Jedes KI-System, das in der Europäischen Union bereitgestellt wird oder sich auf diese auswirkt, lässt sich nun auf einem vierstufigen Risikospektrum einordnen. Diese Einstufung ist keine theoretische Übung. Sie entscheidet darüber, ob ein Unternehmen mit keinerlei Regulierungsaufwand, einer engen Reihe von Transparenzpflichten, einem umfassenden Konformitätsbewertungsverfahren im Wert von Hunderttausenden von Euro oder einem vollständigen Verbot konfrontiert ist. In einer zu niedrigen Einstufung liegt das eigentliche Risiko: Durchsetzungsmaßnahmen, Geldbußen von bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes sowie Reputationsschäden, die durch keinen Sanierungsplan schnell behoben werden können [1].

Das Framework zur Risikoklassifizierung des EU-KI-Gesetzes ist oberflächlich betrachtet unkompliziert. In der Praxis verlaufen die Grenzen zwischen den Stufen jedoch weniger eindeutig, als es der Gesetzestext vermuten lässt. Systeme, die auf den ersten Blick eindeutig in eine Kategorie zu passen scheinen, können sich bei genauerer Betrachtung auf zwei Kategorien verteilen. Dieser Leitfaden bietet eine strukturierte Orientierungshilfe durch diese Komplexität.

Die vier Risikostufen

Das KI-Gesetz legt vier Risikostufen fest, die jeweils an spezifische Pflichten geknüpft sind. Das Verständnis der Anforderungen der einzelnen Stufen ist die Voraussetzung für eine präzise Klassifizierung.

Inakzeptables Risiko (Verboten)

Artikel 5 des KI-Gesetzes definiert KI-Praktiken, die als so grundlegend bedrohlich für die Sicherheit, die Lebensgrundlagen und die Rechte von Menschen eingestuft werden, dass sie gänzlich verboten sind. Dazu gehören Social-Scoring-Systeme, die von oder im Auftrag von Behörden betrieben werden, die biometrische Echtzeit-Fernidentifizierung in öffentlich zugänglichen Räumen zum Zwecke der Strafverfolgung (vorbehaltlich enger Ausnahmen), KI-Systeme, die Schwachstellen bestimmter Personengruppen aufgrund ihres Alters, einer Behinderung oder ihrer sozialen Situation ausnutzen, sowie Systeme, die unterschwellige Techniken außerhalb des Bewusstseins einer Person einsetzen, um deren Verhalten in einer Weise sachlich zu verzerren, die Schaden verursacht [2].

Für verbotene Systeme gibt es keinen Compliance-Pfad. Die einzige rechtmäßige Reaktion ist die Einstellung der Nutzung.

Hohes Risiko

Hochrisiko-Systeme bilden das regulatorische Zentrum des Gesetzes. Sie unterliegen den detailliertesten Pflichten: Risikomanagementsysteme, Daten-Governance-Anforderungen, technische Dokumentation, Protokollierung, Transparenzbestimmungen, menschliche Aufsichtsmechanismen sowie Anforderungen an Genauigkeit, Robustheit und Cybersicherheit [3]. Wie im Folgenden im Detail erläutert, führen zwei Wege zu einer Einstufung als Hochrisiko-System.

Auf diese Stufe konzentriert sich der Großteil der Compliance-Bemühungen von Unternehmen, und Klassifizierungsfehler sind hier mit den höchsten Kosten verbunden.

Begrenztes Risiko

Systeme, die als Systeme mit begrenztem Risiko eingestuft werden, unterliegen lediglich Transparenzpflichten. Die Hauptanforderung besteht in der Offenlegung: Nutzer müssen darüber informiert werden, dass sie mit einem KI-System interagieren. Diese Stufe umfasst Chatbots, Emotionserkennungssysteme (sofern sie nicht unter das Verbot fallen), Deepfake-Generatoren sowie KI-Systeme, die Text-, Audio- oder Bildinhalte erzeugen oder manipulieren [4].

Die Stufe des begrenzten Risikos ist das Instrument des Gesetzes, um Täuschungen zu verhindern, ohne den gesamten Compliance-Apparat der Konformitätsprüfung vorzuschreiben.

