Im Facility Management bezeichnet der Gebäudebetreiber die Organisation, die den sicheren und rechtskonformen Betrieb eines Gebäudes verantwortet. Die KI-Verordnung verwendet den Begriff „Betreiber“ dagegen für eine Organisation, die ein KI-System unter eigener Verantwortung verwendet. Beide Rollen können zusammenfallen, müssen es aber nicht. Ein externer FM-Dienstleister kann beispielsweise KI-Betreiber sein, während die Betreiberverantwortung für das Gebäude beim Eigentümer oder Nutzer verbleibt.
Anbieter, Betreiber und Integratoren von KI-Systemen unterscheiden
Anbieter ist, wer ein KI-System entwickelt oder entwickeln lässt und es unter eigenem Namen in Verkehr bringt oder für eigene Zwecke in Betrieb nimmt. Betreiber ist, wer das System unter eigener Verantwortung nutzt. Hinzu kommen Einführer, Händler, Produktanbieter und weitere Akteure der Lieferkette. Die Zuordnung richtet sich nach dem tatsächlichen Handeln und nicht allein nach den im Vertrag verwendeten Rollenbezeichnungen.
Konstellation
Mögliche Rolle
Zentrale FM-Prüffrage
Standardsoftware wird unverändert genutzt
KI-Betreiber
Wer bestimmt Zweck und Eingabedaten?
System wird unter eigenem Namen angeboten
Anbieter
Wer trägt Dokumentations- und Konformitätspflichten?
Drittlandsystem wird in die EU eingeführt
Einführer
Wer prüft Anbieter und Unterlagen?
Software wird an Kunden weitergegeben
Händler oder Anbieter
Wird das System nur vertrieben oder verändert?
FM-Dienstleister nutzt eigene KI
Betreiber oder Anbieter
Wirkt die KI auf Auftraggeberprozesse oder Personen?
Integrator verändert Zweck oder Logik
Möglicherweise neuer Anbieter
Liegt eine wesentliche Änderung vor?
KI ist Bestandteil technischer Ausrüstung
Produktanbieter oder Betreiber
Ist KI eine Sicherheitskomponente?
Wechsel der Verantwortlichkeit
Ein Betreiber, Integrator oder anderer Dritter kann bei einem Hochrisiko-KI-System selbst zum Anbieter werden. Dies kommt insbesondere in Betracht, wenn er seinen Namen auf das System setzt, eine wesentliche Änderung vornimmt oder den ursprünglichen Verwendungszweck so verändert, dass das System zum Hochrisiko-KI-System wird. Eigene Konfigurationen, zusätzliche Datenquellen und automatisierte Folgeaktionen sind daher vor der Umsetzung auf ihre rechtliche Bedeutung zu prüfen.
Lieferkette im FM
Bei einer KI-gestützten Gebäudeanwendung können Eigentümer, Betreiberorganisation, FM-Dienstleister, CAFM-Anbieter, Systemintegrator, Modellanbieter und Cloud-Provider beteiligt sein. Für jede Leistung ist festzuhalten, wer das System auswählt, konfiguriert, trainiert, mit Daten versorgt, überwacht und verändert. Auch die Verantwortung für Fehlermeldungen, Sicherheitsvorfälle, technische Dokumentation und die Zusammenarbeit mit Behörden muss eindeutig zugeordnet werden.
Vertrag und RACI-Matrix
Verträge können gesetzliche Rollen nicht beliebig umbenennen. Sie müssen jedoch die daraus folgenden Aufgaben, Zugangsrechte und Unterstützungsleistungen abbilden. Ergänzend empfiehlt sich eine RACI-Matrix für Entwicklung, Freigabe, Betrieb, Aufsicht, Monitoring und Incident Management. Änderungen an Modell, Prompts, Daten, Schnittstellen oder Entscheidungslogik dürfen nur nach einem festgelegten Verfahren vorgenommen werden. Dadurch wird verhindert, dass eine vermeintlich technische Anpassung unbemerkt die rechtliche Rolle verändert.
