KI-Rechenschaftspflicht: Wer einsteht und wie Sie es belegen

Auf einen Blick

• Die KI-Rechenschaftspflicht ist keine Charaktereigenschaft eines Unternehmens. Nach der KI-Verordnung ist sie eine Rechtsposition, die einer benannten Betreiberrolle zugewiesen wird und eine eigene Zeile im Bußgeldartikel besitzt.
• Die Verordnung macht niemals ein KI-System rechenschaftspflichtig. Sie benennt fünf menschliche Rollen: Anbieter, Betreiber, Einführer, Händler und Bevollmächtigter.
• Artikel 25 kann Ihnen die KI-Rechenschaftspflicht ohne neuen Vertrag zuschieben. Wer sein Zeichen anbringt, wesentlich verändert oder die Zweckbestimmung ändert, wird zum Anbieter.
• Eine KI-Rechenschaftspflicht, die sich nicht auf Verlangen belegen lässt, ist eine Absicht, keine Pflichterfüllung. Zu jeder Pflicht gehört ein Artefakt: technische Dokumentation, Protokolle, eine dokumentierte Aufsichtszuweisung, eine Konformitätserklärung.
• Artikel 99 bepreist das Versagen rollenweise, bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes, und der Schadensersatz läuft inzwischen über die überarbeitete Produkthaftungsrichtlinie.

Was KI-Rechenschaftspflicht tatsächlich bedeutet

Die meisten Definitionen der KI-Rechenschaftspflicht bleiben bei einer Empfindung stehen: Irgendjemand solle einstehen, wenn ein KI-System Schaden anrichtet. Das ist zutreffend und praktisch wertlos. Es liefert kein Kriterium dafür, wer dieser Jemand ist, keines dafür, was er schuldet, und keines dafür, ob er es erfüllt hat.

Das Arbeitsheft des Alan Turing Institute zu diesem Thema bietet die sauberste verfügbare Zerlegung. Es teilt die KI-Rechenschaftspflicht in zwei Bestandteile: die Antwortpflicht, also die Verpflichtung, den betroffenen Personen klare und zugängliche Begründungen für Entscheidungen und deren Folgen zu liefern, und die Prüfbarkeit, also die nachweisbare, evidenzgestützte Fähigkeit zu zeigen, wie ein System entworfen, gebaut und betrieben wurde (Alan Turing Institute). Das eine ist, was Sie sagen. Das andere ist, was Sie vorlegen können. Eine Organisation, die das erste beherrscht, das zweite aber nicht, betreibt Öffentlichkeitsarbeit.

Dasselbe Arbeitsheft ergänzt eine zweite Achse, die in Anbieterinhalten meist fehlt. Die KI-Rechenschaftspflicht wirkt in zwei zeitliche Richtungen. Vorausschauende Rechenschaft umfasst Governance, Begründung und Dokumentation vor und während eines Vorhabens, damit Schaden gar nicht erst entsteht. Nachsorgende Rechenschaft umfasst Abhilfe, Widerspruch und Korrektur, nachdem ein Ergebnis eingetreten ist. Nahezu jeder Beitrag zur Frage, wer verantwortlich ist, wenn KI Fehler macht, behandelt nur die zweite Hälfte, also jene, nach der man greift, wenn es für eine günstige Lösung längst zu spät ist.

Damit verändert sich, was KI-Rechenschaftspflicht an einem Montagmorgen bedeutet. Sie hört auf, ein Wertebekenntnis in einer Richtlinie zu sein, und wird zu zwei konkreten Fragen. Wer steht namentlich für dieses konkrete System ein? Und welche Nachweise würden wir morgen einer Aufsichtsbehörde vorlegen, wenn sie den Beleg verlangt? KI-Governance ist das Betriebsmodell, das diese beiden Fragen überhaupt beantwortbar macht.

