Ressourcen für KI Regierungsführung

KI-Anbieter vs. Betreiber: Pflichten und Verantwortlichkeiten nach dem EU AI Act

Eine der folgenreichsten strukturellen Unterscheidungen im EU AI Act ist die klare Abgrenzung der Verantwortlichkeiten zwischen Anbieter (Provider) und Betreiber (Deployer).

AI Liability

Compliance

EU AI Act

Legal Framework

Eine der folgenreichsten strukturellen Unterscheidungen im EU AI Act ist die klare Abgrenzung der Verantwortlichkeiten zwischen Anbieter (Provider) und Betreiber (Deployer). Fehlinterpretationen dieser Rollen führen zu unkalkulierbaren Haftungsrisiken, insbesondere bei der Einbindung externer APIs oder der Anpassung quelloffener Basismodelle.

Gesetzliche Begriffsbestimmungen

Der EU AI Act definiert die Rollen anhand der operativen Kontrolle und Systemveränderung:

Anbieter (Artikel 3 Nr. 3): Jede natürliche oder juristische Person, die ein KI-System oder Allzweck-KI-Modell entwickelt oder entwickeln lässt und es unter eigenem Namen oder eigener Handelsmarke in Verkehr bringt oder in Betrieb nimmt.
Betreiber (Artikel 3 Nr. 4): Jede natürliche oder juristische Person, die ein KI-System in eigener Verantwortung verwendet, es sei denn, das System wird für rein persönliche Tätigkeiten genutzt.

Artikel 25: Wann ein Betreiber zum Anbieter wird

Nach Artikel 25 des EU AI Act treten nachgelagerte Betreiber, Importeure oder Händler automatisch in die vollumfänglichen Pflichten eines Anbieters ein, wenn sie:

Ihren eigenen Namen oder ihre Marke auf einem bestehenden Hochrisiko-KI-System anbringen;
Eine wesentliche Veränderung an einem Hochrisiko-KI-System vornehmen, die dessen Leistung, Risikoeinstufung oder Rechtskonformität beeinflusst; oder
Die Zweckbestimmung eines bestehenden KI-Systems so ändern, dass es als Hochrisikosystem nach Anhang III eingestuft wird.

Das Fine-Tuning eines Open-Source-Modells mit internen Unternehmensdaten kann ein Unternehmen vom reinen Betreiber zum Anbieter machen – inklusive aller Pflichten zur Konformitätsbewertung, technischen Dokumentation und CE-Kennzeichnung.

Verpflichtungsmatrix im Vergleich

Regelungsbereich	Pflichten des Betreibers	Pflichten des Anbieters
Risikomanagement	Betriebsparameter gemäß Gebrauchsanweisung einhalten (Art. 26).	Konzeption und Betrieb eines formalen Risikomanagementsystems (Art. 9).
Daten-Governance	Bereitstellung relevanter und qualitativer Eingabedaten unter eigener Kontrolle.	Lückenlose Daten-Governance für Trainings-, Test- und Validierungsdatensätze (Art. 10).
Technische Dokumentation	Aufbewahrung automatisch erzeugter Protokolldaten über gesetzliche Fristen.	Erstellung und Pflege der technischen Dokumentation (Anhang IV) und EU-Konformitätserklärung.
Menschliche Aufsicht	Zuweisung kompetenter Fachkräfte mit ausreichenden Befugnissen und Ressourcen.	Systemdesign mit wirksamen Kontrollschnittstellen und Übersteuerungswegen (Art. 14).
Konformitätsbewertung	Prüfung der Anbieter-Konformität vor Inbetriebnahme.	Durchführung formeller Konformitätsbewertungsverfahren und Anbringung der CE-Kennzeichnung (Art. 43).

Die eindeutige vertragliche und technische Fixierung dieser Schnittstellen ist für eine rechtssichere KI-Nutzung in Unternehmen unverzichtbar.