Minimales Risiko

Die überwiegende Mehrheit der KI-Systeme fällt in diese Kategorie. Spam-Filter, KI-gestützte Videospiele, Algorithmen zur Bestandsverwaltung – diese Systeme unterliegen keinen spezifischen Verpflichtungen nach dem Gesetz, wenngleich die freiwillige Einführung von Verhaltenskodizes empfohlen wird [5].

Ein minimales Risiko ist der Standardfall. Ein System rückt im Spektrum nur dann nach oben, wenn es die definierten Kriterien für eine der höheren Stufen erfüllt.

Der Entscheidungsbaum: Schritt für Schritt klassifizieren

Die Risikoklassifizierung nach dem EU-KI-Gesetz erfordert eine sequenzielle Analyse. Der folgende Entscheidungsbaum spiegelt die Logik der Artikel 5, 6 und 7 wider und bietet denselben wiederholbaren Prozess, den die Klassifizierungsworkflows von Enzai für Unternehmensteams automatisieren, die Dutzende oder Hunderte von Systemen bewerten müssen.

Schritt 1: Fällt das System unter die Verbote von Artikel 5?

Prüfen Sie den Zweck und die Funktionsweise des Systems im Hinblick auf jede verbotene Praktik. Wenn das System eine biometrische Echtzeit-Fernidentifizierung in öffentlich zugänglichen Räumen zum Zwecke der Strafverfolgung durchführt, Personen durch unterschwellige Techniken schädigend manipuliert, spezifische Schwachstellen ausnutzt oder ein Social Scoring durch Behörden ermöglicht, ist es verboten.

Wenn ja: Das System stellt ein inakzeptables Risiko dar. Brechen Sie die Prüfung an dieser Stelle ab.

Wenn nein: Fahren Sie mit Schritt 2 fort.

Schritt 2: Handelt es sich bei dem System um eine Sicherheitskomponente eines Produkts, das unter die in Anhang I aufgeführten Harmonisierungsrechtsvorschriften der Union fällt, oder ist das System selbst ein solches Produkt?

Anhang I listet bestehende EU-Produktsicherheitsrichtlinien und -verordnungen auf, darunter solche für Maschinen, Spielzeug, Medizinprodukte, die Zivilluftfahrt, Kraftfahrzeuge und Eisenbahnsysteme [6]. Wenn das KI-System als Sicherheitskomponente in einem dieser regulierten Produkte dient oder das System selbst das regulierte Produkt ist, gilt es gemäß Artikel 6 Absatz 1 als Hochrisiko-System. Entscheidend ist, dass diese Systeme zudem einer Konformitätsbewertung durch Dritte nach den einschlägigen sektoralen Rechtsvorschriften bedürfen.

Wenn ja: Das System ist ein Hochrisiko-System gemäß Artikel 6 Absatz 1. Fahren Sie mit den Pflichten nach der Klassifizierung fort.

Wenn nein: Fahren Sie mit Schritt 3 fort.

Schritt 3: Fällt das System unter eine der in Anhang III aufgeführten Anwendungsbereichskategorien?

Anhang III führt acht Bereiche für Hochrisiko-Anwendungen auf. Wenn der Verwendungszweck des Systems einem dieser Bereiche entspricht, gilt es vorläufig als Hochrisiko-System gemäß Artikel 6 Absatz 2. An dieser Stelle erfordert die Analyse die größte Präzision, da die Kategorien in Anhang III breit gefächert und sachverhaltsspezifisch sind.

Wenn ja: Fahren Sie mit Schritt 4 fort.

Wenn nein: Fahren Sie mit Schritt 5 fort.

Schritt 4: Greift die Ausnahme gemäß Artikel 6 Absatz 3?

