Die Rollen im AI Act erklärt: Ist Ihr Modeunternehmen Anbieter oder Betreiber?

Die meisten Modeunternehmen sind nach dem EU AI Act Betreiber, weil sie KI-Systeme verwenden, die Technologielieferanten gebaut haben. Zum Anbieter wird ein Unternehmen, wenn es ein KI-System entwickelt oder entwickeln lässt und es unter eigenem Namen oder eigener Marke in Verkehr bringt oder in Betrieb nimmt. Die Unterscheidung ist wichtig, weil die schwersten Pflichten des Gesetzes die Anbieter treffen und ein Betreiber leichter in diese Rolle rutschen kann, als viele Teams erwarten.

Was bedeuten Anbieter und Betreiber im AI Act?

Artikel 3 des Gesetzes definiert als Anbieter jede Person, jedes Unternehmen, jede Behörde oder sonstige Stelle, die ein KI-System oder ein KI-Modell mit allgemeinem Verwendungszweck entwickelt oder entwickeln lässt und es unter eigenem Namen oder eigener Marke in Verkehr bringt oder in Betrieb nimmt. Es spielt keine Rolle, ob dies entgeltlich oder unentgeltlich geschieht. Betreiber ist jede Person oder Organisation, die ein KI-System in eigener Verantwortung verwendet, ausser wenn die Verwendung rein persönlich und nicht beruflich ist.

Die Definitionen knüpfen an das Verhalten an, nicht an die Art des Unternehmens. Ein globaler Modekonzern, ein regionaler Grosshändler und ein Start-up-Label werden gleich beurteilt. In der Lieferkette gibt es zwei weitere Rollen: Einführer ist eine in der EU ansässige Stelle, die ein KI-System, das den Namen oder die Marke eines ausserhalb der EU niedergelassenen Unternehmens trägt, auf dem EU-Markt in Verkehr bringt, und Händler ist ein Beteiligter der Lieferkette, der nicht Anbieter oder Einführer ist und ein System auf dem EU-Markt bereitstellt.

Welche Rolle haben Modeunternehmen üblicherweise?

Ein Unternehmen, das eine KI-Funktion innerhalb seiner PLM-, Merchandising-, E-Commerce- oder CRM-Plattform lizenziert und sie wie geliefert nutzt, ist in der Regel Betreiber. Der Softwarehersteller ist der Anbieter. Das deckt die meisten Alltagsfälle ab: Bedarfsprognose, automatisches Produkt-Tagging, Tools zur Bildgenerierung, Empfehlungssysteme und Kundenservice-Assistenten, die ein Dritter liefert.

Rollen werden pro System beurteilt, nicht pro Unternehmen. Eine Marke kann Betreiberin ihrer Prognose-Engine und zugleich Anbieterin eines Styling-Assistenten sein, den sie in Auftrag gegeben und unter eigener Marke lanciert hat. Verträge helfen, Verantwortlichkeiten zu verteilen, ändern aber nicht, wie das Gesetz die Rollen einstuft.

Lesen Sie auch

Eine KI-Nutzungsrichtlinie für Modeteams: eine Checkliste

Wann wird ein Betreiber zum Anbieter?

Artikel 25 nennt drei Situationen, in denen ein Händler, Einführer, Betreiber oder sonstiger Dritter als Anbieter eines Hochrisiko-KI-Systems gilt und die Pflichten des Anbieters nach Artikel 16 übernimmt:

• Branding: Er bringt seinen Namen oder seine Marke auf einem Hochrisiko-System an, das bereits in Verkehr gebracht oder in Betrieb genommen wurde (Verträge können die Pflichten dennoch anders zuweisen).
• Wesentliche Veränderung: Er nimmt an einem Hochrisiko-System, nachdem es in Verkehr gebracht oder in Betrieb genommen wurde, eine wesentliche Veränderung vor, und das System bleibt ein Hochrisiko-System.
• Änderung des Verwendungszwecks: Er ändert den Verwendungszweck eines Systems, das nicht als Hochrisiko-System eingestuft war, einschliesslich eines KI-Systems mit allgemeinem Verwendungszweck, so, dass es zum Hochrisiko-System wird.