Eine Klarstellung vor dem juristischen Teil, weil die Suchergebnisse voll davon sind. KI-Rechenschaftspflicht ist nicht dasselbe wie Transparenz oder Erklärbarkeit. Diese sind Mittel: Erklärbarkeit hilft beim Antworten, Protokollierung hilft beim Nachweisen. Die KI-Rechenschaftspflicht ist die Beziehung selbst, in der eine benannte Partei einer dazu berechtigten Stelle Rechenschaft über eine Entscheidung schuldet.

Die fünf Rollen, die die KI-Verordnung in die Pflicht nimmt

Wer fragt, ob eine KI zur Rechenschaft gezogen werden kann, stellt eine Frage, die das Recht bereits abgelehnt hat. Die KI-Verordnung weist Systemen keine Pflichten zu. Sie weist sie Akteuren zu, und sie benennt fünf davon.

Rolle	Merkmal der Zuordnung	Kernpflicht	Artikel
Anbieter	Entwickelt ein System oder lässt es entwickeln und bringt es unter eigenem Namen oder Zeichen in Verkehr oder in Betrieb	Der gesamte Hochrisiko-Pflichtenkreis: Risikomanagement, Daten-Governance, technische Dokumentation, Konformitätsbewertung, Registrierung	Artikel 16
Betreiber	Verwendet ein KI-System in eigener Verantwortung im beruflichen Kontext	Betriebsanleitung einhalten, menschliche Aufsicht zuweisen, überwachen und aussetzen, Protokolle aufbewahren, Beschäftigte und Betroffene informieren	Artikel 26
Einführer	Bringt ein System eines außerhalb der Union niedergelassenen Anbieters in der Union in Verkehr	Konformitätsbewertung, Dokumentation und Kennzeichnung vor dem Inverkehrbringen prüfen	Artikel 23
Händler	Stellt ein System auf dem Markt bereit, ohne Anbieter oder Einführer zu sein	Kennzeichnung und Dokumentation prüfen, bei Verdacht auf Nichtkonformität handeln	Artikel 24
Bevollmächtigter	Wird von einem Drittlandanbieter schriftlich benannt	Bestehen von Erklärung und Dokumentation prüfen, diese 10 Jahre bereithalten, Behörden Protokollzugang gewähren, bei Verstoß kündigen	Artikel 22

Der Oberbegriff der Verordnung für alle fünf lautet Akteur. Die meisten Organisationen, die dies lesen, sind Betreiber, und die meisten haben das nie schriftlich festgehalten. Wenn Ihr Haus ein Anbieterwerkzeug im beruflichen Kontext einsetzt, sind Sie der Betreiber dieses Systems, und die Pflichten aus Artikel 26 treffen Sie unabhängig davon, was das Marketing des Anbieters zur Konformität verspricht. Unser Praxisleitfaden zur KI-Verordnung führt den vollständigen Pflichtenkreis je Rolle auf.

Der Bevollmächtigte verdient einen eigenen Absatz, denn dies ist die Rolle mit echten Befugnissen. Ein außerhalb der Union niedergelassener Anbieter muss ihn vor dem Inverkehrbringen eines Hochrisiko-Systems durch schriftliches Mandat benennen. Dieser Bevollmächtigte prüft, ob die EU-Konformitätserklärung und die technische Dokumentation erstellt und die Konformitätsbewertung durchgeführt wurden, hält die Unterlagen zehn Jahre lang für die Behörden bereit und stellt den zuständigen Behörden Informationen einschließlich des Zugangs zu automatisch erzeugten Protokollen zur Verfügung. Und gelangt er zu der Auffassung, dass der Anbieter seinen Pflichten zuwiderhandelt, muss er das Mandat beenden und der Marktüberwachungsbehörde die Gründe mitteilen (Artikel 22). Der Gesetzgeber hat einen Hinweisgeber in die Konformitätskette eingebaut.