Artikel 6 Absatz 3 hat im endgültigen Text eine wesentliche Einschränkung eingeführt. Selbst wenn ein System unter Anhang III fällt, gilt es nicht als hochriskant, wenn es kein erhebliches Risiko einer Schädigung der Gesundheit, der Sicherheit oder der Grundrechte darstellt. Konkret ist ein System ausgenommen, wenn es eine eng begrenzte prozedurale Aufgabe erfüllt, das Ergebnis einer zuvor abgeschlossenen menschlichen Tätigkeit verbessert, Entscheidungsmuster erkennt, ohne die menschliche Bewertung zu ersetzen oder zu beeinflussen, oder eine vorbereitende Aufgabe für eine für die Anwendungsbereiche des Anhangs III relevante Bewertung erfüllt [7].

Der Anbieter muss dokumentieren, warum die Ausnahme gilt, und die zuständige nationale Behörde vor dem Inverkehrbringen des Systems benachrichtigen. Widerspricht die Behörde, fällt das System wieder in die Kategorie „Hochrisiko“ zurück.

Wenn Artikel 6 Absatz 3 anwendbar ist: Das System ist kein Hochrisiko-System, die Dokumentations- und Notifizierungspflichten bleiben jedoch bestehen. Klassifizieren Sie es basierend auf den Transparenzkriterien als System mit begrenztem oder minimalem Risiko.

Wenn Artikel 6 Absatz 3 nicht anwendbar ist: Das System ist ein Hochrisiko-System gemäß Artikel 6 Absatz 2. Fahren Sie mit den Pflichten nach der Klassifizierung fort.

Schritt 5: Erfordert das System Transparenz-Offenlegungen?

Wenn das System direkt mit natürlichen Personen interagiert (Chatbots), Bild-, Audio- oder Videoinhalte generiert oder manipuliert (Deepfakes, generative KI) oder eine Emotionserkennung oder biometrische Kategorisierung außerhalb verbotener Kontexte durchführt, unterliegt es den Transparenzpflichten für begrenzte Risiken [4].

Wenn ja: Das System weist ein begrenztes Risiko auf.

Wenn nein: Das System weist ein minimales Risiko auf. Es gelten keine spezifischen Pflichten.

Die Klassifizierung ist nur so zuverlässig wie die Sorgfalt, die an jedem Knotenpunkt angewandt wird. Für Teams, die mehrere Systeme prüfen, kann das folgende Arbeitsblatt für jedes KI-System im Inventar kopiert und ausgefüllt werden:

Kategorien des Anhangs III: Konkrete Unternehmensbeispiele

Anhang III ist für die meisten KI-Systeme in Unternehmen das Tor zur Einstufung als Hochrisiko-System. Jeder der acht Bereiche verdient eine Untersuchung anhand konkreter Beispiele, da der Gesetzestext eine breit gefasste Sprache verwendet, die durch praktische Veranschaulichung verständlicher wird.

1. Biometrische Identifizierung und Kategorisierung

Dies umfasst biometrische Fernidentifizierungssysteme (mit Ausnahme der Echtzeit-Identifizierung zur Strafverfolgung, die verboten ist) und Systeme zur biometrischen Kategorisierung, mit denen natürliche Personen auf der Grundlage biometrischer Daten bestimmten Kategorien zugeordnet werden. Ein Beispiel aus der Unternehmenspraxis: Ein Flughafen, der eine Gesichtserkennung für die automatisierte Boarding-Prüfung einführt, oder ein Einzelhändler, der biometrische Kategorisierung nutzt, um auf demografische Merkmale von Kunden zu schließen.

2. Verwaltung und Betrieb kritischer Infrastruktur

KI-Systeme, die als Sicherheitskomponenten bei der Steuerung und dem Betrieb des Straßenverkehrs sowie der Versorgung mit Wasser, Gas, Wärme und Strom sowie der digitalen Infrastruktur eingesetzt werden. Beispiele hierfür sind ein KI-System zur Steuerung des Lastausgleichs im Stromnetz, ein vorausschauender Wartungsalgorithmus für Wasseraufbereitungsanlagen oder ein System zur Optimierung von Ampelanlagen, das von einer Kommunalbehörde eingesetzt wird.

