KI-Anbieter oder KI-Betreiber? Die oft unterschätzte Abgrenzungsfrage im AI Act

Mit dem Inkrafttreten der KI-Verordnung der Europäischen Union (AI Act) stehen Unternehmen vor einer zentralen rechtlichen Frage: Bin ich Anbieter eines KI-Systems oder lediglich dessen Betreiber? Die Antwort darauf entscheidet über den Umfang der regulatorischen Pflichten und kann erhebliche Haftungs- und Compliance-Auswirkungen haben. Gerade in der Praxis zeigt sich, dass die Abgrenzung häufig schwieriger ist als zunächst angenommen. Viele Unternehmen gehen davon aus, bloße Nutzer von KI zu sein, obwohl sie rechtlich bereits als Anbieter einzustufen sein können. Die KI-Verordnung differenziert jedoch strikt zwischen den verschiedenen Rollen innerhalb der Wertschöpfungskette eines KI-Systems.

Der KI-Anbieter: Wer ein KI-System auf den Markt bringt

Der Anbieter steht im Mittelpunkt der KI-Verordnung. Als Anbieter gilt grundsätzlich jede natürliche oder juristische Person, die ein KI-System entwickelt oder entwickeln lässt und dieses unter eigenem Namen oder eigener Marke in Verkehr bringt oder in Betrieb nimmt. Entscheidend ist daher nicht unbedingt, wer die Software technisch programmiert hat. Wer ein KI-System unter eigenem Namen vermarktet, übernimmt regelmäßig die Rolle des Anbieters.

Gerade für österreichische Unternehmen birgt dies erhebliche Risiken. Wer beispielsweise ein Large Language Model eines Drittanbieters nutzt, dieses mit eigenen Daten trainiert, um zusätzliche Funktionen erweitert und anschließend als eigene Lösung an Kunden anbietet, kann bereits als Anbieter qualifiziert werden. Damit gehen umfangreiche Pflichten einher, etwa hinsichtlich Risikomanagement, technischer Dokumentation, Transparenzmaßnahmen oder Konformitätsbewertungen bei Hochrisiko-KI-Systemen. Die Anbieterrolle ist daher nicht auf große Technologiekonzerne beschränkt, sondern kann auch klassische Beratungsunternehmen, Softwarehäuser oder Industrieunternehmen treffen.

Der KI-Betreiber: Mehr als nur ein Nutzer

Der Betreiber, im englischen Sprachgebrauch „Deployer“, verwendet ein KI-System im Rahmen seiner beruflichen Tätigkeit. Anders als der Anbieter entwickelt oder vermarktet er das System grundsätzlich nicht selbst. Dennoch bedeutet dies nicht, dass Betreiber keine regulatorischen Pflichten treffen.

Die KI-Verordnung verpflichtet Betreiber insbesondere dazu, KI-Systeme entsprechend ihrer Zweckbestimmung einzusetzen, die bereitgestellten Nutzungsinformationen zu beachten und bei bestimmten Anwendungen menschliche Aufsicht sicherzustellen. Bei Hochrisiko-KI-Systemen kommen zusätzliche Anforderungen hinzu, beispielsweise hinsichtlich der Datenqualität oder der Überwachung des laufenden Betriebs.

Ein typisches Beispiel ist ein österreichisches Unternehmen, das eine externe KI-Lösung zur Bewerberauswahl oder Bonitätsbewertung einsetzt. Obwohl dieses Unternehmen die KI nicht selbst entwickelt hat, trifft es als Betreiber eine Reihe von Compliance-Pflichten. Die Ansicht, dass ausschließlich Softwarehersteller vom AI Act betroffen seien, ist daher unzutreffend.

Wann wird ein Betreiber plötzlich zum Anbieter?

Die größte praktische Herausforderung liegt in den sogenannten Rollenwechseln. Die KI-Verordnung sieht mehrere Konstellationen vor, in denen ein ursprünglich bloßer Betreiber rechtlich zum Anbieter wird. Dies ist insbesondere dann der Fall, wenn ein bestehendes KI-System wesentlich verändert wird oder wenn das System für einen neuen Zweck eingesetzt wird, der von der ursprünglichen Zweckbestimmung abweicht.

Besonders relevant wird dies beim sogenannten Fine-Tuning von KI-Modellen. Unternehmen passen zunehmend KI-Systeme an ihre Bedürfnisse an, integrieren interne Datenbestände oder verändern Entscheidungen durch zusätzliche Algorithmen. Ab einem gewissen Grad der Modifikation kann dadurch eine neue Anbieterrolle entstehen.

Auch White-Label-Lösungen bergen erhebliche Risiken. Wer eine KI-Anwendung eines Drittanbieters unter eigenem Markennamen vertreibt, wird regelmäßig nicht mehr als bloßer Betreiber angesehen. Die rechtliche Verantwortlichkeit verschiebt sich dadurch erheblich. In der Beratungspraxis sollte deshalb jede geplante Anpassung einer KI-Lösung sorgfältig geprüft werden, bevor sie produktiv eingesetzt wird.

Warum die richtige Rollenbestimmung für Unternehmen entscheidend ist

Die Unterscheidung zwischen Anbieter und Betreiber ist weit mehr als eine akademische Frage. Sie entscheidet über den konkreten Umfang der Compliance-Maßnahmen, die Dokumentationspflichten, mögliche Meldepflichten gegenüber Behörden sowie die Höhe potenzieller Verwaltungsstrafen. Fehler bei der Rollenbestimmung können dazu führen, dass Unternehmen wesentliche Pflichten übersehen und sich erheblichen regulatorischen Risiken aussetzen.

Aus anwaltlicher Sicht empfiehlt sich daher eine frühzeitige Rollenanalyse im Rahmen eines AI-Governance-Projekts. Unternehmen sollten sämtliche KI-Anwendungen inventarisieren, die jeweilige Rolle bestimmen und dokumentieren, ob Änderungen am System zu einem Rollenwechsel führen können. Gerade bei hybriden Geschäftsmodellen verschwimmen die Grenzen zwischen Anbieter und Betreiber zunehmend.

Der AI Act folgt einem risikobasierten Ansatz. Wer seine Rolle innerhalb der KI-Wertschöpfungskette kennt, schafft die Grundlage für eine rechtssichere KI-Compliance. Für Unternehmen in Österreich wird die Frage „Anbieter oder Betreiber?“ daher zu einer der zentralen Weichenstellungen der kommenden Jahre.

‍