KI-System-Anbieter: AI Act, Data Act & DSGVO-Pflichten

KI-System-Anbieter sind die zentrale Adressatin/der zentrale Adressat des AI Act. Pflichten staffeln sich nach Risikoklasse: verboten (Art. 5, sofortige Einstellung), hochriskant (volles Art. 8–15-Pflichtenbündel, Konformitätsbewertung, CE, Registrierung), begrenzt (Art. 50 Transparenz), minimal (keine spezifischen AI-Act-Pflichten). Plus: GPAI-Anbieter (Art. 3 Nr. 63 GPAI-Modell) haben eigene Pflichten (Art. 53, bei systemischem Risiko Art. 55). Eine genaue Klassifizierung jedes Systems ist der erste Compliance-Schritt — Fehlklassifizierung ist Haftungs- und Sanktionsrisiko. Überlagert: DSGVO (als Verantwortlicher), DSA bei Plattform-Betrieb, GPSR (allgemeine Produktsicherheit), produktspezifische Regelungen bei eingebetteter KI (MDR, Maschinen-VO).

Praktisch erforderlich: eine KI-Compliance-Architektur, die alle Pflichten systematisch erfüllt. Komponenten: (1) Inventar aller KI-Systeme (Zweck, Risikoklasse, Pflichten); (2) Risikoklassifizierungs-Verfahren (Art. 6, Anhänge I/III); (3) Konformitäts-Pipeline (Risikoanalyse, Daten-Governance, technische Dokumentation, Tests, notifizierte Stelle bei Bedarf); (4) QMS (Art. 17 — ISO/IEC 42001 als Operationalisierung); (5) CE-/Konformitätserklärung; (6) Registrierung in EU-Datenbank (Art. 71); (7) Post-Market-Monitoring-System (Art. 72) mit Vorfall-Pipeline (Art. 73); (8) Repräsentant bei Drittland-Sitz (Art. 22); (9) Downstream-/Supply-Chain-Verträge (Art. 25). Sanktionen: bis 35 Mio. EUR / 7 % Umsatz (Art. 99 Abs. 3 Verbote), 15 Mio. / 3 % (andere Verstöße). Haftungsrisiko: AI Liability Directive, Produkthaftung. Eine proaktive Compliance schützt vor Sanktionen, Haftungsansprüchen und Reputationsschäden.

Die Grenze der Anbieter-Praxis ist die integrierte Haftungsarchitektur. Eine dokumentierte, umfassende Compliance ist Haftschutz bei der AI Liability Directive (Beweiserleichterung bei Nonkonformität — Konformität entlastet), der revidierten Produkthaftungsrichtlinie (Stand der Wissenschaft/Technik) und behördlichen Ermittlungen. Versicherbarkeit: Cyber-/Technologie-/Produkthaftpflicht-Versicherungen setzen AI-Act-Konformität voraus; zertifizierte Anbieter haben Deckungsvorteile. Verantwortung über die Lieferkette: Downstream-/Supply-Chain-Verträge verteilen Pflichten, Haftung, Incident-Sharing; GPAI-Anbieter müssen Art. 53-Informationen an Downstream-Anbieter geben. Eine nachlässige Compliance ist AI-Act-Verstoß (Sanktionen Art. 99), Haftungsgrundlage und Vertrauensverlust — proaktive Compliance ist Haftschutz, Wettbewerbsvorteil und ethische Verantwortung zugleich.