KI-Systeme im Unternehmen: Wie man Zweck, Daten, Rollen und Kontrollen dokumentiert

01

Was dokumentiert werden muss

Ein KI-System sollte ausgehend von seiner Definition dokumentiert werden: ein automatisiertes System, das aus Eingabedaten Ausgaben wie Vorhersagen, Inhalte oder Entscheidungen mit unterschiedlichem Grad an Autonomie ableitet (citation-2).

Dann werden die beteiligten Rollen (Anbieter und Betreiber), die verwendeten Datentypen und die Transparenzmaßnahmen gegenüber den dem System ausgesetzten Personen benötigt (citation-2, citation-1, citation-0).

02

Warum Transparenz zentral ist

Die Verordnung verlangt, dass künstlich erzeugte oder manipulierte Ausgaben in maschinenlesbarem Format gekennzeichnet werden und dass Betreiber von Emotionserkennungs- oder biometrischen Kategorisierungssystemen die davon betroffenen natürlichen Personen informieren (citation-0). Bei Deepfakes und Texten zu Angelegenheiten von öffentlichem Interesse ist eine klare Offenlegung erforderlich, sofern keine menschliche redaktionelle Prüfung erfolgt (citation-3).

03

Ablauf zur Dokumentation eines Systems

Schritte

1. Beschreiben Sie das System gemäß der Definition in Artikel 3: Funktion, Autonomie, Art der erzeugten Ausgabe (citation-2).
2. Klassifizieren Sie die verwendeten Daten: Trainings-, Validierungs-, Test-, Eingabe- und biometrische Daten (citation-1).
3. Identifizieren Sie die Rollen: wer Anbieter, wer Betreiber des Systems ist (citation-2).
4. Erfassen Sie die angewandten Transparenzmaßnahmen: Kennzeichnung, Hinweis, Deepfake-Offenlegung (citation-0, citation-3).
5. Planen Sie Maßnahmen zur KI-Kompetenz für das beteiligte Personal (citation-4).

04

Ein hypothetischer Fall

Hypothese: Ein Unternehmen nutzt ein System zur biometrischen Kategorisierung für den Zugang zu einem Sicherheitsbereich. Als Betreiber informiert es die betroffenen natürlichen Personen über die Funktionsweise des Systems, wie von der Verordnung gefordert (citation-0). Es dokumentiert zudem die verarbeiteten biometrischen Daten (citation-1), seine eigene Rolle als Betreiber (citation-2) und die mit dem für das System verantwortlichen Personal durchgeführten Kompetenzmaßnahmen (citation-4).

05

Zu prüfende Kontrollen

• Die Systemdefinition steht im Einklang mit Artikel 3 (Autonomie, Eingabe, Ausgabe) (citation-2).
• Trainings-, Validierungs-, Test- und Eingabedaten sind unterschieden und klassifiziert (citation-1).
• Die Rollen von Anbieter und Betreiber sind eindeutig zugewiesen (citation-2).
• Personen, die einer Emotionserkennung oder biometrischen Kategorisierung ausgesetzt sind, werden informiert (citation-0).
• Transparenzinformationen werden spätestens bei der ersten Interaktion bereitgestellt (citation-3).

06

Wie eine Verwaltungssoftware die Dokumentation unterstützen kann

• Ein Softwarepartner kann Felder konfigurieren, um den angegebenen Zweck jedes verwendeten KI-Systems zu erfassen (citation-2).
• Er kann getrennte Rollen für Anbieter und Betreiber vorsehen, mit Nachverfolgbarkeit, wer die Daten eingegeben hat (citation-2).
• Er kann Datensätze nach Typ kennzeichnen: Training, Validierung, Test, Eingabe (citation-1).
• Er kann die den betroffenen Personen gegebenen Hinweise und das Datum der ersten Interaktion erfassen (citation-3).
• Er kann die mit dem beteiligten Personal durchgeführten Kompetenzmaßnahmen nachverfolgen (citation-4).

07

Häufig gestellte Fragen zur Dokumentation

Die Mindestdokumentation umfasst die Systemdefinition, die Rollen, die Datentypen und die angewandten Transparenzmaßnahmen (citation-2, citation-1, citation-0). Die Kompetenz des Personals ist eine ergänzende, von der Verordnung geforderte Maßnahme (citation-4).

08

Nächster Schritt

Erstellen Sie ein Verzeichnis der im Unternehmen genutzten KI-Systeme, mit Zweck, Daten, Rollen und Transparenzmaßnahmen für jedes System, um eine für die Prüfung bereite Grundlage zu haben (citation-2, citation-1, citation-0).