EU AI Act Artikel 26 — Betreiberpflichten

Hinweis: Dieser Explainer ist informativ; Framework-Referenzen sind nie eine Compliance-Garantie — stimmen Sie Ihr Programm mit Ihrer Rechtsberatung ab.

Artikel 26 adressiert Betreiber — Organisationen, die Hochrisiko-AI-Systeme in eigener Verantwortung einsetzen. Gemäß dem Digital Omnibus von 2026 gelten diese Pflichten ab Dezember 2027 — gelassen erfüllen wird sie, wer die Betriebsroutine jetzt aufbaut.

Artikel 26(1) — Nutzung gemäß Betriebsanleitung, mit Kontrolle

Betreiber müssen geeignete technische und organisatorische Maßnahmen treffen, damit Hochrisiko-Systeme gemäß ihrer Betriebsanleitung genutzt werden. Das setzt etwas Grundlegenderes voraus: zu wissen, welche AI-Systeme Ihre Organisation überhaupt nutzt — und die stoppen zu können, die sie nicht nutzen soll.

Shields Hebel: die Vorlage Block unsanctioned / high-risk AI tools (referenziert auf Art. 26(1)) plus Discovery-Triage — freigegebene Tools sind explizit, alles andere ist sichtbar oder blockiert.

Artikel 26(5) — Betrieb überwachen

Betreiber müssen den Betrieb des Hochrisiko-Systems überwachen und handeln, wenn sich Risiken zeigen. Ein AI-Tool zu überwachen, das Ihre Beschäftigten über den Browser nutzen, heißt zu überwachen, was tatsächlich hineinfließt.

Shields Hebel: die Vorlage Monitor all AI usage (referenziert auf Art. 26(5)) hält das Betriebsbild aktuell — jede AI-Interaktion wird erfasst, während sie geschieht, sodass Risiken sichtbar werden, solange Sie noch handeln können.

Artikel 26(6) — Protokolle aufbewahren

Betreiber müssen die vom Hochrisiko-System automatisch erzeugten Protokolle aufbewahren, soweit sie ihrer Kontrolle unterliegen — für einen dem Zweck angemessenen Zeitraum. Protokolle, die nie erfasst wurden, lassen sich nicht aufbewahren.

Shields Hebel: die Spur, die dieselbe Vorlage Monitor all AI usage erzeugt — jede AI-Interaktion im manipulationsresistenten Audit-Log, mit plan-basierter Aufbewahrung —, ist genau das Protokoll, dessen Aufbewahrung dieser Absatz erwartet.

Das Ergebnis

Im Dezember 2027 treffen die Artikel-26-Pflichten auf Organisationen, die entweder improvisieren oder die Routine längst fahren: governtes Tool-Inventar, überwachter Betrieb, aufbewahrter Audit-Trail. Das Bundle EU AI Act & DSGVO Starter aus der Vorlagen-Bibliothek startet diese Routine heute.