Der AI Act scheint bei der Abgrenzung „Anbieter vs Betreiber“ klar zu differenzieren. In der Praxis ergeben sich jedoch knifflige Fragen. Besonderheiten bestehen u.a. im Rahmen der KI-Wertschöpfungskette sowie der Individualisierung von KI-Chatbots. Ein Beitrag inkl. Checkliste zur Abgrenzung „Anbieter vs Betreiber“ von KI-Chatbots.

• Die Abgrenzung „Anbieter vs Betreiber“ betrifft nur KI-Systeme, nicht GPAI-Modelle.
  
• Hochrisiko-KI-Systeme begründen bei beiden Rollen die meisten Pflichten.
  
• Die Differenzierung der Rollen ist aber aufgrund der Häufigkeit vor allem bei KI-Chatbots von Bedeutung.
  
• Die Umsetzung im Rahmen der KI-Lieferkette kann dabei eine Rolle spielen. Gleiches gilt bei Verwendung von Kunstnamen für und der Individualisierung von KI-Chatbots.
  
• Am Ende gibt es ein Fazit mit vier Takeaways. Zudem gibt es eine Checkliste mit Workflow für KI-Chatbots.

Normen zu diesem Beitrag, u.a.:

• Artikel 3 EU AI Act
• Artikel 4 EU AI Act
• Artikel 6 EU AI Act
• Artikel 25 EU AI Act
• Artikel 50 EU AI Act.

Bedeutung und Rechtsfolgen bzgl. „Anbieter vs Betreiber“

Der EU AI Act differenziert bei KI-Systemen zwischen den beiden (Haupt-)Rollen:

• des Anbieters (Artikel 3 Nr. 3 EU AI Act = „provider“) und
• des Betreibers (Artikel 3 Nr. 4 EU AI Act = „deployer“).

Die Abgrenzung der beiden Rollen ist in der Praxis nicht immer so einfach, wie man vermuten könnte. Aus diesem Grund gibt es dazu bereits eine Reihe von Veröffentlichungen u.a. von Anwaltskanzleien und Organisationen (siehe Liste am Ende des Beitrags). Klar scheint vor allem, dass es Abgrenzungfragen gibt.

Diverse Details sind jedoch unklar. Dies liegt u.a. daran, dass der Begriff des Betreibers erst in einer späteren Version des EU AI Acts dazugekommen ist. Zuvor wurde die Rolle mit nahezu gleicher Definition als „Nutzer“ bezeichnet. „Nutzer“ sind in der finalen Version eine Variante von „Betreiber“:

Ein in der Praxis besonders wichtiger Fall zur Differenzierung „Anbieter vs Betreiber“ ist der KI-Chatbot. Diesem Thema wird über im Beitrag besondere Aufmerksamkeit geschenkt. Eine Checkliste inkl. dem nachfolgend dargestellten Workflow zur Abgrenzung und Bestimmung beider Rollen bei KI-Chatbots kann hier abgerufen werden.

1. Rechtsfolgen der Unterscheidung

Die Differenzierung „Anbieter vs Betreiber“ ist bereits bei der Planung von KI-Systemen, ihrem Vertrieb und der Beschaffung zu beachten, denn:

• Anbieter sind umfassend für die Konformität des KI-Systems mit den gesetzlichen Anforderungen verantwortlich.
• Betreiber verwenden KI-Systeme im Alltag und sind für die ordnungsgemäße Nutzung und den sicheren Betrieb verantwortlich.

Wichtig sind auch die Auswirkungen im Hinblick auf die erforderlichen Kosten und Ressourcen. Anbieter eines KI-Systems zu sein, ist in der Regel deutlich aufwändiger und damit in der Regel auch ressourcenintensiver und teurer als dessen Betrieb.

