Wie man Zweck, Daten, beteiligte Personen und Kontrollen eines KI-Systems dokumentiert

01

Die kurze Antwort

Ein KI-System zu dokumentieren bedeutet, festzuhalten, wer der Anbieter ist, wer der Betreiber ist, welche Daten für Training, Validierung und Test verwendet wurden und welche Transparenzinformationen den beteiligten Personen gegeben wurden. Die Verordnung (EU) 2024/1689 definiert diese Rollen und Datenkategorien präzise und schreibt unterschiedliche Transparenzpflichten für generierte Inhalte, Deepfakes und Systeme zur biometrischen Kategorisierung oder Emotionserkennung vor.

02

Wer macht was: die zu erfassenden Rollen

• Der Anbieter entwickelt das KI-System oder lässt es entwickeln und bringt es unter eigenem Namen oder eigener Marke auf den Markt.
• Der Betreiber nutzt das KI-System unter eigener Verantwortung, außer bei nicht beruflicher persönlicher Nutzung.
• Der Bevollmächtigte erhält ein schriftliches Mandat, um Pflichten im Namen des Anbieters innerhalb der Union zu erfüllen.
• Der nachgeschaltete Anbieter integriert ein KI-Modell für allgemeine Zwecke in ein anderes System.

03

Wie man Daten und Zweck nachverfolgt

Schritte

1. Trainings-, Validierungs- und Testdaten des Systems unterscheiden und getrennt erfassen.
2. Die Eingabedaten festhalten, die dem System tatsächlich zur Verfügung gestellt oder direkt von ihm erfasst wurden.
3. Kennzeichnen, ob die verarbeiteten Daten besondere Kategorien personenbezogener Daten oder biometrische Daten enthalten.
4. Die Transparenzinformationen vorbereiten, die den betroffenen Personen spätestens bei der ersten Interaktion mitgeteilt werden müssen.
5. Prüfen, ob Ausnahmen gelten, etwa für Standard-Bearbeitungstätigkeiten oder genehmigte strafrechtliche Ermittlungszwecke.

04

Hypothetisches Beispiel

Ein europäisches Unternehmen, das einen Kundenservice-Chatbot anbietet, dokumentiert: seine Rolle als Anbieter, den Trainingsdatensatz des Sprachmodells, den vor der Freigabe verwendeten Testdatensatz und den Hinweis, der Nutzern bei der ersten Nachricht angezeigt wird, wie für künstlich generierte Inhalte vorgeschrieben. Dies ist ein hypothetisches Beispiel, das nur aus zitierten Elementen aufgebaut ist, kein realer Fall.

05

Regelmäßig zu prüfende Kontrollen

• Die den betroffenen Personen gegebenen Informationen sind klar, erkennbar und erfüllen die Zugänglichkeitsanforderungen.
• Künstlich generierte oder manipulierte Inhalte werden, wenn erforderlich, in maschinenlesbarem Format gekennzeichnet.
• Deepfakes werden öffentlich offengelegt, außer bei angemessen gekennzeichneten künstlerischen oder satirischen Ausnahmen.
• Das am Betrieb des Systems beteiligte Personal erhält ein angemessenes Niveau an KI-Kompetenz.

06

Wie man die Dokumentation mit Software einrichtet

Ein Unternehmen kann seinen Softwarepartner bitten, getrennte Felder für Anbieter, Betreiber, Trainings-/Validierungs-/Testdatensätze und Transparenzhinweise einzurichten, mit Versionsnachverfolgung und regelmäßiger Prüfung durch eine benannte Person. Dies ist eine empfohlene betriebliche Entscheidung, keine garantierte Funktion oder gesetzliche Pflicht.

07

Mindestcheckliste für die Systemakte

• Identität des Anbieters und, falls vorhanden, des Bevollmächtigten.
• Identität des Betreibers und der erklärte Nutzungszweck.
• Liste der Trainings-, Validierungs- und Testdaten mit ihren Quellen.
• Text der den Nutzern gegebenen Transparenzinformationen mit Datum der ersten Exposition.
• Aufzeichnung der angewandten Ausnahmen, etwa für strafrechtliche Ermittlungszwecke.

08

Nächster Schritt

Ordnen Sie die Rollen und Datentypen Ihres KI-Systems anhand der Definitionen der Verordnung (EU) 2024/1689 zu und prüfen Sie dann mit Ihrem Softwarepartner, welche Nachverfolgungsfelder Sie aktivieren können, um die Akte aktuell zu halten.