Vom KI-Betreiber zum Anbieter: Haftung und Risiken - Im Gespräch mit Prof. Dr. Philipp Hacker

In dem Moment habe ich ein riesen Haftungsproblem, weil ich in dem Moment als Firma zum Hochrisikoanbieter werde und theoretisch müsste ich jetzt alle Hochrisikopflichten abticken können. Also, müssen wir erst nochmal schauen, was ist denn ein Betreiber? Ein Betreiber, im Unterschied zum Anbieter, ist jemand, der das KI-System einfach nur einsetzt. Einsetzt unter seiner Aufsicht. Typischerweise eben der Arzt, die Ärztin, die das Ding einfach nutzen und damit nicht viel machen. Ausnahmen sind verbrauchbar, sie müssen also professionelle Akteure sein. Okay, soweit so gut. Und jetzt eben die Frage, was ist denn jetzt mit denen, die so ein bisschen dazwischen sind, die so Sachen mit diesen Modellen machen? Da kann man, da gibt es den Artikel 25, vom Betreiber zum Anbieter werden. Das heißt, vom reinen Nutzer zu einem, der eigentlich so behandelt wird, als hätte er das Modell selbst entwickelt. Da gibt es eine Reihe von im Grunde drei bis vier Fallgruppen, bei denen es der Fall ist. Die erste hatten wir schon, wenn man nämlich dann seinen eigenen Namen oder die eigene Marke drauf anprägt. Das ist also klassischer Fall Rechtscheinshaftung, das heißt, ich packe eben drauf, sagt Bosch GPT hier, super cool, aber gleichzeitig handele ich mir damit Haftung ein. Das heißt, wenn ihr ein Unternehmen reingeht oder auch selber ein Unternehmen habt, wäre mein Dafürgehalten oder meine Empfehlung, das eben nicht nach dem Unternehmen zu benennen, sondern irgendwie anders. Denn dann, wenn ihr nicht den eigenen Namen oder eigene Marke drauf setzt, dann umschiebt ihr schon mal diese Klippe. Zweites, was es gibt, ist die Zweckänderung. Das ist jetzt auch schon mal echt wichtig. Zweckänderung, das bedeutet, wie es hier so schön aufgemalt ist, GPAI zu HRAI. Das heißt, GPAI zu HRAI ist jetzt nicht jungen Ressources, sondern High-Risk-AI. Das heißt, ich nehme ein bestehendes generatives KI-Modell und es ist ganz wichtig zu verstehen, ihr erinnert euch an diese Struktur, am Anfang die vier Risikogruppen, diese Allzweck-AI, GPAI, die ist nicht hochrisiko, die ist nicht per se hochrisiko. Jetzt nehme ich ein, zum Beispiel Chair-GPT oder Cloud oder you name it und nutze das im Hochrisiko-Bereich, also zum Beispiel für Recruiting oder für Medizin-Footboot. Und zwar egal, ob ich das jetzt da fine-tune oder nicht, ich kann es einfach auf die Scherbe nehmen. Ich nehme es einfach so, wie es ist und ich nutze es in einem Hochrisiko-Bereich. Kredit- und Bonitätsbewertung ist ein weiterer wirtschaftlich relevanter Bereich. Dann wird in dem Moment, wo ich dieses General Purpose AI-Modell dafür nutze, wird meine Firma zum Hochrisiko-Anbieter. Warum? Die Frage war damals, es gibt eigentlich nur zwei Optionen, in so einem Fall entweder wird der GPAI-Anbieter jetzt auch noch Hochrisiko-Anbieter, das heißt OpenAI wird zum Hochrisiko-Anbieter. Was ist das Problem dahinter? Das Problem ist, OpenAI hat 100 Millionen Nutzer, die wissen nicht, was diese 100 Millionen Nutzer oder mehr als 100 Millionen mit ihrem Ding machen. Das dürften die auch gar nicht wissen, das sollen die ja gar nicht wissen, sonst müssten die ja jeden einzelnen Prompt überwachen, um immer zu gucken, ist das jetzt Hochrisiko, ist das eventuell Hochrisiko, jetzt müssen wir Red Flag, jetzt müssen wir sagen, ach du, guck mal, jetzt sind wir hier Hochrisiko auch noch, jetzt müssen wir da wieder neue Compliance-Sachen machen, um das zu vermeiden. Und das war ehrlich gesagt auch, da war ich sehr vokal drin, das so zu unterstützen, dass das nicht so kommt. Deshalb ist die einzig sinnvolle andere Alternative eigentlich zu sagen, derjenige, der es eben nimmt und in einem