Wann wird der Nutzer zum Anbieter? Der Rollenwechsel gemäß KI-Verordnung

Unternehmen setzen zunehmend KI-Systeme und Allzweck-KI-Modelle ein, die sie nicht selbst entwickelt haben. Werden diese Systeme oder Modelle nachträglich angepasst, stellt sich die Frage, wer für die dadurch entstehenden Risiken regulatorisch verantwortlich ist. Für Hochrisiko-KI-Systeme regelt Art. 25 KI-Verordnung (KI-VO) einen Rollenwechsel zum Anbieter. Bei Veränderungen von General-Purpose-AI-Modellen (GPAI-Modellen) ist die Lage schwieriger, weil Art. 25 ausdrücklich nur KI-Systeme, nicht aber KI-Modelle erfasst.

Der Rollenwechsel gemäß Art. 25 KI-VO

Ausgangspunkt der KI-VO ist zunächst eine klare Rollenverteilung zwischen den Akteuren. Akteure im rechtlichen Sinne der KI-VO können Anbieter, Händler, Betreiber, Einführer oder sonstige Dritte sein. Der Art. 25 Abs. 1 KI-VO durchbricht die Anbieterrolle, wenn neben dem ursprünglichen Anbieter ein anderer Wirtschaftsakteur nachträglich maßgeblichen Einfluss auf ein Hochrisiko-KI-System nimmt.

Art. 25 Abs. 1 KI-VO erfasst hierbei drei Konstellationen:

• Erstens kann ein bereits in Verkehr gebrachtes oder in Betrieb genommenes Hochrisiko-KI-System mit dem eigenen Namen oder einer eigenen Handelsmarke versehen werden. 
• Zweitens kann ein bestehendes Hochrisiko-KI-System wesentlich verändert werden. 
• Drittens kann ein ursprünglich nicht hochriskantes KI-System eine neue Zweckbestimmung erhalten und dadurch erstmals zu einem Hochrisiko-KI-System werden.

Voraussetzung ist jeweils, dass das KI-System bereits in Verkehr gebracht oder in Betrieb genommen wurde. Eingriffe während der ursprünglichen Entwicklungsphase fallen nicht unter Art. 25 KI-VO.

Besonders praxisrelevant ist hierbei der Betreiber gemäß Art. 3 Nr. 4 KI-VO: Nimmt er nachträglich erhebliche Eingriffe vor, kann er gemäß Art. 25 Abs. 1 KI-VO regulatorisch in die Position des ursprünglichen Anbieters hineinwachsen.

Wann ist eine Änderung „wesentlich“?

Besondere Bedeutung besitzt Art. 25 Abs. 1 lit. b KI-VO. Danach kann eine wesentliche Änderung eines Hochrisiko-KI-Systems zum Rollenwechsel führen.

Art. 3 Nr. 23 KI-VO definiert die wesentliche Änderung als eine nach Inverkehrbringen oder Inbetriebnahme vorgenommene, ursprünglich nicht vorgesehene oder geplante Veränderung, die die Konformität mit der KI-VO beeinträchtigt oder die bewertete Zweckbestimmung verändert.

Die Wertung dahinter ist nachvollziehbar: Kann der ursprüngliche Anbieter die außerhalb seines Verantwortungsbereichs vorgenommenen Eingriffe nicht kennen oder beherrschen, soll die Verantwortung auf denjenigen übergehen, der die relevante Veränderung vorgenommen hat. Das veränderte System muss allerdings weiterhin als Hochrisiko-KI-System einzustufen sein.

Davon zu unterscheiden ist Art. 25 Abs. 1 lit. c KI-VO. Erhält ein ursprünglich nicht hochriskantes System eine neue Zweckbestimmung und wird dadurch zum Hochrisiko-KI-System, kann ebenfalls ein Rollenwechsel eintreten.

Der betreffende Akteur tritt dann grundsätzlich in den Pflichtenkreis des Anbieters ein, einschließlich der einschlägigen Konformitätsanforderungen.

Das ungelöste Problem: Veränderungen von GPAI-Modellen

Bei General-Purpose-AI ist zunächst zwischen GPAI-Modell und -System zu unterscheiden. Das Modell bildet vereinfacht gesagt die technische und mathematische Grundlage eines (Hochrisiko-)KI-Systems. Es handelt sich um das trainierte Modell, das quasi hinter dem KI-System steht. Das KI-System ist hingegen die konkrete Anwendung, mit der der Nutzer über das Interface interagieren kann. GPAI-Modelle sind allgemein verwendbar und können in zahlreiche nachgelagerte Systeme integriert werden.

In der Praxis werden in Unternehmen solche Modelle regelmäßig etwa durch Fine-Tuning, Modelldestillation oder andere Verfahren angepasst. Auch die Europäische Kommission (EU-Kommission) behandelt Änderungen von GPAI-Modellen inzwischen in Abschnitt 3.2 ihrer Leitlinien zum Umfang der GPAI-Anbieterpflichten. Danach führt nicht jede Änderung dazu, dass der nachgelagerte Modifizierer selbst Anbieter des veränderten Modells wird.