Artikel 25: Wie die KI-Rechenschaftspflicht unbemerkt übergeht

Dies ist der Mechanismus, der einen Betreiber am ehesten teuer zu stehen kommt, und er fehlt in den veröffentlichten Kommentaren fast vollständig.

Sie können zum Anbieter eines Hochrisiko-KI-Systems werden, ohne etwas Neues zu unterschreiben. Artikel 25 Absatz 1 nennt drei Auslöser (Artikel 25):

1. Sie bringen Ihren Namen oder Ihr Zeichen auf einem bereits in Verkehr gebrachten Hochrisiko-System an, sofern vertraglich nichts anderes zur Pflichtenverteilung vereinbart ist.
2. Sie nehmen eine wesentliche Veränderung an einem Hochrisiko-System vor, die dessen Konformität berührt oder die Zweckbestimmung ändert, und es bleibt oder wird dadurch hochriskant.
3. Sie ändern die Zweckbestimmung eines Systems, auch eines nicht ursprünglich als hochriskant eingestuften KI-Systems mit allgemeinem Verwendungszweck, sodass es nach Artikel 6 hochriskant wird.

Der dritte Auslöser ist der zeitgemäße. Nehmen Sie ein Modell mit allgemeinem Verwendungszweck, trainieren Sie es auf eigenen Daten nach und richten Sie es auf Bewerbervorauswahl oder Kreditvergabe aus. Sie haben kein Hochrisiko-System gekauft. Sie haben eines hergestellt, und Sie sind nun dessen Anbieter, mit dem vollständigen Pflichtenkreis des Artikels 16 einschließlich Konformitätsbewertung.

Was mit dem ursprünglichen Anbieter geschieht, wird ebenso selten berichtet. Nach Artikel 25 Absatz 2 gilt der ursprüngliche Anbieter nicht mehr als Anbieter dieses Systems. Frei ist er damit nicht sofort: Er muss eng mit dem neuen Anbieter zusammenarbeiten und die technische Dokumentation, die bekannten Grenzen und Fehlerarten sowie den gezielten technischen Zugang bereitstellen, der zur Erfüllung der Pflichten nötig ist. Eine Ausnahme gehört allerdings in jedes Beschaffungsgespräch. Diese Kooperationspflicht entfällt, wenn der ursprüngliche Anbieter ausdrücklich ausgeschlossen hat, dass sein System in ein Hochrisiko-System umgewandelt wird. Ein Anbieter kann sich vertraglich aus der Hilfeleistung herausnehmen, und viele werden das tun.

Artikel 25 Absatz 4 schließt den Kreis, indem er Anbieter und Drittzulieferer verpflichtet, in einer schriftlichen Vereinbarung die Informationen, den technischen Zugang und die Unterstützung festzulegen, die zur Erfüllung der Pflichten erforderlich sind. Freie und quelloffene Komponenten sind ausgenommen, und das KI-Büro kann freiwillige Mustervertragsklauseln veröffentlichen. Wer Systeme aus Bausteinen zusammensetzt, hat in dieser schriftlichen Vereinbarung sein Instrument der KI-Rechenschaftspflicht, und ihr Ort ist die Lieferantenprüfung, nicht die juristische Durchsicht drei Tage vor dem Start.

Was jede Rolle tatsächlich vorlegen muss

Eine KI-Rechenschaftspflicht, die Sie nicht belegen können, ist eine Behauptung, keine Position. Die Verordnung ist bei den Artefakten ungewöhnlich präzise, und genau hier wird die KI-Rechenschaftspflicht operativ statt beschwörend.

