Als Unternehmen in der zweiten höchsten Risikoklasse (hochriskant) nach dem EU KI-Gesetz müssen Sie eine Konformitätsbewertung durchführen, bevor Ihr System auf den Markt gebracht oder in Betrieb genommen wird. Da Sie bereits die Normen erfüllen, die Nutzung von KI transparent aufzeigen und die Dokumentationsanforderungen erfüllen, sind Sie gut auf dem Weg. Die Anwendungsprüfung bezieht sich wahrscheinlich auf die Überprüfung Ihrer Bewerbung für die Konformitätsbewertung durch eine benannte Stelle, falls erforderlich.
Es ist überraschend, dass für einige hochriskante KI-Systeme eine Drittpartei-Bewertung verpflichtend ist, insbesondere bei biometrischen Systemen, was zusätzliche Kosten und Komplexität mit sich bringen kann.
Dieser Bericht bietet eine umfassende Analyse der Vorbereitung auf die Anwendungsprüfung für ein Unternehmen, das unter dem EU KI-Gesetz (Regulation (EU) 2024/1689) in der zweiten höchsten Risikoklasse (hochriskant) arbeitet. Angesichts der Aussage, dass die Normen erfüllt, die Nutzung von KI transparent aufzeigen und die Dokumentationsanforderungen erfüllt sind, wird der Fokus auf den nächsten Schritten zur Vorbereitung der Anwendungsprüfung gelegt. Die Analyse basiert auf den Bestimmungen des EU KI-Gesetzes und unterstützenden Ressourcen.
Das EU KI-Gesetz, veröffentlicht am 12. Juli 2024 und in Kraft getreten am 1. August 2024, ist das weltweit erste umfassende rechtliche Rahmenwerk für KI. Es klassifiziert KI-Systeme in vier Risikostufen: minimal, begrenzt, hochriskant und unakzeptabel. Hochriskante Systeme, die in Anhang III aufgeführt sind, unterliegen strengen Anforderungen, einschließlich einer Konformitätsbewertung vor Markteinführung oder Inbetriebnahme. Die zweite höchste Risikoklasse entspricht hochriskanten Systemen, die signifikante Risiken für Gesundheit, Sicherheit oder grundlegende Rechte darstellen können.
Die Konformitätsbewertung stellt sicher, dass das KI-System den Anforderungen des Gesetzes entspricht, wie in Titel III, Kapitel 2 festgelegt, einschließlich Risikomanagement, Datenführung und Transparenz. Die Anwendungsprüfung bezieht sich vermutlich auf die Überprüfung der Bewerbung für diese Bewertung, insbesondere wenn eine benannte Stelle (notified body) beteiligt ist.
Die Risikostufen des EU KI-Gesetzes sind wie folgt definiert:
Da Ihr System hochriskant ist, müssen Sie die Anforderungen von Anhang III erfüllen, einschließlich potenzieller Drittpartei-Bewertungen für bestimmte Systeme, wie biometrische Identifikation.
Gemäß Artikel 43 des EU KI-Gesetzes ist eine Konformitätsbewertung vor Markteinführung oder Inbetriebnahme erforderlich. Diese kann intern durchgeführt werden (Anhang VI) oder durch eine benannte Stelle, abhängig von:
Die Bewertung überprüft die Einhaltung folgender Anforderungen:
Für interne Bewertungen müssen Sie selbst nachweisen, dass diese Anforderungen erfüllt sind, während bei Drittpartei-Bewertungen eine benannte Stelle die Einhaltung überprüft.
Nach erfolgreicher Konformitätsbewertung müssen Sie Ihr System gemäß Artikel 49 in der EU-Datenbank registrieren, bevor es auf den Markt gebracht oder in Betrieb genommen wird. Die Registrierung erfordert Informationen gemäß Anhang VIII, einschließlich:
Die Anwendungsprüfung bezieht sich vermutlich auf die Überprüfung Ihrer Bewerbung für die Konformitätsbewertung durch eine benannte Stelle, falls eine Drittpartei-Bewertung erforderlich ist. Dies umfasst die Einreichung aller Dokumente und die Bereitschaft, auf Rückfragen zu reagieren.
Angesichts Ihrer Aussage, dass Sie die Normen erfüllen, die Nutzung von KI transparent aufzeigen und die Dokumentationsanforderungen erfüllen, sollten Sie Folgendes tun:
Es ist ratsam, interne Tests oder Pilotprojekte durchzuführen, um die Leistungsfähigkeit und Konformität Ihres Systems zu verifizieren. Zudem sollten Sie sich über spezifische Richtlinien von benannten Stellen informieren, da diese variieren können. Da das EU KI-Gesetz neu ist, könnten harmonisierte Standards noch nicht vollständig entwickelt sein, was die Bewertung erschweren könnte. In solchen Fällen können Sie auf vorhandene Leitfäden, wie die von der Universität Oxford entwickelte capAI-Methode, zurückgreifen (capAI).
|
Anforderung |
Artikel |
Beschreibung |
|
Risikomanagementsystem |
9 |
Identifizierung, Bewertung und Minderung von Risiken. |
|
Daten und Datenführung |
10 |
Hohe Datenqualität, Datenschutzkonformität. |
|
Technische Dokumentation |
11 |
Detaillierte Beschreibung von Design, Entwicklung und Betrieb. |
|
Transparenz und Information |
13 |
Klare Kommunikation mit Nutzern über Fähigkeiten und Grenzen. |
|
Menschliche Überwachung |
14 |
Mechanismen für menschliche Kontrolle und Eingriff. |
|
Genauigkeit, Robustheit, Cybersicherheit |
15 |
Sicherstellung von Zuverlässigkeit und Sicherheit. |
|
Qualitätsmanagementsystem |
17 |
Lebenszyklus-übergreifende Qualitätssicherung. |
Für bestimmte hochriskante Systeme, wie die in Anhang III aufgelisteten, kann ein Test unter realen Bedingungen gemäß Artikel 60 erforderlich sein. Dies erfordert die Einreichung eines Testplans bei der zuständigen Behörde des EU-Mitgliedstaats, in dem der Test durchgeführt wird. Dies könnte zusätzliche Vorbereitung erfordern, insbesondere in Bezug auf informierte Zustimmung und Datenschutz.
Ihre bestehende Einhaltung der Normen und Dokumentationsanforderungen ist ein starker Ausgangspunkt. Durch die oben genannten Schritte können Sie sicherstellen, dass Sie für die Anwendungsprüfung gut vorbereitet sind und die regulatorischen Anforderungen des EU KI-Gesetzes erfüllen. Es ist ratsam, sich regelmäßig über Entwicklungen und Leitfäden zu informieren, insbesondere da harmonisierte Standards noch entwickelt werden.