Wie man Zweck, Daten und Rollen eines KI-Systems gemäß dem AI Act dokumentiert

01

Was bedeutet es, ein KI-System zu dokumentieren

Ein KI-System zu dokumentieren bedeutet, in einer einsehbaren Akte den Zweck des Systems, die Rolle der nutzenden Partei und die Arten der verarbeiteten Daten festzuhalten. Die Verordnung (EU) 2024/1689 definiert diese Figuren präzise: Der Anbieter entwickelt das System oder lässt es entwickeln und bringt es unter eigenem Namen auf den Markt oder in Betrieb, der Betreiber nutzt es unter eigener Verantwortung. Dieselbe Vorschrift unterscheidet Trainings-, Validierungs-, Test- und Eingabedaten, einschließlich biometrischer Kategorien, die für jedes im Unternehmen aktive System nachverfolgt werden müssen, um zu wissen, wer wofür verantwortlich ist.

02

Warum die Unterscheidung der Rollen wichtig ist

Die Unterscheidung zwischen Anbieter und Betreiber ist nicht theoretisch: Sie bestimmt, wer synthetische Ausgaben in maschinenlesbarer Form markieren muss, wer Personen informieren muss, die einer Emotionserkennung oder biometrischen Kategorisierung ausgesetzt sind, und wer Deep-Fake-Inhalte kennzeichnen muss. Diese Informationen müssen die betroffenen Personen klar und unterscheidbar erreichen, spätestens zum Zeitpunkt der ersten Interaktion, und in zugänglicher Form. Dokumentieren bedeutet daher, jedes System mit seiner verantwortlichen Stelle, den verarbeiteten Daten und der daraus folgenden spezifischen Transparenzpflicht zu verknüpfen, ohne Grauzonen zwischen wer produziert und wer einsetzt zu lassen.

03

Eine Methode in fünf Schritten

Schritte

1. Für jedes System feststellen, wer Anbieter und wer Betreiber gemäß den Definitionen in Artikel 3 ist.
2. Die verarbeiteten Daten klassifizieren: Trainings-, Validierungs-, Test-, Eingabedaten und, falls vorhanden, biometrische Kategorien.
3. Prüfen, ob das System synthetische Inhalte erzeugt, und die maschinenlesbare Markierung der Ausgabe vorsehen.
4. Festlegen, wann und wie Personen zu informieren sind, die Emotionserkennung, biometrischer Kategorisierung oder Deep Fakes ausgesetzt sind.
5. Maßnahmen zur KI-Kompetenz für Personal planen, das das System bedient oder nutzt.

04

Ein hypothetischer Fall

Hypothetisches Beispiel: Ein Unternehmen, das ein biometrisches Kategorisierungssystem für den Zugang zu Räumlichkeiten nutzt, handelt als Betreiber und muss die betroffenen Personen über die Funktionsweise des Systems informieren, wobei die erhobenen personenbezogenen Daten gemäß den in der Verordnung genannten Datenschutzvorschriften verarbeitet werden. Erzeugt dasselbe System auch synthetische Audio- oder Videoinhalte, muss der Anbieter sicherstellen, dass die Ausgabe als künstlich erzeugt oder manipuliert in erkennbarer Form markiert wird.

05

Mindestprüfungen vor Aktivierung eines Systems

• Register der aktiven KI-Systeme, mit Angabe der Rolle Anbieter oder Betreiber für jedes System.
• Interne Kennzeichnung der verwendeten Datenarten: Trainings-, Validierungs-, Test-, Eingabedaten, biometrisch.
• Hinweis zur Markierung synthetischer Ausgaben und zur Kennzeichnung von Deep-Fake-Inhalten.
• Nachweis, wann und wie die betroffenen Personen informiert werden.
• Plan zur KI-Kompetenzvermittlung für Personal, das die genutzten Systeme bedient.

06

Was ein Unternehmen mit seinem Softwarepartner einrichten kann

• Ein digitales Register, das jedem KI-System eine Rolle, Anbieter oder Betreiber, und eine interne verantwortliche Person zuweist.
• Strukturierte Felder zur Klassifizierung der Trainings-, Validierungs-, Test- und Eingabedaten jedes Systems.
• Einen Prüfstatus für die Markierung synthetischer Ausgaben und für die Kennzeichnung von Deep Fakes.
• Einen Zeitstempel, der erfasst, wann betroffene Personen informiert wurden, in zugänglicher Form.
• Ein Verzeichnis der vom Personal durchgeführten KI-Kompetenzaktivitäten, mit Datum und Teilnehmenden.

07

Häufige Klärungen

• Der Anbieter entwickelt das System oder lässt es entwickeln und bringt es auf den Markt; der Betreiber nutzt es unter eigener Verantwortung.
• Informationen für betroffene Personen müssen spätestens beim ersten Kontakt klar und zugänglich bereitgestellt werden.
• KI-Kompetenz betrifft das Personal und jede Person, die das System im Auftrag des Unternehmens bedient.

08

Der nächste Schritt

Der nützlichste praktische Schritt besteht darin, gemeinsam mit dem eigenen Team oder Softwarepartner ein einziges Register der KI-Systeme aufzubauen, das Rolle, verarbeitete Daten und den Status der Transparenzpflichten für jedes System angibt. Von dort aus wird es einfacher, die Markierung der Ausgaben, die Information der betroffenen Personen und die KI-Kompetenzsitzungen für das beteiligte Personal zu planen.