Anbieter oder Betreiber: die Rolle entscheidet über die Pflichten

Anbieter ist, wer ein KI-System entwickelt oder unter eigenem Namen anbietet. Betreiber ist, wer ein fremdes System einsetzt. Die Grenze ist durchlässig und wird meist unbeabsichtigt überschritten.

Fast jede Frage zur KI-Verordnung führt zuerst auf diese eine zurück. Von der Rolle hängt ab, welche Pflichten Sie treffen, welche Nachweise Sie führen müssen und wen die Aufsicht anspricht. Sie steht deshalb am Anfang jedes Projekts und nicht an dessen Ende.

Die beiden Rollen

Anbieter ist, wer ein KI-System entwickelt oder entwickeln lässt und es unter eigenem Namen oder eigener Marke in Verkehr bringt oder in Betrieb nimmt. Auf den Anbieter entfällt der weitaus größte Teil des Pflichtenprogramms: Risikomanagement, Daten- und Dokumentationsanforderungen, technische Dokumentation, Protokollierung, Konformitätsbewertung und die Meldung schwerwiegender Vorfälle. Ob das System entgeltlich oder unentgeltlich abgegeben wird, spielt dabei keine Rolle.

Betreiber ist, wer ein KI-System in eigener Verantwortung verwendet. Die rein persönliche und nicht berufliche Nutzung ist ausgenommen. Den Betreiber treffen deutlich weniger, aber keineswegs keine Pflichten. Dazu zählen die Verwendung entsprechend der Gebrauchsanweisung, die menschliche Aufsicht durch dafür geeignete Personen und die Aufbewahrung der Protokolle. Hinzu kommen die Information der betroffenen Beschäftigten und, je nach Einsatz, die Transparenz gegenüber den Menschen, die dem System gegenüberstehen.

Wann ein Betreiber zum Anbieter wird

Die Rollen sind keine festen Etiketten. Die KI-Verordnung nennt vier Fälle, in denen ein Betreiber, Händler oder Importeur die Anbieterpflichten für ein Hochrisiko-System übernimmt.

Eigenes BrandingDer eigene Name oder die eigene Marke wird auf ein bereits in Verkehr gebrachtes Hochrisiko-System gesetzt.
Wesentliche VeränderungEin bereits in Verkehr gebrachtes Hochrisiko-System wird wesentlich verändert und bleibt Hochrisiko-System.
Neue ZweckbestimmungEin System wird so umgewidmet, dass es dadurch erst zum Hochrisiko-System wird.
Weitergabe an DritteEin selbst entwickeltes System wird nach außen gegeben, sei es entgeltlich oder unentgeltlich.

Warum die Einordnung zuerst kommt

Wer sich für einen Betreiber hält und Anbieter ist, hat keine der Anbieterpflichten erfüllt. Auffallen wird das erst, wenn eine Aufsichtsbehörde, ein Kunde oder ein Wettbewerber die Frage stellt. Zu diesem Zeitpunkt lässt sich eine technische Dokumentation nicht rückwirkend erstellen, eine Konformitätsbewertung erst recht nicht.

Umgekehrt kommt es ebenso häufig vor, dass sich Unternehmen ein Anbieterprogramm auferlegen, obwohl sie schlicht ein fremdes Werkzeug benutzen. Auch das kostet, nur eben unnötig.

Wie wir unterstützen

Wir nehmen die eingesetzten und geplanten Systeme auf, ordnen sie je System einer Rolle zu und halten die Begründung schriftlich fest, damit sie später belegbar ist. Daraus ergibt sich das Pflichtenprogramm und daraus wiederum, was in die Verträge mit den Anbietern gehört und was intern zu regeln ist.

Unklar, in welcher Rolle Sie stehen?

Wir ordnen Ihre Systeme ein und sagen Ihnen, welche Pflichten daraus folgen.

Einordnung anfragen

Häufige Fragen

Wir setzen ein zugekauftes System unter unserem eigenen Namen ein. Ändert das etwas?

Möglicherweise ja. Wer den eigenen Namen oder die eigene Marke auf ein bereits in Verkehr gebrachtes Hochrisiko-System setzt, gilt nach der KI-Verordnung als dessen Anbieter. Dann greift das Pflichtenprogramm des Anbieters, obwohl das System von jemand anderem stammt. Vor dem Aufbringen des eigenen Brandings lohnt deshalb eine Einordnung.

Wir passen ein Modell mit eigenen Daten an. Sind wir damit Anbieter?

Die Anpassung hebt Sie nicht ohne Weiteres in die Anbieterrolle, es kommt auf ihr Ausmaß an. Eine Nutzung im vorgesehenen Rahmen ändert die Rolle nicht. Eine wesentliche Veränderung eines Hochrisiko-Systems oder eine Änderung der Zweckbestimmung, durch die ein System erst zum Hochrisiko-System wird, kann die Rolle dagegen kippen. Wo im konkreten Fall die Grenze liegt, ist eine Frage der Ausgestaltung und gehört vor den Projektstart geklärt.

Können wir gleichzeitig Anbieter und Betreiber sein?

Ja. Die Rollen hängen am einzelnen System, nicht am Unternehmen. Ein eigenes System für Kundschaft und daneben fremde Werkzeuge im eigenen Betrieb bedeuten für das eine die Anbieterrolle und für das andere die Betreiberrolle. Eine Bestandsaufnahme sollte deshalb an den Systemen ansetzen und nicht am Organigramm.