3. Allgemeine und berufliche Bildung

Systeme zur Bestimmung des Zugangs zu oder der Zuweisung zu Bildungseinrichtungen oder zur Bewertung von Lernergebnissen. Hierzu gehören beispielsweise Universitäten, die ein KI-gestütztes Tool zur Bewertung von Zulassungen nutzen, ein automatisiertes System zur Bewertung von Aufsätzen oder eine Plattform, die über die Zuweisung von Studenten zu bestimmten akademischen Zweigen entscheidet.

4. Beschäftigung, Personalmanagement und Zugang zur selbstständigen Erwerbstätigkeit

KI-Systeme, die für die Personalrekrutierung, die Bewerberauswahl, Einstellungsentscheidungen, die Aufgabenverteilung, die Leistungsüberwachung oder Entscheidungen über die Beendigung von Arbeitsverhältnissen eingesetzt werden. Dies ist eine der im Unternehmenskontext am häufigsten betroffenen Kategorien. Ein KI-gestütztes Tool zur Vorauswahl von Lebensläufen, das Kandidaten bewertet oder filtert, ein Personaleinsatzplanungs-Algorithmus, der Schichten auf der Grundlage der prognostizierten Produktivität zuweist, oder ein Leistungsbewertungssystem, das Mitarbeiter für eine potenzielle Entlassung vorschlägt, fallen alle in diesen Bereich.

5. Zugang zu und Inanspruchnahme von grundlegenden privaten und öffentlichen Diensten und Leistungen

Dies umfasst KI-Systeme zur Bewertung der Berechtigung für öffentliche Leistungen, zur Kreditwürdigkeitsprüfung, zur Risikobewertung in der Lebens- und Krankenversicherung sowie zur Priorisierung von Rettungsdiensteinsätzen. Ein Algorithmus zur Kreditwürdigkeitsprüfung, den eine Bank zur Entscheidung über die Kreditvergabe einsetzt, ein KI-System zur Triagierung von Anträgen auf Sozialwohnungen oder ein Modell zur Versicherungsprüfung, das Prämien auf der Grundlage individueller Risikoprofile festlegt, sind in dieser Kategorie als hochriskant eingestuft.

6. Strafverfolgung

KI-Systeme, die von Strafverfolgungsbehörden zur individuellen Risikobewertung, Polygraphenanalyse, Bewertung der Zuverlässigkeit von Beweismitteln, Kriminalitätsprognose in Bezug auf natürliche Personen und Profilerstellung im Rahmen von Ermittlungsverfahren eingesetzt werden. Ein vorausschauendes Polizeewerkzeug, das Personen identifiziert, die voraussichtlich Straftaten begehen werden, oder ein KI-System, das die Glaubwürdigkeit von Zeugenaussagen bewertet, fallen unter diese Kategorie.

7. Migration, Asyl und Grenzkontrolle

Systeme, die zur Bewertung von Sicherheitsrisiken durch in die EU einreisende Personen, zur Unterstützung bei der Prüfung von Asylanträgen oder zur Erkennung, Identifizierung oder Erkennung von Personen im Kontext von Migration eingesetzt werden. Ein Tool zur Risikobewertung, das an Grenzkontrollen eingesetzt wird, um Reisende für eine zusätzliche Überprüfung vorzumerken, oder ein KI-System, das die Argumente von Asylsuchenden auf Konsistenz analysiert, fallen in diese Kategorie.

8. Rechtspflege und demokratische Prozesse

KI-Systeme, die Justizbehörden bei der Recherche und Auslegung von Sachverhalten und Rechtsvorschriften unterstützen sollen, oder Systeme, die zur Beeinflussung des Ausgangs von Wahlen eingesetzt werden. Ein Rechtsrecherche-Tool, das Richtern Urteilsempfehlungen vorschlägt, oder ein System zum Microtargeting politischer Werbung auf der Grundlage von Wählerprofilen fallen unter diese Kategorie.

Die Spezifität des Verwendungszwecks und nicht die zugrunde liegende Technologie bestimmt die Klassifizierung.

Grenzfälle und Grauzonen

Die Grenzen der Risikostufen des KI-Gesetzes werden in verschiedenen wiederkehrenden Szenarien auf die Probe gestellt, die Organisationen, die Plattformen wie Enzai für die KI-Governance nutzen, regelmäßig begegnen.

