Compliance mit dem EU AI Act
Der EU AI Act führt einen strukturierten Regulierungsansatz ein, der künstliche Intelligenz anhand der mit ihrem vorgesehenen Einsatz verbundenen Risiken betrachtet. Für Unternehmen, die KI-Systeme entwickeln, anbieten, einführen oder nutzen, erfordert Compliance mehr als eine Prüfung der zugrunde liegenden Technologie.
Das Unternehmen muss wissen, welche KI-Systeme eingesetzt werden, welche Rolle es in Bezug auf jedes System übernimmt, wie die Systeme einzuordnen sind und welche Pflichten damit verbunden sind. Die Verantwortlichkeiten können sich danach unterscheiden, ob ein Unternehmen ein KI-System entwickelt, von einem Anbieter erwirbt, in eine Dienstleistung integriert oder dessen Ergebnisse in einem Geschäftsprozess verwendet.
Die AI-Act-Compliance-Services von CA helfen Ihnen, diese Verantwortlichkeiten zu verstehen und in praktische Kontrollen zu übertragen. Wir bewerten Ihre KI-Umgebung, identifizieren relevante Anforderungen, klären Verantwortlichkeiten und entwickeln einen strukturierten Plan zur Erreichung und Aufrechterhaltung der Compliance.
Warum das wichtig ist
KI-Systeme können interne Aufgaben unterstützen, mit Kunden interagieren, Entscheidungen beeinflussen, Inhalte erzeugen und Aktionen in verbundenen Systemen ausführen. Die damit zusammenhängenden Verpflichtungen hängen unter anderem vom Zweck des Systems, den betroffenen Personen, dem Automatisierungsgrad und den möglichen Folgen eines fehlerhaften Ergebnisses ab.
Ein Unternehmen nutzt möglicherweise auch mehr künstliche Intelligenz, als intern bekannt ist. KI-Funktionen können in Geschäftsanwendungen, Cloud-Dienste, Bewerbungsplattformen, Kundenlösungen, Sicherheitsprodukte und Software externer Anbieter integriert sein.
Ohne eine klare Übersicht über diese Systeme ist es schwierig zu bestimmen, welche Anforderungen gelten und ob notwendige Kontrollen, Dokumentationen, Hinweise und Überwachungsprozesse vorhanden sind.
Ein praxisorientiertes AI-Act-Compliance-Programm hilft Ihnen dabei:
Ihre regulatorische Rolle zu verstehen
Bestimmen Sie, ob das Unternehmen in Bezug auf ein KI-System als Anbieter, Betreiber, Importeur, Händler oder in einer anderen relevanten Rolle handelt.
KI-Systeme einheitlich zu klassifizieren
Bewerten Sie Systeme nach ihrem vorgesehenen Zweck, ihrer Nutzung, ihren möglichen Auswirkungen und der jeweils anwendbaren Risikokategorie.
Angemessene Kontrollen zu etablieren
Führen Sie Governance-, Dokumentations-, Transparenz-, Aufsichts-, Test- und Überwachungsmaßnahmen ein, die den Verantwortlichkeiten des Unternehmens entsprechen.
Verlässliche Nachweise zu führen
Dokumentieren Sie Bewertungen, Entscheidungen, Kontrollen, Anbieter, Systemänderungen, Vorfälle und laufende Überprüfungen.
Unser Ansatz
Wir betrachten AI-Act-Compliance nicht als einmalige rechtliche Prüfung oder als Standardfragebogen, der auf jedes KI-System identisch angewendet wird. Die praktischen Anforderungen hängen davon ab, wie die Technologie genutzt wird, welche Beteiligten einbezogen sind und welche Auswirkungen das System auf Personen und Geschäftsabläufe haben kann.
Unser Ansatz verbindet die regulatorische Auslegung mit geschäftlichen, technischen, sicherheitsbezogenen, datenschutzrechtlichen und risikobezogenen Aspekten. Wir betrachten die vollständige KI-Lösung einschließlich Zweck, Modell, Daten, Nutzer, Integrationen, Anbieter, Ergebnisse und menschlicher Beteiligung.
