Was der EU AI Act von einem einzelnen System verlangt

Ob im Hintergrund ein großes Sprachmodell arbeitet oder eine schlichte Regressionsrechnung, ist für die Einordnung zweitrangig. Maßgeblich sind der Zweck und das Feld, in dem ein System eingesetzt wird.

Am oberen Ende stehen die verbotenen Praktiken. Sie werden nicht gebaut, und diese Frage gehört vor jeden Entwurf. Darunter liegt die Hochrisiko-Klasse, die den größten Teil des Aufwands verursacht: Risikomanagement über den Lebenszyklus, Qualitätsanforderungen an Trainings- und Eingangsdaten, Protokollierung, menschliche Aufsicht und eine technische Dokumentation, die auch drei Jahre später noch erklärt, wie das System zu seinen Ausgaben kommt.

Die Transparenzstufe verlangt weniger, aber sie verlangt es sichtbar. Wer mit einer Maschine spricht oder ein maschinell erzeugtes Dokument in der Hand hält, muss das erkennen können. Bleibt ein System in der geringen Klasse, entstehen aus der Verordnung kaum eigene Pflichten. Datenschutz und Informationssicherheit gelten trotzdem, ebenso die Kompetenzpflicht aus Artikel 4, die in dieser Klasse am häufigsten übersehen wird.

Ohne Inventar lässt sich keine Pflicht zuordnen. Zu jedem System gehören Zweck, Datenquellen, eine verantwortliche Person, die Modellversion und das Datum der letzten Änderung. Diese Angaben fehlen in fast jedem Haus, weil KI-Funktionen selten über ein Projekt hereinkommen. Häufiger sind sie ein Häkchen in einer Standardsoftware, das eine Fachabteilung im guten Glauben gesetzt hat.

Protokolliert werden Eingabe, Ausgabe, Modellversion und Zeitpunkt. Wer ein halbes Jahr später erklären soll, warum ein Vorgang so entschieden wurde, braucht genau diese Angaben; nachträglich lassen sie sich nicht rekonstruieren. Die menschliche Aufsicht ist damit noch nicht erledigt: Eine benannte Person braucht in der Oberfläche die Information, die eine Entscheidung trägt, und einen Weg, den Vorschlag zu übergehen, ohne den Vorgang zu verlieren. Wie wir diese Grenze festlegen, steht auf der Seite überVerantwortung und Human-in-the-Loop.

Aufnahme aller Funktionen mit KI-Anteil, auch der eingekauften

Inventar mit Zweck, Datenquellen, Modellversion und verantwortlicher Person

Technische Beschreibung je System

Unterlage, auf der Ihre Rechtsabteilung die Einstufung aufsetzt

Protokollierung von Eingabe, Ausgabe, Modellversion und Zeitpunkt

Auswertbares Protokoll mit geregeltem Zugriff und eigener Löschfrist

Aufsichtspunkt in der Oberfläche eingebaut

Freigabeschritt, an dem eine Person den Vorschlag übergehen kann

Kennzeichnung in Oberfläche und erzeugtem Dokument

Sichtbarer Hinweis an der Stelle, an der jemand die Ausgabe liest

Änderungsdienst für Modellwechsel und neue Zwecke

Fortgeschriebene Bewertung mit Datum und Grund je Änderung

Ob ein System als Hochrisiko-System gilt, ist eine Rechtsfrage, und sie wird nicht dadurch technischer, dass sie an die IT weitergereicht wird. Wir liefern die Beschreibung, auf die sich Ihre Rechtsabteilung stützen kann, und setzen um, was aus der Einstufung folgt. Konformitätsbewertungen nimmt eine dafür benannte Stelle vor.

Der praktische Einstieg ist meist kleiner, als die Verordnung vermuten lässt. Wie das an einem echten Prozess aussieht, zeigt unser Workshop mit Prototyp; wer den Betrieb im Blick hat, findet die Grundlagen unter lokale KI. Die übrigen Fristen dieses Bereichs stehen in der Übersicht auf der Seite Compliance.