KI-Flash: Anbieter oder nicht Anbieter einer KI – das ist hier die Frage?!

Nachdem wir in unserem letzten KI-Flash über die neue Orientierungshilfe der DSK zum Thema „Künstliche Intelligenz und Datenschutz“ berichtet haben, möchten wir Ihnen auch weiterhin in regelmäßigen Abständen rechtliche Impulse mit auf den Weg geben.

Heutiges Thema: Anbieter oder nicht Anbieter einer KI – das ist hier die Frage?!

Immer mehr Unternehmen beschäftigen sich mit Künstlicher Intelligenz (KI) und ziehen es mittlerweile zumindest in Erwägung, auch im eigenen Geschfäftsbereich auf die vielseitigen Möglichkeiten KI-gestützter Prozesse zu setzen. Das Trendthema lautet hierbei zweifelsohne: Generative KI!

Häufig stellt sich im ersten Schritt jedoch die wichtige Frage, woher man die benötigten KI-Komponenten eigentlich bezieht. Verfügt das Unternehmen bspw. über die Kapazitäten und das nötige Knowhow, um eigene KI-Modelle und/oder -Systeme zu entwickeln? Stellt die Fremdlizensierung eines fertigen KI-Systems im konkreten Use Case ggf. den besseren Weg dar? Neben diesen strategischen Entscheidungen stellen sich im Einzelfall auch einige rechtliche Fragestellungen, insbesondere zur Reichweite des Begriffs des „Anbieter[s]“ eines KI-Modells oder –Systems.

Was sagt der AI Act?

Betrachtet man die in Art. 3 Nr. 3 AI Act enthaltene Definition des Begriffs „Anbieter“ (eng: „Provider“), scheint die Frage recht einfach zu beantworten sein. Hiernach ist ein „Anbieter“

„eine natürliche oder juristische Person, Behörde, Einrichtung oder sonstige Stelle, die ein KI-System oder ein KI-Modell mit allgemeinem Verwendungszweck entwickelt oder entwickeln lässt und es unter ihrem eigenen Namen oder ihrer Handelsmarke in Verkehr bringt oder das KI-System unter ihrem eigenen Namen oder ihrer Handelsmarke in Betrieb nimmt, sei es entgeltlich oder unentgeltlich“.

Während die Einordnung in einigen Fällen ohne größere Schwierigkeiten vorzunehmen sein wird, gilt es jedoch einige Hürden im Detail zu übersteigen: Wann wird bspw. die Schwelle zur Entwicklung überschritten und auf was genau wird hierbei Bezug genommen? Auf das KI-Modell oder das KI-System?

Ein exemplarischer Use Case zur Problemverdeutlichung

Stellen Sie sich das folgende – nach unserer Erfahrung äußerst praxisrelevante – Szenario vor:

Ein Unternehmen plant nunmehr, einen Chatbot für Kunden zu entwickeln. Dieser Chatbot soll einfache Support-Anfragen beantworten können, das nötige Wissen zu den Produkten und Dienstleistungen des Unternehmens aufweisen und – bei schwierigen Fragen – den Kontakt zu einem Mitarbeiter des Kundensupports herstellen. Da das Unternehmen nicht über das nötige Knowhow zur Eigenentwicklung von KI-Komponenten verfügt, wird die Fremdlizensierung verfügbarer Technologien in Erwägung gezogen. Viele der namhaften Anbieter – wir möchten vorliegend bewusst auf die Benennung konkreter Anbieter verzichten – bieten es bspw. an, die Leistungen von KI-Modellen über Programierschnittstellen (auch „Application Programming Interface“; kurz „API“) zu beziehen. Damit der vorgesehene Chatbot am Ende des Tages auch über die relevanten Informationen zum Unternehmen verfügt, sollen weitere Datenbanken zum Einsatz kommen, die mit der KI „verknüpft“ werden. Hier spricht man von sog. „Retrieval Augmented Generation“ (kurz: „RAG“), oder von „Pre-Prompt Engineering“ (mehr hierzu sogleich).

