Blog
•
16 Min. Lesezeit
Jedes KI-System, das in der Europäischen Union eingesetzt wird oder sich dort auswirkt, lässt sich nun in ein vierstufiges Risikospektrum einordnen. Diese Einstufung ist keine theoretische Übung. Sie entscheidet darüber, ob auf eine Organisation keinerlei regulatorischer Aufwand, eine begrenzte Anzahl von Transparenzpflichten, ein umfassendes Konformitätsverfahren im Wert von Hunderttausenden von Euro oder ein vollständiges Verbot zukommt. Das eigentliche finanzielle Risiko liegt in einer zu niedrigen Einstufung: Durchsetzungsmaßnahmen, Geldbußen von bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes sowie ein Reputationsschaden, den kein Sanierungsplan so schnell wiedergutmachen kann [1].
Das Framework zur Risikoklassifizierung des EU AI Act ist oberflächlich betrachtet unkompliziert. In der Praxis sind die Grenzen zwischen den einzelnen Stufen jedoch weniger scharf, als es der Gesetzestext vermuten lässt. Systeme, die auf den ersten Blick eindeutig in eine Kategorie zu fallen scheinen, können sich bei genauerem Hinsehen zwischen zwei Kategorien bewegen. Dieser Leitfaden bietet einen strukturierten Weg durch diese Komplexität.
Die vier Risikostufen
Die KI-Verordnung legt vier Risikostufen fest, die jeweils an spezifische Pflichten gebunden sind. Das Verständnis der Anforderungen der einzelnen Stufen ist die Voraussetzung für eine präzise Klassifizierung.
Unannehmbares Risiko (Verboten)
Artikel 5 der KI-Verordnung definiert KI-Praktiken, die als so grundlegend bedrohlich für die Sicherheit, die Lebensgrundlagen und die Rechte von Menschen eingestuft werden, dass sie gänzlich verboten sind. Dazu gehören Social-Scoring-Systeme, die von oder im Auftrag von Behörden betrieben werden, die biometrische Fernidentifizierung in Echtzeit in öffentlich zugänglichen Räumen zu Zwecken der Strafverfolgung (vorbehaltlich enger Ausnahmen), KI-Systeme, die Schwachstellen bestimmter Personengruppen aufgrund ihres Alters, einer Behinderung oder ihrer sozialen Situation ausnutzen, sowie Systeme, die unterschwellige Techniken außerhalb des Bewusstseins einer Person einsetzen, um deren Verhalten in einer Weise wesentlich zu beeinflussen, die einen Schaden verursacht [2].
Für verbotene Systeme gibt es kein Konformitätsverfahren. Die einzig rechtmäßige Konsequenz ist die Einstellung des Betriebs.
Hohes Risiko
Hochrisiko-Systeme bilden das regulatorische Zentrum der Verordnung. Sie unterliegen den detailliertesten Pflichten: Risikomanagementsysteme, Daten-Governance-Anforderungen, technische Dokumentation, Protokollierung, Transparenzbestimmungen, menschliche Aufsichtsmechanismen sowie Anforderungen an Genauigkeit, Robustheit und Cybersicherheit [3]. Zwei Wege führen zu einer Einstufung als Hochrisiko-System, die im Folgenden näher erläutert werden.
Auf diese Stufe konzentriert sich der Großteil der Compliance-Bemühungen von Unternehmen, und hier verursachen Klassifizierungsfehler die höchsten Kosten.
Begrenztes Risiko
Systeme, die als Systeme mit begrenztem Risiko eingestuft werden, unterliegen lediglich Transparenzpflichten. Die Hauptanforderung besteht in der Offenlegung: Nutzer müssen darüber informiert werden, dass sie mit einem KI-System interagieren. Diese Stufe erfasst Chatbots, Emotionserkennungssysteme, die nicht unter die verbotene Kategorie fallen, Deepfake-Generatoren sowie KI-Systeme, die Text-, Audio- oder Bildinhalte erzeugen oder manipulieren [4].
Das begrenzte Risiko ist der Mechanismus der Verordnung, um Täuschungen zu verhindern, ohne den gesamten Apparat der Konformitätsbewertung vorzuschreiben.
