Zusammenfassung

  • Der am 30. Oktober veröffentlichte Entwurf weist die Verantwortung für KI-Ergebnisse dem zugelassenen Telekomunternehmen zu – unabhängig davon, ob es das System selbst entwickelt oder einkauft.
  • Die vorgesehene Kontrollkette umfasst Vorstandsbeschluss, Risikoeinstufung, Systemverzeichnis, Lieferantenverträge sowie Vorfallaufzeichnung und Meldung.

Der Anbieter liefert die KI. Wenn sie im Telekomnetz eingesetzt wird, bleibt laut TRAIs Entwurf trotzdem der Betreiber für das Ergebnis verantwortlich. Das gilt für intern entwickelte Systeme ebenso wie für eingekaufte oder kombinierte Lösungen (§3.8). Der Kauf überträgt die Verantwortung nicht.

Der Entwurf gilt für Unternehmen mit den genannten Telekomlizenzen oder Genehmigungen, die KI in Netzen oder Diensten einsetzen oder einsetzen wollen. Er erfasst Netzbetrieb und Telekomdienste, macht aber nicht jedes KI-Unternehmen, das der Branche ein Modell verkauft, selbst zum unmittelbar regulierten Akteur (§2.1). Am Anfang steht der Vorstand: Er genehmigt eine interne KI-Richtlinie, stuft Systeme nach Wesentlichkeit und Verbraucherwirkung ein und benennt einen zuständigen Mitarbeiter, der den Einsatz genehmigt (§§3.1–3.2).

TRAI will diese Richtlinie überprüfbar machen. Das Unternehmen muss aktive, inaktive und stillgelegte KI-Systeme erfassen und Quelle, Zweck und Risikoklasse dokumentieren. Ein nicht inventarisiertes System darf nicht eingesetzt werden. Vor dem Einsatz oder einer Änderung muss das Unternehmen das System validieren und Genauigkeit, Erklärbarkeit, Fairness, Driftfestigkeit und menschliche Aufsicht bewerten (§3.5).

Beim Einkauf kommen Pflichten hinzu. Der Betreiber muss die Glaubwürdigkeit des Anbieters, die Qualität und Grenzen des Systems sowie Eignung und Qualität der Trainingsdaten prüfen. Anbieter müssen KI in Telekomgeräten und -lösungen offenlegen. Lieferverträge müssen durchsetzbare Regelungen zu Compliance, Prüfungs- und Inspektionsrechten, Vorfallmanagement, Risikoverteilung und Verantwortlichkeit enthalten (§3.5(b), (e)–(f)). So reicht die Kontrolle in die Lieferkette, während die Verantwortung beim Betreiber bleibt.

Ein vom Vorstand genehmigter Ausschuss für KI-Governance und Sicherheit unter Leitung einer Führungskraft soll mindestens jährlich Leistung, Vorfälle, Schwachstellen und Aufsichtslücken prüfen. Der Entwurf verlangt außerdem zentrale Vorfallaufzeichnungen, Ermittlungs- und Abhilfeverfahren, Aufzeichnungen zu Nutzerschäden und deren Behebung sowie Meldungen schwerer und kritischer Vorfälle an TRAI (§§3.2, 3.6–3.10). Neue und geänderte Richtlinien müssen binnen sieben Arbeitstagen nach Inkrafttreten eingereicht werden.

Ein entscheidender Punkt bleibt offen: TRAI will Form, Verfahren und Frist für Meldungen schwerer und kritischer Vorfälle später festlegen (§§3.2(d), 3.9). Die Konsultation endet am 27. November 2026. Diese Frist entscheidet, wann aus dem internen Vorfallbuch eines Betreibers eine brauchbare Aufsichtsakte wird.

Quellen