Risikoklassifizierung nach dem EU AI Act: So bestimmen Sie die Risikostufe Ihres KI-Systems

Jedes KI-System, das in der Europäischen Union implementiert wird oder sich dort auswirkt, ist nun in ein vierstufiges Risikospektrum eingeordnet. Diese Einstufung ist kein theoretisches Unterfangen. Sie bestimmt darüber, ob eine Organisation überhaupt keiner aufsichtsrechtlichen Belastung, engen Transparenzpflichten, einem umfassenden Konformitätsregime mit Kosten im sechsstelligen Eurobereich oder einem vollständigen Verbot unterliegt. Eine falsche Klassifizierung in die eine oder andere Richtung hat erhebliche Konsequenzen: Bei einer Überklassifizierung fließen Ressourcen in eine Compliance-Infrastruktur, die nie erforderlich gewesen wäre; bei einer Unterklassifizierung drohen der Organisation Durchsetzungsmaßnahmen, Geldbußen von bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes sowie Rufschädigungen, die durch keinen Sanierungsplan schnell behoben werden können [1].

Das Risikoklassifizierungsgerüst des EU-KI-Gesetzes ist oberflächlich betrachtet einfach. In der Praxis sind die Grenzen zwischen den Stufen jedoch weniger eindeutig, als es der Gesetzestext vermuten lässt. Systeme, die scheinbar exakt in eine Kategorie passen, können sich bei näherer Betrachtung als Grenzgänger zwischen zweien erweisen. Dieser Leitfaden bietet einen strukturierten Weg durch diese Komplexität.

Die vier Risikostufen

Das KI-Gesetz etabliert vier Risikostufen, die jeweils mit unterschiedlichen Verpflichtungen verbunden sind. Das Verständnis darüber, was jede Stufe erfordert, ist die Voraussetzung für eine präzise Klassifizierung.

Unannehmbares Risiko (Verboten)

Artikel 5 des KI-Gesetzes identifiziert KI-Praktiken, die als so grundlegend bedrohlich für die Sicherheit, die Lebensgrundlagen und die Rechte von Menschen eingestuft werden, dass sie gänzlich verboten sind. Dazu gehören Social-Scoring-Systeme, die von oder im Auftrag von Behörden betrieben werden, die biometrische Fernidentifizierung in Echtzeit in öffentlich zugänglichen Räumen zu Strafverfolgungszwecken (vorbehaltlich enger Ausnahmen), KI-Systeme, die Schwachstellen bestimmter Personengruppen aufgrund ihres Alters, einer Behinderung oder ihrer sozialen Situation ausnutzen, sowie Systeme, die unterschwellige Techniken außerhalb des Bewusstseins einer Person einsetzen, um deren Verhalten in einer Weise erheblich zu verzerren, die Schaden verursacht [2].

Für verbotene Systeme gibt es keinen Compliance-Pfad. Die einzig rechtmäßige Reaktion ist die Einstellung des Betriebs.

Hohes Risiko

Hochrisiko-Systeme bilden das regulatorische Gravitationszentrum. Sie unterliegen den detailliertesten Verpflichtungen: Risikomanagementsysteme, Daten-Governance-Anforderungen, technische Dokumentation, Protokollierung, Transparenzvorschriften, menschliche Aufsichtsmechanismen sowie Anforderungen an Genauigkeit, Robustheit und Cybersicherheit [3]. Zwei Wege führen zu einer Klassifizierung als Hochrisiko-System, die im Folgenden näher erläutert werden.

Auf dieses Segment konzentrieren sich die meisten Compliance-Bemühungen von Unternehmen, und hier verursachen Klassifizierungsfehler die höchsten Kosten.

Begrenztes Risiko

Systeme, die als Systeme mit begrenztem Risiko eingestuft werden, unterliegen lediglich Transparenzpflichten. Die Hauptanforderung besteht in der Offenlegung: Nutzer müssen darüber informiert werden, dass sie mit einem KI-System interagieren. Diese Stufe erfasst Chatbots, Emotionserkennungssysteme, die nicht unter die Kategorie der verbotenen Systeme fallen, Deepfake-Generatoren sowie KI-Systeme, die Text-, Audio- oder Bildinhalte erzeugen oder manipulieren [4].

