Die Definition in einfachen Worten
Der EU AI Act ordnet Verantwortung entlang der Rollen, die verschiedene Parteien im Lebenszyklus eines AI-Systems spielen, und der Anbieter steht am Anfang dieser Kette. Einfach gelesen besteht Artikel 3(3) aus zwei Teilen, die beide erfüllt sein müssen.
Erstens entwickelt die Partei das AI-System oder GPAI-Modell — oder lässt es in ihrem Auftrag entwickeln. Ein System nach eigener Spezifikation bauen zu lassen zählt bereits: Sie müssen den Code nicht selbst schreiben, um Anbieter zu sein.
Zweitens bringt die Partei es unter eigenem Namen oder eigener Handelsmarke in Verkehr oder nimmt es in Betrieb. Das Inverkehrbringen bedeutet, das System in der EU erstmals bereitzustellen; die Inbetriebnahme bedeutet, es zur ersten Verwendung zu liefern — auch für die eigene interne Nutzung des Anbieters. Das Geschäftsmodell ist unerheblich: Die Definition gilt, ob das System verkauft, lizenziert oder unentgeltlich abgegeben wird.
Beide Bedingungen zählen. Eine Partei, die ein System entwickelt, es aber nie unter eigenem Namen bereitstellt, ist allein deswegen kein Anbieter. Eine Partei, die ihren Namen an ein von ihr bereitgestelltes System heftet, ist es sehr wohl — auch wenn ein Dritter die technische Umsetzung übernommen hat.
Anbieter vs. Betreiber: der Test
Am klarsten wird ein Anbieter im Kontrast zum Betreiber (englisch „Deployer") — der Partei, die ein AI-System in eigener Verantwortung im Rahmen ihrer Tätigkeit einsetzt. Ein Unternehmen, das ein Tool zur Bewerbervorauswahl kauft und Kandidaten damit prüft, ist ein Betreiber. Das Unternehmen, das dieses Tool gebaut hat und unter seiner Marke verkauft, ist der Anbieter.
Das unterscheidende Kriterium ist die Bedingung „unter eigenem Namen oder eigener Handelsmarke, und in Verkehr bringen oder in Betrieb nehmen". Stellen Sie zwei Fragen:
- Stellt die Partei das System unter eigenem Namen oder eigener Handelsmarke bereit? Das System als eigenes zu kennzeichnen und auszugeben, ist das Kennzeichen eines Anbieters.
- Macht die Partei es anderen verfügbar (oder nimmt es in Betrieb), statt lediglich etwas zu nutzen, das ein anderer geliefert hat? Das System bereitzustellen ist eine Anbieter-Handlung; es zu nutzen ist eine Betreiber-Handlung.
Lautet die Antwort auf beide Fragen ja, ist die Partei ein Anbieter. Betreibt die Partei schlicht ein System, das eine andere Organisation geliefert hat, ist sie ein Betreiber. Beide sind Akteure (englisch „Operators") im Sinne des Gesetzes — ein Oberbegriff, den der Act auch für Einführer, Händler und Bevollmächtigte verwendet — doch die Pflichten je Rolle unterscheiden sich deutlich. Unser Eintrag zum Akteur zeigt, wie die Rollen zusammenspielen.
Die Pflichten des Anbieters
Der Grund, warum die Anbieter-Unterscheidung so wichtig ist: Das Gesetz legt die materiellen Compliance-Pflichten auf den Anbieter — am umfangreichsten für Hochrisiko-AI-Systeme. Der Anbieter eines Hochrisiko-Systems muss vor dem Inverkehrbringen Folgendes einrichten und nachweisen können:
- ein Risikomanagement-System über den gesamten Lebenszyklus des AI-Systems;
- Daten-Governance für Trainings-, Validierungs- und Testdaten;
- technische Dokumentation zum Nachweis der Konformität;
- automatische Protokollierung (Logging) von Ereignissen über die Lebensdauer des Systems;
- Transparenz und klare Informationen für Betreiber;
- wirksame, in das System eingebaute menschliche Aufsicht;
- angemessene Genauigkeit, Robustheit und Cybersicherheit;
- eine Konformitätsbewertung und CE-Kennzeichnung, die Registrierung in der EU-Datenbank sowie ein System zur Marktbeobachtung nach dem Inverkehrbringen, das die reale Leistung verfolgt und schwerwiegende Vorfälle meldet.
Nicht jedes AI-System ist Hochrisiko. Für bestimmte Systeme, die mit Menschen interagieren oder Inhalte erzeugen, gelten stattdessen die leichteren Transparenzpflichten aus Artikel 50: Menschen mitzuteilen, dass sie mit einem AI-System interagieren, und — bei generativer AI — AI-generierte oder manipulierte Ausgaben maschinenlesbar zu kennzeichnen, sodass sie als künstlich erzeugt erkennbar sind. Anbieter von GPAI-Modellen tragen ihren eigenen, zugeschnittenen Satz an Dokumentations- und Transparenzpflichten.
Dieser Eintrag ist informativ und keine Rechtsberatung; welche Pflichten für ein konkretes System gelten, hängt von seiner Risikoeinstufung und seiner Verwendung ab. Eine ausführlichere Darstellung finden Sie in unserem Leitfaden zum EU AI Act.
Wie sich der Anbieter zu den übrigen Akteuren verhält
Ein Anbieter existiert nicht für sich allein. Um ihn herum stehen der Betreiber, der Einführer (der das System eines Drittland-Anbieters in die EU bringt), der Händler (der es in der Lieferkette weiter verfügbar macht) und der Bevollmächtigte (eine in der EU ansässige Partei, die ein Nicht-EU-Anbieter benennen muss, um in seinem Namen zu handeln). Jeder hat eigene, leichtere Pflichten, die überwiegend darin bestehen zu prüfen, dass der Anbieter seine Aufgabe erfüllt hat.
Die Rolle ist nicht dauerhaft an denjenigen gebunden, der das System zuerst gebaut hat. Nach Artikel 25 wird ein Betreiber, Händler oder Einführer zum Anbieter — und erbt sämtliche Anbieterpflichten — in definierten Fällen: wenn er seinen eigenen Namen oder seine Handelsmarke auf ein bereits in Verkehr gebrachtes Hochrisiko-System setzt, wenn er ein solches System wesentlich verändert oder wenn er die Zweckbestimmung eines Systems so ändert, dass es zu einem Hochrisiko-System wird. Mit anderen Worten: Das Umbranden oder wesentliche Verändern eines fremden Hochrisiko-Systems kann die schwersten Pflichten auf Sie übertragen.
Diese Verschiebung lässt sich leicht unbemerkt auslösen, weshalb sich die Anbieter-Frage früh klären lässt. Zu verstehen, ob Ihre Organisation Anbieter, Betreiber oder ein anderer Akteur ist, ist der erste Schritt, um zu bestimmen, was der EU AI Act tatsächlich von Ihnen verlangt.