1.1 Der Wortlaut des EU AI Acts

Zunächst zu den wichtigsten Definitionen in Artikel 3 EU AI Act:

Für die Zwecke dieser Verordnung bezeichnet der Ausdruck

Nr. 3: „Anbieter“ eine natürliche oder juristische Person, Behörde, Einrichtung oder sonstige Stelle, die ein KI-System oder ein KI-Modell mit allgemeinem Verwendungszweck entwickelt oder entwickeln lässt und es unter ihrem eigenen Namen oder ihrer Handelsmarke in Verkehr bringt oder das KI-System unter ihrem eigenen Namen oder ihrer Handelsmarke in Betrieb nimmt, sei es entgeltlich oder unentgeltlich;

Nr. 4: „Betreiber“ eine natürliche oder juristische Person, Behörde, Einrichtung oder sonstige Stelle, die ein KI-System in eigener Verantwortung verwendet, es sei denn, das KI-System wird im Rahmen einer persönlichen und nicht beruflichen Tätigkeit verwendet;

Nr. 9: „Inverkehrbringen“ die erstmalige Bereitstellung eines KI-Systems oder eines KI-Modells mit allgemeinem Verwendungszweck auf dem Unionsmarkt;

Nr. 10: „Bereitstellung auf dem Markt“ die entgeltliche oder unentgeltliche Abgabe eines KI-Systems oder eines KI-Modells mit allgemeinem Verwendungszweck zum Vertrieb oder zur Verwendung auf dem Unionsmarkt im Rahmen einer Geschäftstätigkeit;

Nr. 11: „Inbetriebnahme“ die Bereitstellung eines KI-Systems in der Union zum Erstgebrauch direkt an den Betreiber oder zum Eigengebrauch entsprechend seiner Zweckbestimmung.

Im folgenden werden zunächst die Pflichten beider Rollen im Rahmen geschäftlicher Nutzung dargestellt. Anschließend wird ausgeführt wie man die Rollen in der KI-Wertschöpfungskette bestimmen bzw. voneinander abgrenzen kann.

1.2 Anbieter: Bei KI-System und GPAI-Modell

Bei der Rolle des „Anbieters“ gilt es zwischen zwei Arten von Pflichten zu unterscheiden:

• solche, für KI-Systeme i.S.v. Artikel 3 Nr. 1 EU AI Act und
• den Pflichten für GPAI-Modelle mit allgemeinem Verwendungszweck i.S.v. Artikel 3 Nr. 63 EU AI Act.

Die nachfolgende Übersicht des RTR verdeutlicht, welche Verpflichtungen die Rolle des „Anbieters“ potenziell mit sich bringt.

Wie man sieht, sind bestehen die meisten Pflichten für Anbieter bei Hochrisiko-KI-Systemen i.S.v. Artikel 6 EU AI Act (linke Spalte). Es gibt aber auch Anbieter-Pflichten bei KI-Systemen mittlerer und geringer Risiken (die rechten beiden Spalten).

Für alle Varianten von KI-Systemen und GPAI-Modellen ist das Ziel der Vermittlung von KI-Kompetenz i.S.v. Artikel 4 EU AI Act /Artikel 3 Nr. 56 EU AI Act zu beachten. Es ist aber lediglich eine indirekte Pflicht. Ein Nicht-Umsetzen der Pflicht ist nicht sanktionierbar. Verstöße gegen Artikel 4 können jedoch bei sanktionierbaren Pflichten u.a. bei der Höhe der Geldbußen berücksichtigt werden.

Siehe zum Thema „KI-Kompetenz: Pflicht oder frewillig“ auch diesen Beitrag:

Dieser Beitrag behandelt primär die Frage „Anbieter vs Betreiber“ bei KI-Systemen i.S.v. Artikel 3 Nr. 1 EU AI Act. Die Notwendigkeit der Abgrenzung gibt es nicht bei GPAI-Modellen mit allgemeinem Verwendungszweck. Trotzdem ist es sinnvoll, wenn man sich bewußt wird, dass die Rolle des Anbieters insgesamt recht exponiert ist. Anbieter von KI-Systemen sind nämlich auch „nachgelagerte Anbieter“ der darin enthaltenen GPAI-Modelle! Somit sind alle Pflichten der Übersicht potenziell relevant – vor allem bei KI-Chatbots.
Die erste Version des EU AI Acts von 2021 sah übrigens noch die Rolle des „Kleinanbieters“ vor (Artikel 3 Nr. 3 EU AI Act alter Fassung). Diese Rolle ist in der finalen Version weggefallen.

1.3 Betreiber: Nur bei KI-System

In der Rolle des Betreibers gibt es – anders als bei der des Anbieters – nur Pflichten im Hinblick auf KI-Systeme. Erneut stehen die Pflichten für Hochrisiko-KI-Systeme i.S.v. Artikel 6 EU AI Act im Vordergrund. Zu beachten sind aber auch die Pflichten für KI-Systeme mittlerer Risiko-Klasse, die synthetische Medien erstellen können (Artikel 50 EU AI Act). Ebenso besteht die Pflicht zur Vermittlung von KI-Kompetenz (Artikel 4 EU AI Act).

