Nach dem EU AI Act ist ein „Produkthersteller" ein Unternehmen, das ein physisches, reguliertes Produkt herstellt und ein AI-System als Sicherheitskomponente darin einbettet. Der AI Act nennt den Produkthersteller als einen der Akteure eines AI-Systems, gibt dem Begriff aber keine eigenständige Definition, wie er sie für Anbieter, Betreiber, Einführer und Händler vorsieht. Stattdessen legt Artikel 25(3) eine bestimmte Regel fest: Ist ein hochriskantes AI-System eine Sicherheitskomponente eines Produkts, das unter bestehende EU-Produktvorschriften fällt, und wird dieses Produkt unter dem eigenen Namen oder der eigenen Marke des Herstellers in Verkehr gebracht, gilt der Produkthersteller als Anbieter dieses AI-Systems und übernimmt dessen Pflichten.
Wer der Produkthersteller ist
Der Produkthersteller ist kein Softwareanbieter im üblichen Sinne. Es handelt sich um einen Hersteller greifbarer, bereits regulierter Produkte — Maschinen, Medizinprodukte, Fahrzeuge, Aufzüge, Spielzeug, Funkanlagen und ähnliche Waren, die unter die in Anhang I des EU AI Act aufgeführten Harmonisierungsrechtsvorschriften der Union fallen. Diese Produkte unterliegen seit Langem branchenspezifischen Sicherheitsvorschriften und ihren eigenen Konformitätsbewertungsverfahren, ganz unabhängig von AI.
Was einen solchen Hersteller in den Anwendungsbereich des AI Act bringt, ist die Art und Weise, wie moderne Produkte zunehmend auf AI angewiesen sind, um sicher zu bleiben. Wenn ein AI-System eine Sicherheitsfunktion innerhalb des Produkts erfüllt — etwa ein Kollisionsvermeidungssystem in einem Fahrzeug oder eine Diagnosekomponente in einem Medizinprodukt — ist dieses AI-System eine „Sicherheitskomponente". Sein Ausfall oder seine Fehlfunktion könnte die Gesundheit oder Sicherheit gefährden, weshalb der AI Act es mit derselben Ernsthaftigkeit behandelt wie das Produkt, das es schützt.
Die Regel des Artikels 25(3)
Artikel 25(3) ist die zentrale Bestimmung. Er behandelt eine bestimmte Konstellation mit drei Bedingungen:
- Das AI-System ist hochriskant;
- es ist eine Sicherheitskomponente eines Produkts, das unter die Harmonisierungsrechtsvorschriften der Union nach Anhang I fällt; und
- das Produkt wird unter dem eigenen Namen oder der eigenen Marke des Produktherstellers in Verkehr gebracht oder in Betrieb genommen.
Sind alle drei Bedingungen erfüllt, gilt der Produkthersteller als Anbieter des hochriskanten AI-Systems und unterliegt den Anbieterpflichten des AI Act.
Warum der Hersteller zum Anbieter wird
Der Grund ist die Rechenschaftspflicht. Ein Käufer sieht ein Produkt, das unter einer Marke verkauft wird, und macht diese Marke für dessen Sicherheit verantwortlich. Es ergäbe wenig Sinn, wenn der Hersteller für das Produkt als Ganzes einstünde, während eine separate Partei für die darin enthaltene AI einstünde. Indem der AI Act den Hersteller als Anbieter des eingebetteten AI-Systems benennt, schafft er eine einzige verantwortliche Partei für das gesamte Produkt — dasselbe Unternehmen, das bereits die branchenspezifischen Sicherheitspflichten des Produkts trägt, trägt auch die AI-Pflichten, die nun darin liegen.
Die daraus folgenden Pflichten
Sobald er als Anbieter gilt, übernimmt der Produkthersteller die Anbieterpflichten für hochriskante AI-Systeme, darunter:
- Ein Risikomanagementsystem, das über den gesamten Lebenszyklus des AI-Systems wirkt;
- Technische Dokumentation, die nachweist, wie das System die geltenden Anforderungen erfüllt;
- Daten-Governance für die zur Entwicklung des Systems verwendeten Datensätze;
- Aufzeichnung und Protokollierung, damit der Betrieb des Systems nachvollziehbar ist;
- Transparenz und menschliche Aufsicht, angemessen zum Einsatzzweck des Systems; und
- Genauigkeit, Robustheit und Cybersicherheit im Verhältnis zum Risiko.
Ein besonderes Merkmal ist, dass die Konformitätsbewertung des AI-Systems in das bestehende branchenspezifische Konformitätsverfahren des Produkts integriert wird, statt als separater Parallelvorgang zu laufen. Wo die zugrunde liegende Produktgesetzgebung bereits eine Bewertung durch Dritte verlangt, werden die AI-Anforderungen im Rahmen desselben Verfahrens bewertet — eine Akte, ein Prozess, eine Konformitätserklärung — sodass Hersteller innerhalb eines Rahmens arbeiten, den sie bereits kennen, statt in einem völlig neuen.
Verhältnis zum Anbieter und den übrigen Akteuren
Der Produkthersteller ist Teil des weiteren Kreises der Akteure des AI Act — Anbieter, Betreiber, Einführer, Händler, Bevollmächtigter und der Produkthersteller selbst. In den meisten Fällen sind dies unterschiedliche Parteien mit unterschiedlichen Pflichten. Artikel 25(3) ist die Brücke: Er schafft kein neues Pflichtenpaket, sondern ordnet den Produkthersteller der bestehenden Anbieterrolle für das in seinem Produkt eingebettete AI-System zu.
Ein ursprünglicher AI-Entwickler kann weiterhin das zugrunde liegende Modell oder System liefern, und vertragliche Vereinbarungen regeln in der Regel, wie Dokumentation und Informationen entlang der Kette weitergegeben werden. Gegenüber dem Markt und den Behörden aber verantwortet die Partei, die ihren Namen auf das Produkt gesetzt hat, das AI-System als dessen Anbieter. Organisationen, die diese Rollen einordnen möchten, finden den vollständigen Rahmen in unserem EU-AI-Act-Leitfaden.
Dieser Artikel ist eine erläuternde Einführung, keine Rechtsberatung. Welche Pflichten für ein konkretes Produkt und AI-System gelten, hängt von der zugrunde liegenden branchenspezifischen Gesetzgebung und den Einzelheiten des Einsatzes ab; ihre Beurteilung im Einzelfall ist Aufgabe qualifizierter Rechts- und Konformitätsberater.