• Die technische Dokumentation, vor dem Inverkehrbringen erstellt und aktuell gehalten, nach Anhang IV. Sie ist die Stammakte, die Entwurfsentscheidungen, Daten-Governance und Tests belegt. Siehe unsere Aufschlüsselung der Dokumentationsanforderungen.
• Automatisch erzeugte Protokolle, nach Artikel 12 bereits im Entwurf angelegt, damit Ereignisse über die Lebensdauer des Systems aufgezeichnet werden, und vom Betreiber nach Artikel 26 Absatz 6 für einen der Zweckbestimmung angemessenen Zeitraum aufbewahrt, mindestens jedoch sechs Monate, soweit das Unionsrecht oder das nationale Recht nichts anderes bestimmt.
• Eine dokumentierte Zuweisung der menschlichen Aufsicht, die die ausübenden natürlichen Personen namentlich benennt, nach Artikel 26 Absatz 2.
• Die EU-Konformitätserklärung nach Artikel 47, vom Anbieter unterzeichnet: der Moment, in dem die KI-Rechenschaftspflicht förmlich schriftlich übernommen wird.
• Die Beobachtung nach dem Inverkehrbringen nach Artikel 72 sowie die Meldung schwerwiegender Vorfälle an den Anbieter und die Marktüberwachungsbehörde nach Artikel 73. Unser Leitfaden zur Meldung von KI-Vorfällen behandelt Fristen und Schwellen.

Als Ganzes gelesen sind diese Artefakte die Prüfbarkeitshälfte der Turing-Definition, übersetzt in Rechtspflichten. Jedes beantwortet eine Frage, die eine Behörde stellen kann: Was haben Sie gebaut, was hat es getan, wer hat aufgepasst, wer hat unterschrieben, und was haben Sie getan, als es schiefging.

Die KI-Rechenschaftspflicht hat eine Preisliste

Der deutlichste Beleg dafür, dass die KI-Rechenschaftspflicht eine Rolle und keine Tugend ist: Die Verordnung bepreist sie rollenweise.

Artikel 99 Absatz 4 setzt Geldbußen von bis zu 15 000 000 Euro oder 3 Prozent des gesamten weltweiten Jahresumsatzes fest, je nachdem, welcher Betrag höher ist, und zählt dann die Adressaten auf: Anbieter nach Artikel 16, Bevollmächtigte nach Artikel 22, Einführer nach Artikel 23, Händler nach Artikel 24, Anbieter und Akteure nach Artikel 25 Absätze 2 und 4, Betreiber nach Artikel 26, notifizierte Stellen sowie Anbieter und Betreiber im Rahmen der Transparenzpflichten des Artikels 50 (Artikel 99). Die verbotenen Praktiken des Artikels 5 liegen höher, bei bis zu 35 000 000 Euro oder 7 Prozent. Wer notifizierten Stellen oder zuständigen nationalen Behörden unrichtige, unvollständige oder irreführende Auskünfte erteilt, riskiert bis zu 7 500 000 Euro oder 1 Prozent.

Diese letzte Stufe verdient einen Moment, denn sie bedeutet: Die Rechenschaft, die Sie ablegen, ist selbst reguliert. Vorsätzlich falsch zu antworten ist ein eigener Verstoß.

Die behördliche Durchsetzung ist nur die halbe Landschaft. Der Schadensersatz läuft auf einer eigenen Spur, und diese hat sich bewegt. Der Vorschlag für eine KI-Haftungsrichtlinie wurde von der Kommission im Februar 2025 zurückgezogen. Ansprüche geschädigter Personen laufen daher jetzt über die überarbeitete Produkthaftungsrichtlinie (EU) 2024/2853, die Software und KI-Systeme als Produkte behandelt, eine verschuldensunabhängige Haftung vorsieht, sodass der Anspruchsteller kein Verschulden nachweisen muss, den Kreis haftender Wirtschaftsakteure erweitert und Beweiserleichterungen zugunsten der geschädigten Person einführt. Die Mitgliedstaaten müssen sie bis zum 9. Dezember 2026 umsetzen (EUR-Lex). Zwei Regime, zwei verschiedene Anspruchsteller, ein Sachverhalt.