Die Bewertung erfolgt risikoorientiert. Anwendungsfälle mit geringerem Risiko durchlaufen ein einfacheres Verfahren. Systeme mit größeren möglichen Auswirkungen erhalten eine detailliertere Prüfung, Dokumentation, Genehmigung und Überwachung.
1. KI-Systeme identifizieren und organisatorische Rollen bestimmen
Zu Beginn erstellen oder überprüfen wir ein Verzeichnis der KI-Systeme und Anwendungsfälle des Unternehmens.
Dazu können intern entwickelte Modelle, eingekaufte Anwendungen, integrierte KI-Funktionen, generative KI-Assistenten, automatisierte Entscheidungssysteme, kundenorientierte Lösungen, Analyseplattformen und Dienste externer Anbieter gehören.
Für jedes System dokumentieren wir Zweck, Nutzer, betroffene Personen, Datenquellen, Anbieterbeziehungen, Integrationen, Ergebnisse und Automatisierungsgrad. Wir stellen außerdem fest, wie das Unternehmen das System tatsächlich verwendet und ob diese Verwendung vom ursprünglich definierten Zweck des Anbieters abweicht.
Anschließend bestimmen wir die relevante Rolle des Unternehmens. Die damit verbundenen Verantwortlichkeiten können davon abhängen, ob die Technologie entwickelt, angeboten, verändert, vertrieben, importiert oder eingesetzt wird.
2. Systeme klassifizieren und Compliance-Lücken bewerten
Wir analysieren jedes relevante System, um seine regulatorische Einordnung und die anwendbaren Anforderungen zu bestimmen.
Die Prüfung berücksichtigt den vorgesehenen Zweck, den Nutzungskontext, betroffene Personen, die Bedeutung der unterstützten Entscheidung, den Umfang menschlicher Aufsicht, die verarbeiteten Daten und mögliche Folgen von Fehlern oder Missbrauch.
Anschließend vergleichen wir bestehende Regelungen mit den relevanten Anforderungen. Dazu können Governance, Risikomanagement, technische Dokumentation, Datenmanagement, Aufzeichnungen, Transparenz, menschliche Aufsicht, Genauigkeit, Widerstandsfähigkeit, Cybersicherheit, Lieferantenmanagement, Nutzerinformationen und laufende Überwachung gehören.
Die Ergebnisse unterscheiden klar zwischen vorhandenen Maßnahmen, Verbesserungsbedarf und bisher nicht behandelten Verpflichtungen.
3. Kontrollen implementieren und Dokumentation vorbereiten
Wir übertragen die identifizierten Anforderungen in praktische Maßnahmen für die verantwortlichen geschäftlichen und technischen Teams.
Je nach System und Rolle des Unternehmens kann dies die Einführung von Genehmigungsprozessen, Risikobewertungen, menschlicher Aufsicht, verbesserten technischen Aufzeichnungen, dokumentierten Datenquellen, Leistungstests, Nutzerinformationen, Lieferantenprüfungen und Meldeverfahren für Vorfälle oder Probleme umfassen.
Wir helfen dabei, jede Maßnahme einem Verantwortlichen zuzuweisen und geeignete Abschlussnachweise festzulegen. Die Dokumentation bildet das tatsächliche KI-System und seine Funktionsweise ab, anstatt lediglich allgemeine regulatorische Formulierungen zu wiederholen.
Wenn sich Anforderungen mit bestehenden Sicherheits-, Datenschutz-, Qualitäts- oder Compliance-Prozessen überschneiden, verbinden wir sie mit gemeinsamen Kontrollen. Dadurch wird doppelte Arbeit reduziert und die langfristige Verwaltung erleichtert.
4. Überwachung etablieren und Compliance aufrechterhalten
Die Compliance mit dem EU AI Act muss auch nach der Genehmigung und Einführung eines KI-Systems aufrechterhalten werden.