Minimales Risiko
Die überwiegende Mehrheit der KI-Systeme fällt in diese Kategorie. Spam-Filter, KI-gestützte Videospiele, Algorithmen zur Bestandsverwaltung: Diese Systeme unterliegen keinen spezifischen Pflichten nach der Verordnung, wenngleich freiwillige Verhaltenskodizes empfohlen werden [5].
Das minimale Risiko ist der Standardfall. Ein System steigt im Risikospektrum nur dann auf, wenn es die definierten Kriterien einer der höheren Stufen erfüllt.
Der Entscheidungsbaum: Schritt für Schritt klassifizieren
Die Risikoklassifizierung nach dem EU AI Act erfordert eine sequenzielle Analyse. Der folgende Entscheidungsbaum spiegelt die Logik der Artikel 5, 6 und 7 wider und bietet denselben wiederholbaren Prozess, den die Klassifizierungs-Workflows von Enzai für Unternehmensteams automatisieren, die Dutzende oder Hunderte von Systemen prüfen.
Schritt 1: Fällt das System unter die Verbote von Artikel 5?
Überprüfen Sie den Zweck und die Funktionsweise des Systems im Hinblick auf jede verbotene Praktik. Wenn das System eine biometrische Echtzeit-Fernidentifizierung in öffentlich zugänglichen Räumen zur Strafverfolgung durchführt, Personen durch unterschwellige Techniken manipuliert und dadurch Schaden verursacht, spezifische Schwachstellen ausnutzt oder Social Scoring durch Behörden ermöglicht, ist es verboten.
Wenn ja: Das System stellt ein unannehmbares Risiko dar. Brechen Sie hier ab.
Wenn nein: Fahren Sie mit Schritt 2 fort.
Schritt 2: Handelt es sich bei dem System um eine Sicherheitskomponente eines Produkts, das unter die in Anhang I aufgeführten Harmonisierungsrechtsvorschriften der Union fällt, oder ist das System selbst ein solches Produkt?
Anhang I listet bestehende EU-Produktsicherheitsrichtlinien und -verordnungen auf, unter anderem für Maschinen, Spielzeug, Medizinprodukte, die Zivilluftfahrt, Kraftfahrzeuge und Eisenbahnsysteme [6]. Wenn das KI-System als Sicherheitskomponente in einem dieser regulierten Produkte dient oder das System selbst das regulierte Produkt ist, gilt es gemäß Artikel 6 Absatz 1 als Hochrisiko-System. Entscheidend ist, dass diese Systeme auch einer Konformitätsbewertung durch Dritte nach den jeweiligen sektoralen Rechtsvorschriften bedürfen.
Wenn ja: Das System ist ein Hochrisiko-System gemäß Artikel 6 Absatz 1. Fahren Sie mit den Pflichten nach der Klassifizierung fort.
Wenn nein: Fahren Sie mit Schritt 3 fort.
Schritt 3: Fällt das System unter eine der in Anhang III aufgeführten Anwendungsbereich-Kategorien?
Anhang III führt acht Bereiche von Hochrisiko-Anwendungen auf. Wenn der Verwendungszweck des Systems einer dieser Kategorien entspricht, gilt es vorläufig als Hochrisiko-System gemäß Artikel 6 Absatz 2. An dieser Stelle erfordert die Analyse die größte Präzision, da die Kategorien in Anhang III breit gefächert und sachverhaltsspezifisch sind.
Wenn ja: Fahren Sie mit Schritt 4 fort.
Wenn nein: Fahren Sie mit Schritt 5 fort.
Schritt 4: Greift die Ausnahme nach Artikel 6 Absatz 3?
Artikel 6 Absatz 3 hat im finalen Text eine wesentliche Einschränkung eingeführt. Selbst wenn ein System unter Anhang III fällt, gilt es nicht als Hochrisiko-System, wenn es kein erhebliches Risiko einer Schädigung der Gesundheit, der Sicherheit oder der Grundrechte darstellt. Konkret ist ein System ausgenommen, wenn es eine eng begrenzte verfahrenstechnische Aufgabe erfüllt, das Ergebnis einer zuvor abgeschlossenen menschlichen Tätigkeit verbessert, Entscheidungsmuster erkennt, ohne die menschliche Bewertung zu ersetzen oder zu beeinflussen, oder eine vorbereitende Aufgabe für eine Bewertung erfüllt, die für die Anwendungsfälle in Anhang III relevant ist [7].
