Nachgelagerte Anbieter #1: Das Matrjoschka-Problem

Lesedauer 4 Minuten

Die nachgelagerte Anbieterschaft i.S.d. EU AI Acts entsteht, sobald ein „irgendein“ KI-Modell in ein „irgendein“ KI-System integriert wird. Ähnlich wie bei Matrjoschka-Puppen gibt es aber in der KI-Praxis nicht nur einfache, sondern durchaus komplexe Mehrfachverschachtelungen. Eine Übersicht mit Vorschlägen zur terminologischen Differenzierung verschiedener Varianten nachgelagerter Anbieterschaft.

Artikel 3 Nr. 68 EU AI Act regelt die nachgelagerte Anbieterschaft im Hinblick auf KI-Modelle.
Eine Definition, was überhaupt ein KI-Modell ist, fehlt jedoch im EU AI Act.
Hinzu kommt die in der Praxis häufige Mehrfachverschachtelung von KI-Modellen und KI-Systemen.
Erforderlich ist daher mindestens die Differenzierung von vier verschiedenen Varianten, die nachfolgend als IMA, SMA, GMA und GMA-SR bezeichnet werden.

Normen zu diesem Beitrag, u.a.:

Artikel 3 EU AI Act
Artikel 6 EU AI Act
Artikel 16 EU AI Act
Artikel 25 EU AI Act
Artikel 53 EU AI Act.
Anhang XII EU AI Act

Nachgelagerte Anbieter – das Fass ohne Boden!

Eine der größten Herausforderung der KI-Regulierung sind (mehrfach) verschachtelte KI-Systeme und KI-Modelle. Wichtig ist dies u.a. im Hinblick auf die Frage, wer im Rahmen von KI-Wertschöpfungsketten die Gesamtverantwortung für ein KI-System inklusive aller darin integrierten Komponenten trägt.

Die einfache Antwort lautet:

Es ist immer der Anbieter des KI-Systems der höchsten Ordnung!
Damit gemeint also der Anbieter des KI-Systems i.S.v. Artikel 3 Nr. 1 EU AI Act, das andere KI-Systeme und/oder KI-Modelle in sich integriert.

Der Wortlaut von Artikel 3 Nr. 68 EU AI Act scheint insofern auf den ersten Blick klar und eindeutig:

Für die Zwecke dieser Verordnung bezeichnet der Ausdruck

„nachgelagerter Anbieter“ einen Anbieter eines KI-Systems, einschließlich eines KI-Systems mit allgemeinem Verwendungszweck, das ein KI-Modell integriert, unabhängig davon, ob das KI-Modell von ihm selbst bereitgestellt und vertikal integriert wird oder von einer anderen Einrichtung auf der Grundlage vertraglicher Beziehungen bereitgestellt wird.“

Achtung: Genau lesen! Die Formulierung „das ein KI-Modell integriert“ ist der kritische Aspekt dieser Norm! Die Rede ist also von „irgendeinem“ KI-Modell. Für KI-Modelle im Allgemeinen fehlt aber die Definition im EU AI Act – es gibt sie einfach nicht! Daher ist die Definition des nachgelagerten Anbieters an einen in vieler Hinsicht unbestimmten Rechtsbegriff gekoppelt. Was im Hinblick auf den nachgelagerten Anbeiter auf den ersten Blick „einfach“ wirkt, ist bei genauerer Betrachtung durchaus kryptisch!

Zur fehlenden Definition von KI-Modellen sind vorab diese beiden Beiträge empfohlen:

Das KI-Modell i.S.d. EU AI Acts – Teil 1/3

GPAI-generierte Definition für KI-Modelle i.S.d. EU AI Acts

1. KI-Anbieter unterschiedlicher Ordnung

Um das sich u.a. aus der fehlenden Definition von KI-Modellen ergebende Problem besser verstehen zu können, müssen wenigstens vier verschiedene Varianten von KI-Modellen im Hinblick auf nachgelagerte Anbieterschaft unterschieden werden:

Integrierte Modellanbieter (IMA)
Diese KI-Modelle existieren nur im Rahmen eines einzigen KI-Systems.
Spezifische Modellanbieter (SMA)
Diese KI-Modell können im Rahmen verschiedener KI-Systeme verwendet werden.
GPAI-Modellanbieter (GMA)
Diese KI-Modelle führen bei Integration in ein KI-System zur Entstehung von KI-Systemen mit allgemeinem Verwendungszweck i.S.v. Artikel 3 Nr. 66 EU AI Act.
GPAI-Modellanbieter mit systemischen Risiken (GMA-SR)
Auch diese KI-Modelle führen zu Artikel 3 Nr. 66 EU AI Act, weisen aber Besonderheiten auf.

