Akteure

Übersicht: Die Akteure im AI Act

Der AI Act sieht viele Rollen in der KI-Wertschöpfungskette vor. Die verschiedenen Akteure sind dabei keineswegs unbekannt, der Unionsgesetzgeber orientierte sich dabei in vielerlei Hinsicht an den EU-Produktrechtsnormen (siehe etwa die Produktsicherheitsverordnung, Medizinprodukteverordnung).

Zu den Akteuren im AI Act zählen gemäß Art. 3 Ziffer 8:

• Anbieter („Provider“);
• Produkthersteller („Product Manufacturer“);
• Bevollmächtigter („Authorised Representative“);
• Einführer („Importer“);
• Händler („Distributor“);
• Betreiber („Deployer“).

Ferner kommen auch noch Nutzer und „betroffene Personen“ vor. Diese werden aber nicht als Akteure im Sinne des AI Act bezeichnet.

Inverkehrbringen, Bereitstellen, Inbetriebnahme

Die verschiedenen Akteure übernehmen verschiedene Tätigkeiten in der KI-Wertschöpfungskette. Unterschieden wird dabei in „Inverkehrbringen“, „Bereitstellen“ und der „Inbetriebnahme“, die im AI Act auch legaldefiniert werden. Diese Begriffe sind nicht neu, kommen sie doch bereits im EU-Produktrecht vor.

Mit „Inverkehrbringen“ ist gemäß Art. 3 Ziffer 9 AIA „die erstmalige Bereitstellung eines KI-Systems oder eines GPAI-Modell auf dem Unionsmarkt“ gemeint. Laut Definition erfasst das Inverkehrbringen zugleich die „Bereitstellung auf dem Markt“, was wiederum „die entgeltliche oder unentgeltliche Bereitstellung eines KI-Systems oder eines KI-Modells mit allgemeinem Verwendungszweck zum Vertrieb oder zur Verwendung auf dem Unionsmarkt im Rahmen einer Geschäftstätigkeit“ bezeichnet (Art. 3 Ziffer 10 AIA).

Der Unterschied zwischen „Inverkehrbringen“ und „Bereitstellen“ liegt darin, dass beim Inverkehrbringen die Bereitstellung auf dem Markt erstmalig erfolgt. Das Inverkehrbringen übernimmt innerhalb der EU in der Regel der Hersteller des Produkts bzw. im Falle des KI-Systems/GPAI-Modell der Anbieter; bei Produkten bzw. KI-Systemen außerhalb der EU der Importeur. Ist die erstmalige Bereitstellung erfolgt, wird die weitere Bereitstellung (umgangssprachlich als „Vertrieb“ bezeichnet) für gewöhnlich vom Händler übernommen, die typische Tätigkeiten wie den Verkauf, die Lagerung, den Transport (etwa bei in physischen Produkten integrierte Hochrisiko-KI-Systeme), die Kundenbetreuung oder die Wartung übernehmen.

Diese Form der Lieferkette stellt vor allem den traditionellen Weg einer Lieferkette dar, wo das Produkt vom Hersteller über den Importeur und (Zwischen-)Händler ihren Weg zum Endkunden findet. Mit dem Fernabsatz haben sich auch neue Vertriebsformen entwickelt. Anbieter und Händler aus Drittstaaten können ihre Produkte durch Online-Schnittstellen am Unionsmarkt anbieten, was vor allem Anbieter auch das Ausklammern bestimmter Akteure (z. B. Händler) ermöglicht. Gerade bei digitalen Produkten wie Software-Anwendungen, welche durch einen simplen Download erworben werden können, spielt diese Form des Absatzes eine bedeutsame Rolle.

Auf die Veränderungen der Absatzformen hat auch der Unionsgesetzgeber in der Marktüberwachungsverordnung (Erwägungsgründe 15) reagiert: Wird ein Produkt online oder über eine andere Form des Fernabsatzes angeboten, so sollte das Produkt als auf dem Markt bereitgestellt gelten, wenn sich das Verkaufsangebot an Endnutzer in der Union richtet. Ob ein solches Verkaufsangebot an Endnutzer vorliegt, ist eine Einzelfallentscheidung und hat unter Berücksichtigung von Kriterien wie etwa die geografischen Gebiete, in die geliefert werden kann, die für das Angebot oder für die Bestellung verfügbaren Sprachen und die Zahlungsarten zu erfolgen. Die bloße Zugänglichkeit der Website des Akteurs reicht für sich alleine nicht aus, eine Bereitstellung auf dem Unionsmarkt anzunehmen.