Hochrisiko-Bereich einsetzt, der weiß ja, dass es ein Hochrisiko-Bereich ist, diese zu unternehmen, muss sich darum kümmern, dass ich ein Modell nehme, das Hochrisiko geeignet ist. Wann ist es Hochrisiko geeignet? Da zum Beispiel, wenn es nach dem AI-Act zertifiziert ist, ist es hoffentlich dann einigermaßen geeignet. Da muss ich mich dann entsprechend mit dem Anbieter auseinandersetzen und muss dann tatsächlich mal sagen, kann ich das dafür tun. Und das ist also wichtig zu sehen, das heißt, wenn so ein Mitarbeiter einfach mal so die ganzen Bewerbungen nimmt oder die ganzen irgendwelche Bewerbungen, also auch nur ein paar und die mal einmal schnell durch ChattyBT schießt, in dem Moment habe ich ein Riesenhaftungsproblem, weil ich in dem Moment als Firma zum Hochrisiko-Anbieter werde und theoretisch müsste ich jetzt alle Hochrisikopflichten abticken können und das kann ich natürlich meistens nicht, wenn der Mitarbeiter das einfach mal so nebenbei gemacht hat. Was aber geht, und damit will ich nicht sagen, generative AI kann man nicht nutzen, man kann es nur nicht oder man sollte es nicht einfach so für Hochrisikobereiche nutzen, für alles andere, E-Mails, Logistik, was weiß ich, was nicht Hochrisiko ist, da ist es kein Problem. Es ist kein Hochrisikobereich, insofern kann ich es dann nutzen, ohne zum Hochrisiko-Anbieter zu werden. Aber nochmal, wenn ich es eben im Hochrisikobereich vor einem Recruiting oder so nutze, dann ist das mal das Problem. Haben das alle verstanden? Das ist für mich ein wichtiger Punkt. Das ist, Philipp, kurze Rückfrage, das ist mehr aus dem Hochrisiko-Anwendungsbereich getrieben als das Modell, was wir nutzen. Es gibt ja in Deutschland, gibt es Athene, es gibt LangDoc, es gibt andere Plattformen, die sich als Dionele AI, die sich als DSGVO-konform bezeichnen. Wenn ich dort mit HR oder Medizinprodukt-Anwendungsfällen reingehe, also analysiere ich mir den Lebenslauf und gucke, ob der Bewerber zu mir passt, bin ich automatisch im Hochrisikobereich. Das ist jedenfalls KI-Modelle, die dahinter liegen, wovon ich jetzt mal ausgehe. Ja, genau. Wir haben hier mehrere da drin. Die Asaad, ich weiß nicht, ob sie heute da ist, aber die Claudia Wulf ist auf jeden Fall dabei, die KI im Recruiting nutzt. Es ist wichtig für euch, das einzuschätzen, also sobald ihr mit diesen Daten dann dort auf diese Modelle geht, seid ihr trotzdem Hochrisiko-Anbieter. Das lese ich jetzt zumindest aus deinen Ausführungen aus, Philipp. Was? Genau. Das ist wirklich wichtig. Genau. Da kommt es eben nur darauf an, wofür ich es verwende. Und die Startbedingung ist sozusagen nur, dass es ein allgemeines Modell ist. Es ist anders, wenn ich ein Modell nutze, das schon für Hochrisiko vorbestimmt ist. Wenn ich also eine Recruiting-Software nehme und die kaufe, die ist für Recruiting gedacht, nicht als General, nicht ChattyBT-Resource oder nicht ein generelles, nicht ein GPI, also eine Recruiting-Software. Wenn ich die nehme und einsetze, dann bin ich erst mal nur Betreiber, dann bin ich einfach nur Nutzer. Wenn ich aber sozusagen selber diese Zweckänderung durchführe, das habe ich hier Zweckänderung von generelles Modell, das jetzt erstmalig, bei mir jedenfalls erstmalig, in dem Hochrisiko-Bereich genutzt wird, dann trifft es mich sozusagen. So, ganz kurze Unterbrechung, wie du vielleicht mitbekommen hast, gehen wir jetzt verstärkt auch auf den LinkedIn-Kanal. Wir haben vor einigen Wochen unseren Newsletter auf LinkedIn gestartet, wo wir wirklich tiefgehenden Inhalt und Content teilen, wie zum Beispiel die zwölf Schritte hin zu deiner KI-Strategie. Ich Einblicke gebe, wie Alex Hormozy ein Zweitages-Workshop in Las Vegas fasziniert, bei dem ich vor Ort dabei gewesen bin und welche Anteil KI in seiner gesamten