Das begrenzte Risiko ist der Mechanismus des Gesetzes, um Täuschungen zu steuern, ohne den gesamten Konformitätsapparat aufzuerlegen.

Minimales Risiko

Die überwiegende Mehrheit der KI-Systeme fällt in diese Kategorie. Spamfilter, KI-gestützte Videospiele, Algorithmen zur Bestandsverwaltung – diese bergen keine spezifischen Pflichten nach dem Gesetz, wenngleich freiwillige Verhaltenskodizes empfohlen werden [5].

Minimales Risiko ist der Standard. Ein System steigt im Spektrum nur dann auf, wenn es definierte Kriterien für eine der höheren Stufen erfüllt.

Der Entscheidungsbaum: Schritt für Schritt klassifizieren

Die Risikoklassifizierung nach dem EU-KI-Gesetz erfordert eine sequenzielle Analyse. Der folgende Entscheidungsbaum spiegelt die Logik der Artikel 5, 6 und 7 wider und bietet denselben reproduzierbaren Prozess, den die Klassifizierungs-Workflows von Enzai für Unternehmensteams automatisieren, die Dutzende oder Hunderte von Systemen bearbeiten.

Schritt 1: Fällt das System unter die Verbote von Artikel 5?

Prüfen Sie den Zweck und die Funktionsweise des Systems im Hinblick auf jede verbotene Praxis. Wenn das System biometrische Fernidentifizierung in Echtzeit in öffentlich zugänglichen Räumen zur Strafverfolgung durchführt, Personen durch unterschwellige Techniken schädigend manipuliert, spezifische Schwachstellen ausnutzt oder Social Scoring durch Behörden ermöglicht, ist es verboten.

Wenn ja: Das System stellt ein unannehmbares Risiko dar. Brechen Sie hier ab.

Wenn nein: Fahren Sie mit Schritt 2 fort.

Schritt 2: Ist das System eine Sicherheitskomponente eines Produkts, das unter die in Anhang I aufgeführten Harmonisierungsrechtsvorschriften der Union fällt, oder ist das System selbst ein solches Produkt?

Anhang I listet bestehende EU-Produktsicherheitsrichtlinien und -verordnungen auf, darunter solche für Maschinen, Spielzeug, Medizinprodukte, die Zivilluftfahrt, Kraftfahrzeuge und Eisenbahnsysteme [6]. Wenn das KI-System als Sicherheitskomponente in einem dieser regulierten Produkte dient oder das System selbst das regulierte Produkt ist, gilt es gemäß Artikel 6 Absatz 1 als hochriskant. Entscheidend ist, dass diese Systeme zudem eine Konformitätsbewertung durch Dritte im Rahmen der relevanten sektoralen Gesetzgebung erfordern.

Wenn ja: Das System ist ein Hochrisiko-System gemäß Artikel 6 Absatz 1. Fahren Sie mit den Pflichten nach der Klassifizierung fort.

Wenn nein: Fahren Sie mit Schritt 3 fort.

Schritt 3: Fällt das System unter eine der in Anhang III aufgeführten Anwendungsbereich-Kategorien?

Anhang III führt acht Bereiche hochriskanter Anwendungen auf. Wenn sich der Verwendungszweck des Systems in eine dieser Kategorien einordnen lässt, gilt es vorläufig als Hochrisiko-System gemäß Artikel 6 Absatz 2. An dieser Stelle erfordert die Analyse die größte Präzision, da die Kategorien in Anhang III breit gefächert und sachverhaltsspezifisch sind.

Wenn ja: Fahren Sie mit Schritt 4 fort.

Wenn nein: Fahren Sie mit Schritt 5 fort.

Schritt 4: Greift die Ausnahme nach Artikel 6 Absatz 3?