Im Hinblick auf den Begriff des „Betreibers“ sei angemerkt, dass diese Rolle in der ersten Version des EU AI Acts von 2021 noch als „Nutzer“ bezeichnet wurde (Artikel 3 Nr. 4 EU AI Act alter Fassung). Das zeigt, wie sich das Zusammenspiel unterschiedlicher Rollen und Begrifflichkeiten bis zur finalen Version verändert hat.

1.4 Vertrag ist nicht entscheidend

Sicher ist, dass zwischen den Anbietern und Betreibern Verträge geschlossen werden müssen, welche gegenseitige Rechte und Pflichten begründen. Empfehlungen dazu finden sich in der unten angefügten Literatur. Wichtig ist jedoch, dass der zwischen Anbietern und Betreibern geschlossene Vertrag die tatsächliche Rolle nicht beinflusst (so die hier und auch von miscon vertretene Ansicht). Das heißt, dass die Rolle des Anbieters nicht entgegen der Wirklichkeit auf den Betreiber vertraglich übertragen werden kann. Entscheidend ist im Sinne des EU AI Acts die faktische Rolle.

Im Fachartikel von miscon wird zudem zur Recht darauf hingewiesen, dass eine „Selbstbeurteilung“ der Frage eigener Anbieterschaft vs Betreiberschaft stets mit Vorsicht zu genießen ist! Auch wenn es „Schmerzen“ bereitet, so sollte stets eine externe Meinung hinzugezogen werden, welche die Auffassung einer Aufsichtsbehörde im Zweifel objektiver und weniger optimistisch einschätzt als man selbst.

2. Wichtiges Praxisbeispiel: KI-Chatbot

Hochrisiko-KI begründet zwar für beide Rollen die meisten Pflichten. In der Praxis ist aber der KI-Chatbot der mutmaßlich häufigste Fall im Hinblick auf die Abgrenzung von „Anbieter vs Betreiber“. Bis zu 40% aller Unternehmen nutzen bereits KI-Chatbots – und zwar geschäftlich im Rahmen von einer der beiden (Haupt-)Rollen!

KI-Chatbots werden dabei sowohl für interne als auch externe Use Cases eingesetzt, u.a.:

• zur Interaktion mit Kunden, Partnern, Bürgern und Mitarbeitern
• als intelligente Suchmaschine
• zur Erstellung von Texten, Bildern, Audio- und Video-Files
• um Ideen zu generieren
• etc.

Die nachfolgenden Inhalte können in vieler Hinsicht auch auf andere Use Cases und auch auf Hochrisiko-KI übertragen werden. Im Detail ergeben sich aber Unterschiede (bei Hochrisiko-KI u.a. durch das Zusammenspiel mit anderen Verordnungen und Richtlinien wie z.B. der Medical Device Regulation, MDR oder dem Cyber Resilience Act, CRA).

2.1 Übersicht zu KI-Chatbots

Zunächst eine grobe technische Übersicht zur typischen Struktur eines KI-Chatbots:

Diese Übersicht macht deutlich, dass ein KI-Chatbot aus unterschiedlichen Elementen besteht. Die individuelle Anpassung dieser und weiterer Elemente kann dazu führen, dass die Differenzierung zwischen Anbieter und Betreiber unklarer wird als man auf den ersten Blick vermuten würde. So können diverse Daten hinzugefügt werden, es kann ein Finetuning z.B. der Sprache erfolgen oder es können Knowlegde-Graphs in unterschiedlicher Art angebunden werden.

2.2 Umsetzungsvarianten

Insofern spielt die Frage, ob und wie der KI-Chatbot im Rahmen der KI-Wertschöpfungskette operativ umgesetzt und individualisiert wird, eine wichtige Rolle für die Abgrenzung „Anbieter vs Betreiber“.