Der Anbieter muss dokumentieren, warum die Ausnahme gilt, und die zuständige nationale Behörde vor dem Inverkehrbringen des Systems benachrichtigen. Wenn die Behörde widerspricht, fällt das System in den Hochrisiko-Status zurück.
Wenn Artikel 6 Absatz 3 Anwendung findet: Das System ist kein Hochrisiko-System, die Dokumentations- und Notifizierungspflichten bleiben jedoch bestehen. Klassifizieren Sie es basierend auf den Transparenzkriterien als begrenztes oder minimales Risiko.
Wenn Artikel 6 Absatz 3 keine Anwendung findet: Das System ist ein Hochrisiko-System gemäß Artikel 6 Absatz 2. Fahren Sie mit den Pflichten nach der Klassifizierung fort.
Schritt 5: Erfordert das System Transparenz-Offenlegungen?
Wenn das System direkt mit natürlichen Personen interagiert (Chatbots), Bild-, Audio- oder Videoinhalte generiert oder manipuliert (Deepfakes, generative KI) oder Emotionserkennung oder biometrische Kategorisierung außerhalb verbotener Kontexte durchführt, fällt es unter die Transparenzpflichten für begrenztes Risiko [4].
Wenn ja: Das System weist ein begrenztes Risiko auf.
Wenn nein: Das System weist ein minimales Risiko auf. Es gelten keine spezifischen Pflichten.
Die Klassifizierung ist nur so verlässlich wie die Sorgfalt an jedem einzelnen Knotenpunkt. Für Teams, die mehrere Systeme prüfen, kann das folgende Arbeitsblatt kopiert und für jedes KI-System im KI-Inventar ausgefüllt werden:
Schritt | Frage | Ihre Antwort | Resultierende Stufe | Verantwortlicher |
|---|---|---|---|---|
1 | Fällt das System unter die Verbote von Artikel 5? | Ja / Nein | Wenn ja: Verboten | |
2 | Handelt es sich um eine Sicherheitskomponente eines Produkts aus Anhang I? | Ja / Nein | Wenn ja: Hohes Risiko (Artikel 6(1)) | |
3 | Fällt es unter eine Anwendungsbereich-Kategorie aus Anhang III? | Ja / Nein / Kategorie: ___ | Wenn ja: Vorläufig hohes Risiko | |
4 | Greift die Ausnahme nach Artikel 6(3)? | Ja / Nein / Begründung: ___ | Wenn ja: Kein hohes Risiko | |
5 | Erfordert es Transparenz-Offenlegungen? | Ja / Nein | Wenn ja: Begrenztes Risiko | |
Final | Klassifizierungsergebnis | ___ | ___ |
Kategorien des Anhangs III: Konkrete Unternehmensbeispiele
Anhang III ist für die meisten KI-Systeme in Unternehmen das Tor zur Hochrisiko-Klassifizierung. Jeder der acht Bereiche verdient eine Betrachtung anhand konkreter Beispiele, da der Gesetzestext eine allgemeine Sprache verwendet, die von einer praktischen Veranschaulichung profitiert.
1. Biometrische Identifizierung und Kategorisierung
Dies umfasst Systeme zur biometrischen Fernidentifizierung (außer in Echtzeit zur Strafverfolgung, was verboten ist) und biometrische Kategorisierungssysteme, die natürliche Personen anhand biometrischer Daten bestimmten Kategorien zuordnen. Ein Beispiel aus der Praxis: Ein Flughafen, der Gesichtserkennung zur automatisierten Boarding-Kontrolle einsetzt, oder ein Einzelhändler, der biometrische Kategorisierung nutzt, um auf demografische Merkmale von Kunden zu schließen.
2. Management und Betrieb kritischer Infrastrukturen
KI-Systeme, die als Sicherheitskomponenten im Management und Betrieb des Straßenverkehrs sowie der Wasser-, Gas-, Wärme- und Stromversorgung sowie digitaler Infrastrukturen eingesetzt werden. Beispiele hierfür sind ein KI-System zur Steuerung des Lastausgleichs im Stromnetz, ein vorausschauender Wartungsalgorithmus für Wasseraufbereitungsanlagen oder ein System zur Optimierung von Ampelanlagen, das von einer Kommunalbehörde betrieben wird.
