EU-KI-Gesetz: Deployer vs. Anbieter — Wer trägt welche Verpflichtung

Was ist ein Anbieter? (Artikel 3(3))

Ein Anbieter entwickelt ein KI-System oder ein allgemeines KI-Modell — oder lässt es entwickeln — und bringt es auf den Markt oder nimmt es in Betrieb unter seinem eigenen Namen oder Markenzeichen, entweder gegen Entgelt oder unentgeltlich.

• Entwickelt oder beauftragt das KI-System oder das allgemeine KI-Modell
• Bringt es auf den EU-Markt oder nimmt es in Betrieb unter seinem eigenen Namen oder Markenzeichen
• Trägt den Großteil der Verpflichtungen für hochrisikorelevante Systeme: Risikomanagement (Artikel 9), Datenverwaltung (Artikel 10), technische Dokumentation (Artikel 11 / Anhang IV), Aufzeichnung (Artikel 12), Transparenz gegenüber Deployern (Artikel 13), menschliche Aufsichtsentwurf (Artikel 14) und Konformitätsbewertung
• Gilt unabhängig davon, ob das System kommerziell oder unentgeltlich bereitgestellt wird

Was ist ein Deployer? (Artikel 3(4))

Ein Deployer verwendet ein KI-System unter seiner eigenen Autorität — außer wenn das System im Rahmen einer persönlichen, nicht-beruflichen Tätigkeit verwendet wird.

• Verwendet das System in einem professionellen Kontext, unter seiner eigenen Autorität (früher als 'Benutzer' in früheren Entwürfen bezeichnet)
• Muss das System gemäß den Anweisungen des Anbieters verwenden
• Trägt deployerspezifische Pflichten: Zuweisung kompetenter menschlicher Aufsicht, Überwachung des Betriebs, Aufbewahrung der automatisch generierten Protokolle, die es kontrolliert, und Information der betroffenen Personen, wenn erforderlich
• Bestimmte Deployer müssen auch eine Grundrechte-Folgenabschätzung (Artikel 27) durchführen, bevor sie das System zum ersten Mal verwenden

Wie man herausfindet, welche Rolle man innehat

Arbeiten Sie die Unterscheidung durch, anstatt anzunehmen. Der Test besteht darin, wer das System auf den Markt gebracht hat, unter seinem Namen, versus wer es betreibt:

• Haben Sie das System entwickelt oder mit Ihrem Markenzeichen versehen? Wenn es auf den Markt kommt, unter Ihrem Namen oder Markenzeichen, sind Sie der Anbieter — auch wenn ein Drittanbieter den Code für Sie geschrieben hat.
• Sind Sie nur der Betreiber eines Systems von jemand anderem? Wenn Sie ein System betreiben, das von einem anderen Unternehmen auf den Markt gebracht wurde, unter seinem Namen, sind Sie der Deployer.
• Sie können beides gleichzeitig sein. Ein Unternehmen, das ein internes Agenten-System (Anbieter) entwickelt, während es gleichzeitig ein Agenten-Plattform-System eines Lieferanten (Deployer) verwendet, hat beide Rollen für unterschiedliche Systeme inne.
• Anbieterverpflichtungen sind schwerwiegender; Deployer-Verpflichtungen sind operativ — Aufsicht, Überwachung, Protokollierung, die Sie kontrollieren, und Transparenz gegenüber den betroffenen Personen.

Importeure, Distributoren und Produkthersteller sind separate Betreiberrollen mit eigenen Verpflichtungen — siehe die Seitenbereich für die vollständige Liste.

Wenn ein Deployer zum Anbieter wird (Artikel 25)

Artikel 25 legt die Situationen fest, in denen ein Deployer, Distributor, Importeur oder ein anderer Drittanbieter die vollen Verpflichtungen eines Anbieters für ein hochrisikorelevantes KI-System, das bereits auf dem Markt ist, übernimmt:

• Neuvermarktung — Sie bringen das hochrisikorelevante System, das bereits auf dem Markt ist, unter Ihrem eigenen Namen oder Markenzeichen auf den Markt, es sei denn, ein Vertrag weist die Verpflichtungen anders zu
• Wesentliche Änderung — Sie ändern das hochrisikorelevante System wesentlich, so dass es weiterhin hochrisikorelevant bleibt
• Änderung des beabsichtigten Zwecks — Sie ändern den beabsichtigten Zweck eines Systems (einschließlich eines allgemeinen KI-Systems), das nicht als hochrisikorelevant eingestuft wurde, so dass es nun hochrisikorelevant wird
• Wenn einer dieser Auslöser greift, muss der ursprüngliche Anbieter zusammenarbeiten, und Sie übernehmen die Anbieterverpflichtungen — Konformitätsbewertung, technische Dokumentation, Aufzeichnung und den Rest

Dies ist die Falle für Teams, die ein gekauftes KI-System feinjustieren, umschreiben oder weiß beschriften: Die Verantwortung, die Sie dachten, der Lieferant hätte, kann auf Sie übergehen.