Wertschöpfungskette hat und vieles weitere mehr. Und natürlich teile ich auch fast jeden Tag Impressionen und Impulse aus unseren Formaten. Deswegen vernetze dich gerne mit mir direkt auf LinkedIn unter Thorsten Körting, findest du mich dort. Und jetzt machen wir weiter mit der Show. Dank dir für dein Vertrauen. Und dann gibt es noch etwas weiteres und zwar, das ist genau dieser Punkt, was passiert, wenn ich jetzt ein Modell habe, das eigentlich schon ein Recruiting-Tool ist und ich will das aber auch noch besser machen für meine Verhältnisse, weil das vielleicht ganz generisch ist und ich habe aber eigentlich immer nur schwarze Frauen als Bewerberinnen oder immer nur you name it, also irgendwie etwas Spezielles und ich will das halt auf meine Zielgruppe fine tunen. Dann habe ich zwar keine Zweckänderung, weil es war schon ursprünglich ein Hochrisikoprodukt, aber ich verändere das jetzt. Und wenn ich es verändere, wenn ich es wesentlich verändere, dann werde ich auch zum Anbieter. Die Frage ist, ist es jetzt bei jedem Finetuning so und ist es insbesondere auch dann so, wenn hier im Ausgang gar kein Hochrisikoprodukt ist, also nicht das Speziale Recruiting-Software, sondern ein General Purpose AI-Model, also normales Mistral, Lama oder deutsche Open-Source-Produkte, wenn ich die entsprechend fine tune oder auch nicht Open-Source, bin ich dann auch Anbieter. Das ist nochmal der Kern der Frage, von dem wir sozusagen herkommen. Und da gibt es nicht so richtig eine Regelung für ein AI-Akt, das ist ein bisschen unnötig, aber es gibt immerhin Hinweise, nämlich im 109. Erwägungsgrund, für die, die nicht Juristen sind, vielleicht wisst ihr trotzdem, es gibt in den europäischen Rechtsakten immer Artikel und dann gibt es die Erwägungsgründe. Die Erwägungsgründe, das ist das, was sozusagen vorher kommt, das ist eine Erklärung der eigentlich rechtlich blinden Artikel und diese Erwägungsgründe, die werden auch eigentlich von den Gerichten im Grunde wie Artikel gelesen. So, also Erwägungsgrund, der sagt, also bei einer Fine-Up-Stimmung, deutscher Übersetzung von Fine-Up-Tuning als Modell oder einer Änderung, sollen die Pflichten der Anbieter von AI-Modellen mit diesem allgemeinen Verwendungszweck auf die Änderung oder Fine-Up-Stimmung beschränkt sein. Zum Beispiel, wenn ich jetzt neue Datenquellen nehme, ich muss ja Transparenz obwalten lassen hinsichtlich der Datenquellen, muss sagen, ungefähr welche Daten ich genommen habe, ob die urheberrechtlich vielleicht geschützt sind, nicht jede einzelne, aber wie das ungefähr aussieht mit dem Datensatz, dann muss ich das nur für diese neuen Trainingsdaten machen und nicht für die alten, die schon von, sagen wir, OpenAI, Meta oder sonst was genutzt wurden. Klar, die kenne ich ja auch gar nicht. Insofern ist das eine durchaus sinnvolle Regelung, aus der geht aber zugleich hervor, dass der Gesetzgeber doch offenbar davon ausgeht, wenn ich Fine-Tuning mache, dann werde ich zum neuen Anbieter. Halt nur beschränkt sozusagen auf diese neuen Daten. Das ist insofern ganz praktisch, als man sagen kann, das ist ja eigentlich eine Einschränkung der Pflichten. Ich muss es eben nur für meine neuen Daten machen. Das funktioniert auch ganz gut für dieses ganze Trainingsdatenregiment, für die Transparenzpflichten und so. Wo es nicht gut funktioniert, ist, denken wir mal zurück, Artikel 55, dieses Risikomanagement. Ich kann halt nicht sagen, ich mache jetzt ein Web-Tuning oder Risikomanagement, mal nur für die Ecke rechts oben im Modell, das ist die neue. Das gibt es nicht. Sondern dieses Modell, das ist ja ein Riesenraum, also ein Tensorraum, also letztlich an Weights, an Gewichten und es kann sein, dass ich einen neuen Datenpunkt hinzugebe, das einmal durchjage