3. Erziehung und Berufsbildung
Systeme, die über den Zugang zu oder die Zuweisung zu Bildungseinrichtungen entscheiden oder die Lernergebnisse bewerten. Eine Universität, die ein KI-gestütztes Tool zur Einstufung von Bewerbern nutzt, ein automatisiertes System zur Bewertung von Aufsätzen oder eine Plattform, die über die Zuweisung von Studenten zu akademischen Zweigen entscheidet, fallen alle unter diese Kategorie.
4. Beschäftigung, Personalmanagement und Zugang zur selbstständigen Erwerbstätigkeit
KI-Systeme, die bei der Personalrekrutierung, der Personalauswahl, bei Einstellungsentscheidungen, der Aufgabenzuweisung, der Leistungsüberwachung oder bei Entscheidungen über die Beendigung von Arbeitsverhältnissen eingesetzt werden. Dies ist eine der im Unternehmenskontext am häufigsten betroffenen Kategorien. Ein KI-gestütztes Tool zur Vorauswahl von Lebensläufen, das Kandidaten bewertet oder filtert, ein Algorithmus zur Personaleinsatzplanung, der Schichten auf Basis der prognostizierten Produktivität zuweist, oder ein Leistungsbewertungssystem, das Mitarbeiter für eine potenzielle Entlassung vormerkt, fallen alle in diesen Bereich.
5. Zugang zu und Inanspruchnahme von essenziellen privaten und öffentlichen Diensten und Leistungen
Dies umfasst KI-Systeme zur Bewertung der Berechtigung für öffentliche Leistungen, zur Kreditwürdigkeitsprüfung, zur Risikobewertung in der Lebens- und Krankenversicherung sowie zur Priorisierung von Einsätzen bei Rettungsdiensten. Ein Kreditprüfungsalgorithmus, den eine Bank zur Ermittlung der Kreditwürdigkeit einsetzt, ein KI-System, das Anträge auf Sozialwohnungen priorisiert, oder ein Underwriting-Modell einer Versicherung, das Prämien auf Basis individueller Risikoprofile festlegt, sind in dieser Kategorie als Hochrisiko-Systeme eingestuft.
6. Strafverfolgung
KI-Systeme, die von Strafverfolgungsbehörden zur individuellen Risikobewertung, für Lügendetektortests, zur Bewertung der Zuverlässigkeit von Beweismitteln, zur Kriminalitätsprognose in Bezug auf natürliche Personen und zum Profiling im Rahmen von Ermittlungsverfahren eingesetzt werden. Ein Tool für vorausschauende Polizeiarbeit, das Personen identifiziert, die wahrscheinlich Straftaten begehen werden, oder ein KI-System, das die Glaubwürdigkeit von Zeugenaussagen bewertet, fallen hierunter.
7. Migration, Asyl und Grenzkontrolle
Systeme, die zur Bewertung von Sicherheitsrisiken durch Personen bei der Einreise in die EU, zur Unterstützung bei der Prüfung von Asylanträgen oder zur Aufdeckung, Erkennung oder Identifizierung von Personen im Kontext der Migration eingesetzt werden. Ein Tool zur Risikobewertung an Grenzkontrollstellen, das Reisende für zusätzliche Kontrollen markiert, oder ein KI-System, das die Angaben von Asylbewerbern auf Konsistenz prüft, fallen unter diese Definition.
8. Rechtspflege und demokratische Prozesse
KI-Systeme, die Justizbehörden bei der Recherche und Auslegung von Sachverhalten und Rechtsvorschriften unterstützen sollen, oder Systeme, die zur Beeinflussung des Ausgangs von Wahlen eingesetzt werden. Ein juristisches Recherche-Tool, das Richtern Urteilsempfehlungen vorschlägt, oder ein System zur zielgerichteten Platzierung politischer Werbung auf Basis von Wähler-Profiling fallen unter diese Kategorie.
Die Klassifizierung wird durch die Spezifität des Verwendungszwecks bestimmt, nicht durch die zugrunde liegende Technologie.
Grenzfälle und Grauzonen
Die Grenzen der Risikostufen der KI-Verordnung werden in verschiedenen wiederkehrenden Szenarien auf die Probe gestellt, mit denen Organisationen, die Plattformen wie Enzai für die KI-Governance nutzen, regelmäßig konfrontiert werden.
