Anbieter vs. Betreiber: Wer ist verantwortlich?

Was ist Anbieter vs. Betreiber: Wer ist verantwortlich??

Die EU-KI-Verordnung teilt die Pflichten zwischen dem Anbieter, der ein KI-System aufbaut, und dem Betreiber, der es einsetzt, auf. Durch den Kauf eines konformen Produkts werden die Pflichten des Betreibers nicht auf den Anbieter übertragen. Sie trennen die beiden Rollen, legen fest, welche Verpflichtungen Ihnen obliegen, und werten die Compliance-Dokumentation des Lieferanten während der Beschaffung aus, damit Lücken vor der Vertragsunterzeichnung und nicht erst während eines Audits auftauchen.

Was Sie lernen in Anbieter vs. Betreiber: Wer ist verantwortlich?

• Anbieter- und Betreiberrollen nach der EU-KI-Verordnung unterscheiden
• Die konkreten Pflichten erkennen, die zu jeder Rolle gehören
• Verstehen, warum Anbieter-Compliance die Betreiberpflichten nicht erfüllt
• Falsch eingestufte KI-Produkte in der Beschaffungs-Prüfung erkennen
• Eigenständige Risikobewertung als Teil der Beschaffungs-Due-Diligence anwenden

Anbieter vs. Betreiber: Wer ist verantwortlich? — Trainingsschritte

1. Anbieter vs. Betreiber

   Die EU-KI-Verordnung weist je nach Rolle in der KI-Wertschöpfungskette unterschiedliche Pflichten zu: Anbieter — das Unternehmen, das ein KI-System entwickelt oder entwickeln lässt und es unter eigenem Namen in Verkehr bringt oder in Betrieb nimmt. Zuständig für Konformitätsbewertung, CE-Kennzeichnung und technische Dokumentation. Betreiber — das Unternehmen, das ein KI-System in eigener Verantwortung nutzt. Zuständig für menschliche Aufsicht, Monitoring, das Führen von Protokollen, die Information der betroffenen Personen und Vorfallsmeldung. Öffentliche Stellen, Anbieter öffentlicher Dienste sowie Betreiber von Bonitäts- oder Versicherungs-Scoring müssen zusätzlich eine Grundrechte-Folgenabschätzung durchführen (Artikel 27). BrightPath Consulting ist ein Betreiber. Wenn das Unternehmen ein KI-Tool eines Anbieters kauft, befreit dessen Compliance BrightPath nicht von den eigenen rechtlichen Pflichten nach der Verordnung.

2. E-Mail vom IT Director

   Eine E-Mail von Rachel Kim, IT Director von BrightPath, trifft ein. Drei KI-Anbieter haben Angebote eingereicht, und Alice soll deren Compliance-Status vor der Beschaffungs-Entscheidung bewerten.

3. Anbieter 1: TalentMatch AI

   Alice klickt in Rachels E-Mail auf den Link zu TalentMatch AI, um die Compliance-Dokumentation des Anbieters zu öffnen. Dieser Anbieter hat seine Pflichten gut erfüllt: Konformitätsbewertung abgeschlossen, CE-Kennzeichnung erhalten, technische Dokumentation verfügbar und Verwendungszweck klar angegeben. Das System ist nach Anhang III Bereich 4 (Beschäftigung) als Hochrisiko-KI-System eingestuft.

4. Betreiberpflichten bei Hochrisiko-KI

   Auch wenn TalentMatch AI ein konformer Anbieter ist, hat BrightPath als Betreiber nach der EU-KI-Verordnung eigene zwingende Pflichten. Diese bestehen unabhängig vom Compliance-Status des Anbieters. Alice öffnet die in Rachels E-Mail verlinkte Checkliste der Betreiberpflichten.

5. Wissenscheck: Verantwortung des Betreibers

6. Anbieter 2: QuickReply Bot

   Der nächste Anbieter ist QuickReply Bot, ein Kundenservice-Chatbot. Alice klickt in Rachels E-Mail auf den Link zu QuickReply Bot. Dies ist ein KI-System mit begrenztem Risiko. Seine Hauptpflicht ist Transparenz: Der Anbieter muss den Bot so bauen, dass Kundinnen und Kunden wissen, dass sie mit KI und nicht mit einem Menschen sprechen, und der Bot ist so gebaut. Die Rolle von BrightPath als Betreiber ist einfacher: diesen Hinweis im eigenen Chat-Widget sichtbar halten.

7. Anbieter 3: InsightIQ

   Der letzte Anbieter ist InsightIQ, eine KI-gestützte Plattform zur Analyse der Mitarbeiterleistung. Alice klickt in Rachels E-Mail auf den Link zu InsightIQ, um die Produktseite zu öffnen. An den Behauptungen dieses Anbieters sollte etwas als Warnsignal auffallen.

8. Das Problem der Fehleinstufung

   InsightIQ empfiehlt auf Grundlage von Mitarbeiterleistungsdaten Beförderungen und Team-Zusammensetzungen: KI im Beschäftigungskontext, die nach Anhang III als Hochrisiko gilt. Ob der Anbieter das Produkt bewusst oder aus Versehen falsch eingestuft hat – BrightPath darf sich nicht auf diese Einstufung verlassen. Ein Betreiber sollte die Risikoeinstufung vor der Einführung selbst verifizieren: Er muss das System nach der Betriebsanleitung des Anbieters verwenden (Artikel 26 Absatz 1), und ein Betreiber, der ein Hochrisiko-KI-System mit seinem Namen versieht oder dessen Zweckbestimmung ändert, übernimmt Anbieterpflichten (Artikel 25).

9. Wissenscheck: Falsch eingestufter Anbieter

10. Beschaffungsempfehlungen senden

    Alice antwortet Rachel mit einer Empfehlung für jeden Anbieter: welche Tools BrightPath unter welchen Betreiberbedingungen einsetzen kann und welches vollständig abgelehnt werden muss.