Artikel 6 Absatz 3 hat im finalen Text eine bedeutende Einschränkung eingeführt. Selbst wenn ein System unter Anhang III fällt, gilt es nicht als hochriskant, wenn es kein erhebliches Risiko einer Schädigung der Gesundheit, der Sicherheit oder der Grundrechte darstellt. Konkret ist ein System ausgenommen, wenn es eine eng begrenzte verfahrenstechnische Aufgabe erfüllt, das Ergebnis einer zuvor abgeschlossenen menschlichen Tätigkeit verbessert, Entscheidungsmuster erkennt, ohne die menschliche Bewertung zu ersetzen oder zu beeinflussen, oder eine vorbereitende Aufgabe für eine im Rahmen der Anwendungsfälle des Anhangs III relevante Bewertung erfüllt [7].

Der Anbieter muss dokumentieren, warum die Ausnahme gilt, und die zuständige nationale Behörde benachrichtigen, bevor er das System in Verkehr bringt. Wenn die Behörde widerspricht, fällt das System in den Hochrisiko-Status zurück.

Wenn Artikel 6 Absatz 3 zutrifft: Das System ist kein Hochrisiko-System, die Dokumentations- und Notifizierungspflichten bleiben jedoch bestehen. Klassifizieren Sie es auf Basis der Transparenzkriterien als System mit begrenztem oder minimalem Risiko.

Wenn Artikel 6 Absatz 3 nicht zutrifft: Das System ist ein Hochrisiko-System gemäß Artikel 6 Absatz 2. Fahren Sie mit den Pflichten nach der Klassifizierung fort.

Schritt 5: Erfordert das System Transparenzoffenlegungen?

Wenn das System direkt mit natürlichen Personen interagiert (Chatbots), Bild-, Audio- oder Videoinhalte erzeugt oder manipuliert (Deepfakes, generative KI) oder eine Emotionserkennung oder biometrische Kategorisierung außerhalb verbotener Kontexte durchführt, unterliegt es den Transparenzpflichten für begrenzte Risiken [4].

Wenn ja: Das System ist ein System mit begrenztem Risiko.

Wenn nein: Das System ist ein System mit minimalem Risiko. Es gelten keine spezifischen Verpflichtungen.

Die Klassifizierung ist nur so verlässlich wie die Sorgfalt, die an jedem Knotenpunkt angewendet wird. Für Teams, die mehrere Systeme prüfen, kann das folgende Arbeitsblatt kopiert und für jedes KI-System im Bestand ausgefüllt werden:

Kategorien des Anhangs III: Konkrete Unternehmensbeispiele

Anhang III ist für die meisten KI-Systeme in Unternehmen das Tor zur Hochrisiko-Klassifizierung. Jeder der acht Bereiche verdient eine Betrachtung anhand konkreter Beispiele, da der Gesetzestext eine allgemeine Sprache verwendet, die durch praktische Veranschaulichung verständlicher wird.

1. Biometrische Identifizierung und Kategorisierung

Dies umfasst biometrische Fernidentifizierungssysteme (außer in Echtzeit zur Strafverfolgung, was verboten ist) und biometrische Kategorisierungssysteme, die natürliche Personen anhand biometrischer Daten bestimmten Kategorien zuordnen. Ein Beispiel aus dem Unternehmensbereich: Ein Flughafen implementiert Gesichtserkennung zur automatisierten Boarding-Verifizierung, oder ein Einzelhändler nutzt biometrische Kategorisierung, um demografische Merkmale von Kunden abzuleiten.

2. Verwaltung und Betrieb kritischer Infrastrukturen

KI-Systeme, die als Sicherheitskomponenten bei der Steuerung und dem Betrieb des Straßenverkehrs sowie der Wasser-, Gas-, Wärme- und Stromversorgung sowie digitaler Infrastrukturen eingesetzt werden. Beispiele hierfür sind ein KI-System zur Steuerung des Lastausgleichs im Stromnetz, ein vorausschauender Wartungsalgorithmus für Wasseraufbereitungsanlagen oder ein System zur Optimierung von Ampelanlagen, das von einer Kommunalbehörde eingesetzt wird.

3. Allgemeine und berufliche Bildung

Systeme, die über den Zugang zu oder die Zuweisung an Bildungseinrichtungen entscheiden oder Lernergebnisse bewerten. Eine Universität, die ein KI-gestütztes Tool zur Bewertung von Zulassungen nutzt, ein automatisiertes System zur Benotung von Aufsätzen oder eine Plattform, welche die Einstufung von Studenten in akademische Pfade festlegt, fallen alle unter diese Kategorie.