Drei Umsetzungsvarianten sind dabei besonders relevant:

1. Ein Unternehmen kann sich selbst seinen KI-Chatbot auf Basis irgendeines KI-Modells bauen oder bauen lassen – dann ist es stets der „Anbieter“ des KI-Systems. Wenn es diesen selbst nutzt, ist es darüber hinaus auch noch „Betreiber“. Dies ist wichtig wegen der Pflichten aus Artikel 50 (1-4) EU AI Act. Es kommt dann zu einer Doppelrolle!
2. Der KI-Chatbot kann von dessen Hersteller (z.B. ChatGPT, google gemini, neuroflash oder MS Copilot) als Business Solution in der Rolle des „Anbieters“ direkt vertrieben werden. Wird der Chatbot vom Kunden 1:1 verwendet, ist die Rollenverteilung ebenfalls klar. Der Nutzer des KI-Chatbots ist „Betreiber“. Dabei ist es egal, ob es sich um eine „AI as a Service“-Variante oder eine „on Premise“-Lösung handelt.
3. Häufig ist darüber hinaus die Variante, dass ein KI-Chatbot (z.B. ChatGPT, google gemini oder MS Copilot) von dessen Hersteller, einem IT-Haus oder einem Rechenzentrum auf dezidierten Servern gehostet und dann (im eigenen Namen) an den „Betreiber“ gegen Gebühr weitergereicht wird, siehe u.a. (siehe u.a. Business GPT, comGPT oder GoodGPT)
   • Vorteil 1: Die Nutzung erfolgt dann i.d.R. auf einer besonders geschützten Instanz.
   • Vorteil 2: Die Variante bietet KI-Chatbot und Zusatzservices „aus einer Hand“.
   • Vorteil 3: Zudem können Individualisierungen eines KI-Chatbots maßgeschneidert umgesetzt werden (z.B. das Finetuning oder komplexe Anpassungen an Prozesse und Nutzerrollen).

Die drei Varianten sind im Vergleich zur Realität eine „High-Level-Übersicht“. Im Rahmen der KI-Wertschöpfungskette sind deutlich komplexere Varianten möglich z.B. wenn in einem KI-System andere KI-Systeme oder mehrere unterschiedliche KI-Modelle integriert sind – so sieht es wohl auch Ziffer 97 der Begründung.

2.3 Wertschöpfungskette

Die Differenzierung der Rollen des „Anbieters“ und „Betreibers“ wird insbesondere durch die dritte Variante in der Praxis erschwert – hier kommt nämlich die Wertschöpfungskette ins Spiel, die u.a. für Hochrisiko-KI-Systeme in Artikel 25 EU AI Act skizziert wird. Eine Wertschöpfungskette existiert aber potenziell auch bei mittleren und geringen Risiken von KI-Systemen – nicht zuletzt bei KI-Chatbots.

In Variante 3:

• wird aus einem Rechtsverhältnis mit ursprünglich zwei Akteuren ein Rechtsverhältnis mit drei oder mehr Akteuren i.S.d. EU AI Acts.
• Wird der KI-Chatbot dabei individualisiert, wird es mit der Frage „Anbieter vs Betreiber“ besonders knifflig!

Siehe zur Konstellation mit drei Akteuren auch den folgenden Beitrag:

3. „Anbieter vs Betreiber“ und Individualisierung

Wie bereits erwähnt: Es gibt zur Abgrenzung Anbieter vs Betreiber einige Fachbeiträge (siehe Übersicht am Ende dieses Beitrags). Gemeinsam ist den Artikeln die grundsätzliche Einschätzung der Rollenverteilung, die sich bereits aus der oben genannten Definition ergibt. Allerdings wird in den meisten Beiträgen die Anbieterschaft übergreifend bestimmt: Für KI-Systeme aller Risikoklassen als auch für GPAI-Modelle – das erschwert es, den in der Praxis besonders wichtigen Fall des KI-Chatbots zu fokussieren.

3.1 Anbieter vs. Betreiber

Um das Pferd von hinten aufzuzäumen: Ein Workflow zur Bestimmung der Betreiber-Eigenschaft findet sich u.a. auf den Websites von Vischer:

Die Feststellung, dass man Betreiber ist, heißt aber nicht, dass man damit nicht (auch noch zusätzlich) Anbieter sein könnte. Insofern ist doppelt zu prüfen:

• ob man Anbieter eines KI-Systems ist und/oder
• ob man (zusätzlich) dessen Betreiber ist.

