IT, Software und Telekommunikation

Softwarehäuser sind oft Anbieter, ohne es zu planen: Sobald ein Produkt eine KI-Funktion enthält und unter eigenem Namen vertrieben wird, liegen die Anbieterpflichten beim Softwarehaus. Ob daraus Hochrisiko-Pflichten werden, entscheidet der Einsatzzweck beim Kunden, den der Anbieter mit der Zweckbestimmung festlegt.

Die wichtigsten Fragen

• Zweckbestimmung: Wofür ist das Produkt bestimmt? Ein Bewerbermanagement mit Ranking-Funktion ist hochriskant, ein Textassistent im Büropaket nicht. Die Zweckbestimmung ergibt sich aus Gebrauchsanweisung, Werbe- und Verkaufsmaterialien und technischer Dokumentation (Art. 3 Nr. 12); diese Angaben und der Kundenvertrag müssen zueinander passen.
• Basismodelle: Wer ein Modell eines Dritten integriert, ist nachgelagerter Anbieter (Art. 3 Nr. 68) und hat Anspruch auf die Informationen nach Anhang XII. Wer ein Modell mit allgemeinem Verwendungszweck selbst verändert, etwa durch Feinabstimmung, wird nach den Leitlinien der Kommission vom Juli 2025 in der Regel selbst Modellanbieter, wenn die Veränderung mehr als ein Drittel der Trainingsrechenleistung des Ausgangsmodells beansprucht; die Pflichten beschränken sich dann auf die Veränderung.
• Kunden als Betreiber: Ihre Kunden brauchen Gebrauchsanweisung, Protokollzugang und Angaben zu Modellwechseln, um ihre Pflichten zu erfüllen (Art. 12, 13, 26 Abs. 6). Im Finanzsektor fragen sie zusätzlich nach den Vertragsanforderungen aus Art. 30 DORA.
• Cyber Resilience Act: Software als Produkt mit digitalen Elementen; Meldepflichten für ausgenutzte Schwachstellen und schwerwiegende Vorfälle seit 11. September 2026, alle übrigen Pflichten ab 11. Dezember 2027.
• Telekommunikation und digitale Infrastruktur: KI als Sicherheitsbauteil im Betrieb kritischer digitaler Infrastruktur ist nach Anhang III Nr. 2 hochriskant; dazu NIS2.
• Plattformen: Für KI-Systeme, die eine nach dem Digital Services Act benannte sehr große Online-Plattform oder Suchmaschine bilden oder in eine solche integriert sind, ist seit der VO (EU) 2026/1744 ausschließlich das KI-Büro für Aufsicht und Durchsetzung zuständig (Art. 75 Abs. 1).

Die Anbieterpflichten im Einzelnen stehen unter Anbieter.