4. Beschäftigung, Personalmanagement und Zugang zur selbstständigen Erwerbstätigkeit

KI-Systeme, die für die Personalrekrutierung, Auswahl- und Einstellungsentscheidungen, Aufgabenverteilung, Leistungsüberwachung oder Kündigungsentscheidungen eingesetzt werden. Dies ist im Unternehmenskontext eine der am häufigsten ausgelösten Kategorien. Ein KI-gestütztes Tool zur Überprüfung von Lebensläufen, das Bewerber filtert oder in eine Rangfolge bringt, ein Algorithmus zur Personaleinsatzplanung, der Schichten auf Basis der prognostizierten Produktivität zuteilt, oder ein System zur Leistungsbeurteilung, das Mitarbeiter für eine potenzielle Entlassung markiert, fallen alle in diesen Bereich.

5. Zugang zu und Inanspruchnahme von grundlegenden privaten und öffentlichen Dienstleistungen und Leistungen

Dies schließt KI-Systeme ein, die zur Bewertung der Berechtigung für Sozialleistungen, zur Kreditwürdigkeitsprüfung, zur Risikobewertung in der Lebens- und Krankenversicherung sowie zur Priorisierung von Rettungsdiensten eingesetzt werden. Ein Bonitätsprüfungsalgorithmus, der von einer Bank verwendet wird, um die Kreditwürdigkeit zu ermitteln, ein KI-System, das Anträge auf Sozialwohnungen sichtet, oder ein Underwriting-Modell im Versicherungswesen, das Prämien auf Basis individueller Risikoprofile berechnet, sind in dieser Kategorie als hochriskant einzustufen.

6. Strafverfolgung

KI-Systeme, die von Strafverfolgungsbehörden zur individuellen Risikobewertung, Polygraphenanalyse, Bewertung der Zuverlässigkeit von Beweismitteln, Kriminalitätsprognose bezüglich natürlicher Personen und Profilerstellung im Rahmen strafrechtlicher Ermittlungen eingesetzt werden. Ein vorausschauendes Polizeianalyse-Tool, das Personen identifiziert, die voraussichtlich Straftaten begehen werden, oder ein KI-System, das die Glaubwürdigkeit von Zeugenaussagen bewertet, fallen hierunter.

7. Migration, Asyl und Grenzkontrolle

Systeme, die zur Bewertung von Sicherheitsrisiken durch Personen verwendet werden, die in die EU einreisen, zur Unterstützung bei der Prüfung von Asylanträgen oder zur Erkennung, Wiedererkennung oder Identifizierung von Personen im Migrationskontext. Ein Tool zur Risikobewertung an Grenzkontrollstellen, um Reisende für eine zusätzliche Überprüfung vorzumerken, oder ein KI-System, das die Angaben von Asylsuchenden auf Konsistenz prüft, fallen unter diese Kategorie.

8. Rechtspflege und demokratische Prozesse

KI-Systeme, die Justizbehörden bei der Recherche und Auslegung von Sachverhalten und Rechtsvorschriften unterstützen sollen, oder Systeme, die zur Beeinflussung des Ausgangs von Wahlen eingesetzt werden. Ein juristisches Recherche-Tool, das Richtern Urteilsvorschläge empfiehlt, oder ein System zur personalisierten Platzierung politischer Werbung auf Basis von Wähler-Profilerstellung fallen in diese Kategorie.

Die Klassifizierung wird durch die Spezifität des Verwendungszwecks bestimmt, nicht durch die zugrunde liegende Technologie.

Grenzfälle und Grauzonen

Die Grenzen der Risikostufen des KI-Gesetzes werden in mehreren wiederkehrenden Szenarien auf die Probe gestellt, mit denen Organisationen, die Plattformen wie Enzai für die KI-Governance nutzen, regelmäßig konfrontiert sind.

