die Betreiberrolle schauen müssen. Wer ein System selbst entwickelt, entwickeln lässt und unter dem eigenen Namen oder der eigenen Marke bereitstellt oder in Betrieb nimmt, muss die Anbieterdefinition sorgfältig prüfen. Die konkrete Beurteilung hängt allerdings vom Einzelfall ab; bloße Produktbezeichnungen oder Vertriebsversprechen reichen dafür nicht aus.
Ein Praxisbeispiel aus dem Mittelstand
Ein Maschinenbauunternehmen nutzt eine eingekaufte Software, die Wartungsdaten auswertet und dem Serviceteam Empfehlungen für Inspektionstermine ausgibt. Das Unternehmen arbeitet mit dem Tool im eigenen Betrieb. Allein aus diesem Beispiel folgt keine abschließende rechtliche Rollenbewertung. Es zeigt aber, welche Fragen Artikel 3 auslöst: Wer hat das System entwickelt? Unter welchem Namen wird es bereitgestellt? Wer verwendet es unter eigener Aufsicht? Welche Ausgaben erzeugt das System und wie wirken sie auf Arbeitsabläufe?
Stellt dasselbe Unternehmen eine angepasste Lösung unter eigener Marke externen Kundinnen und Kunden zur Verfügung, verändert sich die Ausgangslage möglicherweise. Dann reicht es nicht mehr, intern nur von „unserem KI-Tool“ zu sprechen. Das Unternehmen sollte dokumentieren, welche Partei welche Funktion tatsächlich übernimmt und auf welcher Grundlage diese Einordnung erfolgt.
Weitere Rollen in der Liefer- und Nutzungskette
Artikel 3 definiert neben Anbieter und Betreiber weitere Akteure. Dazu zählen der Bevollmächtigte, der Einführer und der Händler. Diese Begriffe betreffen vereinfacht gesprochen Konstellationen, in denen KI-Systeme oder relevante Komponenten über Unternehmens- und Ländergrenzen hinweg bereitgestellt, eingeführt oder vertrieben werden.
Außerdem fasst Artikel 3 unter dem Begriff „Wirtschaftsakteur“ mehrere Rollen zusammen, darunter Anbieter, Produkthersteller, Betreiber, Bevollmächtigte, Einführer und Händler. Das bedeutet nicht, dass jede dieser Rollen automatisch gleichzeitig vorliegt. Es zeigt vielmehr, dass der EU AI Act die Wertschöpfungs- und Bereitstellungskette nicht allein auf den ursprünglichen Entwickler reduziert.
Praxisunterstützung: KI-Kompetenz nach Art. 4 EU AI Act praxisnah aufbauen. So können Beschäftigte KI-Systeme in ihrem Arbeitskontext besser erkennen, richtig einordnen und verantwortungsvoll einsetzen.
Für Einkaufsabteilungen und Produktverantwortliche ist das ein praktischer Hinweis: Vertragsunterlagen, Produktdokumentation, Markenauftritt und tatsächliche Nutzungsabläufe sollten zueinander passen. Wer ein System einkauft, integriert, weitergibt oder unter eigenem Namen anbietet, sollte diese Schritte nicht nur technisch, sondern auch begrifflich nachvollziehen können.
Bestimmungsgemäße Verwendung und vorhersehbare Fehlanwendung
Artikel 3 definiert auch die „bestimmungsgemäße Verwendung“ sowie die „vernünftigerweise vorhersehbare Fehlanwendung“. Die bestimmungsgemäße Verwendung knüpft an die Nutzung an, für die ein KI-System entsprechend den bereitgestellten Informationen vorgesehen ist. Die vorhersehbare Fehlanwendung betrifft eine Nutzung, die zwar nicht der vorgesehenen Verwendung entspricht, aber aus menschlichem Verhalten oder der Interaktion mit anderen Systemen vernünftigerweise vorhersehbar sein kann.
Für Unternehmen liegt darin eine nüchterne Praxislektion: Nicht nur der beschriebene Idealprozess ist relevant für die interne Steuerung. Auch naheliegende Abweichungen sollten sichtbar werden. Wenn Mitarbeitende ein Assistenzsystem etwa für Entscheidungen einsetzen könnten, für die es im vorgesehenen Prozess nicht gedacht ist, ist das zumindest eine Governance-Frage. Dabei geht es nicht darum, hypothetische Extremfälle zu sammeln, sondern typische Einsatzmuster realistisch zu betrachten.
Kompakte Checkliste: Artikel 3 im Unternehmen anwenden
- System erfassen: Welches konkrete Tool oder System wird genutzt, entwickelt, angepasst oder weitergegeben?
- Funktionsweise beschreiben: Welche Eingaben erhält es, welche Ausgaben erzeugt es und welchen Einfluss können diese Ausgaben haben?
- Rolle zuordnen: Wer ist nach den tatsächlichen Umständen Anbieter, Betreiber oder gegebenenfalls ein anderer in Artikel 3 definierter Akteur?
- Marke und Bereitstellung prüfen: Wird ein System unter dem eigenen Namen oder der eigenen Marke in Verkehr gebracht oder in Betrieb genommen?
- Verwendungszweck festhalten: Welche Nutzung ist vorgesehen und welche naheliegenden Fehlanwendungen sollten intern adressiert werden?
- Begriffe einheitlich nutzen: Einkauf, Fachbereich, IT und Geschäftsleitung sollten dieselben Begriffe nicht unterschiedlich verwenden.
Was Artikel 3 nicht leistet
Artikel 3 ist kein Selbsttest für die vollständige Konformität eines KI-Einsatzes. Er ersetzt weder eine konkrete Einzelfallprüfung noch technische, organisatorische oder vertragliche Bewertungen. Auch lässt sich aus einer einzelnen Definition nicht automatisch ableiten, welche Anforderungen in einer konkreten Konstellation gelten.
Es wäre daher unpräzise, aus Artikel 3 allein pauschale Aussagen über Zulässigkeit, Pflichten, Fristen oder Sanktionen abzuleiten. Sein Mehrwert liegt woanders: Er schafft das Vokabular, mit dem Unternehmen ihren KI-Einsatz nachvollziehbar beschreiben und die richtigen Fragen stellen können.
Fazit: Erst Begriffe klären, dann KI strukturiert steuern
Artikel 3 des EU AI Act ist das Begriffslexikon der Verordnung. Für Unternehmen sind insbesondere die Definition des KI-Systems, das Verständnis von Risiko sowie die Abgrenzung zwischen Anbieter und Betreiber relevant. Wer diese Grundlagen sauber dokumentiert, schafft eine deutlich bessere Ausgangsbasis für interne Entscheidungen, Beschaffung, Produktentwicklung und Governance.
Der sinnvollste erste Schritt ist nicht, jede KI-Anwendung sofort abschließend rechtlich zu etikettieren. Sinnvoller ist eine belastbare Bestandsaufnahme: Welche Systeme gibt es, was tun sie, wie werden sie eingesetzt und welche Rolle nimmt das eigene Unternehmen dabei tatsächlich ein? Genau dafür liefert Artikel 3 die zentrale Sprache.
Hinweis: Dieser Beitrag bietet allgemeine Informationen zum Artikel 3 der Verordnung (EU) 2024/1689 und stellt keine Rechtsberatung dar.