Nachfolgend eine erste Übersicht über die unterschiedlichen Varianten und die sich daraus ergebenden (potenziellen) Transparenzpflichten im Hinblick auf nachgelagerte Anbieter i.S.v. Artikel 3 Nr. 68 EU AI Act:

2. „Mehrfachverschachtelungen“

Die zuvor skizzierten vier Grundvarianten von KI-Modellen führen in der Praxis in Kombination mit den unterschiedlichen Risiko-Klassen für KI-Systeme zu weiteren, hoch komplexen Mehrfachverschachtelungen unterschiedlicher Ordnung.

Der Grund für die sich in der Praxis ergebende Komplexität der Mehrfachverschachtelungen liegt in den allermeisten Fällen in der Notwendigkeit der Kommerzialisierung von KI: IMAs wie oben skizziert, tragen in der Regel die volle Kostenlast sowohl für KI-Modell als auch KI-System. Dies ist in Anbetracht der Innovationsgeschwindigkeit von KI nur selten attraktiv.

Bei SMAs werden die initialen und laufenden Kosten für das KI-Modell auf mehrerer KI-Systemanbieter übertragen. Das ist deutlich vorteilhafter im Hinblick auf das Businessmodell aller Beteiligter (KI-Modell u. KI-Systeme). Oft müssen aber KI-Systeme in andere KI-Systeme integriert werden, weil nur durch weitere Zusatzfunktionen u.a. im Rahmen von Prozesssteuerungen entsprechende Mehrwerte ermöglicht werden können.

Nicht anders bei GMA u. GMA-SR-Varianten: Auch hier ist es die Relation von Kostendruck und Innovationsgeschwindigkeit, die dazu führt, das GPAI-Modelle zu GPAI-Systemen i.S.v. Artikel 3 Nr. 66 EU AI Act werden, die ihrerseits in andere KI-Systeme integriert werden (vgl. Wortlaut der Norm: (für die direkte Verwendung als auch für die Integration in andere KI-Systeme*).

2.1 Integrationslevel IMA & SMA

Die nachfolgende Übersicht verdeutlicht, welche Komplexität sich im Hinblick auf die nachgelagerte Anbieterschaft im Fall von IMAs & SMAs ergeben kann.

2.2 Integrationslevel GMA & GMA-SR

Werden GPAI-Modelle integriert, „vererbt“ sich die Eigenschaft des allgemeinen Verwendungszwecks an alle weiteren Level von KI-Systemen.

2.3 Integration in KI-Systeme mit Harmonisierungsrechtsvorschriften

Eine weitere Variante ergibt sich direkt aus Artikel 6 (1) EU AI Act:

Ein KI-System, das eine der vorher skizzierten Integrations-Varianten von KI-Modellen erfüllt, wird als Sicherheitsbauteil in ein Produkt integriert, dass den Harmonisierungsvorschriften von Anhang I unterliegt.
Ein KI-System, das eine der vorher skizzierten Integrations-Varianten von KI-Modellen erfüllt, unterliegt direkt den Harmonisierungsvorschriften von Anhang I unterliegt.

Dies ist insbesondere in den Fällen der Medical Device Regulation (MDR) zu beachten.

Wie man unschwer erkennen kann: Das Thema „nachgelagerte Anbieterschaft“ ist nicht wirklich so trivial, wie man erhoffen könnte.

3. Folgeeiträge zum Thema

Die weiteren Beiträge zu diesem Thema widmen sich der Reihe nach den unterschiedlichen Use Cases, die vorab skizziert wurden. Dabei werden Fälle skizziert und mit dazugehörigen Checklisten komibiniert.

Über den Autor:

Oliver M. Merx

Oliver M. Merx ist Initiator und Herausgeber von CAIR4. Er arbeitet als Digital Consultant im Großraum München. Als ausgebildeteter Rechtsassessor mit Schwerpunkt Verwaltungsrecht hat er mehrere Jahre als Repetitor in der Erwachsenenbildung und als Leiter eines juristischen Verlags gearbeitet. Ihn interessiert vor allem das Zusammenspiel von normativem Recht und freiwilliger Corporate Digital Responsibility (CDR). Er ist Mitherausgeber des CDR-Magazins, Gründer der 2019 gegründeten CDR-LinkedIn-Gruppe, Autor des CDR-Playbook, Mitgestalter der CDR-Building-Bloxx sowie des internationalen CDR-Manifesto. Bekannt ist er auch als Speaker auf zahlreichen Veranstaltungen. Seine fachlichen Schwerpunkte liegen im Gesundheitswesen, der agilen Gesetzgebung sowie im KI-Kontext.