Welche Unternehmensrollen sollten an der KI-Governance nach dem AI Act beteiligt sein

01

Die kurze Antwort

Der AI Act unterscheidet Rollen mit unterschiedlichen Pflichten: den Anbieter, der ein KI-System entwickelt oder in Verkehr bringt, den Betreiber, der es unter eigener Verantwortung nutzt, und den Bevollmächtigten, der in der Union im Namen des Anbieters handelt.

Für Hochrisikosysteme verlangt die Verordnung außerdem einen Verantwortungsrahmen, der die Aufgaben der Geschäftsleitung und des übrigen Personals in allen Aspekten der Systemverwaltung festlegt.

02

Warum diese Rollen in der Verordnung festgelegt sind

Der Anbieter ist, wer ein KI-System oder ein KI-Modell mit allgemeinem Verwendungszweck entwickelt oder entwickeln lässt und es unter eigenem Namen oder eigener Marke in Verkehr bringt. Der Betreiber ist, wer es unter eigener Verantwortung nutzt, außer bei persönlicher, nicht beruflicher Nutzung.

Der Bevollmächtigte ist eine in der Union niedergelassene natürliche oder juristische Person, die ein schriftliches Mandat angenommen hat, um die Pflichten der Verordnung im Namen des Anbieters zu erfüllen.

03

Wie man die interne Governance strukturiert

Schritte

1. Für jedes genutzte KI-System feststellen, ob das Unternehmen als Anbieter, Betreiber oder beides handelt.
2. Einen Verantwortungsrahmen festlegen, der die Aufgaben der Geschäftsleitung und des Personals für Datenmanagement, Risiko und Überwachung definiert.
3. Systeme und Verfahren für das Datenmanagement einrichten, einschließlich Erhebung, Kennzeichnung und Aufbewahrung.
4. Ein Risikomanagementsystem und eine Überwachung nach Markteinführung aktivieren.
5. Verfahren zur Meldung schwerwiegender Vorfälle und zur Kommunikation mit den zuständigen Behörden festlegen.

04

Hypothetisches Beispiel

Ein europäisches Unternehmen, das ein von einem anderen Unternehmen bereitgestelltes KI-System mit allgemeinem Verwendungszweck integriert, handelt als nachgeschalteter Anbieter, wenn es dieses unter eigenem Namen in Verkehr bringt, und als Betreiber, wenn es es intern unter eigener Verantwortung nutzt.

In diesem hypothetischen Fall sollte die Geschäftsleitung festlegen, wer für das Datenmanagement, wer für die Überwachung nach Markteinführung und wer für die Kommunikation mit den zuständigen nationalen Behörden verantwortlich ist, entsprechend dem in der Verordnung vorgesehenen Verantwortungsrahmen.

05

Prüfungen vor Aktivierung eines neuen Systems

• Ist klar, ob das Unternehmen für dieses KI-System Anbieter, Betreiber oder beides ist?
• Gibt es einen Verantwortungsrahmen, der der Geschäftsleitung und dem Personal Aufgaben zuweist?
• Sind Verfahren für Datenmanagement und Aufbewahrung von Aufzeichnungen festgelegt?
• Sind ein Risikomanagementsystem und eine Überwachung nach Markteinführung vorgesehen?
• Verfügt das beteiligte Personal über ein ausreichendes Maß an KI-Kompetenz?

06

Was ein Unternehmen mit einer Verwaltungssoftware einrichten kann

Ein Unternehmen kann einen Softwarepartner bitten, ein Inventar der KI-Systeme mit zugewiesener Rolle (Anbieter oder Betreiber), benannten Verantwortlichen und Überprüfungsterminen zu unterstützen und dabei die Entscheidungen der Geschäftsleitung nachzuverfolgen.

Zu den vorgeschlagenen operativen Maßnahmen zählen: Rückverfolgbarkeit der Datenmanagement- und Risikoverfahren, sichtbare Zuweisung der im Verantwortungsrahmen vorgesehenen Aufgaben und ein Protokoll der Schulungssitzungen zur KI-Kompetenz, damit der Compliance-Weg bei Bedarf nachgewiesen werden kann.

07

Häufig gestellte Fragen

Wer ist der Betreiber nach dem AI Act? Wer ein KI-System unter eigener Verantwortung nutzt, ausgenommen persönliche, nicht berufliche Nutzung.

Kann ein Unternehmen sowohl Anbieter als auch Betreiber sein? Ja, wenn es ein System entwickelt oder entwickeln lässt und es zudem intern unter eigener Verantwortung nutzt.

Wer überwacht die Umsetzung der Verordnung auf EU-Ebene? Das KI-Büro, eine Funktion der Kommission, trägt zur Umsetzung, Überwachung und Aufsicht der KI-Governance bei.

08

Nächster Schritt

Erfassen Sie die genutzten KI-Systeme, weisen Sie jedem die richtige Rolle (Anbieter oder Betreiber) zu und legen Sie vor der nächsten internen Überprüfung einen Verantwortungsrahmen mit Namen und Aufgaben fest.