Emotionserkennung: Der Kontext bestimmt alles

Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen führt zu spezifischen Verboten oder einer Einstufung als Hochrisiko-System. Eine Emotionserkennung im Kundenservice-Kontext – wie ein KI-Tool, das die Stimmung des Anrufers analysiert, um Support-Tickets weiterzuleiten – fällt jedoch nicht unter das Verbot am Arbeitsplatz. Es kann sich dennoch gemäß den Transparenzbestimmungen als System mit begrenztem Risiko qualifizieren und erfordert eine Offenlegung gegenüber dem Anrufer. Ausschlaggebend ist nicht die Technologie, sondern der Kontext des Einsatzes und das Machtgefälle zwischen den beteiligten Parteien [8].

KI-Empfehlungen versus KI-Entscheidungen

Ein System, das eine Entscheidung zur menschlichen Überprüfung empfiehlt, ist anders zu bewerten als ein System, das diese Entscheidung autonom ausführt. Ein KI-Tool, das Bewerber bewertet und einem Personalverantwortlichen eine engere Auswahl präsentiert, kann gemäß Anhang III (Kategorie Beschäftigung) immer noch hochriskant sein, aber die Art der menschlichen Aufsicht beeinflusst die spezifischen Pflichten, die anwendbar sind. Umgekehrt ist ein System, das Kreditanträge ohne nennenswertes menschliches Eingreifen automatisch ablehnt, mit der vollen Härte der Hochrisiko-Anforderungen konfrontiert. Die entscheidende Frage ist, ob der Mensch das KI-Ergebnis realistisch und routinemäßig überstimmen kann oder ob die Empfehlung des Systems de facto als Entscheidung fungiert [9].

Der Weg der Selbsteinschätzung nach Artikel 6 Absatz 3

Artikel 6 Absatz 3 bietet einen Weg aus der Hochrisiko-Klassifizierung, dieser ist jedoch enger, als viele Organisationen anfangs annehmen. Ein CV-Screening-Tool, das Bewerbungen lediglich in ein standardisiertes Layout umformatiert, könnte sich für die Ausnahme qualifizieren, da es eine vorbereitende Aufgabe erfüllt. Dasselbe Tool, wenn es für die Bewertung von Kandidaten konfiguriert ist, qualifiziert sich nicht. Organisationen dürfen der Versuchung nicht nachgeben, die Funktion ihres Systems im vorteilhaftesten Licht darzustellen. Die nationalen Behörden behalten das Recht auf eine Neuklassifizierung, und die Beweislast der Dokumentation liegt beim Anbieter. Die Klassifizierungsworkflows von Enzai sind darauf ausgelegt, Ansprüche nach Artikel 6 Absatz 3 vorab gründlich auf die Kriterien der Verordnung hin zu prüfen.

Allgemeine KI-Modelle in Hochrisiko-Systemen

Wenn ein KI-Modell mit allgemeinem Verwendungszweck in ein Hochrisiko-System integriert wird, gehen die Pflichten auf den Betreiber über, der das System für den spezifischen Hochrisiko-Anwendungsfall konfiguriert, und liegen nicht ausschließlich beim Modellanbieter. Eine Organisation, die ein Basismodell für die Kreditwürdigkeitsprüfung anpasst, übernimmt die Pflichten für Hochrisiko-Systeme, selbst wenn das zugrunde liegende Modell von einem Dritten entwickelt wurde [10].

Wo genau ein System im Risikospektrum anzusiedeln ist, ist selten so offensichtlich, wie es zunächst scheint.

Der Klassifizierungsprozess: Governance und Dokumentation

Die Risikoklassifizierung nach dem EU-KI-Gesetz ist keine Aufgabe für eine einzelne Abteilung. Sie erfordert strukturierten Input aus verschiedenen Disziplinen und eine lückenlose Dokumentation, die einer behördlichen Prüfung standhält.

