Beim EU AI Act ist nicht nur die Art des KI-Systems entscheidend. Auch die Rolle des Unternehmens beeinflusst, welche konkreten Pflichten zu beachten sind. Die Verordnung gilt grundsätzlich seit dem 2. August 2024, wird jedoch schrittweise anwendbar. Viele Regelungen greifen ab dem 2. August 2026 und sollten rechtzeitig berücksichtigt werden.
Unternehmen sollten daher sowohl die Risikoeinstufung ihrer KI-Systeme als auch ihre eigene Rolle prüfen. Ob ein Unternehmen beispielsweise Anbieter oder Betreiber ist, wirkt sich auf die relevanten Anforderungen und Kontrollen aus.
Anbieter und Betreiber: Kontrollen nach dem EU AI Act
Der EU AI Act verfolgt einen risikobasierten Ansatz. Nicht jedes KI-System unterliegt denselben Anforderungen, während für Hochrisiko-KI besonders umfangreiche Vorgaben bestehen. Unternehmen sollten zunächst alle eingesetzten Systeme dokumentieren und dabei Zweck, Einsatzbereich sowie verantwortliche Personen festhalten.
Risikomanagement und Datenanforderungen
Für Hochrisiko-KI-Systeme sieht der EU AI Act ein Risikomanagementsystem vor. Anbieter müssen relevante Risiken systematisch identifizieren, bewerten und geeignete Maßnahmen vorsehen. Zudem spielt die Datenqualität eine wichtige Rolle. Abhängig vom jeweiligen System gelten Anforderungen an Trainings-, Validierungs- und Testdatensätze.
Pflichten beim Betrieb von Hochrisiko-KI
Hochrisiko-KI-Systeme müssen technische Protokollierung ermöglichen, damit relevante Vorgänge während des Betriebs nachvollziehbar bleiben. Darüber hinaus sind geeignete Maßnahmen zur menschlichen Aufsicht erforderlich. Zuständigkeiten, Kontrollen und Eskalationswege sollten klar geregelt sein. Unternehmen, die ein Hochrisiko-System als Betreiber einsetzen, müssen außerdem die für Betreiber geltenden Vorgaben beachten und das System insbesondere gemäß der bereitgestellten Gebrauchsanweisung nutzen.
FAQ zum EU AI Act
Warum ist die Rolle des Unternehmens wichtig?
Die konkreten Pflichten hängen unter anderem davon ab, ob ein Unternehmen beispielsweise Anbieter oder Betreiber eines KI-Systems ist.
Gelten für Anbieter und Betreiber automatisch dieselben Pflichten?
Nein. Die jeweilige Rolle beeinflusst, welche Anforderungen im konkreten Fall zu beachten sind.
Was sollten Unternehmen zuerst dokumentieren?
Sinnvoll sind ein Überblick über die eingesetzten KI-Systeme, deren Zweck und Einsatzbereich sowie die verantwortlichen Personen.
Welche Kontrollen sind bei Hochrisiko-KI relevant?
Dazu gehören unter anderem Risikomanagement, Datenqualität, technische Protokollierung und geeignete menschliche Aufsicht.
Fazit
Die korrekte Einordnung der Unternehmensrolle ist ein wichtiger Bestandteil der KI-Compliance. Zusammen mit der Risikokategorie des Systems bestimmt sie, welche Vorgaben relevant sind. Unternehmen sollten Rollen, Systeme, Risiken und Kontrollen nachvollziehbar dokumentieren und in bestehende Governance-Prozesse integrieren.
Hinweis: Dieser Beitrag wurde mit Unterstützung von künstlicher Intelligenz erstellt und fachlich redaktionell geprüft.
Schreibe einen Kommentar