Gerade bei KI-Chatbots kann die Doppelrolle dazu führen, dass man:

• in der Rolle des Anbieters die Pflichten gemäß Artikel 50 (1) und (2) EU AI Act zu erfüllen hat und
• in der Rolle als Betreiber zusätzlich die Pflichten gemäß Artikel 50 (3) bzw. (4) EU AI Act zu erfüllen hätte.

Wer also selbst einen KI-Chatbot herstellen, einen KI-Chatbot fremder Anwender individualisieren und darüber hinaus auch noch selbst nutzen möchte, sollte das „Pflichten-Doppelpack“ auf dem Radar haben!

3.2 Individualisierung als „Schwelle“ zum Anbieter

Die Fachliteratur ist sich aber zu Recht einig, dass bei Individualisierungen eines KI-Systems ein Wechsel von der Rolle des „Betreibers“ zur Rolle des „Anbieters“ erfolgen kann. Individualisiert werden kann:

1. die namentliche Bezeichnung eines KI-Chatbots im Markt und
2. die inhaltlich-fachliche Konzeption und
3. die Kombination von beidem.

Fraglich bleibt aber nach aktuellem Stand, was genau von wem individualisiert werden muss, damit aus Betreibern z.B. eines KI-Chatbots dessen Anbieter werden. Sicher ist jedoch: Gerade KI-Chatbots können alle drei Fragen kumulativ aufwerfen.

3.2.1 Verwendung von Marken für KI-Chatbots

Die vielleicht subtilste „Falle“, um aus rein formalen Gründen von der Rolle des Betreibers zum Anbieter zu werden ist die Verwendung von Marken für den eigenen KI-Chatbot. Dieser Fall wird am Ende von Artikel 3 Nr. 3 EU AI Act mit der Formulierung „im eigenen Namen oder mit der Handelsmarke in Betriebnehmen“ explizit genannt – allerdings mit der Voraussetzung, dass man den KI-Chatbot selbst entwickelt hat bzw. diesen von anderen hat für sich entwickeln lassen. Hervorgehoben wird dabei auch der Eigengebrauch – z.B. in Form der internen Nutzung eines KI-Chatbots im Intranet.

Achtung: Die nachfolgenden Aspekte sind Thesen! Noch gibt es dazu kaum Fachliteratur, Behörden- oder Gerichtsentscheidungen. Man sollte sich in erster Linie bewußt sein, dass es hier einen relevanten Aspekt zum Thema „Anbieter vs Betreiber“ gibt, den es zu beachten und zu klären gilt. Der Fachartikel von Vischer mutmaßt, dass die Aufsichtsbehörden im Rahmen der nachfolgend beschriebenen Aspekte zu einer Auslegung tendieren könnten, die im Zweifel zur Anbieterschaft führt – vertritt aber selbst eine andere Meinung. In Anbetracht der Unsicherheiten ist es wichtig, hier mit Vorsicht zu agieren.

An dieser Stelle sollte auch der Wortlaut der ursprünglichen Fassung von Artikel 3 Nr. 3 und 5 EU AI Act alter Fassung beachtet werden! Sie gibt Hinweise, was sich der Gesetzgeber ursprünglich gedacht hat:

Nr. 3 a.F.: „Anbieter“ eine natürliche oder juristische Person, Behörde, Einrichtung oder sonstige Stelle, die ein KI-System entwickelt oder entwickeln lässt, um es unter ihrem eigenen Namen oder ihrer eigenen Marke – entgeltlich oder unentgeltlich – in Verkehr zu bringen oder in Betrieb zu nehmen

Nr. 5 a.F.: „Nutzer“ eine natürliche oder juristische Person, Behörde, Einrichtung oder sonstige Stelle, die ein KI-System in eigener Verantwortung verwendet, es sei denn, das KI-System wird im Rahmen einer persönlichen und nicht beruflichen Tätigkeit verwendet;

3.2.1.1 Kunstnamen u. Kunstbegriffe

Besonders beliebt sind gerade bei KI-Chatbots kreative Kunstbegriffe, die in irgendeiner Variante das Kürzel „GPT“ davor oder danach mit innovativen Zusätzen kombinieren.

Das Kürzel „GPT“ steht für „generative pre-trained transformer„. Aufgrund der Beliebtheit von ChatGPT verwenden viele Organisationen kreative GPT-Namensvarianten. Das Ziel besteht darin, das eigene KI-Angebot unterscheidbar, bekannter und erreichbarer, aber auch vertrauenswürdiger zu machen. Manches KI-Angebot wird dann über eine eigene URL und zusätzliche Marketingunterlagen und Kommunikationskampagnen intern und/oder extern beworben.