Emotionserkennung: Der Kontext entscheidet über alles

Die Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen führt zu spezifischen Verboten oder einer Hochrisiko-Klassifizierung. Doch eine Emotionserkennung, die beispielsweise im Kundenservice eingesetzt wird – wie ein KI-Tool, das die Stimmung von Anrufern analysiert, um Support-Tickets weiterzuleiten –, fällt nicht unter das Verbot am Arbeitsplatz. Sie kann dennoch unter den Transparenzvorschriften als System mit begrenztem Risiko eingestuft werden, was eine Offenlegung gegenüber dem Anrufer erfordert. Ausschlaggebend ist nicht die Technologie, sondern der Kontext des Einsatzes und das Machtgefälle zwischen den beteiligten Parteien [8].

KI-Empfehlungen versus KI-Entscheidungen

Ein System, das eine Entscheidung zur menschlichen Überprüfung empfiehlt, ist anders zu bewerten als ein System, das diese Entscheidung autonom ausführt. Ein KI-Tool, das Stellenbewerber filtert und einem menschlichen Personalverantwortlichen eine engere Auswahl präsentiert, kann laut Anhang III (Bereich Beschäftigung) immer noch hochriskant sein. Allerdings beeinflusst die Art der menschlichen Aufsicht die spezifischen Verpflichtungen, die hierbei greifen. Umgekehrt trifft ein System, das Kreditanträge ohne wesentliches menschliches Zutun automatisch ablehnt, die volle Härte der Hochrisiko-Anforderungen. Die entscheidende Frage lautet, ob der Mensch das KI-Ergebnis realistisch und routinemäßig überstimmen kann oder ob die Empfehlung des Systems de facto als Entscheidung fungiert [9].

Der Weg der Selbsteinschätzung nach Artikel 6 Absatz 3

Artikel 6 Absatz 3 bietet einen Weg, der Hochrisiko-Klassifizierung zu entgehen; dieser ist jedoch enger, als viele Organisationen anfangs annehmen. Ein Tool zur Überprüfung von Lebensläufen, das Bewerbungen lediglich in ein standardisiertes Layout formatiert, könnte für die Ausnahme infrage kommen, da es eine vorbereitende Aufgabe erfüllt. Dasselbe Tool, so konfiguriert, dass es Bewerber bewertet, hingegen nicht. Organisationen müssen der Versuchung widerstehen, die Funktion ihres Systems im günstigsten Licht darzustellen. Nationale Behörden behalten das Recht zur Reklassifizierung, und die Dokumentationslast liegt beim Anbieter. Die Klassifizierungs-Workflows von Enzai sind darauf ausgelegt, Ansprüche nach Artikel 6 Absatz 3 eingehend am Regelwerk zu prüfen, bevor sich eine Organisation auf eine Position festlegt.

Allzweck-KI-Modelle in Hochrisiko-Systemen

Wenn ein Allzweck-KI-Modell in ein Hochrisiko-System integriert wird, gehen die Pflichten auf den Betreiber über, der das System für den spezifischen Hochrisiko-Anwendungsfall konfiguriert, und nicht ausschließlich auf den Modellanbieter. Eine Organisation, die ein Basismodell für die Bonitätsprüfung feinabstimmt, übernimmt die Hochrisiko-Pflichten, selbst wenn das zugrunde liegende Modell von einem Dritten entwickelt wurde [10].

Die Einstufung eines Systems im Risikospektrum ist selten so offensichtlich, wie es zunächst scheint.

Der Klassifizierungsprozess: Governance und Dokumentation

Die Risikoklassifizierung nach dem EU-KI-Gesetz ist keine Aufgabe für eine einzelne Abteilung. Sie erfordert strukturierten Input aus verschiedenen Disziplinen und eine lückenlose Dokumentation, die einer behördlichen Prüfung standhält.

Wer beteiligt sein sollte

Am Klassifizierungsprozess sollten mindestens eine Rechtsberatung mit regulatorischer Expertise, das für das Design und den Verwendungszweck des Systems verantwortliche technische Team, ein Fachexperte, der den betrieblichen Kontext des Einsatzes versteht, ein Risiko- oder Compliance-Beauftragter sowie, falls das System Mitarbeiter betrifft, Arbeitnehmervertreter oder die Personalabteilung beteiligt sein.