Mit „Inbetriebnahme“ wird gemäß Art. 3 Ziffer 11 AIA „die Bereitstellung eines KI-Systems durch den Anbieter in der Union zum Erstgebrauch direkt an den Betreiber oder zum Eigengebrauch entsprechend seiner Zweckbestimmung“ bezeichnet. Mit „Zweckbestimmung“ wird kurzgefasst die Verwendung, für die ein KI-System laut Anbieter bestimmt oder propagiert wird (vgl. Art. 3 Ziffer 12 AIA).

Die einzelnen Akteure

Je nachdem, um welchen Akteur und welches KI-System oder GPAI-Modell es sich handelt, sind unterschiedlich weitreichende Verpflichtungen einzuhalten. Es ist daher von fundamentaler Bedeutung, in den einzelnen Verpflichtungsadressaten zu unterscheiden. In bestimmten Situationen kann ein Akteur auch mehrere Rollen gleichzeitig übernehmen. Die folgenden Erläuterungen und die Grafik sollen einen Überblick geben.

Wer ist Anbieter?

Laut Art. 3 Ziffer 3 AIA ist ein Anbieter

eine natürliche oder juristische Person, Behörde, Einrichtung oder sonstige Stelle, die ein KI-System oder ein KI-Modell mit allgemeinem Verwendungszweck entwickelt oder entwickeln lässt und es unter ihrem eigenen Namen oder ihrer Handelsmarke in Verkehr bringt oder das KI-System unter ihrem eigenen Namen oder ihrer Handelsmarke in Betrieb nimmt, sei es entgeltlich oder unentgeltlich.

Beim Anbieter handelt es sich um jenes Glied in der KI-Wertschöpfungskette, das das KI-System oder GPAI-Modell entwickelt. Typischerweise handelt es sich dabei um Personen und Einrichtungen, die in den einzelnen Entwicklungsphasen – Datenvorbereitung, Modelltraining, Evaluierung und Optimierung – von KI-Systemen oder GPAI-Modellen beteiligt sind.

Da die Entwicklung eines KI-Systems oder GPAI-Modells meist mehrere Berufsdisziplinen umfasst, arbeiten oft mehrere Fachleute wie Datenwissenschaftler, Ingenieure, Domänenexperten und Designer zusammen. Von einem Anbieter wird daher auch dann ausgegangen, wenn diese das KI-System oder ein GPAI-Modell entwickeln lässt (mit anderen Worten „in Auftrag gibt“), um es in der Folge selbst in den Verkehr zu bringen oder das System unter dem eigenen Namen oder ihrer eigenen Marke – entgeltlich oder unentgeltlich in Betrieb zu nehmen. Anbieter können auch bestimmte Instrumente, Dienstleistungen, Komponenten oder Prozesse, wie z.B. Trainieren, Neutrainieren, Testen und Bewerten von Modellen, die Integration in Software oder andere Aspekte der Modellentwicklung auslagern. Die Verpflichtungen im Zusammenhang mit dem AI Act treffen allerdings weitergehend die Anbieter.

Hinweis: Um die Anwendung des AI Act auch in diesen Situationen sicherzustellen, gilt es die Pflichten vertraglich zu regeln. Das AI Office wird diesbezüglich ermächtigt, Mustervertragsbestimmungen zu erstellen und zur Verfügung zu stellen (Art. 25 Abs. 4 AI Act).

