Anbieter und Betreiber
Die KI-Verordnung knüpft ihre Pflichten an Rollen und nicht an Unternehmen, und der Umfang unterscheidet sich zwischen beiden erheblich. Anbieter ist, wer ein System entwickelt und unter eigenem Namen in Verkehr bringt; Betreiber ist, wer es unter eigener Verantwortung beruflich verwendet. Die meisten Unternehmen sind Betreiber — bis sie es nicht mehr sind, und dieser Wechsel geschieht unbemerkt.
Wann wird aus einem Betreiber ein Anbieter?
In drei Fällen, die Artikel 25 benennt: wenn Sie Ihren Namen oder Ihre Marke auf ein System setzen, wenn Sie ein Hochrisiko-System wesentlich verändern, oder wenn Sie seine Zweckbestimmung so ändern, dass es zu einem Hochrisiko-System wird.
Der erste Fall ist der häufigste und der am wenigsten bemerkte. Wer ein Sprachmodell über eine Schnittstelle einbindet, ihm eigene Anweisungen gibt und das Ergebnis Kunden oder Bewerbern zugänglich macht, betreibt nicht bloß fremde Software — für dieses System ist er Anbieter.
Was hängt praktisch daran?
Der Umfang der Pflichten unterscheidet sich erheblich. Betreiber schulden im Wesentlichen: Einsatz gemäß Zweckbestimmung, menschliche Aufsicht, Transparenz nach Artikel 50, Maßnahmen zur KI-Kompetenz. Anbieter schulden zusätzlich Risikomanagement, technische Dokumentation, Konformitätsbewertung und Registrierung — bei Hochrisiko-Systemen der weitaus größere Teil des Aufwands.
Für ein Anwenderunternehmen heißt das: Die Rollenfrage ist keine Formalie, sondern der größte einzelne Hebel auf den Aufwand. Sie gehört vor die Architekturentscheidung und nicht danach.
Wie vermeidet man den ungewollten Rollenwechsel?
Indem man ihn bewusst trifft. Ein Assistent, der intern genutzt wird und keinen eigenen Produktnamen trägt, bleibt in der Betreiberrolle. Sobald daraus etwas wird, das nach außen als eigenes Angebot auftritt, ist die Rolle eine andere — und das ist in Ordnung, solange es geplant war.
Die unangenehme Variante ist die schleichende: ein internes Werkzeug bekommt einen Namen, dann ein Logo, dann Zugang für Kunden. Jeder Schritt ist klein, der Rollenwechsel liegt irgendwo dazwischen, und niemand hat ihn dokumentiert.
Wovon ist das zu unterscheiden?
Verantwortlicher und Auftragsverarbeiter (DSGVO)
Andere Begriffe nach anderen Kriterien. Verantwortlicher ist, wer über Zwecke und Mittel der Datenverarbeitung entscheidet; Betreiber ist, wer ein KI-System verwendet. Häufig fällt beides zusammen, aber nicht immer — ein Dienstleister kann Auftragsverarbeiter und zugleich Anbieter sein, mit Pflichten, die kein Auftragsverarbeitungsvertrag abbildet.
Einführer und Händler
Zwischenrollen mit Prüfpflichten: ob die Konformitätsbewertung durchgeführt wurde, ob die Unterlagen vorliegen, ob die Kennzeichnung vorhanden ist. Für Unternehmen, die Software nur einsetzen, in der Regel nicht einschlägig.
Häufige Fragen
Sind wir Anbieter, wenn wir einen Chatbot bauen?+
Für diesen Chatbot ja, sobald er unter Ihrem Namen auftritt. Das ist bei minimalem Risiko wenig dramatisch — im Wesentlichen kommt die Offenlegungspflicht aus Artikel 50 Absatz 1 hinzu. Bei einem Hochrisiko-Anwendungsfall ist der Unterschied dagegen der zwischen einer Seite Dokumentation und einem Konformitätsverfahren.
Ändert sich die Rolle durch einen Modellwechsel?+
Nein. Die Rolle folgt aus dem, was Sie mit dem System nach außen tun, nicht aus dem darunterliegenden Modell. Ein Wechsel von einem Anbieter zu einem anderen oder auf ein offenes Modell auf eigener Hardware lässt die Einordnung unberührt — was ein guter Grund ist, sie sorgfältig zu machen: sie überlebt den Technologiewechsel.
Kann man beide Rollen gleichzeitig haben?+
Regelmäßig. Für das eingekaufte Übersetzungswerkzeug sind Sie Betreiber, für den selbstgebauten Assistenten Anbieter. Die Einordnung erfolgt je System, nicht je Unternehmen — und genau deshalb ist eine Liste der Systeme die Grundlage von allem anderen.
Verwandte Begriffe
Die Frage, die den Aufwand halbiert
Gehen Sie Ihre Systeme durch und markieren Sie, welche unter Ihrem Namen nach außen auftreten. Diese Liste entscheidet über den Umfang der Pflichten mehr als die Risikoklasse — und sie entsteht an einem Vormittag.
Test anfragenZuletzt aktualisiert: