Welche Rolle hat Ihr Unternehmen nach dem AI Act?

Die Rolle je System bestimmen

Beginnen Sie nicht mit dem Organigramm, sondern mit dem einzelnen System und seinem Marktweg. Erfassen Sie, wer die Entwicklung veranlasst, unter wessen Namen das System angeboten oder in Betrieb genommen wird, wer es erstmals auf dem Unionsmarkt bereitstellt, wer es weitervertreibt und wer es beruflich einsetzt.

Die Rollenzuordnung gehört in das KI Inventar und muss für jede Gesellschaft separat erfolgen. Ein Konzern kann Anbieter sein, während eine andere Gesellschaft Betreiber oder Importeur ist. Verträge und Rechnungen liefern Hinweise, sind aber nicht allein entscheidend, wenn tatsächliche Marke, technische Kontrolle oder Verwendung davon abweichen. Als Nachweis dienen eine datierte Bewertung, benannte Verantwortliche, verknüpfte Unterlagen und ein Termin für die nächste Prüfung. Wesentliche Unsicherheit wird nicht stillschweigend akzeptiert, sondern mit Entscheidung, Auflage oder Eskalation sichtbar gemacht.

• Die Legaldefinitionen aus Art. 3 AI Act anhand von Entwicklung, Inverkehrbringen, Bereitstellung, Inbetriebnahme und eigenverantwortlicher Verwendung erklären.

Quellen: [1] [2] [3]

Anbieter und Betreiber trennen

Anbieter ist insbesondere, wer ein KI System entwickelt oder entwickeln lässt und es unter eigenem Namen oder eigener Marke in Verkehr bringt oder in Betrieb nimmt. Das kann auch bei unentgeltlicher Bereitstellung oder Eigengebrauch relevant sein. Betreiber verwendet ein KI System in eigener Verantwortung im Rahmen einer beruflichen Tätigkeit.

Ein Unternehmen kann zugleich Anbieter und Betreiber sein, etwa wenn es eine Eigenentwicklung intern einsetzt. Die Unterscheidung ist praktisch wichtig, weil Pflichten nach Vorschrift und Risikokategorie an unterschiedliche Rollen anknüpfen. Halten Sie deshalb Entwicklung, Freigabe, tatsächliche Nutzung und Entscheidungseinfluss getrennt fest, statt pauschal von Kunde oder Nutzer zu sprechen. Als Nachweis dienen eine datierte Bewertung, benannte Verantwortliche, verknüpfte Unterlagen und ein Termin für die nächste Prüfung. Wesentliche Unsicherheit wird nicht stillschweigend akzeptiert, sondern mit Entscheidung, Auflage oder Eskalation sichtbar gemacht.

• Anbieter entwickeln oder beauftragen die Entwicklung und vermarkten beziehungsweise betreiben das System unter eigenem Namen oder eigener Marke; Betreiber verwenden es in eigener beruflicher Verantwortung.

Quellen: [1] [2]

Importeur und Händler erkennen

Importeur ist eine in der Union ansässige Person, die ein KI System mit Name oder Marke eines außerhalb der Union niedergelassenen Anbieters in Verkehr bringt. Händler stellt ein System innerhalb der Lieferkette auf dem Unionsmarkt bereit, ohne Anbieter oder Importeur zu sein. Digitale Bereitstellung kann relevant sein; ein physischer Grenzübertritt ist kein ausreichendes Prüfkriterium.

Kartieren Sie Vertragskette, Niederlassung des Anbieters, erstmalige Bereitstellung und nachgelagerte Weitergabe. Ein direkter SaaS-Kunde ist nicht automatisch Importeur, doch die konkrete Vertriebs- und Bereitstellungsstruktur kann eine andere Bewertung ergeben. Bei Unsicherheit muss Legal vor Vertragsabschluss die tatsächlichen Abläufe mit Einkauf und Produktverantwortlichen verifizieren. Als Nachweis dienen eine datierte Bewertung, benannte Verantwortliche, verknüpfte Unterlagen und ein Termin für die nächste Prüfung. Wesentliche Unsicherheit wird nicht stillschweigend akzeptiert, sondern mit Entscheidung, Auflage oder Eskalation sichtbar gemacht.

• Importeure bringen Systeme von Anbietern aus Drittländern erstmals in der Union in Verkehr; Händler stellen Systeme innerhalb der nachgelagerten Lieferkette bereit.

Quellen: [1] [2]

Produkthersteller gesondert einordnen

Eine gesonderte Produktherstellerprüfung ist erforderlich, wenn ein KI System selbst ein von Anhang I erfasstes Produkt oder Sicherheitsbauteil eines solchen Produkts ist. Für die Hochrisikoeinstufung nach Art. 6 Abs. 1 kommt es zusätzlich darauf an, ob das Produkt nach dem einschlägigen Harmonisierungsrecht eine Drittstellen-Konformitätsbewertung durchlaufen muss.

Art. 25 Abs. 3 ordnet die Anbieterrolle dagegen nur für Hochrisiko-KI-Systeme zu, die Sicherheitsbauteile von Produkten nach Abschnitt A des Anhangs I sind und unter dem Namen oder der Marke des Produktherstellers gemeinsam mit dem Produkt in Verkehr gebracht oder nach dessen Inverkehrbringen in Betrieb genommen werden. Die Maschinenverordnung wurde durch den Digital Omnibus in Abschnitt B verschoben; bei Maschinen greift diese besondere Rollenfiktion daher nicht automatisch. Andere Wege zur Anbieterrolle, insbesondere Entwicklung, eigene Marke oder Art. 25 Abs. 1, bleiben gesondert zu prüfen.

• Art. 6 Abs. 1 klassifiziert produktbezogene Hochrisiko-KI; Art. 25 Abs. 3 weist die Anbieterrolle nur für Sicherheitsbauteile von Produkten nach Abschnitt A des Anhangs I unter seinen weiteren Voraussetzungen zu.

Quellen: [1] [2]

Rollenwechsel nach Artikel 25 prüfen

Bei Hochrisiko-Systemen können Händler, Importeure, Betreiber oder andere Dritte unter bestimmten Voraussetzungen Anbieterpflichten übernehmen, etwa bei eigener Marke, wesentlicher Änderung oder geänderter Zweckbestimmung. Ein Vertrag, der die Partei weiterhin Betreiber nennt, verhindert diese gesetzliche Folge nicht.

Definieren Sie kontrollpflichtige Veränderungen: Fine-Tuning, neue Schnittstellen, andere Nutzergruppen, neue Entscheidungszwecke, White-Label-Auftritt oder Leistungsänderungen. Vor Umsetzung entscheidet eine benannte Stelle, ob eine erneute Rollen- und Risikoprüfung erforderlich ist. Ausgangsversion, Änderung, Zweck und Entscheidung werden versioniert aufbewahrt. Als Nachweis dienen eine datierte Bewertung, benannte Verantwortliche, verknüpfte Unterlagen und ein Termin für die nächste Prüfung. Wesentliche Unsicherheit wird nicht stillschweigend akzeptiert, sondern mit Entscheidung, Auflage oder Eskalation sichtbar gemacht.

• Mehrfachrollen und Rollenwechsel nach Art. 25 darstellen: eigene Marke, wesentliche Änderung oder geänderte Zweckbestimmung können bei Hochrisiko-Systemen Anbieterpflichten auslösen.

Quellen: [1] [2]

Entscheidungsmatrix und Verantwortliche

Eine belastbare Matrix enthält mindestens System und Modell, Gesellschaft, Zweckbestimmung, Anbietername, Marke, Marktweg, Entwicklungsbeitrag, Änderungen, tatsächliche Nutzung und betroffene Produktregeln. Sie weist für jede mögliche Rolle eine Begründung, offene Punkte, verantwortliche Person und nächsten Prüftermin aus.

Die Geschäftsleitung muss nicht jede technische Einzelheit selbst prüfen, aber Zuständigkeiten und Eskalationsgrenzen festlegen. Rollen ändern sich bei Produkt-, Vertrags- oder Organisationsänderungen. Deshalb löst ein neuer Anbieter, Rebranding, wesentliche Anpassung, neuer Einsatzzweck oder grenzüberschreitender Vertrieb eine Aktualisierung aus. Die Matrix unterstützt die Prüfung, garantiert jedoch keine abschließende rechtliche Qualifikation. Als Nachweis dienen eine datierte Bewertung, benannte Verantwortliche, verknüpfte Unterlagen und ein Termin für die nächste Prüfung. Wesentliche Unsicherheit wird nicht stillschweigend akzeptiert, sondern mit Entscheidung, Auflage oder Eskalation sichtbar gemacht.

• Eine Entscheidungsmatrix aus System, Modell, Zweckbestimmung, Marktweg, Marke, Veränderung und tatsächlicher Nutzung als Arbeitsgrundlage anbieten.

Quellen: [1] [2]

Häufige Fragen