Modelle, Daten, Anbieter, Integrationen, Nutzer und Geschäftszwecke können sich verändern. Ein System, das ursprünglich einer bestimmten Klassifizierung und Genehmigung folgte, muss möglicherweise neu bewertet werden, wenn sein Einsatz erweitert oder seine Funktionsweise wesentlich verändert wird.
Wir helfen bei der Einführung regelmäßiger Prüfungen, Leistungsüberwachung, Vorfallmeldung, Beschwerdebearbeitung, Kontrolltests, Anbieteraufsicht, Änderungsmanagement und Managementberichterstattung.
Außerdem definieren wir Ereignisse, die eine neue Bewertung auslösen sollten. Dazu können eine wesentliche Modellaktualisierung, ein neuer Verwendungszweck, eine zusätzliche Datenquelle, ein höherer Automatisierungsgrad, wiederkehrende fehlerhafte Ergebnisse, ein schwerwiegender Vorfall oder Veränderungen bei den betroffenen Personen gehören.
Was CA auszeichnet
Compliance auf Grundlage der tatsächlichen Nutzung
Wir bewerten, wie jedes System im Unternehmen tatsächlich eingesetzt wird, statt uns nur auf den Produktnamen oder die Beschreibung des Anbieters zu verlassen.
Verbindung geschäftlicher, technischer und regulatorischer Aspekte
Wir bringen Systemverantwortung, technischen Betrieb, rechtliche Pflichten, Sicherheit, Datenschutz, Risikomanagement und Compliance zusammen.
Angemessene Umsetzung
Wir passen Bewertung, Dokumentation und Aufsicht an die Rolle des Unternehmens und die möglichen Auswirkungen des Systems an.
Praktische und unabhängige Unterstützung
Unsere Empfehlungen konzentrieren sich auf die Verantwortlichkeiten des Unternehmens und sind nicht an ein bestimmtes Modell, eine Plattform oder einen Softwareanbieter gebunden.
Der geschäftliche Mehrwert
Die AI-Act-Compliance-Services von CA geben Ihrem Unternehmen einen klareren Überblick darüber, wie regulatorische Anforderungen auf seine KI-Systeme und Geschäftstätigkeiten anzuwenden sind.
Die Geschäftsleitung erhält mehr Transparenz über das KI-Verzeichnis, regulatorische Rollen, Systeme mit höherem Risiko, Kontrolllücken und offene Entscheidungen. Geschäfts- und Technikteams erhalten praktische Maßnahmen, anstatt umfassende Anforderungen selbstständig auslegen zu müssen.
Ein strukturierter Ansatz reduziert außerdem unnötige Doppelarbeit. Vorhandene Prozesse für Risikomanagement, Sicherheit, Datenschutz, Beschaffung, Qualität und Lieferantenkontrolle können die KI-Compliance unterstützen.
Klare Dokumentation und zugewiesene Verantwortlichkeiten erleichtern den Nachweis, wie ein System bewertet wurde, warum es genehmigt wurde, welche Kontrollen gelten und wie seine Leistung überwacht wird.
Das Ergebnis ist ein verlässlicherer Weg zur Compliance mit dem EU AI Act, eine stärkere Kontrolle von KI-Risiken und mehr Sicherheit bei der Einführung oder Erweiterung künstlicher Intelligenz im Unternehmen.
Nächster Schritt
Die Vorbereitung auf den EU AI Act beginnt mit dem Verständnis, welche KI-Systeme eingesetzt werden, welche Rolle das Unternehmen einnimmt und welche Anforderungen gelten.
Kontaktieren Sie CA für ein unverbindliches Erstgespräch. Wir helfen Ihnen, Ihre KI-Umgebung zu erfassen, relevante Systeme zu bewerten, Compliance-Lücken zu identifizieren und einen praktischen Plan zur Einführung und Aufrechterhaltung der notwendigen Kontrollen zu entwickeln.