Anbieter oder Betreiber?
Die Rolle entscheidet über alles Weitere. Dasselbe System löst beim Anbieter einen ganzen Pflichtenkatalog aus und beim Betreiber eine Handvoll Sorgfaltspflichten.
Die vier Rollen
| Rolle | Wer das ist | Norm |
|---|---|---|
| Anbieter | Du entwickelst ein KI-System oder lässt es entwickeln und bringst es unter deinem eigenen Namen oder deiner Marke in Verkehr oder nimmst es in Betrieb. | Art. 3 Nr. 3 |
| Betreiber | Du verwendest ein KI-System in eigener Verantwortung im beruflichen Kontext. | Art. 3 Nr. 4 |
| Einführer | Du bist in der Union niedergelassen und bringst ein KI-System eines Anbieters aus einem Drittland in Verkehr. | Art. 3 Nr. 6 |
| Händler | Du bist Teil der Lieferkette, weder Anbieter noch Einführer, und stellst ein KI-System auf dem Markt bereit. | Art. 3 Nr. 7 |
Für die allermeisten Unternehmen lautet die Antwort zunächst: Betreiber. Wer ChatGPT im Kundenservice einsetzt, ein Bewerbungstool einkauft oder ein Übersetzungssystem nutzt, verwendet ein fremdes System in eigener Verantwortung.
Die Falle: Art. 25
Ein Betreiber, Händler oder Einführer wird selbst zum Anbieter, wenn einer von drei Fällen eintritt:
- Er setzt seinen Namen oder seine Marke auf ein bereits in Verkehr gebrachtes Hochrisiko-System – der klassische White-Label-Fall.
- Er nimmt eine wesentliche Änderung vor, die von der ursprünglichen Konformitätsbewertung nicht erfasst war.
- Er ändert die Zweckbestimmung so, dass das System zum Hochrisiko-System wird – ausdrücklich auch bei Systemen mit allgemeinem Verwendungszweck.
Die Folge ist hart: Der ursprüngliche Anbieter gilt nicht mehr als Anbieter. Sämtliche Pflichten aus Art. 16 – Risikomanagement, technische Dokumentation, Konformitätsbewertung, Registrierung – gehen über.
Der dritte Fall trifft genau das, was gerade überall passiert: Ein Basismodell wird für einen eigenen Zweck feingetunt. Wer damit in einen Bereich des Anhangs III gerät, etwa in die Bewerbervorauswahl, ist nicht mehr Betreiber eines fremden Werkzeugs, sondern Anbieter eines Hochrisiko-Systems.
Was die Rolle konkret bedeutet
Beim Hochrisiko-System trifft den Anbieter Art. 16: Risikomanagementsystem, Daten-Governance, technische Dokumentation, automatische Protokollierung, Transparenz gegenüber Betreibern, menschliche Aufsicht, Genauigkeit und Cybersicherheit, dazu Konformitätsbewertung, CE-Kennzeichnung und Registrierung.
Den Betreiber trifft Art. 26: Verwendung nach Gebrauchsanweisung, menschliche Aufsicht durch geeignete und geschulte Personen, Überwachung des Betriebs, Aufbewahrung der Protokolle und Information der betroffenen Personen. Deutlich weniger – aber nicht nichts.
Welche Rolle du hast und ob Art. 25 bei dir greift, klärt der Pflichtenrechner in drei Fragen.
Frist mit dem eigenen Datum rechnen
Der Fristenrechner zählt Werktage, überspringt die Feiertage deines Bundeslandes und wendet § 193 BGB an.
Zum Fristenrechner