Wer beteiligt sein sollte

Am Klassifizierungsprozess sollten mindestens eine Rechtsberatung mit regulatorischer Expertise, das für das Design und den Verwendungszweck des Systems verantwortliche technische Team, ein Fachexperte, der den betrieblichen Kontext des Einsatzes versteht, ein Risiko- oder Compliance-Beauftragter und, falls das System Mitarbeiter betrifft, Arbeitnehmervertreter oder die Personalabteilung beteiligt sein.

Ein häufiger Fehler besteht darin, die Klassifizierung ausschließlich an die Rechtsabteilung oder die IT-Abteilung zu delegieren. Rechtsabteilungen fehlt oft das technische Verständnis, um zu beurteilen, ob ein System tatsächlich autonome Entscheidungen trifft; IT-Teams unterschätzen gegebenenfalls die regulatorische Relevanz des betrieblichen Kontexts eines Systems.

Wie zu dokumentieren ist

Die Begründung der Klassifizierung muss in einer Form aufgezeichnet werden, die einer nationalen Aufsichtsbehörde vorgelegt werden kann. Die Dokumentation sollte eine klare Beschreibung des Verwendungszwecks des Systems, die berücksichtigten spezifischen Artikel und Anhänge, die Begründung für die zugewiesene Stufe, eine Analyse von Artikel 6 Absatz 3 (falls zutreffend), die Identifizierung der an der Bewertung beteiligten Personen und Rollen sowie das Datum der Klassifizierung und etwaige geplante Überprüfungszeitpunkte enthalten.

Umgang mit Diskrepanzen

Wenn sich interne Stakeholder bei der Klassifizierung uneins sind, sollte bis zur weiteren Klärung die vorsichtigere Position gewählt werden. Für eine Organisation ist das Risiko weitaus geringer, wenn sie ein System vorläufig als hochriskant eingestuft hat und es später herabstuft, als wenn sie es niedrig klassifiziert und in der Folge die Non-Compliance festgestellt wird. Unstimmigkeiten sollten in der Dokumentation festgehalten werden, da sie die Sorgfalt des Prozesses belegen und die Organisation im Falle einer regulatorischen Untersuchung schützen.

Die Klassifizierung ist ein Akt der Governance, keine administrative Formalität.

Was nach der Klassifizierung geschieht

Die einem System zugewiesene Risikostufe bestimmt die sich daraus ergebenden Compliance-Pflichten. Die Unterschiede zwischen den Stufen sind erheblich.

Verbotene Systeme

Die Verpflichtung ist absolut: Sie dürfen nicht entwickelt, betrieben oder auf dem EU-Markt bereitgestellt werden. Bestehende Systeme müssen außer Betrieb genommen werden. Für verbotene Praktiken gibt es keine Übergangsfrist [2].

Hochrisiko-Systeme

Anbieter müssen ein Risikomanagementsystem implementieren, das über den gesamten Lebenszyklus des Systems hinweg betrieben wird. Daten-Governance-Praktiken müssen sicherstellen, dass Trainings-, Validierungs- und Testdatensätze relevant, repräsentativ und fehlerfrei sind. Vor dem Inverkehrbringen des Systems muss eine umfassende technische Dokumentation erstellt werden. Das System muss so konzipiert sein, dass eine automatische Protokollierung von Ereignissen ermöglicht wird. Die Transparenzanforderungen verlangen klare Gebrauchsanweisungen für Betreiber. Maßnahmen zur menschlichen Aufsicht müssen es natürlichen Personen ermöglichen, das System zu verstehen, zu überwachen und zu überstimmen. Anforderungen an Genauigkeit, Robustheit und Cybersicherheit müssen erfüllt und aufrechterhalten werden [3].

Betreiber von Hochrisiko-Systemen tragen eigene Pflichten: Durchführung von Grundrechtestaufprüfungen, Gewährleistung einer operativ wirksamen menschlichen Aufsicht, Überwachung des Systems gemäß den Anweisungen des Anbieters und Meldung schwerwiegender Vorfälle.

Systeme mit begrenztem Risiko

Die Hauptpflicht ist die Transparenz. Benutzer müssen darüber informiert werden, dass sie mit einer KI interagieren. Durch KI generierte oder manipulierte Inhalte müssen als solche gekennzeichnet werden. Emotionserkennungssysteme müssen ihre Funktionsweise gegenüber den betroffenen Personen offenlegen [4].

