Wann Ihr System betroffen ist
Hochrisiko-KI sind KI als Sicherheitskomponente regulierter Produkte sowie bestimmte Anwendungen in sensiblen Feldern wie:
- Personalauswahl
- Kreditentscheidungen
- Kritische Infrastruktur
Die Einstufung ist kein Automatismus, im Zweifel greift sie aber. Genau diese Einordnung klären wir als Erstes, denn sie entscheidet über den gesamten Aufwand. Wann die Pflichten greifen, ist gestaffelt geregelt und wurde zuletzt nach hinten verschoben.
Wie wir vorgehen
Wir prüfen zuerst, ob Ihr System tatsächlich Hochrisiko ist und welcher Bereich greift. Daraus entsteht ein Anforderungs-Bild, das wir dem Stand Ihres Systems gegenüberstellen. Die Lücken-Analyse mündet in einen priorisierten Vorbereitungs-Plan. Methodisch arbeiten wir entlang von ISO/IEC 42001, ergänzt um die Pflichten des EU AI Act. So entsteht kein isoliertes Compliance-Konstrukt, sondern ein Managementsystem, das auch langfristig trägt.
Die rechtliche Bewertung der Pflichten ersetzen wir nicht, dafür arbeiten wir bei Bedarf mit Ihrer Rechtsberatung zusammen. In Deutschland ist die Bundesnetzagentur die zentrale Aufsichtsbehörde.
Häufig gestellte Fragen
Sechs Fragen, die in fast jedem Audit-Vorbereitungs-Erstgespräch vorkommen. Klicken Sie eine Frage an, um die Antwort zu sehen.
Wir nutzen KI nur intern, gilt das schon als Hochrisiko?
Das hängt vom Anwendungsbereich ab, nicht von interner oder externer Nutzung. KI für die Personalauswahl ist Hochrisiko, auch wenn nur Ihre HR-Abteilung damit arbeitet. Als Betreiber haben Sie reduzierte, aber substanzielle Pflichten. Die genaue Einordnung klären wir in der Bestandsaufnahme.
Wir entwickeln eigene KI, wann startet die Vorbereitung?
Idealerweise bevor das System in den Markt geht, mit einigen Monaten Vorlauf. Dokumentation, Risikomanagement und Daten-Governance lassen sich nicht in den letzten Wochen nachholen, sie müssen in den Entwicklungs-Prozess eingebaut sein.
Reicht ISO/IEC 42001 als Konformitäts-Nachweis?
Nicht allein, aber als wesentlicher Baustein. Es stützt die Vermutung, dass die Management-Anforderungen erfüllt sind. System-spezifische Pflichten wie technische Dokumentation und Konformitäts-Erklärung kommen separat hinzu.
Was kostet die Audit-Vorbereitung?
Der Aufwand hängt stark vom einzelnen System und der Reife des Unternehmens ab. Eine etwaige benannte Stelle kommt separat hinzu. Unsere Kalkulation erfolgt aufwandsbasiert nach dem Scoping-Gespräch.
Wir betreiben Hochrisiko-KI eines anderen Anbieters, was müssen wir tun?
Als Betreiber müssen Sie das System gemäß Gebrauchsanweisung nutzen, menschliche Aufsicht sicherstellen, Eingabedaten verantworten, Aufzeichnungen aufbewahren und bei schweren Vorfällen Anbieter und Aufsicht informieren. Die Konformitäts-Bewertung selbst bleibt beim Anbieter.
Können wir nachträglich umstufen, falls das System doch kein Hochrisiko ist?
In begründeten Fällen ja, wenn das System keine wesentliche Entscheidungs-Funktion hat oder nur vorbereitend wirkt. Das muss strukturiert dokumentiert und der Aufsicht gemeldet werden. Im Zweifel ist die Hochrisiko-Einstufung die sicherere Wahl.