BDI-Stellungnahme zum Entwurf einer europäischen KI-Verordnung
ist in solchen Fällen eine umfassende Speicherung von Logdaten in der Regel nicht möglich. Die vorgesehenen Anforderungen würden somit Innovationen ausgerechnet in Bereichen hemmen, in denen Europa besondere Stärken aufzuweisen hat – nämlich beim Edge-Computing und der Edge-KI. Analog dazu gibt es auch in Bezug auf die in Art. 29 Abs. 5 VO-E enthaltene Logdaten-Aufbewahrungspflicht für Anwender von Hochrisiko KI-Systemen Nachbesserungsbedarf. Auch diese Anforderung muss so ausgestaltet sein, dass sie in der Praxis realistischerweise erfüllbar ist. Die von KI-Anbietern gegenüber Aufsichtsbehörden offen zu legenden Informationen werden in Art. 23 VO-E beschrieben. Da an dieser Stelle Geschäftsgeheimnisse berührt werden können, ist auch im vorliegenden Fall eine gründliche Abwägung des Auskunftsinteresses der Aufsichtsbehörden mit den Schutzbedürfnissen der Unternehmen erforderlich. Um diesen Schutzbedürfnissen angemessen Rechnung zu tragen, sollten entsprechende Informationen von Seiten der Aufsichtsbehörden nicht „auf Verdacht“ angefordert werden dürfen. Betroffene Unternehmen sollten vielmehr die Möglichkeit erhalten, im Falle einer berechtigten behördlichen Anfrage zunächst nach eigenem Ermessen jene Informationen bereitzustellen, die aus ihrer Sicht eine Beantwortung des behördlichen Auskunftsinteresses ermöglichen. Nach Art. 24 VO-E übernimmt der Hersteller eines Produkts, in das ein Hochrisiko-KI-System verbaut ist, „die Verantwortung für die Konformität des KI-Systems mit dieser Verordnung“ und unterliegt in Bezug auf das KI-System zudem den Anbieterpflichten der KI-Verordnung. Produkthersteller sollten in diesen Fällen jedoch von Pflichten ausgenommen werden, die realistischerweise nur durch den Anbieter des verbauten KI-Systems erfüllt werden können. Dazu zählt etwa die in Art. 16 VO-E (Pflichten für Anbieter von Hochrisiko-KI-Systemen) enthaltene Vorgabe zur Erstellung einer technischen Dokumentation zu einem Hochrisiko-KI-System, da die hierfür erforderlichen Informationen (insbesondere aus Gründen des Schutzes von Geschäftsgeheimnissen) in der Regel beim Anbieter verbleiben und nicht an den Produkthersteller weitergegeben werden. Zudem sollte sich aus den Bestimmungen des Art. 24 VO-E kein Erfordernis ergeben, Doppelzertifizierungen von KI-Systemen vorzunehmen. Pflichten für weitere Marktteilnehmer In Art. 28 VO-E werden Fallkonstellationen definiert, in denen „Händler, Einführer, Nutzer oder sonstige Dritte“ als Anbieter im Sinne der europäischen KI-Verordnung gelten und in der Folge die Anbieterpflichten nach Art. 16 VO-E erfüllen müssen. Die Bestimmung bezieht sich dabei auf die Kategorie der Hochrisiko-KI-Systeme. Um gleiche Wettbewerbsbedingungen herzustellen, sollten auch Händler, Einführer, Nutzer oder sonstige Dritte, die ein bereits in Verkehr gebrachtes oder in Betrieb genommenes KI-System einer anderen Kategorie zu einem Hochrisiko-KI-System im Sinne der europäischen KIVerordnung modifizieren, unter den Geltungsbereich von Art. 28 VO-E fallen. Zu den von Art. 28 VO-E erfassten Fallkonstellationen zählen u. a. Fälle, in denen die genannten Akteure ein Hochrisiko-KI-System unter „ihrem Namen oder ihrer Marke in Verkehr bringen oder in Betrieb nehmen.“ In der Praxis kommen diese Konstellationen häufiger vor, da Unternehmen ihre KITechnologien auch an Kunden (z. B. KMU) lizenzieren. Die in Art. 28 VO-E vorgesehenen Bestimmungen hätten zur Folge, dass der Lizenzgeber seinem Lizenznehmer umfassenden Zugriff auf die zur Erfüllung der Provider-Anforderungen nach Art. 16 VO-E erforderlichen Daten (z. B. Test- und Trainingsdaten) einräumen müsste. In Bezug auf die in Art. 29 Abs. 5 VO-E normierte Pflicht zur Aufbewahrung automatisch generierter Logdaten muss die in Abs. 5 enthaltene Angemessenheitsbestimmung analog zu Art. 20 VO-E dringend um das Kriterium der technischen Realisierbarkeit ergänzt werden, da in der Praxis technische Restriktionen einer Speicherung von Logdaten in dem vom VO-E geforderten Umfang und Zeitraum entgegenstehen können (vgl. ausf. Ausführungen zu Art. 20 VO-E weiter oben).
8
