Begriffe: KI-System, Anbieter und Betreiber

Die Verordnung definiert das KI-System in Art. 3 Nr. 1 EU-KI-VO so, wie es eingangs zitiert wurde: als maschinengestütztes System, das in unterschiedlichem Grad autonom arbeitet und aus Eingaben ableitet, wie es Ausgaben wie Vorhersagen, Inhalte, Empfehlungen oder Entscheidungen erzeugt.

Außerdem unterscheidet sie zwischen Anbietern und Betreibern (Art. 3 Nr. 3 und Nr. 4 EU-KI-VO). Anbieter ist, wer ein KI-System entwickelt oder entwickeln lässt, es auf den Markt bringt und gegebenenfalls auch betreibt, etwa in einer Cloud. Betreiber ist, wer ein KI-System verwendet – auch wenn er es nicht selbst betreibt, sondern zum Beispiel einen Clouddienst nutzt. Der Begriff „Betreiber“ ist insofern etwas unglücklich gewählt.

Die Verantwortung ist dabei anders verteilt als im Datenschutz. Dort ist verantwortlich, wer entscheidet, personenbezogene Daten für bestimmte Zwecke mit bestimmten Mitteln zu verarbeiten; bei der KI wäre das der Betreiber. Der datenschutzrechtlich Verantwortliche kann einen Auftragsverarbeiter einschalten, der mit dem Anbieter der EU-KI-VO vergleichbar ist. Er bleibt aber in vollem Umfang verantwortlich, auch wenn der Auftragsverarbeiter Fehler macht. Die EU-KI-VO legt dem Anbieter dagegen weitergehende Pflichten auf. Er muss gewährleisten, dass sein KI-System verordnungskonform entwickelt und dokumentiert ist und mit einer Betriebsanleitung bereitgestellt wird, und kann bei Verstößen haftbar gemacht werden. Der Betreiber ist also nicht allein verantwortlich.