Zwei Betreiberbegriffe
Im Facility Management bezeichnet der Gebäudebetreiber die Organisation, die den sicheren und rechtskonformen Betrieb eines Gebäudes verantwortet. Die KI-Verordnung verwendet den Begriff „Betreiber“ dagegen für eine Organisation, die ein KI-System unter eigener Verantwortung verwendet. Beide Rollen können zusammenfallen, müssen es aber nicht. Ein externer FM-Dienstleister kann beispielsweise KI-Betreiber sein, während die Betreiberverantwortung für das Gebäude beim Eigentümer oder Nutzer verbleibt.
Anbieter, Betreiber und Integratoren von KI-Systemen unterscheiden
Anbieter und Betreiber
Anbieter ist, wer ein KI-System entwickelt oder entwickeln lässt und es unter eigenem Namen in Verkehr bringt oder für eigene Zwecke in Betrieb nimmt. Betreiber ist, wer das System unter eigener Verantwortung nutzt. Hinzu kommen Einführer, Händler, Produktanbieter und weitere Akteure der Lieferkette. Die Zuordnung richtet sich nach dem tatsächlichen Handeln und nicht allein nach den im Vertrag verwendeten Rollenbezeichnungen.
|
| Standardsoftware wird unverändert genutzt | KI-Betreiber | Wer bestimmt Zweck und Eingabedaten? |
| System wird unter eigenem Namen angeboten | Anbieter | Wer trägt Dokumentations- und Konformitätspflichten? |
| Drittlandsystem wird in die EU eingeführt | Einführer | Wer prüft Anbieter und Unterlagen? |
| Software wird an Kunden weitergegeben | Händler oder Anbieter | Wird das System nur vertrieben oder verändert? |
| FM-Dienstleister nutzt eigene KI | Betreiber oder Anbieter | Wirkt die KI auf Auftraggeberprozesse oder Personen? |
| Integrator verändert Zweck oder Logik | Möglicherweise neuer Anbieter | Liegt eine wesentliche Änderung vor? |
| KI ist Bestandteil technischer Ausrüstung | Produktanbieter oder Betreiber | Ist KI eine Sicherheitskomponente? |
Wechsel der Verantwortlichkeit
Ein Betreiber, Integrator oder anderer Dritter kann bei einem Hochrisiko-KI-System selbst zum Anbieter werden. Dies kommt insbesondere in Betracht, wenn er seinen Namen auf das System setzt, eine wesentliche Änderung vornimmt oder den ursprünglichen Verwendungszweck so verändert, dass das System zum Hochrisiko-KI-System wird. Eigene Konfigurationen, zusätzliche Datenquellen und automatisierte Folgeaktionen sind daher vor der Umsetzung auf ihre rechtliche Bedeutung zu prüfen.
Lieferkette im FM
Bei einer KI-gestützten Gebäudeanwendung können Eigentümer, Betreiberorganisation, FM-Dienstleister, CAFM-Anbieter, Systemintegrator, Modellanbieter und Cloud-Provider beteiligt sein. Für jede Leistung ist festzuhalten, wer das System auswählt, konfiguriert, trainiert, mit Daten versorgt, überwacht und verändert. Auch die Verantwortung für Fehlermeldungen, Sicherheitsvorfälle, technische Dokumentation und die Zusammenarbeit mit Behörden muss eindeutig zugeordnet werden.
Vertrag und RACI-Matrix
Verträge können gesetzliche Rollen nicht beliebig umbenennen. Sie müssen jedoch die daraus folgenden Aufgaben, Zugangsrechte und Unterstützungsleistungen abbilden. Ergänzend empfiehlt sich eine RACI-Matrix für Entwicklung, Freigabe, Betrieb, Aufsicht, Monitoring und Incident Management. Änderungen an Modell, Prompts, Daten, Schnittstellen oder Entscheidungslogik dürfen nur nach einem festgelegten Verfahren vorgenommen werden. Dadurch wird verhindert, dass eine vermeintlich technische Anpassung unbemerkt die rechtliche Rolle verändert.
