KI-Verordnung (EU AI Act): So bereiten Sie Ihre KI-Systeme auf die Compliance vor
Was Verordnung (EU) 2024/1689 fordert und wen sie betrifft
Die Verordnung (EU) 2024/1689, bekannt als EU AI Act, legt für KI-Systeme, die in der Europäischen Union in Verkehr gebracht oder betrieben werden, abgestufte Anforderungen fest. Das Ziel ist die Steuerung von Risiken, die KI-Systeme für Grundrechte, Sicherheit und die öffentliche Ordnung darstellen können. Die Verordnung gilt für Anbieter, die KI-Systeme entwickeln und in Verkehr bringen, sowie für Betreiber, die KI-Systeme in eigener Verantwortung einsetzen. Beide Rollen begründen unterschiedliche Pflichten, die sich aus der Risikoklasse des jeweiligen Systems ableiten. Verbotene Systeme dürfen nicht eingesetzt werden; für Hochrisiko-Systeme gelten umfangreiche Dokumentations-, Test- und Registrierungspflichten; für Systeme mit begrenztem Risiko gelten Transparenzpflichten. Optivalue.ai begleitet Organisationen dabei, ihre KI-Systeme korrekt einzustufen und die zugehörigen Nachweise quellenbasiert zu strukturieren. DSGVO gilt für KI-Systeme, die personenbezogene Daten verarbeiten, und ergänzt die Anforderungen des AI Act.
Klassifizierung von KI-Systemen: Hochrisiko, begrenztes Risiko, allgemeiner Verwendungszweck
Die Klassifizierung eines KI-Systems bestimmt die anzuwendenden Pflichten. Anhang III der Verordnung (EU) 2024/1689 listet die Einsatzbereiche, die ein Hochrisiko-System begründen: biometrische Identifikation, Infrastrukturkritikalität, Bildung, Beschäftigung, wesentliche private und öffentliche Dienstleistungen, Strafverfolgung, Migration und Justiz. Ein System ist Hochrisiko, wenn es in einem dieser Bereiche eingesetzt wird und eigenständige Entscheidungen ermöglicht oder vorbereitet. KI-Systeme mit begrenztem Risiko unterliegen Transparenzpflichten, insbesondere der Pflicht zur Kennzeichnung, wenn Nutzer mit einem KI-System interagieren. KI-Modelle für allgemeine Zwecke (General Purpose AI Models) unterliegen spezifischen Regeln für Anbieter großer Basismodelle. Die Klassifizierung ist Aufgabe des benannten Verantwortlichen und muss dokumentiert und regelmäßig überprüft werden.
Dokumentationspflichten für Hochrisiko-KI-Systeme
Für Hochrisiko-KI-Systeme schreibt die Verordnung (EU) 2024/1689 eine technische Dokumentation vor. Diese umfasst nach Artikel 11 und Anhang IV: eine allgemeine Beschreibung des Systems und seines Verwendungszwecks, die Konzeptionsentscheidungen und die zugrundeliegenden Algorithmen, die verwendeten Trainingsdaten und Validierungsverfahren, die Leistungsmetriken und Genauigkeitsgrenzen, die Maßnahmen zur Cybersicherheit sowie die Bedienungsanleitung für Betreiber. Die technische Dokumentation muss aktuell gehalten werden, wenn das System nach Inverkehrbringen wesentlich verändert wird. Ergänzend ist ein Qualitätsmanagementsystem nach Artikel 17 einzurichten. Optivalue.ai stellt geprüfte Dokumentationsrahmen bereit, die den Anforderungen des Anhangs IV entsprechen.
KI-Governance: Verantwortlichen benennen und Register aufbauen
Ein KI-Governance-System beginnt mit der Benennung eines benannten Verantwortlichen, der die Einstufung, Dokumentation und Überwachung aller eingesetzten KI-Systeme koordiniert. Das interne KI-Register erfasst jedes System mit seiner Risikoklasse, seinem Anwendungsbereich, seinem Entwicklungsstand und dem Status seiner Dokumentation. Hochrisiko-Systeme werden zusätzlich in der EU-Datenbank nach Artikel 71 der Verordnung (EU) 2024/1689 registriert, bevor sie in Betrieb genommen werden. Der Freigabeprozess für neue KI-Projekte legt fest, wer die Risikoklasse prüft, wer die Dokumentation freigibt und wer die Entscheidung über die Inbetriebnahme trifft. Ohne diesen Prozess können Systeme eingesetzt werden, deren Pflichten nicht erfüllt sind. Eine Risikokartierung für Hochrisiko-KI-Systeme ergänzt das Governance-System, indem sie die spezifischen Risiken jedes Systems bewertet und Maßnahmen priorisiert.