Menschen benennen: Kompetenz, Schulung und Befugnis

Artikel 26 Absatz 2 enthält drei Begriffe, die die meisten Aufsichtsprogramme stillschweigend scheitern lassen. Betreiber müssen die menschliche Aufsicht natürlichen Personen übertragen, die über die erforderliche Kompetenz, Schulung und Befugnis sowie die nötige Unterstützung verfügen (Artikel 26).

Kompetenz und Schulung lassen sich beschaffen. Befugnis nicht. Sie bedeutet, dass die benannte Person das System tatsächlich anhalten kann. Artikel 26 Absatz 5 macht das greifbar: Hat der Betreiber Grund zu der Annahme, dass die Verwendung ein Risiko birgt, muss er die Verwendung des Systems aussetzen und den Anbieter unterrichten. Eine Aufsichtsrolle in den Händen einer Person, die einen produktiven Dienst nicht ohne drei Freigaben stoppen kann, genügt dem nicht, was immer die Verantwortungsmatrix behauptet. Der Unterschied zwischen menschlicher Aufsicht in der Schleife und über der Schleife ist genau der Unterschied zwischen Befugnis und Zuschauen.

Zwei weitere Rahmenwerke laufen hier zusammen, was die Zuordnung günstig macht, wenn Sie bereits zertifiziert sind. Abschnitt 5.3 der ISO/IEC 42001 verlangt von der obersten Leitung, die Rollen für das KI-Managementsystem zuzuweisen, bekannt zu machen und zu autorisieren, dokumentierte Linien der KI-Rechenschaftspflicht zu schaffen und benannte Personen zu befähigen, die Konformität zu prüfen und der Leitung über die Leistung zu berichten. Auditoren lesen diesen Abschnitt als Forderung nach benannten Verantwortlichen über den gesamten Lebenszyklus, nicht nach einem Gremium. Unsere Analyse des Zusammenspiels von ISO 42001 und KI-Verordnung zeigt, wo Abschnitt und Artikel sich treffen. Auf US-Seite fordert die Funktion GOVERN des NIST-Rahmenwerks für KI-Risikomanagement Rechenschaftsstrukturen, damit die zuständigen Teams und Personen befähigt, verantwortlich und geschult sind (NIST AI 100-1).

Wo die KI-Rechenschaftspflicht in der Praxis bricht

Vier Fehlermuster erklären die meisten Brüche der KI-Rechenschaftspflicht.

Keine Rolle, weil kein Verzeichnis. Für ein System, von dem Sie nichts wissen, lässt sich keine KI-Rechenschaftspflicht zuweisen. Schatten-KI ist ein Rechenschaftsversagen, bevor sie ein Sicherheitsproblem ist: Ein nicht erfasstes Werkzeug hat weder einen erfassten Anbieter noch einen erfassten Betreiber noch eine benannte Aufsicht.

Das Problem der vielen Hände in agentischen Ketten. Ein Ablauf über ein Basismodell, eine Orchestrierungsschicht, einen Vektorspeicher und drei Zulieferer verteilt den Verursachungsbeitrag so dünn, dass sich niemand zur Antwort verpflichtet fühlt. Die Antwort der Verordnung ist die schriftliche Vereinbarung nach Artikel 25 Absatz 4, die zur Festlegung zwingt, bevor sie gebraucht wird, statt sie hinterher zu erstreiten.

Der Vertragsmythos. Kaufmännische Bedingungen zwischen Anbieter und Betreiber verteilen das Risiko zwischen diesen beiden Parteien. Sie verdrängen nicht die gesetzlichen Pflichten, die jeder gegenüber Behörden und betroffenen Personen schuldet. Ein Betreiber, der sich freistellen ließ, hat den Zahler geändert, nicht den Rechenschaftspflichtigen.

