01

Das Inventar beginnt bei den Definitionen der Verordnung

Ein nützliches Inventar erfasst für jedes im Unternehmen genutzte System, ob es der Definition eines „KI-Systems“ nach Artikel 3 entspricht und welche Rolle die Organisation dabei einnimmt — Anbieter, Betreiber, Einführer, Händler oder bevollmächtigter Vertreter.

Diese Unterscheidung bestimmt, welche Informationen anschließend benötigt werden: Zweckbestimmung, vernünftigerweise vorhersehbare Fehlanwendung und die mit dem System verbundenen Kontrollen.

02

Warum Rollen und Zwecke wichtig sind

Die Verordnung unterscheidet den Anbieter, der ein System entwickelt oder entwickeln lässt und in Verkehr bringt, vom Betreiber, der es in eigener Verantwortung nutzt. Einführer, Händler und bevollmächtigter Vertreter decken weitere Positionen in der Lieferkette ab; die Verordnung definiert „Akteur“ weiter gefasst und schließt Anbieter, Produkthersteller und Betreiber zusätzlich zu bevollmächtigtem Vertreter, Einführer und Händler ein.

03

Schritte zum Aufbau des Inventars

Schritte

  1. Liste jedes System auf und prüfe, ob es der Definition eines KI-Systems nach Artikel 3 entspricht.
  2. Weise für jedes System die Rolle der Organisation zu: Anbieter, Betreiber, Einführer, Händler oder bevollmächtigter Vertreter.
  3. Erfasse die vom Anbieter angegebene Zweckbestimmung und die vernünftigerweise vorhersehbare Fehlanwendung.
  4. Verknüpfe jedes System mit den für Hochrisikosysteme vorgesehenen Verfahren zur Datenverwaltung, zum Risikomanagement und zur Beobachtung nach dem Inverkehrbringen.
  5. Vermerke die Verfahren zur Meldung schwerwiegender Vorfälle und die mit dem System verbundenen Aufzeichnungspflichten.

04

Hypothetisches Beispiel

Hypothetisches Beispiel: Ein Unternehmen nutzt einen von einem Dritten bereitgestellten Chatbot für den Kundenservice und ein internes generatives Werkzeug für Textentwürfe. Beim Chatbot ist das Unternehmen Betreiber und prüft die vom Anbieter angegebene Zweckbestimmung; beim intern entwickelten Werkzeug übernimmt das Unternehmen die Rolle des Anbieters und dokumentiert sein eigenes Risikomanagementsystem.

05

Mindestkontrollen für jeden Inventareintrag

  • Fällt das System unter die Definition eines KI-Systems nach Artikel 3?
  • Wurde eine klare Rolle zugewiesen (Anbieter, Betreiber, Einführer, Händler, bevollmächtigter Vertreter)?
  • Sind Zweckbestimmung und vernünftigerweise vorhersehbare Fehlanwendung dokumentiert?
  • Ist bei der Erzeugung synthetischer Inhalte oder Deepfakes eine maschinenlesbare Kennzeichnung oder ein Hinweis für Nutzer vorgesehen?
  • Sind die Verfahren zur Datenverwaltung, zum Risikomanagement, zur Beobachtung nach dem Inverkehrbringen und zur Meldung schwerwiegender Vorfälle verknüpft?

06

Was ein Unternehmen mit Unterstützung eines Softwarepartners einrichten kann

Ein Unternehmen kann einen Softwarepartner damit beauftragen, ein zentrales Register der KI-Systeme mit Feldern für Rolle, Zweckbestimmung, erwartete Fehlanwendung und Verknüpfungen zur zugehörigen technischen Dokumentation zu strukturieren.

Prüfverantwortlichkeiten können bestimmten Rollen zugewiesen werden — etwa denjenigen, die Daten verwalten, Risiken bewerten oder Vorfallmeldungen nachverfolgen — und eine Aufzeichnung regelmäßiger Überprüfungen kann als empfohlene betriebliche Praxis geführt werden, nicht als von der Software garantierte Anforderung.

07

Häufige Klarstellungen zum Inventar

  • Das Inventar unterscheidet Systeme nach der Rolle des Unternehmens, nicht nur nach der Technologie, da Pflichten und Kontrollen der Rolle folgen.
  • Die vom Anbieter angegebene Zweckbestimmung ist der Bezugspunkt, um auch die vernünftigerweise vorhersehbare Fehlanwendung des Systems zu bewerten.
  • Bei Hochrisikosystemen muss das Inventar jeden Eintrag mit den Verfahren zur Datenverwaltung, zum Risikomanagement und zu Vorfällen verknüpfen können.

08

Nächster praktischer Schritt

Beginnen Sie das Inventar mit den bereits genutzten Systemen: Vermerken Sie für jedes die Rolle, die Zweckbestimmung und die Verknüpfung zu den Daten- und Risikomanagementverfahren, damit das Unternehmen eine überprüfbare Grundlage hat, bevor der Einsatz von KI ausgeweitet wird.

FAQ

Häufig gestellte Fragen

Wo beginnt konkret der Aufbau des KI-Systeminventars?

Er beginnt mit der Prüfung, ob jedes System der Definition eines KI-Systems nach Artikel 3 entspricht, und der Zuweisung der entsprechenden unternehmerischen Rolle, etwa Anbieter oder Betreiber.

Warum ist es wichtig, die Zweckbestimmung jedes Systems zu erfassen?

Weil die vom Anbieter angegebene Zweckbestimmung der Bezugspunkt ist, um auch die vernünftigerweise vorhersehbare Fehlanwendung des Systems zu bewerten.

Was muss bei Hochrisikosystemen im Inventar verknüpft werden?

Die Verfahren zur Datenverwaltung, das Risikomanagementsystem, die Beobachtung nach dem Inverkehrbringen und die Verfahren zur Meldung schwerwiegender Vorfälle.

✓

Quellen und Prüfung