EU-KI-Gesetz Artikel 26: Verpflichtungen des Deployers für hochrisikige KI

Wer ist ein Deployer?

Ein Deployer ist jede natürliche oder juristische Person, die ein KI-System unter ihrer eigenen Autorität im Rahmen einer beruflichen Tätigkeit verwendet (Einzelne, die KI für rein persönliche, nicht berufliche Gründe verwenden, sind ausgeschlossen).

Die Verpflichtungen des Deployers stehen neben den Anbieterverpflichtungen, nicht an deren Stelle. Der Anbieter entwickelt und dokumentiert das System; der Deployer ist für die tatsächliche Verwendung verantwortlich. Wenn ein Deployer ein hochrisikiges System wesentlich modifiziert oder seinen eigenen Namen darauf anbringt, kann er auch Anbieterverpflichtungen nach Artikel 25 übernehmen.

Die Kernpflichten des Deployers

Artikel 26 legt eine definierte Reihe von Betriebspflichten für Deployer von hochrisikigen KI-Systemen fest:

• Verwendung nach Anweisungen — geeignete technische und organisatorische Maßnahmen ergreifen, um das System gemäß den Anweisungen des Anbieters für die Verwendung zu verwenden
• Zuweisung kompetenter menschlicher Aufsicht — die Aufsicht natürlichen Personen zu übertragen, die die notwendige Kompetenz, Schulung, Autorität und Unterstützung haben, um sie unter Artikel 14 auszuführen
• Steuerung der Eingabedaten — sicherzustellen, dass die Eingabedaten, die der Deployer kontrolliert, relevant und ausreichend repräsentativ sind, um den beabsichtigten Zweck des Systems zu erfüllen
• Überwachung des Betriebs — den Betrieb des Systems gegen die Anweisungen für die Verwendung zu überwachen und den Anbieter oder Vertreiber zu informieren, wenn ein Risiko auftritt
• Aufbewahrung automatisch generierter Protokolle — die Protokolle, die das System automatisch generiert, aufzubewahren, soweit sie unter der Kontrolle des Deployers stehen, für mindestens sechs Monate (es sei denn, ein längerer Zeitraum ist durch Unions- oder nationales Recht vorgeschrieben)
• Information der Arbeitnehmer und ihrer Vertreter — vor der Inbetriebnahme eines hochrisikigen KI-Systems am Arbeitsplatz die betroffenen Arbeitnehmer und ihre Vertreter darüber zu informieren, dass sie diesem System unterliegen
• Datenschutz-Folgenabschätzung — soweit relevant, die Informationen, die nach Artikel 13 bereitgestellt werden, zu verwenden, um eine Datenschutz-Folgenabschätzung nach der DSGVO durchzuführen
• Aussetzen und Informieren bei schwerwiegendem Risiko — wenn das System ein Risiko für die Gesundheit, die Sicherheit oder die Grundrechte darstellt oder ein schwerwiegendes Ereignis eintritt, die Verwendung auszusetzen, den Anbieter, Vertreiber und die relevanten Behörden zu informieren und mit diesen zusammenzuarbeiten

Die sechsmonatige Aufbewahrungsfrist für Protokolle

Deployer müssen die automatisch generierten Protokolle, die unter ihrer Kontrolle stehen, für einen Zeitraum aufbewahren, der angemessen für den beabsichtigten Zweck ist, und in jedem Fall für mindestens sechs Monate, es sei denn, ein längerer Aufbewahrungszeitraum ist durch Unions- oder nationales Recht vorgeschrieben.

Dies gilt für die Protokolle, die unter der Kontrolle des Deployers stehen. Es ist die Pendant auf der Seite des Deployers zu der Protokollierungskonzeption des Anbieters nach den Artikeln 12 und 19: Der Anbieter entwickelt die Protokollierungsfähigkeit, und der Deployer ist für die tatsächliche Aufbewahrung und die Fähigkeit, die resultierenden Aufzeichnungen zu produzieren, verantwortlich. Branchenregeln (z. B. in der Finanz- oder Gesundheitsbranche) legen häufig eine längere Aufbewahrungsfrist fest, daher sollte die sechsmonatige Frist als Minimum und nicht als Ziel angesehen werden.

Öffentliche Stellen, die als Deployer handeln, haben zusätzliche Transparenz- und Registrierungspflichten nach den Artikeln 26 und 49.