Wie KI-Governance-Software die Anforderungen des Textes abdeckt
KI-Governance-Software strukturiert die Anforderungen der Verordnung (EU) 2024/1689 durch geführte Arbeitsabläufe. Die Klassifizierungsmatrix leitet den Verantwortlichen durch die Kriterien des Anhangs III. Die technische Dokumentation wird in vordefinierte Abschnitte gegliedert, die den Pflichtfeldern des Anhangs IV entsprechen. Das interne KI-Register verfolgt den Status jedes Systems, von der Konzeption bis zur Außerbetriebnahme. Überwachungspflichten nach dem Inverkehrbringen werden als wiederkehrende Aufgaben in den Workflow integriert. Optivalue.ai prüft die hinterlegten Dokumente quellenbasiert und stellt sicher, dass die Nachweise dem aktuellen Stand der Verordnung und der Leitlinien der Aufsichtsbehörden entsprechen.
FAQ
Wer gilt als Anbieter eines KI-Systems nach der Verordnung (EU) 2024/1689?
Nach Artikel 3 Nummer 3 der Verordnung (EU) 2024/1689 ist Anbieter eine natürliche oder juristische Person, die ein KI-System oder ein KI-Modell für allgemeine Zwecke entwickelt oder entwickeln lässt und es unter eigenem Namen oder eigener Marke in Verkehr bringt oder in Betrieb nimmt, sei es entgeltlich oder unentgeltlich. Unternehmen, die ein KI-System ausschließlich für den internen Einsatz entwickeln und nicht in Verkehr bringen, können je nach Einsatzszenario auch als Betreiber eingestuft werden.
Was ist eine wesentliche Änderung eines Hochrisiko-KI-Systems?
Eine wesentliche Änderung liegt nach Artikel 6 Absatz 6 und den Leitlinien zur Verordnung (EU) 2024/1689 vor, wenn die Änderung den Verwendungszweck, die Risikoklasse oder die Übereinstimmung des Systems mit den Anforderungen des Anhangs I beeinflusst. Eine wesentliche Änderung löst die Pflicht aus, die Konformitätsbewertung zu wiederholen und die technische Dokumentation zu aktualisieren. Geringfügige Anpassungen, die keine der genannten Parameter verändern, lösen diese Pflicht nicht aus.
Was ist die EU-KI-Datenbank und wer muss sich eintragen?
Die EU-KI-Datenbank nach Artikel 71 der Verordnung (EU) 2024/1689 ist ein öffentlich zugängliches Register für Hochrisiko-KI-Systeme. Anbieter sind verpflichtet, ihre Systeme vor dem Inverkehrbringen oder der Inbetriebnahme einzutragen. Der Eintrag enthält grundlegende Angaben zum System, zu seinem Verwendungszweck, zur Konformitätsbewertung und zum Anbieter. Betreiber bestimmter Hochrisiko-Systeme in öffentlichen Bereichen sind ebenfalls eintragungspflichtig.
Welche Fristen gelten für die Anwendung der KI-Verordnung?
Die Verordnung (EU) 2024/1689 trat am 1. August 2024 in Kraft. Die Verbote für inakzeptable Risiken gelten ab dem 2. Februar 2025. Die Regeln für Hochrisiko-Systeme nach Anhang I gelten ab dem 2. August 2026. Die Regeln für Hochrisiko-Systeme nach Anhang III gelten ab dem 2. August 2026. Die vollständige Anwendung betrifft alle Systeme ab dem 2. August 2027 (Quelle: Verordnung (EU) 2024/1689, Artikel 113).
Wer darf die Konformitätsbewertung für Hochrisiko-KI-Systeme durchführen?
Die Konformitätsbewertung kann je nach Systemkategorie intern durch den Anbieter oder durch eine notifizierte Stelle durchgeführt werden. Für KI-Systeme nach Anhang III mit Ausnahme bestimmter biometrischer Identifikationssysteme ist eine Selbstbewertung nach der internen Kontrolle gemäß Anhang VI der Verordnung (EU) 2024/1689 zulässig. Für biometrische Fernidentifikationssysteme ist eine Bewertung durch eine notifizierte Stelle erforderlich.
Fordern Sie eine Demo von Optivalue.ai an
Nach oben
Zum gleichen Thema