Emotionserkennung: Der Kontext bestimmt alles
Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen löst spezifische Verbote oder eine Einstufung als Hochrisiko-System aus. Wird Emotionserkennung dagegen im Kundenservice eingesetzt, etwa in einem KI-Tool, das die Stimmung von Anrufern analysiert, um Support-Tickets weiterzuleiten, fällt dies nicht unter das Verbot für den Arbeitsplatz. Ein solches System kann dennoch unter die Transparenzbestimmungen für begrenztes Risiko fallen und eine Offenlegung gegenüber dem Anrufer erfordern. Ausschlaggebend ist hierbei nicht die Technologie, sondern der Kontext des Einsatzes und das Machtgefälle zwischen den beteiligten Parteien [8].
KI-Empfehlungen versus KI-Entscheidungen
Ein System, das eine Entscheidung zur menschlichen Überprüfung empfiehlt, ist anders zu bewerten als ein System, das diese Entscheidung autonom ausführt. Ein KI-Tool, das Stellenbewerber bewertet und einem menschlichen Personalverantwortlichen eine engere Auswahl präsentiert, kann nach Anhang III (Kategorie Beschäftigung) immer noch als Hochrisiko-System eingestuft werden, aber die Art der menschlichen Aufsicht beeinflusst die spezifischen Pflichten, die anwendbar sind. Umgekehrt trägt ein System, das Kreditanträge ohne nennenswerten menschlichen Eingriff automatisch ablehnt, die volle Last der Anforderungen für Hochrisiko-Systeme. Die entscheidende Frage ist, ob der Mensch die KI-Ausgabe realistisch und routinemäßig überstimmen kann oder ob die Empfehlung des Systems de facto als Entscheidung fungiert [9].
Der Weg der Selbsteinschätzung nach Artikel 6 Absatz 3
Artikel 6 Absatz 3 bietet einen Weg, der Hochrisiko-Klassifizierung zu entgehen, dieser ist jedoch enger, als viele Organisationen anfangs annehmen. Ein Tool zur Vorauswahl von Lebensläufen, das Bewerbungen lediglich in ein standardisiertes Layout umformatiert, könnte für die Ausnahme infrage kommen, da es eine vorbereitende Aufgabe erfüllt. Dasselbe Tool, das so konfiguriert ist, dass es Kandidaten bewertet, hingegen nicht. Organisationen müssen der Versuchung widerstehen, die Funktion ihres Systems im vorteilhaftesten Licht darzustellen. Die nationalen Behörden behalten das Recht zur Neuklassifizierung, und die Dokumentationslast liegt beim Anbieter. Die Klassifizierungs-Workflows von Enzai sind darauf ausgelegt, eine Berufung auf Artikel 6 Absatz 3 anhand der Kriterien der Verordnung eingehend zu prüfen, bevor sich eine Organisation festlegt.
KI-Modelle mit allgemeinem Verwendungszweck in Hochrisiko-Systemen
Wenn ein KI-Modell mit allgemeinem Verwendungszweck in ein Hochrisiko-System integriert wird, gehen die Pflichten auf den Betreiber über, der das System für den spezifischen Hochrisiko-Anwendungsfall konfiguriert, und liegen nicht ausschließlich beim Modellanbieter. Eine Organisation, die ein Basismodell für die Kreditwürdigkeitsprüfung anpasst, übernimmt die Pflichten für Hochrisiko-Systeme, selbst wenn das zugrunde liegende Modell von einem Dritten entwickelt wurde [10].
Wo sich ein System im Risikospektrum befindet, ist selten so offensichtlich, wie es zunächst scheint.
Der Klassifizierungsprozess: Governance und Dokumentation
Die Risikoklassifizierung nach dem EU AI Act ist keine Aufgabe für eine einzelne Abteilung. Sie erfordert strukturierten Input aus verschiedenen Disziplinen und eine Dokumentation, die einer behördlichen Überprüfung standhält.
Wer beteiligt sein sollte
Am Klassifizierungsprozess sollten mindestens eine Rechtsberatung mit regulatorischer Expertise, das für die Entwicklung und den Verwendungszweck des Systems verantwortliche technische Team, ein Fachbeauftragter, der den operativen Kontext des Einsatzes versteht, ein Risiko- oder Compliance-Beauftragter sowie, sofern das System Auswirkungen auf Mitarbeiter hat, Arbeitnehmervertreter oder die Personalabteilung beteiligt sein.