Der dritte Fall verdient Aufmerksamkeit. Ein Modell mit allgemeinem Verwendungszweck, das für Texte im Marketing eingesetzt wird, ist kaum hochriskant. Dasselbe Modell, das zur Rangierung von Bewerbungen dient, fällt unter die Beschäftigungskategorie von Anhang III, und das Unternehmen, das es umwidmet, kann als Anbieter eines Hochrisiko-Systems gelten. Wenige Anwendungsfälle der Mode sind heute hochriskant, doch Tools für das Personalwesen und einzelne Funktionen der Personaleinsatzplanung gehören dazu.

Welche Pflichten hat jede Rolle?

Die Pflichten unterscheiden sich nach Rolle und Risikostufe. Bei Hochrisiko-Systemen verlangt Artikel 26 von Betreibern unter anderem, das System gemäss der Betriebsanleitung des Anbieters zu verwenden, die menschliche Aufsicht kompetenten Personen zu übertragen, sicherzustellen, dass die von ihnen kontrollierten Eingabedaten relevant und ausreichend repräsentativ sind, den Betrieb zu überwachen, die von ihnen kontrollierten Protokolle mindestens sechs Monate aufzubewahren und Arbeitnehmende und ihre Vertretungen zu informieren, bevor ein solches System am Arbeitsplatz eingesetzt wird. Sie müssen ausserdem Personen, die von bestimmten Entscheidungen betroffen sind, darüber informieren, dass ein Hochrisiko-System verwendet wird. Die schwerere Last aus Gestaltung, Dokumentation und Konformitätspflichten nach Artikel 16 tragen die Anbieter.

Einige Pflichten gelten unabhängig von der Risikoklasse. Artikel 4 verlangt von Anbietern und Betreibern Massnahmen, um die KI-Kompetenz ihres Personals und anderer Personen zu fördern, die in ihrem Auftrag KI-Systeme betreiben, unter Berücksichtigung von deren Kenntnissen, Erfahrung und Kontext. Ein garantiertes Kompetenzniveau für einzelne Personen wird nicht verlangt. Auch die Transparenzpflichten nach Artikel 50, etwa die Information, dass man mit einer Maschine spricht, gelten für Systeme ausserhalb der Hochrisiko-Kategorie, und das Gesetz legt Anbietern und Betreibern nach diesem Artikel unterschiedliche Pflichten auf.

Gilt der AI Act für Modeunternehmen ausserhalb der EU?

Ja, in definierten Fällen. Artikel 2 erfasst Anbieter, die KI-Systeme auf dem EU-Markt in Verkehr bringen, unabhängig davon, wo sie niedergelassen sind, Betreiber mit Sitz in der EU sowie Anbieter und Betreiber in einem Drittland, wenn die vom KI-System erzeugte Ausgabe in der Union verwendet wird. Eine Marke ausserhalb der EU, die ein Personalisierungs- oder Preissystem betreibt, das EU-Kundschaft betrifft, sollte ihre Position deshalb prüfen, statt anzunehmen, der AI Act sei eine europäische Angelegenheit. Das Gesetz lässt zudem das EU-Datenschutzrecht unberührt, die Pflichten der DSGVO gelten also daneben weiter.

Lesen Sie auch

Der AI-Act-Zeitplan nach dem Digital Omnibus: Was gilt und was sich verschoben hat

Wie kann ein Modeunternehmen seine Rolle in der Praxis bestimmen?

Ein kurzes Inventar ist der praktischste Schritt. Für jedes eingesetzte KI-System festhalten, wer es gebaut hat, wessen Namen es trägt, ob es angepasst wurde und wofür es gedacht ist. Dann vier Fragen der Reihe nach beantworten:

1. Haben wir dieses System entwickelt oder für uns entwickeln lassen, und trägt es unseren Namen oder unsere Marke?
2. Haben wir es wesentlich verändert, seit der Lieferant es freigegeben hat?
3. Haben wir es auf einen anderen als den vom Lieferanten vorgesehenen Zweck ausgerichtet, insbesondere bei Einstellung oder Personaleinsatzplanung?
4. Wird seine Ausgabe in der EU verwendet, unabhängig von unserem Standort?

Lautet die Antwort auf die ersten drei Fragen Nein, ist das Unternehmen höchstwahrscheinlich Betreiber. Jedes Ja verdient eine genauere rechtliche Prüfung. Der natürliche Ort für diese Kontrolle ist der Einkauf, zusammen mit der Aufforderung an Lieferanten, ihre Erklärung zum Verwendungszweck, die Betriebsanleitung und die Risikoklassifizierung vorzulegen.