Anbieter & Betreiber nach dem AI Act - Teil II

In Teil I zu der Anbieter-Betreiber-Thematik nach dem AI Act ging es um die originäre Einordnung unter die beiden Rollen. Unter anderem können wir daraus mitnehmen, dass die Definition des Betreibers relativ weit verstanden und die Schwelle zum Betreiber entsprechend leicht überschritten werden kann.

In diesem zweiten Teil widmen wir uns mit Artikel 25 AI Act einer Vorschrift, die besonders für Betreiber von großer Bedeutung ist. Diese Regelung behandelt unter anderem die Fälle, in denen ein Betreiber zum Anbieter wird.

Die Konsequenzen eines solchen Rollenwechsels sind erheblich, denn die zu erfüllenden Pflichten steigen in diesem Fall drastisch an. Jeder Betreiber sollte daher genau wissen, ab wann er als Anbieter gelten könnte, um diese Situation entweder zu vermeiden oder zumindest frühzeitig antizipieren zu können.

I. Art. 25 Abs. 1 AI Act

Art. 25 Abs. 1 AI Act lautet wie folgt:

„In den folgenden Fällen gelten Händler, Einführer, Betreiber oder sonstige Dritte als Anbieter eines Hochrisiko-KI-Systems für die Zwecke dieser Verordnung und unterliegen den Anbieterpflichten gemäß Artikel 16:

a) wenn sie ein bereits in Verkehr gebrachtes oder in Betrieb genommenes Hochrisiko-KI-System mit ihrem Namen oder ihrer Handelsmarke versehen, unbeschadet vertraglicher Vereinbarungen, die eine andere Aufteilung der Pflichten vorsehen;

b) wenn sie eine wesentliche Veränderung eines Hochrisiko-KI- Systems, das bereits in Verkehr gebracht oder in Betrieb genommen wurde, so vornehmen, dass es weiterhin ein Hochrisiko-KI-System gemäß Artikel 6 bleibt;

c) wenn sie die Zweckbestimmung eines KI-Systems, einschließlich eines KI-Systems mit allgemeinem Verwendungszweck, das nicht als hochriskant eingestuft wurde und bereits in Verkehr gebracht oder in Betrieb genommen wurde, so verändern, dass das betreffende KI-System zu einem Hochrisiko-KI-System im Sinne von Artikel 6 wird."

Es werden also drei Fälle normiert, nach denen ein Betreiber fortan als Anbieter einer Hochrisiko-KI gilt und die entsprechenden Anbieter-Pflichten übernehmen muss, die in Artikel 16 AI Act zusammengefasst sind.

II. Erläuterung der Fallgruppen

Art. 25 Abs. 1 a) AI Act betrifft die Situation, dass ein KI-System von einem ursprünglichen Anbieter auf den Markt gebracht wurde und ein Betreiber seinen Namen oder seine Handelsmarke auf dieses System anbringt.

Damit dürften solche Fälle erfasst werden, bei denen der ursprüngliche Anbieter das Hochrisiko-KI-System als „White-Label-KI“ anbietet, damit beispielsweise ein Unternehmen die KI-Anwendung ggfs. anpassen und als In-House-KI vermarkten kann. Aus Gründen der Rechtssicherheit soll deshalb der Betreiber, der das KI-System unter seinem Namen oder Marke vermarktet fortan als Anbieter gelten.

Bei Art. 25 Abs. 1 b) AI Act geht es um den Fall, dass ein Betreiber ein bereits auf dem Markt befindliches Hochrisiko-KI-System wesentlich verändert, das System aber weiterhin als Hochrisiko-KI eingestuft wird.

Der Begriff der „wesentlichen Veränderung“ ist in Art. 3 Nr. 23 AI Act legaldefiniert. Eine wesentliche Veränderung liegt vor, wenn die Änderung des KI-Systems bei der Konformitätsbewertung durch den ursprünglichen Anbieter nicht vorgesehen war und die Änderung entweder 1. die Konformität des Systems mit den Anforderungen an Hochrisiko-KI beeinträchtigt (z.B. Anforderungen an Risiko- oder Datenmanagement) oder 2. wenn der Verwendungszweck des Systems geändert wird.

Der Verwendungszweck wiederum bedeutet die Verwendung, die ein Anbieter für das KI-System bestimmt z.B. in der Anleitung oder Werbung. Beispielsweise bewirbt ein Anbieter sein KI-System als HR-Anwendung, die Aufgaben mit Länderbezug automatisch den Mitarbeitern zuweist, die die Sprache des jeweiligen Landes sprechen und dessen Kultur kennen.

Dieses KI-System dürfte eine Hochrisiko-KI darstellen. Wenn nun ein Betreiber die Anwendung so verändert, dass das KI-.System auch die abgearbeiteten Aufgaben erfasst und für eine Bewertung der Mitarbeiter speichert, dann läge eine wesentliche Veränderung vor. Denn der Anbieter hat diese Veränderung ursprünglich nicht vorgesehen und die KI-Anwendung dient nun einem neuen (erweiterten) Zweck.

Art. 25 Abs. 1 c) AI Act erfasst solche Fälle, bei denen die Zweckbestimmung eines bereits auf dem Markt befindlichen KI-Systems durch einen Betreiber so verändert wird, dass es erstmals zu einem Hochrisiko-KI-System wird.

Ein Beispiel hierfür ist ein Chatbot mit allgemeinem Verwendungszweck, den ein Betreiber gezielt so trainiert, dass er Aufgaben an Mitarbeiter mit bestimmten Sprachkenntnissen verteilt und damit erstmals zu einem Hochrisiko-KI-System wird.

III. Weitere Folge: Art. 25 Abs. 2 AI Act

Wenn einer der zuvor dargestellten Fallgruppen zutrifft, wird also ein Betreiber zum Anbieter des betreffenden Hochrisiko-KI-Systems.

Art. 25 Abs. 2 AI Act bestimmt darüber hinaus, dass der ursprüngliche Anbieter für dieses spezifische KI-System nicht mehr als Anbieter gilt. Der Erstanbieter ist jedoch verpflichtet, eng mit dem neuen Anbieter zu kooperieren. Es sei denn, er bestimmt, dass sein KI-System nicht in Hochrisiko-KI umgewandelt werden darf.

Aus Anbieter-Sicht ist es ratsam für ihre KI-Systeme standardmäßig festzulegen, dass diese nicht in Hochrisiko-KI-Systeme umgewandelt werden dürfen. Denn es lässt sich kaum überblicken, wer ein KI-System erwerben und in Hochrisiko-KI verändern könnte, sodass sich unkalkulierbare Kooperationspflichten ergeben würden.

IV. Fazit

Die beiden Teile des Betrags zu der Anbieter-Betreiber-Thematik nach dem AI Act verdeutlichen die immense Bedeutung des Verständnisses der eigenen Rolle im Rahmen des AI Acts. Betreiber sollten sich der potenziellen Risiken bewusst sein, die ein Rollenwechsel mit sich bringt, und proaktiv Maßnahmen ergreifen, um die Einhaltung der gesetzlichen Vorgaben sicherzustellen.