Der Fristenmythos. Die Digitale Omnibus-Verordnung zur KI, Verordnung (EU) 2026/1744, trat am 27. Juli 2026 in Kraft und verschob die Hochrisiko-Pflichten des Anhangs III auf den 2. Dezember 2027 und die des Anhangs I auf den 2. August 2028. Sie hat nicht alles ausgesetzt. Die verbotenen Praktiken gelten seit dem 2. Februar 2025, und die Transparenzpflichten des Artikels 50 bleiben unverändert. Lesen Sie die Verschiebung als Zeit, die Zuordnung sauber aufzubauen, nicht als Erlaubnis, sie zu überspringen. Unsere Sicht auf die regulatorische Landschaft hält fest, was sich bewegt hat und was nicht.

Ihre Landkarte der KI-Rechenschaftspflicht in diesem Quartal

Sieben Schritte, in dieser Reihenfolge.

1. Erfassen Sie jedes eingesetzte KI-System, auch die per Firmenkarte beschafften und die in bereits vorhandener Software eingebetteten.
2. Ordnen Sie jedes anhand von Anhang III und Artikel 6 ein, um festzustellen, ob Hochrisiko-Pflichten greifen.
3. Bestimmen Sie Ihre Rolle je System, nicht je Organisation. Bei den meisten sind Sie Betreiber, bei einigen wenigen Anbieter.
4. Benennen Sie die natürliche Person, die für jedes Hochrisiko-System die Aufsicht ausübt, und bestätigen Sie schriftlich, dass sie die Aussetzungsbefugnis nach Artikel 26 Absatz 5 besitzt.
5. Listen Sie das Artefakt auf, das jede Pflicht erfüllt, und wo es liegt: Dokumentation, Protokolle samt Aufbewahrungsfrist, Konformitätserklärung, Vorfallverfahren.
6. Prüfen Sie Ihre Vorhabenplanung gegen die Auslöser des Artikels 25. Jede geplante Umetikettierung, Nachschulung oder Zweckänderung kommt vor Entwicklungsbeginn auf eine Beobachtungsliste.
7. Legen Sie einen Überprüfungsrhythmus und einen Verantwortlichen für die Landkarte selbst fest, denn Rollen ändern sich, sobald ein System verändert wird.

Die Schritte 1 bis 3 werden von Organisationen übersprungen, und jeder spätere Schritt hängt von ihnen ab. Ein KI-Audit, das ohne sie beginnt, verbringt seine erste Woche damit, das Verzeichnis zu rekonstruieren.

Häufige Fragen

Kann KI rechtlich zur Rechenschaft gezogen werden?

Nein. Keine Rechtsordnung verleiht KI-Systemen Rechtspersönlichkeit, und die KI-Verordnung versucht es nicht. Sie weist die Pflichten menschlichen und unternehmerischen Akteuren zu: Anbietern, Betreibern, Einführern, Händlern und Bevollmächtigten. Wenn öffentlich gefragt wird, ob KI rechenschaftspflichtig sein kann, lautet die operative Übersetzung: Welche Akteursrolle nehmen Sie für ein bestimmtes System ein, und was schuldet diese Rolle nach ihrem Artikel? Das System ist Gegenstand der Pflicht, niemals ihr Träger.

Warum ist die KI-Rechenschaftspflicht ein Problem?

Weil der Verursachungsbeitrag verteilt und die Spuren flüchtig sind. Ein einzelnes Ergebnis kann Trainingsdaten einer Partei, eine Nachschulung einer zweiten, eine Orchestrierungsanweisung einer dritten und eine Einsatzentscheidung einer vierten widerspiegeln. Kommen probabilistische Systeme hinzu, die sich mit jedem Nachtraining ändern, reißt die übliche Beweiskette. Die regulatorische Antwort besteht darin, die KI-Rechenschaftspflicht an Rollen zu binden und dauerhafte Artefakte, Protokolle und Dokumentation zu verlangen, damit die Rechenschaft die Verteilung überdauert.

Worin unterscheiden sich KI-Rechenschaftspflicht und verantwortungsvolle KI?