Typische Beispiele für entsprechende Namensgebungen sind:

• GPT+[Firmenname o. Name der Organisation] (und umgekehrt)
• [Stadt o. Behörde]+GPT (und umgekehrt)
• GPT+[Fantasiename] (und umgekehrt)
• menschenähnliche Namen („Oskar“, „Lucy“ etc.)

So verständlich dieser Schritt ist, so verhängnisvoll könnte er in Anbetracht der Formulierung von Artikel 3 Nr. 3 EU AI Act sein: Zwar ist dort vom „eigenen Namen“ und der „Handelsmarke“ die Rede, doch sind die Übergänge zum allgemeinen Markenrecht fließend – insbesondere vor dem Hintergrund, dass die großen KI-Akteure ihre KI-Marken nach ähnlichem Strickmuster bilden z.B.:

• „ChatGPT“ (von OpenAI)
• „gemini“ (von google)
• „Copilot“ (von Microsoft)
• „Alexa“ (von amazon)
• „Siri“ (von apple)

Vor diesem Hintergrund wäre die Verwendung von „Kunstnamen“ für KI-Systeme mit der Verwendung eines „Künstlernamens“ vergleichbar: Ein Künstler kann auch im eigenen Namen handeln, wenn er seinen Künstlernamen verwendet (siehe u.a. § 13 UrhbG). Übertragen bedeutet dies: Wichtig ist, ob ein Kunstname eines KI-Chatbots einem bestimmten Unternehmen oder einer Organisation zugerechnet werden kann.

Das Problem der Namensgebung wird in der juristischen Literatur häufig auf Hochrisiko-KI-Systeme reduziert, weil Artikel 25 (2) EU AI Act eine Regelung enthält, die zur Begründung der Anbieterschaft ebenfalls auf den eigenen Namen und die Handelsmarke verweist. Dies ist jedoch mit hoher Wahrscheinlichkeit nur eine deklaratorische Klarstellung, weil bereits Artikel 3 Nr. 3 EU AI Act gleiches für alle (!) KI-Systeme und GPAI-Modelle besagt. Auch die älteren Versionen des EU AI Acts lassen hier kaum eine andere Interpretation zu: Das heißt, dass eben nicht nur Hochrisiko-KI-Systeme von dieser Regelung betroffen sind, sondern alle KI-Systeme – egal welcher Risikoklasse!
Nach der hier vertretenen Ansicht ist die bloße Verwendung eines Kunstnamens allein wohl nicht ausreichend für die Anbieterschaft. Beachten sollte man aber, dass das deutsche Recht u.a. den Anschein der Verantwortlichkeit für Inhalte im Internet berücksichtigt. Ob und wie weit dies auch für KI gelten könnte, wäre zu klären.

3.2.1.2 Eintragung ist nicht notwendig

Vor diesem Hintergrund ist auch der Blick in das Markenrecht aufschlussreich, § 3 Abs. 1 Markengesetz (MarkenG):

Eine Marke dient der Kennzeichnung von Waren und/oder Dienstleistungen und ermöglicht es den Kunden und Verbrauchern somit, die jeweiligen Produkte eines Unternehmens von denjenigen anderer Unternehmen zu unterscheiden.

Gerade das Ziel der Unterscheidbarkeit macht die Verwendung von Kunstnamen für KI-Chatbots im Hinblick auf formelle Anbieterschaft so relevant. Wichtig ist dabei, dass eine Marke auch nicht zwingend eingetragen sein muss, um als (Handels-)Marke zu gelten.

Es gibt zwei Arten von Markenschutz:

1. Eingetragene Marke:
   • Vorteile: Stärkster Schutz, exklusive Rechte, leichter Nachweisbarkeit im Rechtsstreit.
   • Voraussetzung: Erfolgreiche Anmeldung und Eintragung beim zuständigen Amt (in Deutschland beim Deutschen Patent- und Markenamt – DPMA).
   • Dauer: 10 Jahre, verlängerbar.
2. Nicht eingetragene Marke (Verkehrsgeltung):
   • Vorteile: Entsteht durch intensive Nutzung im Geschäftsverkehr, kann in bestimmten Fällen ebenfalls geschützt sein.
   • Nachteile: Nachweis schwieriger, Schutzumfang oft geringer.
   • Voraussetzung: Die Marke muss in den relevanten Verkehrskreisen als solche erkannt werden.