Warum Art. 25 KI-VO nicht ohne Weiteres passt

Eine unmittelbare Anwendung von Art. 25 KI-VO auf das Fine-Tuning eines GPAI-Modells scheitert zunächst am Wortlaut. Die Vorschrift nennt Veränderungen von KI-Systemen, nicht Veränderungen von KI-Modellen.

Ferner wird von den Autoren Hacker und Holweg in ihrem Beitrag „The regulation of fine-tuning: Federated compliance for modified general-purpose AI models“ (Computer Law & Security Review, Volume 60, April 2026, 106234) auf den Erwägungsgrund 109 S. 3 KI-VO abgestellt, der wie folgt lautet:

„Im Falle einer Änderung oder Feinabstimmung eines Modells sollten die Pflichten der Anbieter von KI-Modellen mit allgemeinem Verwendungszweck auf diese Änderung oder Feinabstimmung beschränkt sein, indem beispielsweise die bereits vorhandene technische Dokumentation um Informationen über die Änderungen, einschließlich neuer Trainingsdatenquellen, ergänzt wird, um die in dieser Verordnung festgelegten Pflichten in der Wertschöpfungskette zu erfüllen.“ (ErwG 109 S. 3 KI-VO)

Bei einem engen Verständnis des Begriffs der „allgemeinen Verwendbarkeit“ kann ErwG 109 S. 3 dahingehend interpretiert werden, dass es sich auch nach dem Fine-Tuning um ein GPAI-Modell gemäß Art. 3 Nr. 63 KI-VO handeln muss, um die Pflichten gemäß Art. 51 ff. KI-VO auszulösen. Da hiervon jedoch nach dem Fine-Tuning, welches i. d. R. zur Anpassung zu einem ganz bestimmten unternehmensinternen Zweck durchgeführt wird und somit lediglich zu einer reduzierten Verwendbarkeit führt, nicht auszugehen ist, treffen den Betreiber nach dieser Auffassung gerade keine Pflichten. Demnach hat nur der „originale“ bzw. ursprüngliche Anbieter des GPAI-Modells bei Modifikationen bzw. beim Fine-Tuning begrenzte Anbieterpflichten gemäß Art. 53 KI-VO.

Das führt zu einem Wertungsproblem. Der ursprüngliche Anbieter kennt die nachgelagerten Veränderungen regelmäßig nicht. Der Modifizierer unterliegt den Rechtsfolgen der Art. 53 ff. KI-VO aber nur, wenn er selbst Anbieter des veränderten Modells ist. Der Übergang von der Modifikation zur Anbieterstellung bedarf daher einer tragfähigen dogmatischen Begründung.

Rechtsdogmatisch bleibt damit eine Frage offen: Ist Art. 25 Abs. 1 KI-VO beim Fine-Tuning von GPAI-Modellen (analog) anwendbar?

Art. 25 Abs. 1 lit. b KI-VO ist auf GPAI-Modelle nicht unmittelbar anwendbar. Sein Grundgedanke kann jedoch als systematische Wertung herangezogen werden: Wer durch eine nachgelagerte wesentliche Änderung maßgeblichen Einfluss auf Eigenschaften und Risiken einer KI nimmt, kann regulatorisch in die Anbieterrolle hineinwachsen. Von Hacker/Holweg wird vor diesem Hintergrund davon ausgegangen, dass sich der ErwG 109 erkennbar auf die Verpflichtungen entlang der Wertschöpfungskette bezieht und somit Bezug auf die Vorschriften zum Anbieterwechsel gemäß Art. 25 KI-VO nimmt. Wäre lediglich der ursprüngliche Anbieter erfasst, wäre der Verweis überflüssig, da es dann keine rechtliche Wertschöpfungskette gibt. Eine analoge Anwendung auf wesentliche Änderungen von GPAI-Modellen kann demnach erwogen werden.

Nicht jede Änderung darf zum Rollenwechsel führen

Nicht jede Anpassung darf diese Folge auslösen. Die EU-Kommission konkretisiert dies in Abschnitt 3.2 ihrer o. g. GPAI-Leitlinien, ohne diesen Schritt über die hier besprochene Analogie herzuleiten. Ein nachgelagerter Modifizierer kann demnach als Anbieter des veränderten Modells gelten. Als Indiz stellt die EU-Kommission insbesondere darauf ab, ob die für die Änderung eingesetzte Trainingsrechenleistung mehr als ein Drittel der Trainingsrechenleistung des ursprünglichen Modells beträgt. Die Leitlinien sind zwar nicht rechtsverbindlich, geben aber zumindest die Auslegung der Kommission wieder.

In der Literatur werden daneben Ansätze diskutiert, die stärker auf die tatsächlichen Folgen einer Änderung abstellen. Hacker/Holweg stellen hierzu unterschiedliche Regelungsansätze gegenüber und entwickeln einen kombinierten Prüfungsansatz.

