KI-Flash: Der Betreiber eines KI-Systems nach dem AI Act

Nachdem wir in unserem letzten KI-Flash zur Verabschiedung der finalen Fassung des AI Acts berichtet haben und zuvor anhand eines Uses Cases erörtert haben wer als Anbieter nach dem AI Act einzuordnen ist, möchten wir Ihnen auch weiterhin in regelmäßigen Abständen rechtliche Impulse mit auf den Weg geben.

Heutiges Thema: Der Betreiber eines KI-Systems nach dem AI Act

Die wohl überwiegende Anzahl an Unternehmen, die KI-Systeme im betrieblichen Kontext nutzen, haben diese nicht selbst entwickelt und auch nicht entwickeln lassen. Sie fallen daher häufig nicht unter den Begriff des Anbieters einer KI nach dem AI Act. Neben dem Anbieter muss sich aber auch der Betreiber eines KI-Systems mit den Regelungen des AI Acts auseinandersetzen, da – je nach Risikoklassifizierung – auch für diesen umfassende Pflichten gelten.

Gleichwohl muss bereits an dieser Stelle darauf hingewiesen werden, dass die Reichweites des Begriffs des „Entwickelns“ eines KI-Systems – und somit die Einordnung als Anbieter – im Einzelfall schwer zu ermitteln sein kann und stets nach dem jeweiligen Bezugsobjekt (Modell oder System) zu erfolgen hat (hierzu auch noch einmal der Hinweis auf unseren vergangenen KI-Flash in dem wir uns vertieft mit der Thematik auseinandersetzen). Abseits dieser schwierigen Einordnungsfragen, soll es im vorliegenden Beitrag jedoch primär auf die allgemeinen Anforderungen zur Klassifizierung eines Betreibers gehen.

Die Definition des Betreibers nach dem AI Act

Als Betreiber (in der englischen Version „Deployer“ genannt) gilt nach der Definition des AI Acts  

„eine natürliche oder juristische Person, Behörde, Einrichtung oder sonstige Stelle, die ein KI-System in eigener Verantwortung verwendet, es sei denn, das KI-System wird im Rahmen einer rein-persönlichen und nicht-beruflichen Tätigkeit verwendet.“

Die Definition schließt demnach neben Unternehmen ausdrücklich auch Behörden, öffentliche Einrichtungen oder sonstige Stellen ein. Lediglich rein-persönliche und nicht-berufliche Tätigkeiten sind vom Betreiberbegriff ausgenommen.

Betreiber eines KI-Systems ist im Kern demnach derjenige, der ein KI-System in eigener Verantwortung verwendet. Wichtig ist insoweit, darauf hinzuweisen, dass sich die Rolle des Betreibers – anders als die Rolle des Anbieters – von vornherein nur auf ein KI-System, nicht jedoch auch auf ein General Purpose AI-Modell („GPAIM“), beziehen kann. Dies erscheint auch sinnvoll, da einem GPAIM (als lediglich technisch-mathematische Funktionsweise der KI) eine Benutzeroberfläche fehlt und es sich gerade nicht um eine „betriebsfertige“ Anwendung handelt.

Steht jedoch fest, dass es sich bei einer bestimmten Software um ein KI-System im Sinne des AI Acts handelt (hier unser KI-Flash zum Begriff des KI-Systems), ist die Frage zu beantworten, ob das Unternehmen das entsprechende KI-System „in eigener Verantwortung“ verwendet. Dies dürfte bei der unternehmensinternen Nutzung von KI regelmäßig zu bejahen sein, beispielsweise wenn ein KI-System in der täglichen Praxis und gerade mit Bezug zur gewerblichen Tätigkeit genutzt wird.

Es ist auch nicht davon auszugehen, dass der AI Act bezweckt, Unternehmen, die KI-Systeme als Software-as-a-Sevice beziehen oder in der Public-Cloud betreiben, vom Betreiberbegriff auszunehmen. Derartige Anwendungsfälle werden gerade den Regelfall darstellen, womit die jeweiligen KI-Systeme als „in eigener Verantwortung“ betrieben einzuordnen sind. Dies umso mehr, da die technischen Möglichkeiten und das IT-Know-How in Unternehmen immer mehr zunehmen. Rechtsunsicherheiten werden jedoch dort entstehen, wo mehrere Akteure das KI-System (ggf. sogar gemeinsam) verwenden. Hier könnte ein Rückgriff auf die rechtlichen Strukturen und Verantwortlichkeiten innerhalb der Organisation zumindest erste Anhaltspunkte liefern.

Die Betreibereigenschaft bringt verschiedenste Compliance-Pflichten für Unternehmen und Behörden mit sich. Auch die sog. verbotenen KI-Praktiken gemäß Art. 5 AI Act gelten selbstverständlich auch für Betreiber. Zu beiden Punkten werden wir noch ausführlich in weiteren KI Flash berichten.

Praxishinweis

Sofern Sie in Ihrem Unternehmen ein KI-System betreiben oder dies zumindest planen, sollten Sie sich möglichst frühzeitig mit den jeweiligen Compliance-Pflichten und deren Umsetzung auseinandersetzen. Gerne sind wir Ihnen hierbei behilflich.