Systeme mit minimalem Risiko

Es gelten keine verbindlichen Verpflichtungen. Organisationen werden ermutigt, freiwillige Verhaltenskodizes einzuführen, die sich unter anderem mit ökologischer Nachhaltigkeit und KI-Kompetenz befassen [5].

Die Pflichten auf den einzelnen Stufen sind nicht optional. Es handelt sich um durchsetzbare Anforderungen mit definierten Sanktionen bei Nichteinhaltung.

Von der Klassifizierung zur Compliance

Die Bestimmung der Risikostufe eines Systems ist der erste Schritt in einem längerfristigen Compliance-Programm, aber es ist der Schritt, von dem alles andere abhängt. Eine fehlerhafte Klassifizierung wirkt sich auf jede nachfolgende Entscheidung aus – von den Ressourcen, die für die Dokumentation aufgewendet werden, bis hin zum gewählten Konformitätsbewertungsweg.

Organisationen, die Portfolios von KI-Systemen über mehrere Gerichtsbarkeiten und Geschäftsbereiche hinweg verwalten, stehen vor dieser Herausforderung in großem Maßstab. Die Nachverfolgung von Klassifizierungsentscheidungen, die Überwachung gesetzlicher Neuerungen, die die Stufe eines Systems verschieben könnten, und die Führung einer prüfbaren Dokumentation der Begründung für jede Entscheidung erfordern eine speziell dafür entwickelte Infrastruktur.

Für Organisationen, die die Risikoklassifizierung nach dem EU-KI-Gesetz für ihren gesamten KI-Bestand operationalisieren möchten, bietet Enzai das Governance-Framework zur Klassifizierung, Dokumentation und Überwachung von KI-Systemen im Hinblick auf sich entwickelnde regulatorische Anforderungen. Fordern Sie eine Demo an, um zu sehen, wie strukturierte Klassifizierungsworkflows sowohl das Compliance-Risiko als auch unnötigen Mehraufwand reduzieren.

Enzai ist die führende Plattform für die KI-Governance in Unternehmen, die speziell entwickelt wurde, um Unternehmen beim Übergang von abstrakten Richtlinien zur operativen Aufsicht zu unterstützen. Unsere Plattform für KI-Risikomanagement bietet die spezialisierte Infrastruktur, die für die Verwaltung der Governance agentischer KI, die Pflege eines umfassenden KI-Inventars und die Gewährleistung der Konformität mit dem EU-KI-Gesetz erforderlich ist. Durch die Automatisierung komplexer Workflows ermöglicht Enzai es Unternehmen, die KI-Einführung vertrauensvoll zu skalieren und gleichzeitig die Ausrichtung an globalen Standards wie ISO 42001 und NIST zu wahren.

Referenzen

[1] Verordnung (EU) 2024/1689, Artikel 99 – Geldbußen.

[2] Verordnung (EU) 2024/1689, Artikel 5 – Verbotene Praktiken im Bereich der künstlichen Intelligenz.

[3] Verordnung (EU) 2024/1689, Artikel 8–15 – Anforderungen an Hochrisiko-KI-Systeme.

[4] Verordnung (EU) 2024/1689, Artikel 50 – Transparenzpflichten für KI-Systeme mit begrenztem Risiko.

[5] Verordnung (EU) 2024/1689, Artikel 95 – Verhaltenskodizes für freiwillige Zusagen von Anbietern von KI-Systemen ohne hohes Risiko.

[6] Verordnung (EU) 2024/1689, Anhang I – Harmonisierungsrechtsvorschriften der Union.

[7] Verordnung (EU) 2024/1689, Artikel 6 Absatz 3 – Klassifizierungsregeln für Hochrisiko-KI-Systeme.

[8] Verordnung (EU) 2024/1689, Erwägungsgründe 44–46 – Anwendungsbereich der Verbote von Emotionserkennung.

[9] Verordnung (EU) 2024/1689, Artikel 14 – Menschliche Aufsicht.

[10] Verordnung (EU) 2024/1689, Artikel 51–56 – Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck.