Der EU AI Act verteilt Pflichten nicht nach Branche, sondern nach Rolle. Die zwei wichtigsten Rollen sind Anbieter und Betreiber. Wer seine Rolle falsch einschätzt, erfüllt entweder Pflichten, die ihn nicht treffen, oder übersieht die, die ihn treffen.
Die Definitionen
Anbieter ist eine natürliche oder juristische Person, die ein KI-System oder ein KI-Modell mit allgemeinem Verwendungszweck entwickelt oder entwickeln lässt und es unter eigenem Namen oder eigener Marke in Verkehr bringt oder in Betrieb nimmt, entgeltlich oder unentgeltlich. Betreiber ist, wer ein KI-System in eigener Verantwortung verwendet, ausser im Rahmen einer persönlichen, nicht beruflichen Tätigkeit. Ein Unternehmen, das ein eingekauftes KI-Tool für die Personalvorauswahl nutzt, ist Betreiber; der Hersteller des Tools ist Anbieter.
Was die Rollen unterscheidet
Anbieter von Hochrisiko-Systemen tragen die schwere Last: Risikomanagement, Datenqualität, technische Dokumentation, Protokollierung, Transparenz gegenüber Betreibern, menschliche Aufsicht im Design, Genauigkeit und Robustheit, Konformitätsbewertung, Registrierung und Beobachtung nach dem Inverkehrbringen. Betreiber müssen das System gemäss Gebrauchsanweisung verwenden, menschliche Aufsicht durch kompetente Personen sicherstellen, Eingabedaten im eigenen Einflussbereich prüfen, den Betrieb überwachen, Protokolle aufbewahren und Beschäftigte informieren. Bestimmte Betreiber müssen zusätzlich eine Grundrechte-Folgenabschätzung durchführen.
Wann der Betreiber zum Anbieter wird
Art. 25 AI Act regelt den Rollenwechsel. Ein Betreiber oder anderer Dritter gilt als Anbieter eines Hochrisiko-Systems, wenn er es unter eigenem Namen oder eigener Marke anbietet, es wesentlich verändert oder seinen Zweck so ändert, dass es zum Hochrisiko-System wird. Für Softwarehäuser ist das der häufigste Stolperstein: Wer ein fremdes Modell in ein eigenes Produkt einbaut und dieses für einen Hochrisiko-Zweck vertreibt, ist Anbieter dieses Produkts.
Warum Schweizer Unternehmen betroffen sind
Der AI Act gilt für Anbieter, die KI-Systeme in der EU in Verkehr bringen, unabhängig von ihrem Sitz, und für Anbieter und Betreiber in Drittstaaten, wenn die Ausgabe des Systems in der EU verwendet wird. Ein Schweizer SaaS-Anbieter mit EU-Kunden fällt damit typischerweise als Anbieter unter das Gesetz, ein Schweizer Unternehmen, das KI-Ergebnisse in der EU nutzt, unter Umständen als Betreiber.
Rolle pro System bestimmen
Die Rolle wird pro KI-System bestimmt, nicht pro Unternehmen. Dasselbe Unternehmen kann für sein eigenes Produkt Anbieter und für ein zugekauftes HR-Tool Betreiber sein. Ein KI-Inventar mit Rolle, Zweck und Risikoklasse pro System ist deshalb der erste Schritt; unsere Checkliste zur Hochrisiko-Einstufung und das Gap-Assessment setzen genau dort an.