Ein häufiger Fehler besteht darin, die Klassifizierung ausschließlich der Rechtsabteilung oder ausschließlich der IT-Abteilung zu übertragen. Den Rechtsteams fehlt unter Umständen das technische Verständnis, um zu beurteilen, ob ein System tatsächlich autonome Entscheidungen trifft; IT-Teams wiederum unterschätzen möglicherweise die regulatorische Relevanz des betrieblichen Kontexts eines Systems.

Wie zu dokumentieren ist

Die Begründung der Klassifizierung muss in einer Form aufgezeichnet werden, die einer nationalen Aufsichtsbehörde vorgelegt werden kann. Die Dokumentation sollte eine klare Beschreibung des Verwendungszwecks des Systems, die spezifischen geprüften Artikel und Anhänge, die Begründung für die zugewiesene Stufe, eine Analyse von Artikel 6 Absatz 3 (sofern anwendbar), die Identifizierung der an der Bewertung beteiligten Personen und Rollen sowie das Datum der Klassifizierung und etwaige geplante Überprüfungsereignisse umfassen.

Umgang mit Meinungsverschiedenheiten

Wenn sich interne Stakeholder bei der Klassifizierung uneinig sind, sollte bis zu einer detaillierteren Analyse die konservativere Position gewählt werden. Eine Organisation, die ein System vorläufig als hochriskant eingestuft und später herabstuft, geht ein weitaus geringeres Risiko ein als eine Organisation, die ein System als risikoarm einstuft und bei der im Nachgang eine Nichteinhaltung der Vorschriften festgestellt wird. Meinungsverschiedenheiten sollten in der Dokumentation festgehalten werden, da sie die Gründlichkeit des Prozesses belegen und die Organisation im Falle einer regulatorischen Untersuchung schützen.

Die Klassifizierung ist ein Akt der Governance, keine administrative Formalität.

Was nach der Klassifizierung geschieht

Die einem System zugewiesene Risikostufe bestimmt die anschließenden Compliance-Verpflichtungen. Der Unterschied zwischen den einzelnen Stufen ist beträchtlich.

Verbotene Systeme

Die Verpflichtung ist absolut: Entwickeln, betreiben oder auf dem EU-Markt bereitstellen ist untersagt. Bestehende Systeme müssen decommissioniert werden. Für verbotene Praktiken gibt es keine Übergangsfrist [2].

Hochrisiko-Systeme

Anbieter müssen ein Risikomanagementsystem implementieren, das über den gesamten Lebenszyklus des Systems hinweg aktiv ist. Daten-Governance-Praktiken müssen sicherstellen, dass Trainings-, Validierungs- und Testdatensätze relevant, repräsentativ und fehlerfrei sind. Vor dem Inverkehrbringen des Systems muss eine umfassende technische Dokumentation erstellt werden. Das System muss so konzipiert sein, dass eine automatische Protokollierung von Ereignissen ermöglicht wird. Transparenzanforderungen verlangen klare Anweisungen für die Betreiber. Aufsichtsmaßnahmen durch Menschen müssen es natürlichen Personen ermöglichen, das System zu verstehen, zu überwachen und zu überstimmen. Anforderungen an Genauigkeit, Robustheit und Cybersicherheit müssen erfüllt und aufrechterhalten werden [3].

Betreiber von Hochrisiko-Systemen tragen eigene Pflichten: die Durchführung von Grundrechte-Folgenabschätzungen, die Gewährleistung einer operativ wirksamen menschlichen Aufsicht, die Überwachung des Systems gemäß den Anweisungen des Anbieters sowie die Meldung schwerwiegender Vorfälle.

Systeme mit begrenztem Risiko

Die Hauptverpflichtung besteht in der Transparenz. Nutzer müssen darüber informiert werden, dass sie mit einer KI interagieren. Durch KI erzeugte oder manipulierte Inhalte müssen als solche gekennzeichnet werden. Emotionserkennungssysteme müssen betroffene Personen über ihren Betrieb informieren [4].

