Der erste Fehler ist, „KI im Unternehmen“ als ein Ganzes zu betrachten. Laut iagovernance.com und Umbrex sollte man zuerst ein konkretes System oder einen Use Case identifizieren: ein Produkt, eine Funktion, ein internes Tool oder eine Lösung eines Anbieters, und erst danach dessen Einstufung nach dem KI-Act prüfen.
Die Verordnung basiert auf vier Ebenen: verbotene Praktiken, Hochrisikosysteme, Systeme mit Transparenzpflichten und sonstige Anwendungen mit geringem Risiko. Branchenquellen, die die Verordnung (EU) 2024/1689 analysieren, darunter iagovernance.com und Gazeta Prawna, beschreiben es genauso.
Zuerst muss eine Inventarisierung aller KI-Anwendungen erfolgen, auch jener, die in Software von Anbietern verborgen sind. Laut iagovernance.com lässt sich die Klassifizierung nicht ohne eine vollständige Liste der Systeme durchführen, da sonst leicht eine Lösung übersehen wird, die Pflichten aus dem KI-Act auslöst.
Anschließend sind die verbotenen Praktiken aus Art. 5 zu prüfen, bevor die weitere Bewertung erfolgt. Fällt ein Anwendungsfall unter ein Verbot, sollte das Projekt in der EU nicht implementiert oder verwendet werden; darauf weisen iagovernance.com und Umbrex hin.
Der nächste Schritt ist die Überprüfung, ob das System unter Art. 6 und Anhang III in die Hochrisikokategorie fällt. Laut iagovernance.com und Gazeta Prawna geht es um Fälle, die mit den im KI-Act genannten Bereichen verbunden sind, nicht um beliebige Werkzeuge, die das Unternehmen als „geschäftlich wichtig“ einstuft.
Bei der Selbstbewertung sollte man nicht nur das Ergebnis, sondern auch die Argumentation festhalten. Umbrex weist darauf hin, dass Produktdokumentation, Workflow, Ergebnisproben, Modellbeschreibung, Branchenkontext und rechtliche Annahmen gesammelt werden sollten, und anschließend zu vermerken ist, warum das System als verboten, hochriskant, transparentpflichtig oder geringriskant eingestuft wurde.
Ist das System weder verboten noch hochriskant, sind die Transparenzpflichten zu prüfen. Laut iagovernance.com und Gazeta Prawna betrifft dies unter anderem Chatbots, KI-generierte Inhalte und Deepfakes, bei denen der Nutzer informiert werden sollte, dass er es mit KI oder synthetischem Material zu tun hat.
Am Ende ist das Ergebnis der Selbstbewertung in Maßnahmen zu überführen: Kontrollen, Dokumentation, Tests, Freigaben, Schulungen und Monitoring. Umbrex betont, dass die Klassifizierung zu konkreten operativen Schritten führen sollte und nicht bei einer Risikobezeichnung enden darf.
In der Praxis bedeutet das eine einfache Abfolge:
Lub System unterstützt B2B-Unternehmen bei der Einführung von KI, Automatisierung und IT-Lösungen - von der Strategie bis zur Umsetzung. Mehr zu unseren Leistungen oder Kontakt aufnehmen.
Quelle: https://iagovernance.com/en/blog/classify-ai-systems-by-risk/