Ein häufiger Fehler besteht darin, die Klassifizierung vollständig an die Rechtsabteilung oder die IT-Abteilung zu delegieren. Rechtsabteilungen fehlt unter Umständen das technische Verständnis, um zu beurteilen, ob ein System tatsächlich autonome Entscheidungen trifft; IT-Abteilungen unterschätzen möglicherweise die regulatorische Bedeutung des operativen Kontexts eines Systems.
Wie dokumentiert werden sollte
Die Begründung der Klassifizierung muss in einer Form festgehalten werden, die einer nationalen Aufsichtsbehörde vorgelegt werden kann. Die Dokumentation sollte eine klare Beschreibung des Verwendungszwecks des Systems, die geprüften Artikel und Anhänge, die Begründung für die zugewiesene Stufe, eine Analyse von Artikel 6 Absatz 3 (sofern zutreffend), die Identifizierung der an der Bewertung beteiligten Personen und Rollen sowie das Datum der Klassifizierung und etwaige geplante Überprüfungstermine enthalten.
Umgang mit Meinungsverschiedenheiten
Wenn sich interne Stakeholder uneinig über die Klassifizierung sind, sollte bis zu einer weiteren Analyse die vorsichtigere Position gewählt werden. Für eine Organisation ist das Risiko weitaus geringer, wenn sie ein System vorläufig als Hochrisiko-System klassifiziert und später herabstuft, als wenn sie es als System mit geringem Risiko einstuft und nachträglich eine Nichteinhaltung festgestellt wird. Meinungsverschiedenheiten sollten in der Dokumentation festgehalten werden, da sie die Sorgfalt des Prozesses belegen und die Organisation im Falle einer behördlichen Untersuchung schützen.
Die Klassifizierung ist eine Maßnahme der Governance, keine administrative Formalität.
Was nach der Klassifizierung geschieht
Die einem System zugewiesene Risikostufe bestimmt die darauffolgenden Compliance-Pflichten. Die Unterschiede zwischen den Stufen sind erheblich.
Verbotene Systeme
Die Pflicht ist absolut: Die Systeme dürfen nicht entwickelt, auf dem EU-Markt bereitgestellt oder in Betrieb genommen werden. Bestehende Systeme müssen außer Betrieb genommen werden. Für verbotene Praktiken gibt es keine Übergangsfrist [2].
Hochrisiko-Systeme
Anbieter müssen ein Risikomanagementsystem implementieren, das über den gesamten Lebenszyklus des Systems hinweg aktiv ist. Daten-Governance-Verfahren müssen sicherstellen, dass Trainings-, Validierungs- und Testdatensätze relevant, repräsentativ und fehlerfrei sind. Vor dem Inverkehrbringen des Systems muss eine umfassende technische Dokumentation erstellt werden. Das System muss so konzipiert sein, dass eine automatische Protokollierung von Ereignissen möglich ist. Die Transparenzanforderungen verlangen klare Gebrauchsanweisungen für Betreiber. Maßnahmen zur menschlichen Aufsicht müssen es natürlichen Personen ermöglichen, das System zu verstehen, zu überwachen und zu überstimmen. Anforderungen an Genauigkeit, Robustheit und Cybersicherheit müssen erfüllt und aufrechterhalten werden [3].
Betreiber von Hochrisiko-Systemen tragen eigene Pflichten: Durchführung von Grundrechte-Folgenabschätzungen, Gewährleistung einer operativ wirksamen menschlichen Aufsicht, Überwachung des Systems gemäß den Anweisungen des Anbieters und Meldung schwerwiegender Vorfälle.
Systeme mit begrenztem Risiko
Die Hauptpflicht ist die Transparenz. Nutzer müssen darüber informiert werden, dass sie mit einer KI interagieren. Durch KI generierte oder manipulierte Inhalte müssen als solche gekennzeichnet werden. Emotionserkennungssysteme müssen ihre Funktionsweise gegenüber den betroffenen Personen offenlegen [4].
Systeme mit minimalem Risiko
Es gelten keine verbindlichen Pflichten. Organisationen werden ermutigt, freiwillige Verhaltenskodizes zu vereinbaren, die sich unter anderem mit ökologischer Nachhaltigkeit und KI-Kompetenz befassen [5].
