Die verschiedenen Rollen nach der EU-KI-Verordnung

Die KI-Verordnung unterscheidet verschiedene Rollen entlang des gesamten Lebenszyklus eines KI-Produkts, von der Entwicklung eines KI-Modells über die Bereitstellung eines KI-Systems bis hin zu dessen Nutzung im Unternehmen.

Je nachdem, welche Rolle ein Unternehmen einnimmt, gelten unterschiedliche gesetzliche Pflichten [1][3]. Deshalb ist die Einordnung der eigenen Rolle der erste Schritt, um die Anforderungen der KI-Verordnung richtig bewerten zu können.

Eine ausführliche Erklärung der einzelnen Akteure ist in Artikel 3 der KI-Verordnung zu finden und wird vom Service Desk der Bundesnetzagentur bereitgestellt [1][2][4].

Interessant ist dabei, dass die KI-Verordnung rechtlich nur den Begriff Anbieter definiert [1][2][4]. Dieser umfasst sowohl Anbieter von KI-Systemen als auch Anbieter von KI-Modellen mit allgemeinem Verwendungszweck (GPAI). Welche dieser beiden Gruppen gemeint ist, ergibt sich jeweils aus dem Zusammenhang der einzelnen Regelungen.

In den meisten Vorschriften ist mit dem Begriff Anbieter der Anbieter eines KI-Systems gemeint. Nur dort, wo die KI-Verordnung ausdrücklich Regelungen für GPAI-Modelle enthält, beziehen sich die Anforderungen auf den KI-Modell-Anbieter.

In der Praxis gilt daher: 

Wichtig ist außerdem, dass Anbieter ihren Unternehmenssitz nicht innerhalb der Europäischen Union haben müssen. Sobald sie ihre KI-Produkte auf dem europäischen Markt bereitstellen, unterliegen sie den entsprechenden Vorgaben der KI-Verordnung [6].

Der Unterschied zwischen einem KI-Modell und einem KI-System lässt sich gut anhand eines Praxisbeispiels erklären:

Ein Softwareunternehmen entwickelt eine Recruiting-Anwendung, die Bewerbungen automatisch analysiert und bewertet. Diese Anwendung stellt ein KI-System dar. Das Unternehmen ist somit KI-System-Anbieter. 

Für die Analyse nutzt die Software über eine Programmierschnittstelle (API) das Sprachmodell GPT-4.1, welches ein GPAI-Modell ist. Dieses Modell stammt von OpenAI. In diesem Zusammenhang ist OpenAI der KI-Modell-Anbieter. 

Setzen andere Unternehmen die Recruiting-Anwendung des Softwareunternehmens im Arbeitsalltag ein, übernehmen sie die Rolle des Betreibers. 

Unter bestimmten Voraussetzungen kann ein Betreiber, Einführer oder Händler selbst zum Anbieter eines KI-Systems werden und damit die deutlich umfangreicheren Pflichten eines Anbieters übernehmen.

Dies kann beispielsweise passieren, wenn ein Unternehmen ein bestehendes KI-System mit dem eigenen Namen versieht oder die Zweckbestimmung des Systems wesentlich verändert und speziell, wenn daraus ein Hochrisiko-KI-System entsteht [1][7].

Artikel 25 soll verhindern, dass Unternehmen diese Pflichten umgehen, indem sie ein bestehendes Hochrisko-KI-System lediglich umbenennen oder es wesentlich verändern beziehungsweise ein risikoarmes KI-System für einen neuen risikoreichen Zweck einsetzen [1][7]. Wer die Kontrolle über die wesentlichen Eigenschaften oder die Zweckbestimmung eines KI-Systems übernimmt und dadurch ein Hochrisiko-KI-System schafft, übernimmt auch die Verantwortung eines Anbieters. 

Die Rollen der KI-Verordnung schließen sich nicht gegenseitig aus. Ein Unternehmen kann gleichzeitig mehrere Rollen einnehmen, teilweise sogar für unterschiedliche KI-Systeme oder entlang derselben Lieferkette [1][3].

Beispiel: 

So kann ein Unternehmen also mehrere Rollen einnehmen. Dass der entwickelte Chatbot für seine Funktionen ein Sprachmodell eines anderen Unternehmens verwendet, ändert an der Rolle des Beispiel-Unternehmers jedoch nichts. Der Anbieter dieses Sprachmodells bleibt weiterhin der jeweilige KI-Modell-Anbieter.

Entscheidend ist daher nicht die Unternehmensgröße oder Branche, sondern die jeweilige Funktion eines Unternehmens im Zusammenhang mit einem bestimmten KI-System.

Neben Anbietern und Betreibern definiert die KI-Verordnung drei weitere Rollen, die insbesondere bei KI-Produkten von Anbietern außerhalb der Europäischen Union relevant sind.

Der Bevollmächtigte hat seinen Sitz innerhalb der EU und wird vom (meist außerhalb der EU ansässigen) Anbieter schriftlich benannt. Er vertritt den Anbieter gegenüber den zuständigen Behörden und übernimmt bestimmte gesetzlich vorgeschriebene Aufgaben [1][4].

Dazu gehört insbesondere, dass der Bevollmächtigte die erforderlichen technischen Unterlagen, Nachweise und Informationen aufbewahrt und den Behörden auf Anfrage zur Verfügung stellt [1][9]. Hierzu gibt es genaue Vorgaben für Anbieter von Hochrisiko-KI-Systemen [1][10]. Außerdem unterstützt er die Zusammenarbeit mit den zuständigen Marktüberwachungsbehörden und stellt sicher, dass der Anbieter seinen gesetzlichen Verpflichtungen nachkommen kann [1][11].

Der Bevollmächtigte wird dadurch jedoch nicht grundsätzlich selbst zum Anbieter und übernimmt nicht die Verantwortung für die Entwicklung oder die technische Konformität des KI-Systems.

Der Einführer hat ebenfalls seinen Sitz in der EU und bringt ein KI-System erstmals aus einem Drittstaat auf den europäischen Markt [1][4]. Dabei bleibt der Name beziehungsweise die Marke des ursprünglichen Anbieters bestehen. Der Einführer wird dadurch nicht automatisch selbst zum Anbieter [1][7].

Da der Einführer als erste Stelle innerhalb der Europäischen Union ein KI-System eines Anbieters außerhalb der EU bereitstellt, treffen ihn speziell bei Hochrisiko-KI-Systemen zusätzliche Prüf- und Sorgfaltspflichten. Er muss unter anderem sicherstellen, dass die erforderlichen Dokumentationen, Kennzeichnungen und Informationen vorhanden sind und das KI-System die geltenden Anforderungen erfüllt [1][12].

Der Händler vertreibt ein bereits in der EU in Verkehr gebrachtes KI-System innerhalb der Lieferkette weiter, nachdem dieses bereits durch einen Anbieter oder Einführer auf dem Markt bereitgestellt wurde. Während der Einführer das Produkt erstmals in die EU bringt, übernimmt der Händler den anschließenden Vertrieb innerhalb des Binnenmarkts.

Ihre Hauptaufgabe besteht darin sicherzustellen, dass die erforderlichen Kennzeichnungen, Dokumentationen und Informationen vorhanden sind [1][13]. Sie übernehmen jedoch grundsätzlich nicht die technischen Pflichten eines Anbieters, solange sie das KI-System nicht wesentlich verändern oder unter eigenem Namen bereitstellen [1][7].