KI-VO in Kraft: Das sind die Akteure und ihre Pflichten

Die EU-Verordnung zur Festlegung harmonisierter Vorschriften für künstliche Intelligenz („KI-VO“) ist am 12. Juli 2024 endlich im Amtsblatt der EU veröffentlicht worden. Sie tritt damit in zwanzig Tagen in Kraft. Anwendbar werden die einzelnen Vorschriften in abgestufter Reihenfolge, wie bereits in diesem Blogbeitrag beschrieben.

Spätestens jetzt ist es also an der Zeit, sich die Inhalte genauer anzusehen. Um einordnen zu können, welche Pflichten ein Unternehmen überhaupt zu erfüllen hat, ist zunächst eine Rollenbestimmung erforderlich. Die KI-VO definiert eine Reihe von Akteuren und erlegt diesen Gruppen bestimmte Pflichten auf oder spricht ihnen Rechte zu. Da es sich um ein Produktsicherheitsgesetz handelt, gibt es natürlich mehr Pflichten als Rechte. Dieser Beitrag stellt die Akteure vor und zeigt, welche Anforderungen mit diesen Rollen verbunden sind.

Anbieter

Der mit Abstand am häufigsten genannte Akteur ist der Anbieter (Provider). Vereinfacht ausgedrückt ist ein Anbieter eine (natürliche oder juristische) Person, die ein KI-System (oder ein KI-Modell mit allgemeinem Verwendungszweck) entwickelt und im eigenen Namen oder unter einer eigenen Marke in den Verkehr bringt. Es reicht auch, dass ein Unternehmen ein System entwickeln lässt und es dann selbst vermarktet.

Auf den Anbieter kommen zahlreiche Pflichten zu:

• Er muss umfangreich dokumentieren und verschiedenen Adressaten Informationen über sein System oder sein Modell zur Verfügung stellen. Die Informationen gehen sowohl an andere Akteure in der Lieferkette als auch Behörden und Verbraucher.
• Ferner muss der Anbieter eine Risikoeinstufung seines KI-Systems vornehmen und begründen sowie die sonstige Rechtskonformität des Systems oder Modells sicherstellen.
• Handelt es sich um ein Hochrisikosystem, muss der Anbieter eine Konformitätsbewertung durchführen, ein Risikomanagement- und ein Qualitätsmanagementsystem einführen und sich und das Produkt in einer eigens dafür einzurichtenden EU-Datenbank registrieren.
• Schließlich muss der Anbieter ein System zur Überwachung des KI-Systems oder Modells nach dem Inverkehrbringen einrichten, um in der Praxis auftretende Risiken erkennen und mindern zu können. Dazu gehört auch die Verpflichtung, gegebenenfalls Korrekturmaßnahmen zu ergreifen, wenn das Produkt unerwartete Risiken birgt.
• Teil der Verantwortung ist es schließlich, den Betreiber des angebotenen Systems umfassend zu informieren und ihm gegebenenfalls risikomindernde Maßnahmen für den Betrieb eines KI-Systems vorzugeben.

Anbieter eines KI-Modells mit allgemeinem Verwendungszweck (General Purpose AI – GPAI) müssen darüber hinaus transparent machen, wie ihre Modelle trainiert wurden und welcher Energiebedarf durch das Anbieten des Modells anfällt. Damit ein Unternehmen als Anbieter eines KI-Modells eingestuft wird, muss es dieses selbst entwickeln oder entwickeln lassen. Wer lediglich ein KI-System mittels Schnittstelle an eine solches, von anderen entwickeltes, GPAI-Modell bindet und auf diese Weise in den Verkehr bringt, gilt somit noch nicht als Anbieter des Modells.

Betreiber

Der Betreiber (Deployer) ist die zweite wichtige Rolle im Konzept der KI-VO. Betreiber im Sinne der KI-VO ist, wer ein KI-System in eigener Verantwortung verwendet. Hier gilt die Einschränkung, dass die KI-VO nicht gilt, wenn das System rein privat verwendet wird.

• Handelt es sich um ein Hochrisiko-KI-System, muss er die vom Anbieter für die Nutzung des Systems vorgeschriebenen Risikominderungsmaßnahmen umsetzen, eigene technische und organisatorische Maßnahmen festlegen und natürliche Personen benennen und ausstatten, die den Betrieb des Hochrisiko-KI-Systems überwachen können.
• Darüber hinaus muss er sicherstellen, dass das Hochrisiko-KI-System mit Daten gespeist wird, die seiner Zweckbestimmung entsprechen.
• Ferner müssen die verwendeten Daten hinreichend repräsentativ sein, um Diskriminierung und einseitige Verzerrungen zu vermeiden.
• Der Betreiber eines Hochrisikosystems muss zudem eine Dokumentation vorhalten und bei schwerwiegenden Vorfällen den Anbieter und die Behörden informieren.
• Darüber hinaus treffen ihn umfangreiche Transparenzpflichten: Er muss die eigenen Mitarbeiter über den Einsatz eines Hochrisiko-KI-Systems informieren und ggf. betroffene Personen darüber in Kenntnis setzen, dass sie von den Entscheidungen eines KI-Systems betroffen sind.
• Unter bestimmten Voraussetzungen muss zudem vor dem Einsatz eines Hochrisiko-KI-Systems eine sogenannte Grundrechtsfolgenabschätzung durchgeführt werden.

