Rollen, Pflichten und tatsächliche Umsetzungsaufwände unter der KI-Verordnung
Die KI-Verordnung wird in der Praxis häufig so diskutiert, als würde jede KI-Nutzung automatisch zu umfangreichen Compliance-Pflichten führen. Das ist zu pauschal. Die KI-VO differenziert deutlich zwischen Rollen und Risikostufen.
Genau das macht auch das Schaubild sichtbar: Es zeigt die relevanten Rollen der KI-VO, ihr Verhältnis zueinander und die sich daraus ergebenden unterschiedlichen Anforderungen. Die Pluszeichen verdeutlichen, dass Rollen kumulativ sein können. Die unterschiedliche Breite der Balken steht für den jeweiligen Umsetzungsaufwand. Die Farben spiegeln das Risikopotenzial wider: Je weiter oben und je „wärmer“ die Farbe, desto höher sind in der Regel Risiko und regulatorische Last.
Anbieter und Betreiber: der zentrale Unterschied
Ein wesentlicher Unterschied besteht zwischen Anbietern und Betreibern.
Der Anbieter entwickelt ein KI-System oder KI-Modell und bringt es in Verkehr oder stellt es unter eigenem Namen bereit. Auf Anbieterseite liegen deshalb die umfangreichsten regulatorischen Pflichten.
Der Betreiber setzt ein KI-System beruflich ein. Betreiberpflichten sind grundsätzlich geringer — außer beim Einsatz eines Hochrisiko-KI-Systems. Dann entstehen auch auf Betreiberseite relevante Anforderungen.
Das Schaubild macht damit zugleich deutlich, dass nicht schon jede KI-Nutzung zu erheblichem Aufwand führt. Entscheidend ist vielmehr, welche Rolle ein Unternehmen einnimmt und welcher Risikokategorie das jeweilige System oder Modell zuzuordnen ist.
Wo der größte Aufwand entsteht
Die eigentliche Hauptlast der KI-VO liegt bei drei Fallgruppen:
1. Anbieter eines Hochrisiko-KI-Systems
Hier bestehen die umfangreichsten Pflichten, insbesondere zu Risiko- und Qualitätsmanagement, technischer Dokumentation, Aufzeichnungspflichten, Cybersicherheit, Konformitätsbewertung und CE-Kennzeichnung.
2. Anbieter eines GPAI-Modells mit systemischem Risiko
Auch hier ist der Aufwand erheblich. Relevant sind insbesondere Dokumentationspflichten, Modellbewertung, Angriffstests, Bewertung und Minderung systemischer Risiken sowie Cybersicherheitsanforderungen.
3. Betreiber eines Hochrisiko-KI-Systems
Auch Betreiber haben in diesem Fall spürbare Pflichten, etwa zur Überwachung des Betriebs, zur Sicherstellung von KI-Kompetenz, zum Einsatz geeigneten Personals sowie ggf. zu Folgenabschätzungen.
Wo die Pflichten moderater bleiben
Unterhalb dieser Fallgruppen sinkt der Umsetzungsaufwand deutlich:
- Anbieter eines GPAI-Modells ohne systemischen Risiko unterliegen vor allem Informations- und Dokumentationspflichten.
- Bei KI-Systemen mit Interaktion stehen vor allem Transparenzpflichten im Vordergrund.
- Bei allgemeinen KI-Systemen bleibt häufig vor allem die Pflicht zur Sicherstellung von KI-Kompetenz.
Das Schaubild macht damit zugleich einen in der Praxis wichtigen Punkt deutlich: Nur wenige Rollen lösen tatsächlich erheblichen Umsetzungsaufwand aus. In vielen anderen Konstellationen bleiben die Anforderungen überschaubar.
Rollen können sich überlagern
Ein Unternehmen kann mehrere Rollen gleichzeitig einnehmen. Wer etwa ein Modell bereitstellt und darauf aufbauend weitere Systeme anbietet, kann mehreren Pflichtenkreisen zugleich unterfallen. Genau dafür stehen die Pluszeichen im Schaubild.
Deshalb sollte die Prüfung nie bei einer einzelnen Rollenbezeichnung stehen bleiben. Maßgeblich ist immer die konkrete Funktionsrolle im jeweiligen Anwendungsfall.
Was Unternehmen jetzt tun sollten
Der erste Schritt ist immer die saubere Einordnung der eigenen Rolle. Unternehmen sollten insbesondere klären:
- Sind wir Anbieter oder Betreiber?
- Liegt ein Hochrisiko-KI-System vor?
- Ist ein GPAI-Modell betroffen?
- Besteht möglicherweise systemisches Risiko?
- Nehmen wir mehrere Rollen gleichzeitig ein?
Erst danach lässt sich seriös beurteilen, wie groß der tatsächliche Compliance-Aufwand ist.
Fazit
Die KI-VO trifft nicht alle Marktteilnehmer gleichermaßen. Wirklich erheblicher Umsetzungsaufwand entsteht vor allem bei
- Anbietern von Hochrisiko-KI-Systemen,
- Anbietern von GPAI-Modellen mit systemischem Risiko
- und Betreibern von Hochrisiko-KI-Systemen.
Für viele andere Rollen bleiben die Anforderungen deutlich überschaubarer. Wer die KI-VO praktisch anwenden will, sollte daher zuerst die eigene Rolle bestimmen — und nicht vorschnell von maximalem Regulierungsaufwand ausgehen.