Verantwortungsvolle KI beschreibt eine Haltung: Systeme sorgfältig, fair und umsichtig entwickeln und betreiben. Die KI-Rechenschaftspflicht ist beziehungshaft und rückblickend: Eine benannte Partei schuldet einer dazu berechtigten Stelle Rechenschaft über eine Entscheidung und trägt die Folgen, wenn diese Rechenschaft ausbleibt. Man kann sorgfältig handeln, ohne jemandem im Besonderen Rechenschaft zu schulden. In der KI-Verordnung ist der zweite Begriff der stärkere, weil er mit einem definierten Gegenüber, einem definierten Artefakt und einer definierten Sanktion daherkommt.

Überträgt ein Vertrag mit unserem Anbieter die KI-Rechenschaftspflicht?

Gegenüber Behörden nicht. Ein Vertrag verteilt das kaufmännische Risiko zwischen den Parteien, und er kann nach Artikel 25 Absatz 1 Buchstabe a eine Rolle spielen, wo die Anbieterstellung durch Kennzeichenanbringung gilt, sofern vertraglich nichts anderes vereinbart ist. Die gesetzlichen Pflichten gegenüber Marktüberwachungsbehörden und betroffenen Personen sind jedoch nicht privatautonom abtretbar. Sind Sie der Betreiber, gilt Artikel 26 für Sie, was immer der Dienstleistungsvertrag dazu sagt, dass Konformität Sache des Anbieters sei.

Was muss ein Rahmenwerk zur KI-Rechenschaftspflicht enthalten?

Mindestens: ein Systemverzeichnis, eine Rollenbestimmung je System, eine Risikoeinstufung, eine benannte Aufsicht mit Aussetzungsbefugnis, eine Nachweislandkarte, die jede Pflicht mit ihrem Artefakt und ihrer Aufbewahrungsfrist verbindet, einen Vorfall- und Abhilfeweg sowie einen Änderungsauslöser, der die Rollen neu prüft, sobald ein System verändert wird. Rahmenwerke, die bei Grundsätzen stehen bleiben, scheitern an der Prüfbarkeitshälfte, denn ein Grundsatz lässt sich nicht auf Verlangen vorlegen.

Wer trägt die KI-Rechenschaftspflicht, wenn ein Modell mit allgemeinem Verwendungszweck nachgelagert Schaden anrichtet?

Das hängt davon ab, was Sie damit getan haben. Der Modellanbieter trägt die Pflichten, die für das Modell selbst gelten. Haben Sie es nachtrainiert oder umgewidmet, sodass das entstandene System nach Artikel 6 hochriskant ist, macht Artikel 25 Absatz 1 Buchstabe c Sie zum Anbieter dieses Systems, mit dem vollen Pflichtenkreis des Artikels 16. Haben Sie es unverändert für seine ursprüngliche Zweckbestimmung eingesetzt, tragen Sie die Betreiberpflichten des Artikels 26. Maßgeblich ist stets die Handlung, die Sie vorgenommen haben, nicht das Logo auf dem Modell.

Fazit

Das veröffentlichte Material zur KI-Rechenschaftspflicht ist voller Grundsätze, und Grundsätze sind nicht das Schwierige. Das Schwierige ist, dass Rechenschaft im europäischen Recht eine Position ist, die man einnimmt, mitunter ohne es zu wollen, und dass zu jeder Position eine Artikelnummer, ein Artefakt und ein Bußgeld gehören. Beginnen Sie mit dem Verzeichnis, bestimmen Sie die Rolle je System, benennen Sie die Person, die abschalten kann, und legen Sie die Nachweise dort ab, wo Sie sie binnen eines Tages vorlegen können. Darin besteht die KI-Rechenschaftspflicht in der Praxis. Alles Übrige ist Kommentar. Für das umfassendere Betriebsmodell beginnen Sie mit der KI-Governance.