Von einem Anbieter ist auch dann die Rede, wenn diese ein KI-Modell in ihr KI-System oder GPAI-System integriert. Irrelevant ist dabei, ob das Modell von ihm selbst bereitgestellt und vertikal integriert wird oder von jemand anderem stammt. In diesem Fall wird von einem „nachgelagerten Anbieter“ gesprochen (siehe Art. 3 Ziffer 68 AIA)

Durch die Regel in Art. 25 Abs. 1 AIA werden auch Einführer, Händler, Betreiber und sonstige Dritte als Anbieter behandelt, wenn sie:

• ein bereits in Verkehr gebrachtes oder in Betrieb genommenes Hochrisiko-KI-System mit ihrem Namen oder ihrer Handelsmarke versehen, unbeschadet vertraglicher Vereinbarungen, die eine andere Aufteilung der Pflichten vorsieht. Der jeweilige Akteur tritt somit als Anbieter eines KI-Systems auf obwohl dieses nicht selbst entwickelt wurde („Quasi-Hersteller“);
• eine wesentliche Änderung an einem Hochrisiko-KI-System, das bereits in Verkehr gebracht oder in Betrieb genommen wurde, so vornehmen, dass es weiterhin ein Hochrisiko-KI-System im Sinne von Art. 6 AIA bleibt;
• die Zweckbestimmung eines KI-Systems, einschließlich eines GPAI-Systems, das nicht als hochriskant eingestuft wurde und bereits in Verkehr gebracht oder in Betrieb genommen wurde, so verändern, dass das betreffende KI-System zu einem Hochrisiko-KI-System im Sinne von Art. 6 AIA wird. 

Wer ist Produkthersteller?

Produkthersteller werden zwar als Akteure aufgezählt, eine entsprechende Definition fehlt allerdings im AI Act. Da im Anhang I des AI Acts auf unionsrechtliche Normen des Produktrechts verwiesen wird, ist als Produkthersteller im AI Act der Hersteller des jeweiligen Produkts gemeint.

Beispielshaft wird als Hersteller im Sinne der Aufzüge-Richtlinie „jede natürliche oder juristische Person, die ein Sicherheitsbauteil für Aufzüge herstellt bzw. entwickeln oder herstellen lässt und es unter ihrem eigenen Namen oder ihrer eigenen Handelsmarke vermarktet“ (Art. 2 Ziffer 8 Aufzüge-Richtlinie).

Wird ein KI-System als Sicherheitskomponente in ein Produkt eingebaut, hat der Produkthersteller die im AI Act festgelegten Pflichten eines Anbieters eines KI-Systems zu erfüllen. Der Produkthersteller wird in diesen Fällen als Anbieter behandelt.

Wer ist Bevollmächtigter?

Gemäß Art. 3 Z 5 AIA ist ein Bevollmächtigter

eine in der Union befindliche oder niedergelassene natürliche oder juristische Person, die vom Anbieter eines KI-Systems oder eines KI-Modells mit allgemeinem Verwendungszweck schriftlich dazu bevollmächtigt wurde und sich damit einverstanden erklärt hat, in seinem Namen die in dieser Verordnung festgelegten Pflichten zu erfüllen bzw. Verfahren durchzuführen.

Ein Bevollmächtigter wird notwendig, wenn die Anbieter des KI-Systems bzw. des GPAI-Modells nicht innerhalb der Union niedergelassen ist. Damit die Einhaltung der unionsrechtlichen Anforderungen an KI-Systeme bzw. GPAI-Modelle sichergestellt wird, ist die Bestellung eines Bevollmächtigten vorgesehen, der im Namen der Anbieter des KI-Systems bzw. des GPAI-Modells für die Einhaltung der im AI Act festgelegten Pflichten sorgt und auch Verfahren führt. Diese Verpflichtung gilt nicht für Anbieter von ausgenommenen Open-Source-Modellen und -Systemen im Sinne des Art. 2 Abs. 12 AIA.

Wer ist Einführer?

Art 3 Z 6 AIA definiert einen Einführer als

eine in der Union befindliche oder niedergelassene natürliche oder juristische Person, die ein KI-System, das den Namen oder die Handelsmarke einer in einem Drittland niedergelassenen natürlichen oder juristischen Person trägt, in der Union in Verkehr bringt.