Systeme mit minimalem Risiko

Es gelten keine verbindlichen Verpflichtungen. Organisationen werden ermutigt, freiwillige Verhaltenskodizes einzuführen, die sich unter anderem mit ökologischer Nachhaltigkeit und KI-Kompetenz befassen [5].

Die Verpflichtungen auf jeder Stufe sind nicht optional. Es handelt sich um durchsetzbare Anforderungen mit definierten Strafen bei Nichteinhaltung.

Der Weg von der Klassifizierung zur Compliance

Die Bestimmung der Risikostufe eines Systems ist der erste Schritt in einem längeren Compliance-Programm, aber es ist der Schritt, von dem alles andere abhängt. Eine fehlerhafte Klassifizierung wirkt sich auf jede nachfolgende Entscheidung aus – von den für die Dokumentation bereitgestellten Ressourcen bis hin zum gewählten Konformitätsbewertungspfad.

Organisationen, die Portfolios von KI-Systemen über mehrere Gerichtsbarkeiten und Geschäftsbereiche hinweg verwalten, stehen vor dieser Herausforderung in großem Stil. Die Nachverfolgung von Klassifizierungsentscheidungen, die Überwachung aufsichtsrechtlicher Updates, die die Risikostufe eines Systems verändern könnten, und die Aufrechterhaltung eines auditierbaren Nachweises über die Argumentation hinter jeder Entscheidung erfordern eine speziell dafür entwickelte Infrastruktur.

Für Organisationen, die die Risikoklassifizierung nach dem EU-KI-Gesetz für ihren gesamten KI-Bestand operationalisieren möchten, bietet Enzai das Governance-Framework zur Klassifizierung, Dokumentation und Überwachung von KI-Systemen im Hinblick auf sich entwickelnde regulatorische Anforderungen. Fordern Sie eine Demo an, um zu sehen, wie strukturierte Klassifizierungs-Workflows sowohl das Compliance-Risiko als auch unnötigen Mehraufwand reduzieren.

Enzai ist die führende Plattform für die KI-Governance in Unternehmen, die speziell dafür entwickelt wurde, Organisationen beim Übergang von abstrakten Richtlinien zur operativen Aufsicht zu unterstützen. Unsere Plattform für das KI-Risikomanagement bietet die spezialisierte Infrastruktur, die für die Verwaltung der agentischen KI-Governance, die Pflege eines umfassenden KI-Bestandsverzeichnisses und die Gewährleistung der Konformität mit dem EU-KI-Gesetz erforderlich ist. Durch die Automatisierung komplexer Workflows versetzt Enzai Unternehmen in die Lage, die Einführung von KI vertrauensvoll zu skalieren und gleichzeitig die Ausrichtung an globalen Standards wie ISO 42001 und NIST beizubehalten.

Referenzen

[1] Verordnung (EU) 2024/1689, Artikel 99 – Geldbußen.

[2] Verordnung (EU) 2024/1689, Artikel 5 – Verbotene Praktiken im Bereich der künstlichen Intelligenz.

[3] Verordnung (EU) 2024/1689, Artikel 8–15 – Anforderungen an Hochrisiko-KI-Systeme.

[4] Verordnung (EU) 2024/1689, Artikel 50 – Transparenzpflichten für KI-Systeme mit begrenztem Risiko.

[5] Verordnung (EU) 2024/1689, Artikel 95 – Verhaltenskodizes für freiwillige Zusagen von Anbietern von KI-Systemen, die kein hohes Risiko darstellen.

[6] Verordnung (EU) 2024/1689, Anhang I – Harmonisierungsrechtsvorschriften der Union.

[7] Verordnung (EU) 2024/1689, Artikel 6 Absatz 3 – Klassifizierungsregeln für Hochrisiko-KI-Systeme.

[8] Verordnung (EU) 2024/1689, Erwägungsgründe 44–46 – Geltungsbereich der Verbote von Emotionserkennung.

[9] Verordnung (EU) 2024/1689, Artikel 14 – Menschliche Aufsicht.

[10] Verordnung (EU) 2024/1689, Artikel 51–56 – Pflichten für Anbieter von Allzweck-KI-Modellen.