- Start
- Compliance
- KI-Verordnung umsetzen
KI-Verordnung umsetzen
Sie müssen KI nicht entwickeln, um dafür zu haften
Der teuerste Irrtum, den wir hören: „Wir entwickeln keine KI, also betrifft uns die Verordnung nicht.“ Die Verordnung (EU) 2024/1689 regelt getrennte Pflichten für Anbieter von KI-Systemen und für Betreiber, die sie einsetzen. Nutzen Ihre Mitarbeitenden KI-Tools, sind Sie Betreiber.
Die meisten Unternehmen können die erste Frage einer Aufsichtsbehörde nicht beantworten: Welche KI-Systeme setzen Sie ein?
Seit 2004 vertrauen uns öffentliche Hand, Energiewirtschaft und Schwerindustrie, also Kunden, die ihre Lieferanten prüfen, bevor sie unterschreiben. Zu den Fallstudien.
Der Zeitplan wurde schon mehrfach geändert. Legen Sie interne Fristen nicht anhand eines Zeitungsartikels oder dieser Seite fest. Maßgeblich sind der konsolidierte Text im Amtsblatt und etwaige Durchführungsrechtsakte. Diese Seite erklärt, wie die Regeln funktionieren, und ist keine Rechtsberatung.
Vier Fragen, die Sie beantworten müssen
Welche KI-Systeme nutzen wir?
Einschließlich Funktionen, die in Ihrer Software standardmäßig aktiv sind, Tools auf Abteilungskreditkarten und Browser-Erweiterungen, die Mitarbeitende selbst installiert haben.
Welches Risiko trägt jedes davon?
Verboten, hohes Risiko, Transparenzpflichten oder nichts davon. Die Einstufung entscheidet über jede weitere Pflicht.
Wer beaufsichtigt sie?
Hochrisiko-Systeme brauchen echte menschliche Aufsicht: benannte, fachkundige Personen mit der Befugnis und den Mitteln, einzugreifen oder das System zu stoppen.
Verstehen die Mitarbeitenden, was sie nutzen?
Die Pflicht zur KI-Kompetenz gilt auch für Betreiber, nicht nur für Unternehmen, die Modelle bauen.
Wo hohes Risiko in einem normalen Unternehmen auftaucht
- Recruiting. Lebenslauf-Screening, Ranking von Bewerbern, Testverfahren. Der häufigste Fall, oft von der Personalabteilung ohne die IT eingekauft.
- Mitarbeiterbewertung. Alles, was Beförderung, Aufgabenverteilung oder Kündigung beeinflusst.
- Zugang zu wesentlichen Leistungen. Kreditwürdigkeitsprüfung, Preisgestaltung bestimmter Versicherungen.
- Sicherheitsbauteile in Produkten. Relevant, wenn Sie Geräte oder Anlagen herstellen.
Als Faustregel: Ein Agent, der Rechnungen mit Bestellungen abgleicht, ist normalerweise kein Hochrisiko-System. Ein Agent, der Bewerbungen sortiert, sehr wahrscheinlich schon. Eine falsche Einstufung kostet Sie in beide Richtungen. Zu streng, und Sie bezahlen Arbeit, die Sie nicht brauchten. Zu locker, und es droht ein Bußgeld.
Was wir liefern
Dokumentation
- Ein KI-Register, das Ihr Team selbst aktuell halten kann
- Ein Datenblatt pro System, mit Einstufung und Begründung
- Menschliche Aufsicht: wer, was diese Person sieht, wann sie eingreift
- Eine interne KI-Richtlinie, an die sich Mitarbeitende halten können
- Schulungsmaterial zur KI-Kompetenz
Funktionierende Mechanismen
- Entscheidungsprotokolle, mit denen sich jedes Ergebnis später nachvollziehen lässt
- Konfidenzschwellen mit automatischer Eskalation an einen Menschen
- Feste Modellversionen, damit sich das Verhalten nicht unbemerkt ändert
- Regelmäßige Referenztests, Ergebnisse als Nachweis abgelegt
- Kennzeichnung von Inhalten, wo Transparenzpflichten gelten
Einmal machen, nicht dreimal
KI-Verordnung, NIS2 und Datenschutz überschneiden sich. Ihr KI-Inventar ist Teil Ihres NIS2-Asset-Inventars. Die Bewertung eines Modellanbieters ist zugleich eine Risikobewertung Ihrer Lieferkette. Verarbeitet das System personenbezogene Daten, gilt auch die DSGVO.
Unternehmen, die drei Beratungen beauftragen, haben am Ende drei Inventare, die nicht zusammenpassen, und bezahlen dreimal für dieselben Interviews. Wir machen es als ein Projekt.
Fangen Sie mit dem Inventar an
Das lohnt sich, egal wie sich der Zeitplan verschiebt. Was Sie nicht kennen, können Sie nicht steuern. Der Readiness-Check liefert das Inventar in drei Wochen, zusammen mit der Risikoeinstufung und einer Wirtschaftlichkeitsrechnung für die Automatisierung. Oder Sie beginnen mit einem kostenlosen Gespräch, und wir sagen Ihnen grob, wie exponiert Sie sind, bevor Sie etwas ausgeben.
Häufige Fragen
Wir nutzen KI nur, wir entwickeln sie nicht. Gilt das trotzdem?
Ja. Die Verordnung regelt getrennte Pflichten für Anbieter und für Betreiber. Die Pflicht zur KI-Kompetenz der Mitarbeitenden gilt unabhängig von der Rolle, und der Einsatz eines Hochrisiko-Systems bringt zusätzliche Aufsichtspflichten.
Was gilt als Hochrisiko-KI-System?
Die Kategorien stehen in den Anhängen der Verordnung, unter anderem Einsätze im Recruiting, bei der Bewertung von Beschäftigten, beim Zugang zu wesentlichen Leistungen und als Sicherheitsbauteile von Produkten. Eingestuft wird im Einzelfall.
Steht der Zeitplan fest?
Der Zeitplan wurde seit dem Inkrafttreten mehrfach geändert. Prüfen Sie immer die konsolidierte Fassung im Amtsblatt und etwaige Durchführungsrechtsakte, bevor Sie interne Fristen festlegen.
In 30 Minuten wissen, ob es sich lohnt.
Erzählen Sie uns von einem Prozess, der Ihrem Team die Woche raubt. Wir sagen Ihnen noch im Gespräch, ob ein Agent ihn übernehmen kann, was das ungefähr kostet und was es spart. Passt es nicht, sagen wir das auch.