01
Die kurze Antwort
Ein Unternehmen erstellt das Inventar, indem es für jedes genutzte KI-System die eingenommene Rolle (Anbieter, Betreiber, Einführer, Händler oder bevollmächtigter Vertreter), den vom Anbieter vorgesehenen Zweck und die Risikoelemente aufführt, wie in Artikel 3 der Verordnung (EU) 2024/1689 definiert.
02
Warum Rolle und Zweck der Ausgangspunkt sind
Die Verordnung unterscheidet genau, wer ein KI-System entwickelt (Anbieter), wer es unter eigener Verantwortung nutzt (Betreiber) und wer es einführt oder vertreibt. Der vorgesehene Zweck, den der Anbieter durch Anleitungen, Werbematerial und technische Dokumentation mitteilt, definiert den rechtmäßigen Nutzungskontext jedes im Inventar aufgeführten Systems.
03
Praktischer Ablauf zur Befüllung des Inventars
Schritte
- Jedes aktive KI-System auflisten, mit Name, Funktion und ursprünglichem Anbieter.
- Für jedes System die korrekte Unternehmensrolle zuweisen: Anbieter, Betreiber, Einführer oder Händler.
- Den vom Anbieter in technischer Dokumentation oder Verkaufsmaterial angegebenen vorgesehenen Zweck erfassen.
- Bekannte Risikoelemente erfassen, verstanden als Wahrscheinlichkeit und Schwere eines möglichen Schadens.
- Jedes System mit den bereits vorhandenen Verfahren zur Datenverwaltung und Aufzeichnungsführung verknüpfen.
04
Ein hypothetischer Fall
Hypothetischer Fall: Ein Unternehmen nutzt ein Drittanbieter-Tool zur Vorauswahl von Kandidaten in einer Rekrutierungsphase. Im Inventar wird die eigene Rolle als Betreiber erfasst, da das System unter eigener Verantwortung genutzt wird, ebenso der vom Anbieter in der Gebrauchsanleitung angegebene vorgesehene Zweck, und das System wird mit den internen Verfahren zur Datenverwaltung und Aufzeichnungsführung verknüpft.
05
Mindestprüfungen für jeden Inventareintrag
- Die zugewiesene Rolle (Anbieter, Betreiber, Einführer, Händler, bevollmächtigter Vertreter) ist korrekt.
- Der vorgesehene Zweck stammt aus der Dokumentation des Anbieters, nicht aus einer internen Interpretation.
- Die Risikostufe wird als Kombination von Wahrscheinlichkeit und Schwere des Schadens vermerkt.
- Die mit dem System verknüpften Verfahren zur Datenverwaltung sind identifiziert und nachvollziehbar.
- Es ist angegeben, wer im Unternehmen für die Aktualisierung des Eintrags verantwortlich ist.
06
Was eine Verwaltungssoftware leisten kann
Ein Unternehmen kann sich entscheiden, gemeinsam mit seinem Softwarepartner ein strukturiertes Register einzurichten, das für jedes KI-System die Unternehmensrolle, den vorgesehenen Zweck, interne Verantwortliche und Verknüpfungen zu den für Hochrisikosysteme erforderlichen Verfahren der Datenverwaltung, Überwachung und Aufzeichnungsführung erfasst. Dies ist ein vorgeschlagenes operatives Kriterium, keine aus der Software selbst entstehende Pflicht.
07
Häufig wiederkehrende Fragen
Die häufigsten Fragen betreffen die Unterscheidung zwischen Anbieter und Betreiber, den Mindestinhalt der Datenverwaltung und den Grund, warum der vorgesehene Zweck immer genau wie vom Anbieter angegeben erfasst werden sollte.
08
Nächster Schritt
Der nächste Schritt ist zu prüfen, ob die erfasste Unternehmensrolle tatsächlich der tatsächlichen Nutzung entspricht, und jeden Inventareintrag mit den bestehenden internen Verfahren zur Datenverwaltung und Aufzeichnungsführung zu verknüpfen.
FAQ
Häufig gestellte Fragen
Was ist der Unterschied zwischen einem Anbieter und einem Betreiber eines KI-Systems?
Der Anbieter entwickelt das KI-System oder lässt es entwickeln und bringt es unter eigenem Namen auf den Markt; der Betreiber nutzt es unter eigener Verantwortung, außer bei persönlicher, nicht beruflicher Nutzung.
Was muss die mit einem Hochrisiko-KI-System verknüpfte Datenverwaltung umfassen?
Sie umfasst Erfassung, Sammlung, Analyse, Kennzeichnung, Speicherung, Filterung, Extraktion, Aggregation und Aufbewahrung der Daten sowie jede weitere Datenoperation vor dem Inverkehrbringen oder der Inbetriebnahme.
Warum sollte das Inventar den vom Anbieter angegebenen vorgesehenen Zweck erfassen?
Weil der vorgesehene Zweck den spezifischen Kontext und die Nutzungsbedingungen definiert, die der Anbieter in Anleitungen, Werbematerial und technischer Dokumentation angibt, und die rechtmäßige Nutzung des Systems abgrenzt.
✓