Bestimmte Pflichten gelten sowohl für Anbieter als auch für Betreiber. So sind beide verpflichtet, die KI-Kompetenz des eigenen Personals und anderer Personen, die mit einer KI-Lösung in Kontakt kommen, sicherzustellen. Darüber hinaus gelten bestimmte (Transparenz-)Pflichten beim Einsatz spezieller Systeme, die beispielsweise biometrische Daten verarbeiten oder sogenannte Deep Fakes erzeugen können, auch, wenn es sich nicht um Hochrisiko-KI-Systeme handelt.

Die sonstigen Akteure

Neben Anbieter und Betreiber definiert die KI-VO vier weitere Rollen:

• Ein Einführer (Importer) ist ein in der EU ansässiger Akteur, der ein KI-System in der EU in Verkehr bringt, wobei dieses System unter dem Namen eines Akteurs erscheint, der seinen Sitz außerhalb der EU hat. Die wesentlichen Pflichten des Einführers bestehen darin, zu überprüfen, ob der eigentliche Anbieter eines Hochrisikosystems seinen Verpflichtungen aus der KI-VO nachgekommen ist und ob das Produkt und die Dokumentation authentisch sind.
• Eng verwandt damit ist die Rolle des Händlers (Distributor). Ein Händler ist weder Anbieter noch Einführer, sondern stellt als Teil der Lieferkette ein KI-System auf dem Unionsmarkt in einer anderen Rolle zur Verfügung. Für den Händler gelten ähnliche Pflichten wie für den Einführer. Er muss sicherstellen, dass der Anbieter bestimmte Verpflichtungen erfüllt, und gegebenenfalls korrigierend eingreifen, wenn er feststellt, dass das Produkt bestimmte Anforderungen nicht erfüllt oder sich anders verhält als erwartet.
• Die Produkthersteller (Product Manufacturer) bringen KI-Systeme, die von einem Dritten entwickelt wurden, zusammen mit einem eigenen Produkt unter ihrem eigenen Namen oder ihrer eigenen Marke in Verkehr oder nehmen ein solches Produkt in Betrieb. Wer also beispielsweise eine Smartwatch mit einer zugekauften KI-Funktion ausstattet, gilt als Produkthersteller im Sinne der KI-VO.
• Wenn der Anbieter seinen Sitz nicht in der EU hat, muss er einen Bevollmächtigten (Authorised Representative) in der EU benennen. Die juristische oder natürliche Person, welche als Bevollmächtigter des Anbieters benannt ist, muss an seiner Stelle gegenüber den Behörden die Erfüllung der Auflagen sicherstellen und vertreten.

Bringt einer dieser Akteure ein Hochrisiko-KI-System im eigenen Namen auf den Markt , kann diesem Akteur ebenfalls die Rolle des Anbieters mit den damit verbundenen Pflichten zufallen. Der sogenannte Erstanbieter kann in einem solchen Fall seinerseits von den Pflichten befreit werden.

Die Betroffenen sind Personen, die der Wirkung eines KI-Systems ausgesetzt sind. Zumeist also Personen, deren Daten von einem KI-System verarbeitet werden. Die Betroffenen sind im Gegensatz zu den bisher genannten Rollen nur Träger von Rechten. In der KI-VO fallen sie daher nicht unter den Begriff Akteur.

Fazit

Die KI-VO stellt zahlreiche Pflichten für Anbieter und Betreiber von KI-Systemen auf. In der Praxis wird es sehr komplex werden, seine eigene Rolle zu bestimmen, die entsprechenden Pflichten zu identifizieren und die dafür erforderlichen Ressourcen zur Verfügung zu stellen. Daher sollten Unternehmen, die KI einsetzen oder entwickeln, keine Zeit verlieren, auch wenn die meisten Vorgaben aus der KI-VO erst in zwei Jahren anwendbar sein werden. Die Vorbereitung darauf wird intensiv und erfordert ein hohes Maß an Kooperation vieler interner und externer Akteure.

Sind Sie Anbieter oder Betreiber eines KI-Systems und wünschen Beratung? Sprechen Sie uns an. Oder abonnieren Sie unseren Newsletter, um bei Thema KI und Compliance auf dem Laufenden zu bleiben.