Der risikobasierte Ansatz betrachtet grundsätzlich jede Feinabstimmung als potenziell wesentlich, solange nicht durch eine Risikobewertung nachgewiesen wird, dass sich das Risikoprofil nicht erheblich verändert hat. Er erfasst damit auch folgenreiche Änderungen mit geringer Rechenleistung, kann aber erhebliche Prüfungs- und Dokumentationspflichten auslösen.

Der innovations- und vereinfachungsorientierte Ansatz knüpft stärker an die eingesetzte Rechenleistung an. Diesem Ansatz entsprechen die GPAI-Leitlinien der EU-Kommission: Als Anhaltspunkte nennen sie – ebenso wie Hacker/Holweg – eine für die Modifikation eingesetzte Trainingsrechenleistung von mehr als einem Drittel der ursprünglichen Trainingsrechenleistung. FLOP („Floating Point Operations“) dienen dabei als Maß für Rechenleistung. Der Schwellenwert ist vergleichsweise klar und praktikabel, sagt aber nur begrenzt etwas über die tatsächlichen Folgen einer Änderung aus.

Der CCS-Test als ergänzender Mittelweg

Hacker/Holweg schlagen deshalb ergänzend den „Compute and Consequence Scanning Test“ (CCS-Test) vor. Er verbindet die eingesetzte Rechenleistung mit einer qualitativen Prüfung der funktionalen Folgen für Modell und Risikoprofil. Dadurch sollen einerseits risikoreiche Veränderungen mit geringer Rechenleistung erfasst und andererseits umfassende Prüfungen jeder geringfügigen Modifikation vermieden werden. Nach hier vertretener Einschätzung eignet sich der CCS-Test daher als ergänzender Bewertungsmaßstab.

RAG und Jailbreaking zeigen, warum die Folgen entscheidend sind

Retrieval-Augmented-Generation (RAG) verdeutlicht die Grenzen einer allein rechenleistungsbezogenen Betrachtung. Unter RAG versteht man die Ergänzung der Ausgaben eines bestehenden KI-Modells durch die Verknüpfung mit externen Datenquellen, die im Rahmen einer Abfrage durch das KI-Modell mit abgerufen werden. Hierdurch wird der Kontext, aus dem das KI-Modell Antworten generiert, erweitert. Die Architektur und die Trainingsdaten des Modells bleiben grundsätzlich unverändert. Gleichwohl können aus den eingebundenen Informationen bspw. Dokumente aus hochsensiblen Bereichen und ihrem Verwendungskontext erhebliche Risiken entstehen. Hacker/Holweg führen u. a. RAG deshalb als Beispiel für die Notwendigkeit einer ergänzenden Folgenbetrachtung an.

Ähnliches gilt für Jailbreaking: Werden Sicherheitsmechanismen umgangen oder verändert, kann sich das Modellverhalten erheblich ändern, obwohl dafür kaum zusätzliche Rechenleistung erforderlich ist.

Wer die Risiken kontrolliert, sollte Verantwortung tragen

Die Rechtsfolgen der hier diskutierten Analogie gestalten sich wie folgt: Wird der nachgelagerte Modifizierer aufgrund einer hinreichend gewichtigen Änderung selbst Anbieter, richten sich die Rechtsfolgen grundsätzlich nach Art. 53 ff. KI-VO. Nach ErwG 109 sollen sich die Pflichten bei einer Änderung oder Feinabstimmung grundsätzlich auf diese Änderung beschränken. Bei systemischen Risiken können zusätzlich insbesondere die Anforderungen des Art. 55 KI-VO relevant werden.

Fazit: Rollenwechsel bei veränderten GPAI-Modellen

Art. 25 KI-VO regelt für Hochrisiko-KI-Systeme den Rollenwechsel zum Anbieter. Für GPAI-Modelle fehlt eine entsprechende ausdrückliche Regelung. Die EU-Kommission geht in Abschnitt 3.2 ihrer GPAI-Leitlinien dennoch davon aus, dass ein nachgelagerter Modifizierer bei hinreichend gewichtigen Änderungen selbst Anbieter des veränderten Modells werden kann. Als Anhaltspunkt dient insbesondere der Ein-Drittel-Schwellenwert. Die rechtsdogmatische Herleitung der Übertragung auf GPAI-Modelle lässt die EU-Kommission jedoch ungeklärt.

Vor diesem Hintergrund ist die analoge Anwendung des Art. 25 KI-VO bedeutsam. Für die Eingriffsschwelle stehen unterschiedliche Ansätze zur Verfügung: Der risikobasierte Ansatz erfasst Folgen umfassend, verursacht aber höhere Prüfaufwände. Der innovations- und vereinfachungsorientierte Ansatz schafft mit dem Rechenleistungsschwellenwert Praktikabilität, kann jedoch folgenreiche Änderungen mit geringer Rechenleistung übersehen. Der CCS-Test verbindet beide Perspektiven. Letztlich ist die Anbieterstellung nachgelagerter Modifizierer eine praktisch bedeutsame Auslegungsfrage des GPAI-Regimes.