Pflichten nach Rolle
Anbieter oder Betreiber: wie sich die Rolle bestimmt, wann sie wechselt und welche Pflichten jeweils folgen.
Die Rollen
| Rolle | Auslöser |
|---|---|
| Anbieter | Entwickelt ein System oder lässt es entwickeln und bringt es unter eigenem Namen in Verkehr oder nimmt es in Betrieb |
| Betreiber | Setzt ein System in eigener Verantwortung ein, außerhalb persönlicher Tätigkeit |
| Einführer | Bringt ein System eines Anbieters aus einem Drittland in Verkehr |
| Händler | Stellt ein System bereit, ohne Anbieter oder Einführer zu sein |
Wann die Rolle wechselt
- Sie versehen ein Hochrisikosystem mit Ihrem Namen oder Ihrer Marke.
- Sie ändern den Zweck eines Systems so, dass es dadurch hochriskant wird.
- Sie nehmen an einem Hochrisikosystem eine wesentliche Änderung vor.
Der zweite Punkt ist der praktisch häufigste: Ein allgemeines Sprachmodell für die Vorauswahl von Bewerbungen einzusetzen ist eine Zweckbestimmung, die den Einsatz in Anhang III führt.
Betreiberpflichten bei Hochrisiko
| Pflicht | Konkret |
|---|---|
| Gebrauchsanweisung befolgen | Und dokumentieren, dass das geschieht |
| Menschliche Aufsicht | Benannte Person mit Befugnis, Kompetenz und Zeit |
| Eingabedaten | Sicherstellen, dass sie für den Zweck geeignet und repräsentativ sind |
| Überwachung | Betrieb beobachten, Anbieter bei Auffälligkeiten unterrichten |
| Protokolle | Aufbewahren, mindestens sechs Monate, soweit unter eigener Kontrolle |
| Information | Beschäftigte und Betroffene unterrichten |
| Grundrechte-Folgenabschätzung | Öffentliche Stellen und bestimmte private Betreiber |
Menschliche Aufsicht, praktisch gefasst
Aufsicht ist keine Zeile in einer Richtlinie. Sie verlangt fünf Dinge gleichzeitig:
- Befugnis. Die Person darf die Ausgabe verwerfen und den Betrieb anhalten, ohne Rückfrage.
- Kompetenz. Sie versteht die Grenzen des Systems und kennt seine typischen Fehler.
- Zeit. Die Prüfung ist im Prozess eingeplant, nicht zusätzlich.
- Grundlage. Sie sieht, worauf das Ergebnis beruht, nicht nur das Ergebnis.
- Unabhängigkeit von Automation Bias. Die Neigung, einer Maschine zu folgen, ist bekannt und wird durch die Prozessgestaltung gedämpft.
Der letzte Punkt wird selten umgesetzt und ist der wirksamste: Eine Aufsicht, die eine Vorentscheidung nur bestätigen oder ablehnen kann, bestätigt in der Praxis fast immer. Eine Aufsicht, die den Fall zuerst ohne die Empfehlung sieht, entscheidet anders.
Was Anbieter zusätzlich schulden
- Risikomanagementsystem über den gesamten Lebenszyklus.
- Daten-Governance mit Anforderungen an Trainings-, Validierungs- und Testdaten.
- Technische Dokumentation nach Anhang IV.
- Automatische Protokollierung.
- Transparenz und Gebrauchsanweisung für Betreiber.
- Genauigkeit, Robustheit und Cybersicherheit.
- Qualitätsmanagementsystem, Konformitätsbewertung, CE-Kennzeichnung, Registrierung.
Nachweisführung für Betreiber
Fünf Dokumente genügen im Kern: das Inventar mit Rolle und Klasse, die Einstufungsbegründung, der Nachweis der KI-Kompetenz, die Benennung der aufsichtführenden Personen, und die Protokolle. Wer diese fünf führt, ist auskunftsfähig. Siehe Audit vorbereiten.
Passende Kurse und Quellen
EU AI Act, der amtliche Volltext
Verordnung (EU) 2024/1689 im Volltext, in allen Amtssprachen. Die Primärquelle für jede Rechtsfrage.
Unsere Governance-Artikel fassen zusammen und ordnen ein. Wo es auf den Wortlaut ankommt, gilt dieser Text.