Sofern das Vorhaben – wie geschildert – umgesetzt wird, stellt sich jedoch insbesondere die Frage der konkreten Rollenverteilungen nach dem AI Act.

Differenzierung zwischen KI-System und KI-Modell

Man mag sich nun die Frage stellen, wo die hier adressierte Problemstellung überhaupt herrührt. Die relevanten Begrifflichkeiten wurden eingangs bereits angeführt. Der AI Act unterscheidet zwischen einem KI-System und einem KI-Modell, wobei der AI Act zu Letzterem ganz konkret auf die sog. „General Purpose AI Models“ (kurz: „GPAIM“) Bezug nimmt. Während die konkreten rechtlichen Rahmenbedingungen zu GPAIMs weiteren KI-Flash vorbehalten bleiben, soll es vorliegend zunächst um die ganz grunsätzliche Unterscheidung zwischen System und Modell gehen.

Möchte man es möglichst einfach und verständlich beschreiben, handelt es sich bei einem KI-System um die funktionsfähige und mit einer Benutzeroberfläche ausgestattete KI-Anwendung, während das KI-Modell das dahinterstehende (technische) Herzstück, also die KI-gestützte Funktionsweise, darstellt. Letzteres meint also insbesondere den eigentlichen Algorithmus und seine Gewichtungen. In Erwägungsgrund 97 des AI Act heißt es hierzu wörtlich:

„KI-Modelle mit allgemeinem Verwendungszweck können auf verschiedene Weise in Verkehr gebracht werden, unter anderem über Bibliotheken, Anwendungsprogrammierschnittstellen (APIs), durch direktes Herunterladen oder als physische Kopie. Diese Modelle können weiter geändert oder zu neuen Modellen verfeinert werden. Obwohl KI-Modelle wesentliche Komponenten von KI-Systemen sind, stellen sie für sich genommen keine KI-Systeme dar. Damit KI-Modelle zu KI-Systemen werden, ist die Hinzufügung weiterer Komponenten, zum Beispiel einer Nutzerschnittstelle, erforderlich. KI-Modelle sind in der Regel in KI-Systeme integriert und Teil davon.“

Für den vorstehend beschriebenen Use Case sind daher insbesondere die folgenden Fragen zu beantworten:

• Was ist das KI-Modell und was ist das KI-System?
• Wer ist als Anbieter der beiden Komponenten anzusehen?

Bewertung des Use Cases

Fangen wir mit der einfacheren Einordnung an: Bei dem Unternehmen, welches den Zugriff auf sein KI-Modell über eine API ermöglicht, handelt es sich – insoweit wenig überraschend – um den Anbieter eines KI-Modells, und zwar in Bezug auf das konkret zur Verfügung gestellte Modell. Warum dies gesondert zu betonen ist, soll gleich nochmal aufgegriffen werden. Der Anbieter dieses KI-Modells ist jedoch nicht gleichzeitig auch Anbieter eines KI-Systems. Warum? Da dem KI-Modell – ohne weitere technische Integration – eine Benutzeroberfläche fehlt (vgl. hierzu Erwägungsgrund 97 des AI Act) und der Anbieter des KI-Modells zudem in keinerlei unmittelbarem Zusammenhang zum Kunden-Chatbot in unserem beispielhaften Use Case steht. Stellt man also auf die maßgebliche Definition des Anbieters ab, wird zunächst nur das KI-Modell in Verkehr gebracht.

Kommen wir nun zur schwierigeren Einordnung: In welcher Rolle tritt das Unternehmen auf, welches den Kunden-Chatbot bereitstellen möchte? Die Frage muss letztlich auf zwei verschiedenen Ebenen beantwortet werden:

