3. Wer muss welche Regeln aus der KI-Verordnung beachten?

Die KI-Verordnung unterscheidet zwischen verschiedenen Akteuren, die jeweils unterschiedliche Pflichten haben. Entscheidend ist, ob Sie als Anbieter oder Betreiber eines KI-Systems agieren. Diese Rollen bestimmen, welche Regeln für Sie gelten.

Podcast

Folge 3: Über Rollen und ihre Regeln

Wer mit KI arbeitet, muss wissen: Nicht jede Rolle ist gleich – und nicht jede Pflicht trifft jeden. In der dritten Folge des Podcasts zur KI-Verordnung geht es darum, welche Regeln für Anbieter und Betreiber von KI-Systemen relevant sind. Wie können Unternehmer ihre Rolle richtig einordnen, und worauf sollten sie achten? Antworten gibt Rechtsanwalt Matthias Orthwein im Gespräch mit dem DIHK-Experten Arian Siefert.

Audio herunterladen

Wer ist Anbieter?

Als Anbieter von KI-Systemen gilt, wer ein KI-System entwickelt, seinen Namen oder seine Marke darauf anbringt oder wesentliche Änderungen daran vornimmt. Dazu zählen sowohl Unternehmen mit Sitz in der EU als auch Anbieter außerhalb der EU, wenn ihre KI-Systeme in der EU genutzt werden.

Auch wer das KI-System eines anderen Anbieters einkauft, um es dann unter eigenem Namen (beispielsweise als "IHK-GPT") seinen Kunden anzubieten (etwa als Service Chatbot), eignet sich mit dem Anbringen des eigenen Labels zugleich automatisch die Rolle des Anbieters an.

Die wichtigsten Pflichten für Anbieter hängen von der Risikoklasse des KI-Systems ab. Anbieter müssen unter anderem eine Konformitätserklärungen erstellen, Risiko- und Qualitätsmanagementsysteme einrichten oder relevante technische Dokumentationen bereitstellen.

Wer ist Betreiber?

Betreiber von KI-Systemen sind Unternehmen, die KI-Systeme in ihrem Betrieb nutzen oder damit Endnutzern in der EU Produkte oder Dienstleistungen anbieten. Das kann ein Unternehmen sein, das mithilfe eines KI-Systems Eingangsrechnungen seiner Lieferanten prüft und vorsortiert. Andere Beispiele sind KI-Systeme, die in der Kundenbetreuung eingesetzt werden.

Betreiber solcher KI-Systeme müssen sicherstellen, dass sie die KI-Systeme gemäß den Vorgaben der Anbieter nutzen, Risiken überwachen und Vorfälle melden. Wer zum Beispiel ein KI-System, das nach den Anbietervorgaben nur für Chatbot Funktionen mit begrenztem Risiko vorgesehen ist, entgegen diesen Vorgaben auch im Hochrisiko-Bereich (etwa automatisiertes Bewerbermanagement) gegenüber Dritten (im Beispiel Bewerbern) einsetzt, schwingt sich – meist ungewollt und unbewusst – nach Lesart der KI-Verordnung dadurch zum Anbieter eines Hochrisiko-KI-Systems auf und muss alle damit verbundenen umfangreichen Pflichten einhalten.

Weitere Akteure

Neben Anbietern und Betreibern gibt es noch weitere Akteure, die an der Bereitstellung von KI-Systemen beteiligt sein können und der KI-Verordnung unterliegen:

Importeure und Händler in der EU, die KI-Systeme vertreiben,
Produkthersteller, die KI-Systeme in ihre Produkte integrieren,
Bevollmächtigte von Anbietern außerhalb der EU, die in der EU als Ansprechpartner fungieren.

Top-Tipps

Wie können Sie herausfinden, welche Regeln für Sie gelten?

Rolle klären: Überlegen Sie, ob Sie Anbieter oder Betreiber (= Anwender) eines KI-Systems sind. Anbieter haben umfassendere Pflichten als Betreiber.
Risikoprofil prüfen: Bestimmen Sie, in welche Risikokategorie das von Ihnen eingesetzte KI-System fällt. Dies entscheidet über das Ausmaß der regulatorischen Anforderungen.
Verantwortung prüfen: Wenn Sie KI-Systeme von Drittanbietern nutzen, stellen Sie sicher, dass diese konform mit den Vorschriften der KI-Verordnung sind und Sie alle Betreiberpflichten einhalten, insbesondere die Anwendungshinweise des Anbieters beachten.
Compliance einfordern: Verlangen Sie als Betreiber des KI-Systems vom Anbieter, dass er Ihnen die notwendigen Hilfestellungen, Dokumentationen und Anwendungshinweise zur Verfügung stellt, damit Sie Ihre Betreiberpflichten einhalten können.