01
Die kurze Antwort
Ein Unternehmen erstellt das Inventar, indem es jedes KI-System gemäß der Definition in Artikel 3 Nummer 1 der Verordnung (EU) 2024/1689 auflistet und für jedes die übernommene Unternehmensrolle vermerkt — Anbieter, Betreiber, Einführer, Händler oder Bevollmächtigter — sowie die zur Erzeugung der Ausgaben verarbeiteten Daten.
Dies ist eine der als genehmigte Prüffrage genannten Fragen zur Steuerung der internen KI-Governance.
02
Warum die Rolle alles verändert
Die Verordnung unterscheidet klar zwischen Anbieter, Betreiber, Einführer, Händler, Bevollmächtigtem und allgemein Akteur. Jede Rolle bringt unterschiedliche Pflichten mit sich, daher kann sich das Inventar nicht auf eine Softwareliste beschränken: Es muss festhalten, wer in Bezug auf jedes System was tut, im Einklang mit den Definitionen in Artikel 3.
03
Schritte zum Aufbau des Inventars
Schritte
- Jedes automatisierte System auflisten, das aus Eingaben Ausgaben ableitet, gemäß der Definition eines KI-Systems.
- Jedem System die korrekte Unternehmensrolle zuweisen: Anbieter, Betreiber, Einführer, Händler oder Bevollmächtigter.
- Wenn das Unternehmen Anbieter eines KI-Systems mit hohem Risiko ist, sind im Qualitätsmanagementsystem der vorgesehene Zweck und die in den Phasen Erfassung, Sammlung, Analyse, Kennzeichnung und Speicherung verarbeiteten Daten zu erfassen.
- Prüfen, ob das System synthetische Inhalte erzeugt, die Kennzeichnungs- oder Meldepflichten wie bei Deep Fakes unterliegen.
- Wenn das Unternehmen Anbieter eines KI-Systems mit hohem Risiko ist, ist im Verantwortungsrahmen festzuhalten, wer in Führung oder Personal für jeden Aspekt des Qualitätsmanagementsystems verantwortlich ist.
04
Ein hypothetisches Beispiel
Hypothetisches Beispiel: Ein Unternehmen nutzt ein Drittsystem zur Erstellung von Marketingtexten und entwickelt intern ein System zur Kundenkategorisierung. Beim ersten System ist das Unternehmen Betreiber und prüft, ob synthetische Ausgaben als künstlich erzeugt gekennzeichnet sind, wie es für Anbieter solcher Systeme vorgeschrieben ist. Beim zweiten, da intern entwickelt, erfasst das Unternehmen seine eigenen Datenverarbeitungsprozesse, von der Erfassung bis zur Speicherung.
05
Mindestangaben für jedes System
- Name des Systems und angewandte technische Definition (KI-System).
- Übernommene Unternehmensrolle in Bezug auf das System (Anbieter, Betreiber, Einführer, Händler, Bevollmächtigter).
- Vorgesehener Zweck und, für Anbieter von KI-Systemen mit hohem Risiko, die in den Phasen des Datenlebenszyklus gemäß Qualitätsmanagementsystem verarbeiteten Daten.
- Etwaige Transparenzpflichten für synthetische Inhalte oder Deep Fakes, die für das System gelten.
- Für Anbieter von KI-Systemen mit hohem Risiko: die im Verantwortungsrahmen des Qualitätsmanagementsystems benannte verantwortliche Person für jeden erfassten Aspekt.
06
Was in einer Verwaltungssoftware konfiguriert werden kann
Ein Unternehmen kann seinen Softwarepartner bitten, ein strukturiertes Register der KI-Systeme zu unterstützen, mit Feldern für Rolle, Zweck, verarbeitete Daten und Verantwortlichen, damit das Inventar durchsuchbar und laufend aktualisierbar bleibt.
Dies ist eine empfohlene organisatorische Entscheidung, keine Produktpflicht: Jede Organisation legt fest, welche Informationen erfasst werden und wer sie ändern darf, im Einklang mit den in der Verordnung genannten Rollen.
07
Häufig gestellte Fragen
Das Inventar sollte aktualisiert werden, wann immer ein neues System eingeführt wird oder sich die Unternehmensrolle in Bezug auf ein bestehendes System ändert, da unterschiedliche Rollen unterschiedliche Einträge erfordern.
Ein intern entwickeltes System sollte trotzdem mit Rolle und Zweck gemäß den Definitionen in Artikel 3 im Inventar aufgeführt werden; übernimmt das Unternehmen die Rolle des Anbieters eines KI-Systems mit hohem Risiko, sind zusätzlich die für diese Rolle vorgesehenen Qualitätsmanagementdaten zu erfassen.
Kennzeichnungspflichten für synthetische Inhalte betreffen speziell Anbieter von Systemen, die Audio-, Bild-, Video- oder Textausgaben erzeugen, und sollten im Inventar vermerkt werden, wenn relevant.
08
Nächster Schritt
Beginnen Sie damit, die im Unternehmen bereits genutzten KI-Systeme aufzulisten und jedem eine Rolle und einen Verantwortlichen zuzuweisen: Das ist der erste konkrete Schritt zu einer nachvollziehbaren KI-Governance.
FAQ
Häufig gestellte Fragen
Wann sollte das Inventar der KI-Systeme aktualisiert werden?
Es sollte aktualisiert werden, wann immer ein neues System eingeführt wird oder sich die Unternehmensrolle (Anbieter, Betreiber, Einführer, Händler) in Bezug auf ein bereits erfasstes System ändert.
Muss ein intern entwickeltes System in das Inventar aufgenommen werden?
Ja: Es sollte mit Rolle und Zweck gemäß den Definitionen in Artikel 3 aufgeführt werden; übernimmt das Unternehmen die Rolle des Anbieters eines KI-Systems mit hohem Risiko, sind zusätzlich die dafür vorgesehenen Qualitätsmanagementdaten zu erfassen.
Welche spezifischen Pflichten sollten für Systeme vermerkt werden, die Inhalte erzeugen?
Für Systeme, die Audio-, Bild-, Video- oder Textinhalte erzeugen, sollte vermerkt werden, ob die Ausgabe als künstlich erzeugt gekennzeichnet oder als Deep Fake offengelegt werden muss.
✓