Falls man als Unternehmen, Behörde oder Organisation einen Kunstnamen verwenden will, dann ist es in jedem Fall zu empfehlen, bei Aufruf des KI-Chatbots unmißverständlich klarzustellen, dass es sich dabei nur um eine „Verpackung“ handelt – der „Inhalt“ des KI-Chatbots aber von einem anderen Anbieter stammt. Würde eine URL verwendet, so könnte auch ein Redirect zur Klarstellung dienen: Z.B. in dem die URL „GPT+[Fantasiename]+.com“ auf eine SubURL des eigentlichen KI-Anbieters verlinkt. So oder so: Gerade dann, wenn interne und/oder externe Marketing- und Kampagnen-Unterlagen für einen KI-Chatbot erstellt und verbreitet werden, sollte immer darauf hingewiesen werden, dass die dahinter stehende Technik von einem anderen Anbieter stammt.

3.2.2 KI-Service-Angebote

Wird ein KI-Chatbot auf Basis geläufiger GPAI-Modelle von einer IT-Firma oder einem Rechenzentrum auf eigenen Servern (mit zusätzlichen Services) unter einem Kunstnamen am Markt angeboten, dann handelt es sich mit an Sicherheit grenzender Wahrscheinlichkeit um eine Anbieterschaft (siehe u.a. Business GPT, comGPT oder GoodGPT).

Betrachtet man diese Varianten als Anbieter, dann ist es umso schwieriger, die Grenzen zu den Fällen zu ziehen, in denen entsprechende Angebote von den dazugehörigen Kunden als anwendenden Unternehmen mit einem zusätzlichen eigenem Kunstnamen am Markt angeboten werden.

Würde ein beliebiger Nutzer einen KI-Chatbot mit Namen „happyGPT“ verwenden, der von einer Organisation als „TrustGPG“-Service von einem IT-Unternehmen erworben wurde und in diesem Service ein KI-Modell von OpenAI verwendet wird (das leicht mit dem KI-System „ChatGPT“ verwechselt werden kann): Wer sollte dann nach der Verkehrsauffassung bzw. aus Sicht des Nutzers Anbieter und/oder Betreiber sein?

Geht man von dem Schutzzweck des EU AI Acts aus, der den Mißbrauch von KI verhindern will und dem Nutzer auch noch Beschwerderechte gemäß Artikel 85 EU AI Act einräumt, dann:

• ist bei Fragen von Artikel 50 (1) und (2) EU AI Act, also bei Offenlegung der KI und dem maschinenlesbaren Format im Zweifel davon auszugehen, dass die Organisation, die nach der Verkehrsauffassung für den KI-Chatbot verantwortlich zu sein scheint, als Anbieter i.S.d. EU AI Acts zu betrachten.
• ist bei Fragen von Artikel 50 (3) und (4) EU AI Act, also bei Deepfakes und sonstiger Manipulation ebenfalls die Verkehrsauffassung für die Bestimmung der Betreibereigenschaft maßgeblich.

3.2.3 Customizing von KI-Chatbots

Wie zuvor skizziert, ist das Individualisieren eine KI-Chatbots, z.B. dessen Finetuning oder das Zufügen von Daten und/oder Knowledge Graphs, als besonders relevant zu betrachten. Diese Anpassung kann – je nach Betrachtungsweise – als Entwicklung oder Auftragsentwicklung betrachtet werden. Letzteres insbesondere in Kombination mit der unter Punkt 3.2.1.3 skizzierten Konstellation.

Vischer vertritt diesbezüglich folgende Ansicht: „Demnach wäre ein Finetuning des Modells eines KI-Systems erfasst, die Verwendung von „Retrieval Augmented Generation“ (RAG) hingegen nicht.“ In eine ähnliche Richtung geht Haerting. Dabei ist aber genau zu prüfen, was man überhaupt als Finetuning betrachtet und und was nicht. Übersichten dazu findet man u.a. bei wikipedia, businessautomatica oder bei datascientist.

