Wie man ein Inventar der im Unternehmen genutzten KI-Systeme erstellt

01

Die kurze Antwort

Ein Unternehmen kann sein Inventar der KI-Systeme ausgehend von der Definition eines 'KI-Systems' in Artikel 3 der Verordnung (EU) 2024/1689 aufbauen, die ein automatisiertes System beschreibt, das aus Eingaben ableiten kann, wie Ausgaben wie Vorhersagen, Inhalte, Empfehlungen oder Entscheidungen zu erzeugen sind. Für jedes identifizierte System erfasst das Unternehmen die spezifische Rolle, die es einnimmt — Anbieter, Betreiber, Einführer oder Händler — da jede Rolle unterschiedliche Pflichten mit sich bringt; die Verordnung fasst diese Rollen zusammen mit Produkthersteller und bevollmächtigtem Vertreter unter dem Oberbegriff 'Akteur' zusammen. Das Inventar wird so zur Grundlage für die Dokumentation von Zweckbestimmung, verarbeiteten Daten und Verwaltungsverantwortung.

02

Warum Rollen wichtig sind

Die Verordnung unterscheidet präzise Rollen entlang der Lieferkette. Der Anbieter entwickelt das System oder lässt es entwickeln und bringt es unter eigenem Namen auf den Markt oder nimmt es in Betrieb; der Betreiber nutzt es unter eigener Verantwortung, außer bei nicht-beruflicher persönlicher Nutzung; der Einführer bringt ein System auf den Markt, das die Marke einer Einrichtung aus einem Drittland trägt; der Händler stellt es bereit, ohne Anbieter oder Einführer zu sein. Die Verordnung definiert 'Akteur' als Oberbegriff, der Anbieter, Produkthersteller, Betreiber, bevollmächtigten Vertreter, Einführer und Händler umfasst. Die Erfassung der spezifischen Rolle für jedes System im Inventar ermöglicht es, die in der Verordnung vorgesehenen Pflichten korrekt jedem Eintrag zuzuordnen.

03

Schritte zum Aufbau des Inventars

Schritte

1. Jedes genutzte KI-System auflisten und prüfen, ob es der Definition in Artikel 3 entspricht.
2. Für jedes System die spezifische Rolle des Unternehmens angeben: Anbieter, Betreiber, Einführer oder Händler, wobei 'Akteur' der Begriff ist, der alle diese Rollen umfasst.
3. Die vom Anbieter erklärte Zweckbestimmung erfassen, einschließlich Gebrauchsanweisungen und technischer Dokumentation.
4. Vermerken, ob das System synthetische Inhalte, Deep Fakes erzeugt oder Emotionserkennung bzw. biometrische Kategorisierung nutzt.
5. Jedes Hochrisiko-System, für das das Unternehmen Anbieter ist, mit den geltenden Risikomanagement- und Marktüberwachungsverfahren nach dem Inverkehrbringen verknüpfen.

04

Hypothetisches Beispiel

Hypothetisches Beispiel: Ein Fertigungsunternehmen nutzt ein von einem Drittanbieter entwickeltes System für vorausschauende Wartung. Im Inventar erfasst es das System als in der Rolle des Betreibers genutzt, vermerkt die in der technischen Dokumentation des Anbieters angegebene Zweckbestimmung und prüft, dass es weder synthetische Inhalte erzeugt noch Emotionserkennung nutzt, sodass die für diese spezifischen Fälle beschriebenen Transparenzpflichten nicht ausgelöst werden.

05

Was für jedes System zu erfassen ist

• Name des Systems und Übereinstimmung mit der Definition des KI-Systems in Artikel 3.
• Spezifische Rolle des Unternehmens: Anbieter, Betreiber, Einführer oder Händler, wobei 'Akteur' der Oberbegriff für alle diese Rollen ist.
• Zweckbestimmung und vom Anbieter bereitgestellte Gebrauchsanweisungen.
• Vorhandensein von synthetischen Inhalten, Deep Fakes, Emotionserkennung oder biometrischer Kategorisierung.
• Verknüpfung mit dem Risikomanagementsystem und den Verfahren zur Marktüberwachung nach dem Inverkehrbringen, sofern das Unternehmen Anbieter eines Hochrisikosystems ist.

06

Wie Software das Inventar unterstützen kann

Ein Unternehmen kann seinen Softwarepartner bitten, ein strukturiertes Register zu konfigurieren, das für jedes KI-System die eingenommene Rolle, die Zweckbestimmung und die verarbeiteten Daten gemäß der Verordnung erfasst. Dies ist eine empfohlene operative Entscheidung, keine Softwareanforderung: Wichtig ist, dass das Register nachvollziehbar ist, klare Verantwortlichkeiten zwischen den beteiligten Rollen zuweist und die Dokumentation im Laufe der Zeit aktuell hält, damit sie mit den Risikomanagementverfahren verknüpft werden kann, wenn das Unternehmen als Anbieter eines Hochrisikosystems auftritt.

07

Kurze Klarstellungen

• Das Inventar muss klären, ob das Unternehmen als Anbieter oder als Betreiber handelt, da sich die Pflichten entsprechend ändern.
• Die vom Anbieter erklärte Zweckbestimmung sollte zusammen mit der erhaltenen technischen Dokumentation aufbewahrt werden.
• Systeme, die synthetische Inhalte oder Deep Fakes erzeugen, erfordern einen spezifischen Vermerk im Inventar, vorbehaltlich der vorgesehenen Ausnahmen.

08

Der nächste Schritt

Der nächste nützliche Schritt ist, das Inventar mit den bereits genutzten Systemen zu beginnen, jedem die von der Verordnung vorgesehene Rolle und die vom Anbieter erklärte Zweckbestimmung zuzuweisen, um eine solide Grundlage für weitere Kontrollen zu schaffen.