AI Act: Welche Unternehmensrollen müssen an der KI-Governance beteiligt sein

01

Wer muss an der KI-Governance beteiligt sein

Der AI Act unterscheidet Rollen mit unterschiedlichen Pflichten: den Anbieter, der ein KI-System entwickelt oder auf den Markt bringt, den Betreiber, der es unter eigener Verantwortung nutzt, und den bevollmächtigten Vertreter, wenn der Anbieter nicht in der Union niedergelassen ist. Hinzu kommt ein internes Verantwortungsrahmenwerk, das Geschäftsleitung und operatives Personal einbindet.

02

Die zentralen Definitionen der Verordnung

• Anbieter: eine Person oder Stelle, die ein KI-System entwickelt oder entwickeln lässt und unter eigenem Namen oder eigener Marke auf den Markt bringt
• Betreiber: eine Person oder Stelle, die ein KI-System unter eigener Verantwortung nutzt, ausgenommen nicht-berufliche private Nutzung
• Bevollmächtigter Vertreter: eine in der EU niedergelassene Stelle mit schriftlichem Auftrag, Pflichten im Namen des Anbieters zu erfüllen
• Zuständige nationale Behörde: eine notifizierende Behörde oder Marktüberwachungsbehörde, die relevante Mitteilungen erhält

03

Wie Verantwortlichkeiten im Unternehmen verteilt werden

Schritte

1. Feststellen, ob das Unternehmen für jedes KI-System als Anbieter, Betreiber oder beides agiert
2. Ein Verantwortungsrahmenwerk definieren, das Aufgaben der Geschäftsleitung und des beteiligten Personals zuweist
3. Verantwortlichkeiten mit Datenmanagement-, Risikomanagement- und Post-Market-Monitoring-Systemen verknüpfen
4. Verfahren zur Meldung schwerwiegender Vorfälle und zur Kommunikation mit den zuständigen nationalen Behörden festlegen
5. Ein angemessenes Maß an KI-Kompetenz für Personen sicherstellen, die die Systeme im Auftrag des Unternehmens betreiben

04

Hypothetisches Beispiel

Ein Unternehmen, das ein KI-System zur Personalauswahl entwickelt, agiert gegenüber seinen Kunden als Anbieter. Der Kunde, der es zur Einstellung nutzt, agiert als Betreiber. Beide müssen sicherstellen, dass das beteiligte Personal ausreichende Kenntnisse über die Funktionsweise des Systems hat, während die Geschäftsleitung des anbietenden Unternehmens die Verantwortlichkeiten für Datenmanagement und Post-Market-Monitoring zuweist.

05

Überprüfung der beteiligten Rollen

• Ist klar, ob das Unternehmen für jedes eingesetzte KI-System Anbieter, Betreiber oder beides ist?
• Besteht ein Verantwortungsrahmenwerk, das der Geschäftsleitung und dem Personal spezifische Aufgaben zuweist?
• Verfügt das Personal, das die KI-Systeme betreibt, über ein angemessenes Maß an Kompetenz?
• Sind Verfahren zur Kommunikation mit den zuständigen nationalen Behörden im Falle eines Vorfalls definiert?

06

Wie Software die Rollen-Governance unterstützen kann

Ein Unternehmen kann gemeinsam mit seinem Softwarepartner ein Register der KI-Systeme einrichten, das für jedes System die übernommene Rolle (Anbieter oder Betreiber), die verantwortlichen Personen und Nachweise zur Kompetenz des Personals angibt. Dies ist eine empfohlene betriebliche Entscheidung, keine als garantierte Funktion beschriebene Anforderung.

Es ist auch sinnvoll, eine Aufzeichnung der regelmäßigen Überprüfungen des Verantwortungsrahmenwerks und der benannten Ansprechpartner für die Kommunikation mit den zuständigen Behörden zu führen, damit nachvollziehbar ist, wer was und wann genehmigt hat.

07

Häufig gestellte Fragen zu den Rollen

Ein Unternehmen kann sowohl Anbieter als auch Betreiber sein, wenn es ein KI-System entwickelt und intern unter eigener Verantwortung nutzt.

Der bevollmächtigte Vertreter kommt nur zum Einsatz, wenn der Anbieter nicht in der Europäischen Union niedergelassen ist und einen schriftlichen Auftrag erhalten hat.

Das Verantwortungsrahmenwerk muss der Größe der Organisation des Anbieters angemessen sein.

08

Nächster Schritt

Erfassen Sie die KI-Systeme Ihres Unternehmens und geben Sie für jedes die übernommene Rolle, die benannten Verantwortlichen und den Stand der Kompetenz des beteiligten Personals an.