Der Einführer, auch als Importeur bezeichnet, stellt jenes Glied in der KI-Wertschöpfungskette dar, das ein KI-System eines ausländischen Anbieters in der Union in Verkehr bringt. Der Importeur spielt also nur eine Rolle bei KI-Systemen aus Drittländern. In gewissen Situationen kann die Rolle des Einführers mit jener des Händlers zusammenfallen, und zwar dann, wenn der Einführer das KI-System vom Anbieter bezieht und gleichzeitig bereitstellt.

Unter Umständen kann der Einführer auch als Anbieter behandelt werden (siehe Art. 25 Abs. 1 AIA).

Wer ist Händler?

Gemäß Art 3 Z 7 AIA wird ein Händler wie folgt legaldefiniert:

Eine natürliche oder juristische Person in der Lieferkette, die ein KI-System auf dem Unionsmarkt bereitstellt, mit Ausnahme des Anbieters oder des Einführers.

Beim Händler handelt es sich um jene Person in der KI-Wertschöpfungskette, die ein KI-System auf dem Unionsmarkt bereitstellt. Die reine Bereitstellung kommt in zeitlicher Hinsicht nach dem Inverkehrbringen.

Unter Umständen kann der Händler auch als Anbieter behandelt werden (siehe Art. 25 Abs. 1 AIA).

Wer ist Betreiber?

Gemäß Art. 3 Ziffer 4 AIA ist ein Betreiber

eine natürliche oder juristische Person, Behörde, Einrichtung oder sonstige Stelle, die ein KI-System in eigener Verantwortung verwendet, es sei denn, das KI-System wird im Rahmen einer persönlichen und nicht beruflichen Tätigkeit verwendet.

Als Betreiber wird jenes Glied in der KI-Wertschöpfungskette bezeichnet, das ein KI-System in eigener Verantwortung verwendet. Beispielhaft werden die Organe, Einrichtungen und sonstigen Stellen der Union genannt (Erwägungsgründe 23). In der KI-Wertschöpfungskette sind sie den Anbietern nachgelagert, sie führen das KI-System in der Praxis aus. Betreiber ist jene Person, Behörde, etc. die entscheidet, ob und wie ein KI-System eingesetzt wird und trägt dafür auch die Verantwortung. Ausgenommen ist vom Betreiber-Begriff die rein private Nutzung von KI-Systemen.

Unter Umständen kann der Betreiber auch als Anbieter behandelt werden (siehe Art. 25 Abs. 1 AIA).

Wer ist Nutzer?

Der Begriff „Nutzer“ kommt im AI Act zwar vor, wird aber nicht legaldefiniert. Der Begriff Nutzer wird an verschiedenen Stellten des AI Act genannt, z. B. im Anhang XIII zu finden als „Endnutzer“ und „gewerblicher Nutzer“ oder in verschiedenen Erwägungsgründen (siehe Erwägungsgründe 16: „um es den Nutzern zu ermöglichen“; Erwägungsgründe 102: „Software und Daten, einschließlich Modellen […] die Nutzer kostenlos abrufen, nutzen, verändern und weiter verteilen können“, „wenn sie es den Nutzern ermöglicht“). In der vom Parlament abgestimmten Fassung wurde dieser Begriff teilweise mit dem Betreiber gleichgestellt.

 „Betroffene“ Personen

Je nach Art des KI-Systems kann sich dessen Verwendung auf andere Personen als den Betreiber auswirken (Erwägungsgründe 13 AIA). Damit sind jene Personen gemeint, die Gegenstand des Einsatzes des KI-Systems sind oder in anderweitiger Weise von der Nutzung eines KI-Systems tangiert werden.

Beispiele hierfür sind auch im AI Act zu finden, wie z. B. die Nutzung eines Chatbot oder die Herstellung künstlicher Audio-, Bild-, Video- oder Textinhalte wie Deepfakes (siehe Art. 50 Abs. 1 und 2 AIA), die Nutzung eines Emotionserkennungssystems oder eines Systems zur biometrischen Kategorisierung (siehe Art. 50 Abs. 3 AIA), die Verwendung eines biometrischen Echtzeit-Fernidentifizierungssystems (Art. 5 Abs. 2 AIA) oder die Inbetriebnahme oder Verwendung eines Hochrisiko-KI-Systems am Arbeitsplatz (Art. 26 Abs. 7 AIA).