Die Pflichten der jeweiligen Stufen sind keine Absichtserklärungen. Es handelt sich um durchsetzbare Anforderungen, deren Nichteinhaltung unter Strafe gestellt ist.
Der Schritt von der Klassifizierung zur Compliance
Die Ermittlung der Risikostufe eines Systems ist der erste Schritt in einem längerfristigen Compliance-Programm, aber es ist der Schritt, von dem alles andere abhängt. Eine ungenaue Klassifizierung wirkt sich auf jede nachfolgende Entscheidung aus, von den für die Dokumentation bereitgestellten Ressourcen bis hin zum gewählten Weg der Konformitätsbewertung.
Organisationen, die Portfolios von KI-Systemen über mehrere Rechtsräume und Geschäftsbereiche hinweg verwalten, stehen vor dieser Herausforderung in großem Maßstab. Die Nachverfolgung von Klassifizierungsentscheidungen, die Überwachung regulatorischer Aktualisierungen, die die Risikostufe eines Systems verändern könnten, und die Führung eines prüffähigen Nachweises der Begründung für jede Einstufung erfordern eine eigens dafür entwickelte Infrastruktur.
Für Organisationen, die die Risikoklassifizierung nach dem EU AI Act für ihr gesamtes KI-Inventar operationalisieren möchten, bietet Enzai das Governance-Framework zur Klassifizierung, Dokumentation und Überwachung von KI-Systemen im Hinblick auf sich entwickelnde regulatorische Anforderungen. Fordern Sie eine Demo an, um zu sehen, wie strukturierte Klassifizierungs-Workflows sowohl Compliance-Risiken als auch unnötigen Aufwand reduzieren.
Enzai ist die führende Plattform für KI-Governance in Unternehmen, die speziell entwickelt wurde, um Organisationen beim Übergang von abstrakten Richtlinien zu einer operativen Aufsicht zu unterstützen. Unsere Plattform für das KI-Risikomanagement bietet die spezialisierte Infrastruktur, die für die Verwaltung der Governance von KI-Agenten, die Führung eines umfassenden KI-Inventars und die Gewährleistung der Konformität mit dem EU AI Act erforderlich ist. Durch die Automatisierung komplexer Workflows versetzt Enzai Unternehmen in die Lage, die Einführung von KI vertrauensvoll zu skalieren und gleichzeitig die Ausrichtung an globalen Standards wie ISO 42001 und NIST sicherzustellen.
Referenzen
[1] Verordnung (EU) 2024/1689, Artikel 99: Geldbußen.
[2] Verordnung (EU) 2024/1689, Artikel 5: Verbotene Praktiken im Bereich der künstlichen Intelligenz.
[3] Verordnung (EU) 2024/1689, Artikel 8 bis 15: Anforderungen an Hochrisiko-KI-Systeme.
[4] Verordnung (EU) 2024/1689, Artikel 50: Transparenzpflichten für KI-Systeme mit begrenztem Risiko.
[5] Verordnung (EU) 2024/1689, Artikel 95: Verhaltenskodizes für freiwillige Zusagen von Anbietern von KI-Systemen, die keine Hochrisiko-KI-Systeme sind.
[6] Verordnung (EU) 2024/1689, Anhang I: Harmonisierungsrechtsvorschriften der Union.
[7] Verordnung (EU) 2024/1689, Artikel 6 Absatz 3: Klassifizierungsregeln für Hochrisiko-KI-Systeme.
[8] Verordnung (EU) 2024/1689, Erwägungsgründe 44 bis 46: Anwendungsbereich der Verbote von Emotionserkennungssystemen.
[9] Verordnung (EU) 2024/1689, Artikel 14: Menschliche Aufsicht.
[10] Verordnung (EU) 2024/1689, Artikel 51 bis 56: Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck.
Seit 2023 nach ISO 27001 zertifiziert, jährlich von NQA auditiert
An der DSGVO ausgerichtete Datenverarbeitung
Kundendaten auf AWS in mehreren Regionen gehostet
Eigenes KI-Modell über eine private Verbindung nutzen
Finden Sie die KI, die Ihre Teams nutzen, prüfen Sie sie vor der Einführung, bewerten Sie sie anhand der geltenden Vorschriften und kontrollieren Sie, was Agenten tun dürfen. Entwickelt für regulierte Organisationen.