Auch das Zufügen von eigenen (Trainings-)Daten oder die Kombination mit Knowlegde-Graphs (u.a. beim Erzeugen der Antwort) oder die Kombination von mehreren KI-Modellen kann nach der hier vertretenen Auffassung eine Individualisierung sein, die zu einer Anbieterschaft i.S.d. EU AI Acts führt.

Schon der Begriff der Personalisierung, der Individualisierung bzw. des Customizings von KI läßt ahnen, dass es unzählige Varianten von ihr gibt, deren Auswirkungen stets im Einzelfall dahingehend geprüft werden sollten, ob damit die Schwelle von der Betreiberschaft zur Anbieterschaft überschritten wird. Kombiniert man bei einem Chatbot ein wie auch immer gestaltetes Customizing mit einem Kunstnamen für das Ergebnis (s.o. Punkt 3.2.1.1), dann wird die Luft im Zweifel immer dünner – die Anbieterschaft wird wahrscheinlicher! Schließlich muss man sich vor Augen führen, dass der Schutzzweck des EU AI Acts das Verbrauchervertrauen ist. Und ein Verbraucher bzw. eine Person, die mit einem KI-Chatbot interagiert, muss am Ende irgendwie die Frage beantworten können, welchen Akteuren er bei der Nutzung eines KI-Chatbots vertrauen soll.

4. Fazit und vier Takeaways:

1. Generell gilt, dass die Abgrenzung nur bei KI-Systemen von Bedeutung ist:

• Anbieter entwickeln und stellen KI-Systeme auf dem Markt bereit, sind verantwortlich für die Konformität des Systems mit den gesetzlichen Anforderungen.
• Betreiber verwenden KI-Systeme im Alltag und tragen die Verantwortung für die ordnungsgemäße Nutzung.
• Beide Eigenschaften können zusammenfallen: Eine Organisation kann gleichzeitig Anbieter und Betreiber sein,

2. Aus den Rollen ergeben sich unterschiedliche Pflichten:

• Gemeinsame Pflichten für Anbieter und Betreiber ergeben sich im Hinblick auf die Vermittlung von KI-Kompetenz aus Artikel 4 EU AI Act.
• Anbieter und Betreiber haben bei Hochrisiko-KI eine Vielzahl von besonderen Pflichten.
• Bei KI-Chatbots haben Anbieter die Pflichten von Artikel 50 (1) und (2) EU AI Act.
• Betreiber jene von Artikel 50 (3) und (4) EU AI Act.

3. Die Abgrenzung „Anbieter vs Betreiber“ ist in der Praxis vor allem bei KI-Chatbots wichtig:

• Unproblematisch erscheint die Rollenverteilung in den Fällen, in denen ein KI-Chatbot selbst oder im Auftrag hergestellt wird.
• Auch der Fall des offenkundigen 1:1 Betreiben des Chatbots eines fremden Anbieters erscheint unproblematisch.
• Wird der Chatbot in der KI-Wertschöpfungskette von IT-Unternehmen und Rechenzentren als eigener Service angeboten, macht dies die Unternehmen i.d.R. zu Anbietern i.S.d. EU AI Acts.

4. Besondere Vorsicht bei KI-Chatbots, die u.a. auf Websiten als Service verwendet werden:

• Für Endanwender ist die Differenzierung der Rollen aus Verkehrssicht nicht einfach.
• Insofern sind die beiden Faktoren der Individualisierung und der Verwendung von Kunstnamen besonders kritisch im Hinblick auf die Schwelle zur Anbieterschaft zu betrachten.
• In diesen Fällen ist ein Zusammenfallen von Anbieterschaft und Betreiberschaft auf Seiten des Websitebetreibers vorstellbar.

Weitere Informationen

Links zu den in diesem Artikel erwähnten Normen des EU AI Acts:

• Artikel 3 EU AI Act
• Artikel 4 EU AI Act
• Artikel 6 EU AI Act
• Artikel 25 EU AI Act
• Artikel 50 EU AI Act

Checklisten und Workflows:

• CAIR4-Checkliste u. Workflow Anbieter vs Provider
• Vischer: Workflow Anbieter vs. Betreiber

Weiterführende Fachbeiträgen zum Thema:

• SKWSchwarz
• vischer.com
• haerting.de
• linkedin.com
• Verfassungsblog
• lw.com
• mishcon.com
• computerwoche.de
• cancom.at
• rtr.at

Über den Autor:

Oliver M. Merx