(1) Das KI-Modell
Da das Unternehmen ein „fremdes“ KI-Modell in eine eigene Anwendung integrieren möchte, stellt sich die Frage, ob es sich auch bei dem Unternehmen um den Anbieter eines KI-Modells handelt. Diese ganz grundsätzliche Frage ist äußerst umstritten und kann von Fall zu Fall unterschiedlich zu bewerten sein. Wir haben in unserem beispielhaften Use Case bewusst ein einfacheres Beispiel gewählt, da man nach unserer Einschätzung zu dem Ergebnis kommen wird, dass das Unternehmen hier kein (eigenständiges) KI-Modell entwickelt und insoweit auch nicht als Anbieter anzusehen ist. Verfahren wie RAG oder Pre-Prompt Engineering leben gerade davon, dass (nur) externe Wissensquellen zur Entscheidungsfindung einer KI hinzugezogen werden, ohne dass an den eigentlichen Gewichtungen (also am Algorithmus der KI) selbst, Änderungen vorgenommen werden. Spricht man demgegenüber vom sog. „Fine-Tuning“, also einem Verfahren, bei welchem das KI-Modell selbst mit unternehmenseigenen Trainingsdaten angelernt wird, wird man ggf. zu einer anderen rechtlichen Einschätzung gelangen. Spätestens zu dem Zeitpunkt, an dem das zuvor in Verkehr gebrachte KI-Modell zu einem eigenständigen (neuen) KI-Modell (weiter-)entwickelt wird und dieses KI-Modell sodann in Verkehr gebracht wird, wäre die Rolle des Anbeiters eines KI-Modells denkbar. Wann jedoch die konkrete Schwelle zur (eigenständigen) Entwicklung – hier in Bezug auf das KI-Modell (!) – überschritten wird, ist höchst umstritten und muss im jeweiligen Einzelfall bewertet werden.

(2) Das KI-System
In Bezug auf das konkrete KI-System – hier also der Chatbot – wird man nach unserer Einschätzung demgegenüber zu dem Ergebnis kommen, dass das Unternehmen insoweit (!) als Anbieter anzusehen ist. Dieses Ergebnis lässt sich gut nachvollziehen, da nur das Unternehmen die Verantwortung für den konkreten Chatbot übernimmt. Betrachtet man bspw. Art. 50 Abs. 1 AI Act, heißt es dort wörtlich:

„Die Anbieter stellen sicher, dass KI-Systeme, die für die direkte Interaktion mit natürlichen Personen bestimmt sind, so konzipiert und entwickelt werden, dass die betreffenden natürlichen Personen informiert werden, dass sie mit einem KI-System interagieren, es sei denn, dies ist aus Sicht einer angemessen informierten, aufmerksamen und verständigen natürlichen Person aufgrund der Umstände und des Kontexts der Nutzung offensichtlich.“

Die vorgenannte Verpflichtung kann aus technischer Sicht auch nur durch den Anbieter umgesetzt werden, wobei hier ausdrücklich auf das KI-System Bezug genommen wird. Dies bedeutet, dass das Unternehmen als Anbieter eines KI-Systems anzusehen wäre, obwohl an dem eigentlichen KI-Modell selbst, keine wesentlichen Änderungen vorgenommen werden. Das genutzte KI-Modell wird jedoch in eine spezifische Anwendung integriert und somit auch einer konkret vorgesehenen Zweckbestimmung zugeführt. Diese Anwendung liegt ausschließlich im Verantwortungsbereich des Unternehmens, weshalb insoweit von der Rolle eines Anbieters auszugehen ist.

Die Frage, wer als Anbieter einer KI anzusehen ist, muss daher stets auf Basis des jeweiligen Bezugsobjekts (Modell oder System) bestimmt werden.

Praxisempfehlung

Viele Fragen rund um den AI Act sind aus rechtlicher Sicht noch völlig unklar. Vieles ist im Wandel und vielens ist umstritten. Festzuhalten bleiben jedoch jedenfalls, dass sich Unternehmen mit den Vorgaben des AI Act möglichst frühzeitig auseinandersetzen müssen. Neben der Frage der Rollenverteilung (Funfact: Ein Unternehmen kann auch mehrere Rollen gleichzeitig einnehmen), gilt es insbesondere herauszuarbeiten, welche konkreten rechtlichen Pflichten umzusetzen sind. Diese und viele weitere spannende Fragen werden wir in weiteren KI-Flash aufgreifen. Bleiben Sie daher interessiert.