sozusagen, durchs Modell danach trainieren lasse und dass das alle meine Gewichte leicht verändert. Und das kann ein ganz neues Modellverhalten zur Folge haben, sodass dieses, ich bin nur so ein bisschen in der Pflicht, nur für Artikel 53 gilt, also für die Transparenzpflichten und Übergreifspflichten, aber für Artikel 55 bringt mir das im Grunde nichts. Und das ist sozusagen der Knackpunkt, das ist wirklich schwierig, sodass ich deshalb, wenn ich Feintuning mache, davon ausgehen muss, dass ich selbst tatsächlich Anbieter werde und letztlich, wenn es denn so ist, dass ich ein systemisch riskantes Modell habe, auch Artikel 55 beachten muss. Das, was ich hier noch hinzugeschrieben habe, lassen wir jetzt vielleicht mal weg, das führt ein bisschen zu weit. Ich würde es jetzt einfach mal so stehen lassen. Das heißt, was sind jetzt die praktischen Takeaways? Das zentrale Problem ist Artikel 55, dass ich dann, wenn es blöd läuft, selber Red Teaming machen muss, selber sozusagen forensische KI-Analyse, was die wenigsten, David hat Open AI-Probleme, weil es einfach so komplex ist bei diesem hochdimensionalen Modell. Das heißt, was ich machen kann, ich kann versuchen, Haftung auszulagern. Ich mache ein Special Purpose Vehicle, eine eigene kleine Gesellschaft, die macht nur das und gibt es dann weiter. Und wenn ein Problem ist, dann geht diese kleine Gesellschaft vielleicht hops, aber der Rest ist sozusagen unbeschadet. Muss man gut aufbauen, ginge eventuell. Ich kann auch versuchen, Feintuning so zu machen, dass ich dann gar kein General Purpose Modell mehr habe, wenn ich da genügend Filter drauf packe, sodass dieses Modell am Ende nur noch für Recruiting einsetzbar ist. Dann gilt das ganze GPAI-Regime, also der blaue Balken unten, der gilt dann nicht mehr, weil ich gar kein Allgemein-Modell mehr habe, ist aber technisch schwierig und häufig auch nicht erwünscht. Das heißt, der goldene Weg momentan für mich in der Praxis ist zu sagen, wenn ihr Feintuning macht, dann versucht doch einmal, ein Modell zu nehmen, das kein systemisches Risikomodell ist, das also unter 10 auf 25 Flops hat. Also zum Beispiel nehme ich nicht Lava 3.1 405 B, 405 Billion Parameters, sondern ich nehme das 70 B Modell, kleinere Modelle, die häufig für die meisten Use Cases genauso performant sind und auch weniger Energierechnleistung und sowas brauchen. Denn dann gilt erstmal Typ 55 nicht, weil ich unterhalb dieser Schwelle bin. Also das wäre für mich eigentlich so einer der zentralen Takeaways. Und noch was weiteres. Manchmal muss ich auch gar kein Feintuning machen. Ich weiß nicht, sagt euch das was? Prompt Engineering und RAG? Retrieval Augmented Generation? Wahrscheinlich Leute, die heiß können, oder? Genau. Da kann man sagen, Prompt Engineering, zum Beispiel ein System Prompt, durch den das jeweils durchläuft, RAG, an eine Wissensdatenbank dranhängt, da verändere ich das Modell selber nicht, sondern nur die Art, wie es arbeitet. Und deshalb kann ich da viel besser argumentieren, dass das keine Änderung des Modells ist und dass ich deshalb nicht zum Anbieter werde. Also das ist auch noch was, was man explorieren kann. Ist häufig auch sonst eine sehr gute Möglichkeit, Modelle zu dem zu bringen, was sie tun sollen. Da habe ich möglicherweise geringere rechtliche Probleme. Wenn es sich nicht vermeiden lässt und ich sage, ich will es jetzt mal sportlich machen, ich nehme jetzt das neueste Modell, das hoheperformanteste, darunter mache ich es nicht und feintune das, dann muss ich mir halt wirklich Gedanken darüber machen, automatisiertes Repteaming, Restmanagement möglichst mit LLMs. In so einem Fall schreibt mir gerne eine Mail, das finde ich wahnsinnig spannend. Da kann man sich auch was überlegen, ist aber schon anspruchsvoll.