Pflichten für Anbieter und Betreiber von KI-Systemen – Ein Überblick

Künstliche Intelligenz (KI) ist im Alltag von Unternehmen und Organisationen angekommen. Egal ob Sprachmodell, automatisierter Entscheidungsfindung oder Bildgeneratoren: KI-Systeme bieten sowohl enormes Potenzial, werfen aber zugleich komplexe rechtliche und technische Fragen auf.

Mit dem „AI Act“ der Europäischen Union, flankierenden Regelungen im Datenschutzrecht (insbesondere der DSGVO) und branchenspezifischen Vorgaben wird nunmehr ein verbindlicher Rahmen geschaffen, der Anbieter und Betreibern von KI-Systemen konkrete Pflichten auferlegt.

Im Folgenden geben wir einen kleinen Einblick über die wesentlichen rechtlichen und technischen Anforderungen. 

Bislang wurde der Einsatz von KI primär über bestehende Regelwerke wie die Datenschutz-Grundverordnung (DSGVO), das Produkthaftungsrecht oder branchenspezifische Vorschriften reguliert. Mit dem EU AI Act wird erstmals ein spezifischer Rechtsrahmen für KI-Systeme geschaffen, der risikobasiert ausgestaltet ist. Die Pflichten hängen stark von der Risikoklassifizierung ab:

Ein Sonderthema im AI Act sind die sogenannten Generative Pre-trained AI-Modelle (GPAI). Hierzu zählen Systeme wie ChatGPT oder LLaMA. Generative Pre-trained AI (GPAI) bezeichnet KI-Modelle, die auf sehr großen und allgemeinen Datensätzen vortrainiert sind und dadurch für eine Vielzahl von Aufgaben eingesetzt werden können – etwa zur Text-, Bild- oder Audioerzeugung. Sie gelten als Allzweck-KI und unterscheiden sich von spezialisierten Systemen, die nur für einen bestimmten Zweck entwickelt wurden. Diese Systeme können ein Hochrisiko-Potenzial haben, dies ist abhängig von ihren Einsatzzweck. 

Anbieter solcher Modelle müssen umfassende Dokumentation bereitstellen, die Architektur, Trainingsmethoden und Evaluierungen offenlegt. Besonders große Modelle, die als systemisch bedeutsam eingestuft werden, unterliegen erweiterten Pflichten zum Risikomanagement und zu Meldungen gegenüber Behörden.

Ein weiterer kritischer Punkt ist das Urheberrecht: Trainingsdaten müssen die Text- und Data-Mining-Ausnahmen des EU-Urheberrechts respektieren, und Rechteinhaber können ein maschinenlesbares Opt-out erklären.

Auch Betreiber, die GPAI in konkrete Anwendungen integrieren, tragen Verantwortung. Sobald ein GPAI-Modell in einem Hochrisiko-Kontext genutzt wird, greifen automatisch die strengen Vorgaben für Hochrisiko-KI. Betreiber müssen sicherstellen, dass die Integration auditierbar bleibt und Risiken wie Bias oder sogenannte Halluzinationen erkannt und begrenzt werden können. Damit wird GPAI nicht nur auf der Anbieterseite, sondern auch auf der Nutzungsseite zu einem Compliance-Thema.

Die rechtlichen Vorgaben wären wirkungslos, wenn sie nicht durch technische Maßnahmen flankiert würden. KI-Systeme müssen daher robust gegenüber Angriffen wie Datenvergiftungen oder adversarial attacks ausgelegt sein. Ebenso wichtig ist die Nachvollziehbarkeit von Entscheidungen. „Explainable AI“ gilt als Schlüssel, um regulatorische Anforderungen zu erfüllen und Vertrauen bei Nutzern aufzubauen.

Hinzu kommen Monitoring-Pflichten: Systeme müssen im laufenden Betrieb überwacht und auf sogenannte Daten-Drift hin geprüft werden, also auf Veränderungen zwischen Trainings- und Einsatzumgebung. Kritische Anwendungen erfordern zudem Notfallpläne und Fallback-Mechanismen, damit sie im Störungsfall nicht zu systemischen Risiken führen.

Neben den präventiven Pflichten stellt sich die Frage der Haftung. Anbieter haften grundsätzlich im Rahmen der Produkthaftung für fehlerhafte Systeme. Betreiber wiederum tragen Verantwortung, wenn sie Systeme unsachgemäß einsetzen oder ihrer Überwachungspflicht nicht nachkommen.

Der AI Act sieht darüber hinaus empfindliche Sanktionen vor. Verstöße können mit Geldbußen von bis zu sechs Prozent des weltweiten Jahresumsatzes geahndet werden, abhängig von der Risikoklassifizierung und der Rolle des KI-Verantwortlichen. Damit bewegt sich der Sanktionsrahmen in ähnlicher Größenordnung wie bei der DSGVO und signalisiert, dass die EU Verstöße gegen die KI-Regulierung ebenso ernst genommen wird wie Datenschutzverletzungen.

Die Regulierung von KI befindet sich in einer entscheidenden Phase: Mit dem EU AI Act entsteht ein einheitlicher Rahmen, der die Verantwortlichkeiten von Anbietern und Betreibern klar definiert. Schon jetzt müssen und sollten Unternehmen datenschutzrechtliche, sicherheitsrechtliche, haftungsrechtliche, urheberrechtliche Aspekte und weitere Compliance und branchenspezifische Regulatorik beachten. Für die Praxis bedeutet das: KI darf nicht mehr als rein technisches Projekt verstanden werden, sondern erfordert interdisziplinäre Governance, klare Prozesse und kontinuierliches Monitoring. Nur so lässt sich das enorme Potenzial von KI ausschöpfen, ohne rechtliche Risiken einzugehen.