Wie man Zweck, Daten, Rollen und Kontrollen eines KI-Systems gemäß dem AI Act dokumentiert

01

Was bedeutet die Dokumentation eines KI-Systems

Die Dokumentation eines KI-Systems bedeutet, überprüfbar festzuhalten, was das System tut, wer es bereitstellt und wer es nutzt, welche Daten es speisen und welche Informationen den betroffenen Personen mitgeteilt werden. Die Verordnung (EU) 2024/1689 definiert ein KI-System als ein automatisiertes System, das für explizite oder implizite Ziele aus Eingaben ableitet, wie Ausgaben wie Vorhersagen, Inhalte, Empfehlungen oder Entscheidungen erzeugt werden (citation-2). Sie definiert außerdem Anbieter und Betreiber als die Akteure, die das System entwickeln oder unter eigener Verantwortung nutzen (citation-2). Eine solide Dokumentation unterscheidet diese Rollen, die verwendeten Daten und die vorgesehenen Transparenzkontrollen.

02

Zu erfassende Datenkategorien

Die Verordnung unterscheidet mehrere Datenkategorien, die getrennt erfasst werden sollten: Trainingsdaten, die zur Anpassung der Parameter des Systems verwendet werden; Validierungsdaten, die zur Bewertung des trainierten Systems und zur Vermeidung von Unter- oder Überanpassung dienen; Testdaten, die zur Bestätigung der erwarteten Leistung vor dem Inverkehrbringen verwendet werden; Eingabedaten, also Daten, die dem System bereitgestellt oder von ihm erfasst werden; und biometrische Daten, die durch technische Verarbeitung physischer, physiologischer oder Verhaltensmerkmale einer Person gewonnen werden (citation-1). Die getrennte Erfassung dieser Kategorien ermöglicht es, nachzuvollziehen, wie das System im Laufe der Zeit entwickelt und überprüft wurde.

03

Der Dokumentationsablauf, Schritt für Schritt

Schritte

1. Erfassen Sie die Definition des Systems: Ziele, erzeugte Ausgaben und Umgebungen, die es beeinflussen kann, gemäß der Definition eines KI-Systems in der Verordnung (citation-2).
2. Identifizieren und dokumentieren Sie die Rolle des Anbieters und des Betreibers für jedes System, wie in der Verordnung definiert (citation-2).
3. Klassifizieren Sie die verwendeten Daten in Trainings-, Validierungs-, Test-, Eingabedaten und, falls vorhanden, biometrische Daten (citation-1).
4. Stellen Sie sicher, dass das am Betrieb und der Nutzung des Systems beteiligte Personal eine seinen Aufgaben angemessene KI-Kompetenz erhält (citation-4).
5. Bereiten Sie Informationen für Personen vor, die Emotionserkennung, biometrischer Kategorisierung oder künstlich erzeugten Inhalten ausgesetzt sind, spätestens zum Zeitpunkt der ersten Interaktion (citation-0, citation-3).

04

Ein hypothetischer Fall

Hypothetisches Beispiel: Ein europäisches Unternehmen nutzt ein generatives KI-System zur Erstellung von Kundensupport-Texten. Das Compliance-Team dokumentiert, dass das Unternehmen Betreiber des Systems ist, während der externe Anbieter die Ausgaben in einem maschinenlesbaren Format als künstlich erzeugt kennzeichnet (citation-0). Für die Öffentlichkeit veröffentlichte Texte enthalten den Hinweis auf die künstliche Erzeugung, sofern sie nicht einer menschlichen redaktionellen Überprüfung mit zugewiesener redaktioneller Verantwortung unterzogen wurden (citation-3). Die Dokumentation listet zudem die von den Bedienern verwendeten Eingabedaten auf (citation-1).

05

Zu prüfende Transparenzkontrollen

• Prüfen Sie, ob synthetische Audio-, Bild-, Video- oder Textausgaben gekennzeichnet und als künstlich erzeugt oder manipuliert erkennbar sind (citation-0).
• Prüfen Sie, ob Personen, die Emotionserkennung oder biometrischer Kategorisierung ausgesetzt sind, über die Funktionsweise des Systems informiert werden (citation-0).
• Prüfen Sie, ob Deep Fakes den betroffenen Personen offengelegt werden, außer bei gesetzlich vorgesehenen Ausnahmen (citation-0, citation-3).
• Prüfen Sie, ob die Informationen klar und unterscheidbar spätestens zum Zeitpunkt der ersten Interaktion oder Exposition bereitgestellt werden (citation-3).
• Prüfen Sie, ob zur Information der Öffentlichkeit erzeugte Texte die künstliche Erzeugung angeben, sofern keine menschliche redaktionelle Überprüfung stattgefunden hat (citation-3).

06

Operative Entscheidungen für unterstützende Software

Ein Unternehmen kann sich dafür entscheiden, gemeinsam mit seinem Softwareanbieter ein Register einzurichten, das jedes KI-System mit seinem Anbieter, Betreiber, den Datenkategorien und den den betroffenen Personen übermittelten Informationen verknüpft. Dieses Register kann Nachweise über Kennzeichnungen synthetischer Ausgaben und über vor der ersten Interaktion erteilte Hinweise aufbewahren. Zu den empfohlenen operativen Entscheidungen zählen: Zuweisung von Prüfrollen zur Bestätigung der Informationen und regelmäßige Überprüfung der erfassten Datenkategorien auf Grundlage der Definitionen der Verordnung (citation-2, citation-1, citation-0).

07

Häufige Klarstellungen zur Dokumentation

• Wer gilt als Anbieter und wer als Betreiber? Der Anbieter entwickelt oder lässt das System entwickeln und bringt es in Verkehr; der Betreiber nutzt es unter eigener Verantwortung (citation-2).
• Welche Datenkategorien sollten in der Dokumentation unterschieden werden? Trainings-, Validierungs-, Test- und Eingabedaten sowie, falls zutreffend, biometrische Daten (citation-1).
• Wann müssen Informationen an betroffene Personen gegeben werden? Spätestens zum Zeitpunkt der ersten Interaktion oder Exposition, klar und zugänglich (citation-3).

08

Der nächste nützliche Schritt

Der nächste nützliche Schritt ist die Erstellung eines Inventars der im Unternehmen aktiven KI-Systeme, wobei jedem die Rolle des Anbieters oder Betreibers, die Datenkategorien und eine für die Informationen verantwortliche Person zugewiesen werden, bevor die Dokumentation auf die Kontrollen der Ausgabekennzeichnung ausgeweitet wird (citation-2, citation-1, citation-0).