KI-Risikoklassifizierung nach der EU-KI-Verordnung: So können Unternehmen Hochrisiko-KI-Systeme identifizieren

Künstliche Intelligenz wird zunehmend tief in moderne Geschäftsprozesse integriert. Unternehmen setzen KI ein, um Prozesse zu automatisieren, Daten zu analysieren, Mitarbeitende zu unterstützen, Kundenerlebnisse zu personalisieren und wichtige Entscheidungen zu unterstützen.

Doch nicht jedes KI-System birgt dasselbe Risikoniveau.

Ein KI-Tool zur Filterung von Spam unterscheidet sich grundlegend von einem KI-System, das im Recruiting, bei der Kreditbewertung, im Gesundheitswesen oder in anderen Bereichen eingesetzt wird, in denen seine Ergebnisse erhebliche Auswirkungen auf Menschen haben können.

Dieser Unterschied steht im Mittelpunkt des risikobasierten Ansatzes der EU-KI-Verordnung.

Für Organisationen, die KI-Systeme in Europa entwickeln, anbieten oder betreiben, ist das Verständnis der KI-Risikoklassifizierung ein wichtiger Ausgangspunkt, um festzustellen, welche regulatorischen Anforderungen gelten können.

Die Herausforderung besteht nicht nur darin festzustellen, ob eine Organisation KI einsetzt. Entscheidend ist zu verstehen, was jedes KI-System tut, wo es eingesetzt wird und welche Auswirkungen es haben kann.

Warum die KI-Risikoklassifizierung wichtig ist

Die EU-KI-Verordnung verfolgt einen risikobasierten Ansatz für künstliche Intelligenz. Je nach Risikoniveau, Zweckbestimmung und Nutzungskontext können für verschiedene KI-Systeme unterschiedliche Anforderungen gelten.

Für Organisationen macht dies die KI-Risikoklassifizierung zu einem wichtigen Bestandteil der Compliance nach der EU-KI-Verordnung.

Ein Unternehmen kann in verschiedenen Abteilungen Dutzende oder sogar Hunderte KI-gestützter Tools einsetzen. Jedes System exakt gleich zu behandeln, kann unnötigen Compliance-Aufwand verursachen. Gleichzeitig kann es zu erheblichen regulatorischen Risiken führen, wenn ein potenzielles Hochrisiko-KI-System nicht erkannt wird.

Ein strukturierter Klassifizierungsprozess hilft Organisationen dabei, grundlegende Fragen zu beantworten:

• Welche KI-Systeme setzen wir ein?
• Was ist die Zweckbestimmung jedes Systems?
• Wo wird es eingesetzt?
• Wer ist von seinen Ergebnissen betroffen?
• Welches Risikoniveau weist das System auf?
• Welche Governance- und Compliance-Aktivitäten sind erforderlich?

Die Antworten bilden die Grundlage für ein umfassenderes KI-Governance-Programm.

Das Risikomodell der EU-KI-Verordnung verstehen

Die EU-KI-Verordnung kategorisiert KI-Anwendungen grundsätzlich nach dem Risikoniveau, das von ihnen ausgeht.

1. Verbotene KI-Praktiken

Die höchste Risikokategorie umfasst bestimmte KI-Praktiken, die aufgrund ihrer unzulässigen Auswirkungen auf Grundrechte oder Sicherheit verboten sind.

Dazu gehören bestimmte Praktiken im Zusammenhang mit schädlicher Manipulation, der Ausnutzung von Schwachstellen, bestimmten Anwendungen des Social Scoring sowie weitere in der Verordnung definierte verbotene Nutzungen.

Für Organisationen sollte daher zunächst die Frage geklärt werden, ob eine geplante KI-Nutzung unter eine verbotene Praxis fällt.

Ist dies der Fall, muss die Organisation dieses Problem klären, bevor sie einen Einsatz in Betracht zieht.

2. Hochrisiko-KI-Systeme

Hochrisiko-KI-Systeme sind nach der EU-KI-Verordnung zulässig, unterliegen jedoch umfangreichen Anforderungen.

Diese Systeme können bestimmte KI-Anwendungen in Bereichen wie den folgenden umfassen:

• Beschäftigung und Recruiting
• Bildung und berufliche Ausbildung
• Zugang zu grundlegenden Dienstleistungen
• Bestimmte biometrische Anwendungen
• Kritische Infrastruktur
• Strafverfolgung
• Migration und Grenzkontrolle
• Rechtspflege und demokratische Prozesse

Die Einstufung eines KI-Systems hängt von den konkreten regulatorischen Kriterien und seiner Zweckbestimmung ab. Allein die Tätigkeit in einer bestimmten Branche führt nicht automatisch dazu, dass jedes dort eingesetzte KI-System als Hochrisiko-KI gilt.

Diese Unterscheidung ist wichtig.

Der Anwendungsfall ist entscheidend.

Eine Organisation kann beispielsweise KI für die interne Produktivität einsetzen und gleichzeitig ein anderes KI-System in einem Prozess verwenden, der erhebliche Auswirkungen auf Personen haben kann. Für diese Systeme können sehr unterschiedliche Governance-Ansätze erforderlich sein.

Weitere Informationen finden Sie in unserem Leitfaden zu Hochrisiko-KI-Systemen nach der EU-KI-Verordnung.

3. KI-Systeme mit Transparenzanforderungen

Für bestimmte KI-Systeme gelten spezifische Transparenzpflichten.

Dazu können beispielsweise Systeme gehören, die direkt mit Menschen interagieren oder bestimmte Arten von Inhalten erzeugen oder manipulieren.

Bei diesen Systemen müssen Organisationen je nach anwendbarer Anforderung möglicherweise sicherstellen, dass Personen angemessen über die Interaktion oder den KI-generierten Charakter entsprechender Inhalte informiert werden.

4. KI-Anwendungen mit minimalem oder begrenztem Risiko

Viele alltägliche KI-Anwendungen weisen ein vergleichsweise geringes regulatorisches Risiko auf.

Dazu können beispielsweise bestimmte KI-gestützte Produktivitätsfunktionen, Spamfilter oder KI-Anwendungen in der Unterhaltungsbranche gehören.

Auch wenn spezifische verbindliche Anforderungen begrenzt sind, können interne Richtlinien und verantwortungsvolle KI-Praktiken für Organisationen weiterhin sinnvoll sein.

So bestimmen Sie, ob ein KI-System als Hochrisiko-KI gilt

Die KI-Risikoklassifizierung sollte nicht mit der Frage beginnen:

„Handelt es sich um ein KI-System?“

Stattdessen sollten Organisationen die Zweckbestimmung, den Einsatzkontext und die regulatorischen Kriterien des Systems prüfen.

Eine praktische Bewertung kann mit den folgenden Fragen beginnen.

Was ist die Zweckbestimmung?

Dokumentieren Sie zunächst genau, wofür das KI-System entwickelt wurde.

Vermeiden Sie allgemeine Beschreibungen wie „KI-Analyse“ oder „automatisierte Entscheidungsfindung“.

Definieren Sie die tatsächliche Funktion.

Zum Beispiel:

• Gibt das System Empfehlungen zu Bewerbern?
• Bewertet es Anträge?
• Unterstützt es eine Entscheidung?
• Interagiert es direkt mit Kunden?
• Analysiert es biometrische Informationen?

Eine klare Zweckbestimmung macht die Klassifizierung zuverlässiger.

Wo wird das System eingesetzt?

Der Kontext, in dem KI eingesetzt wird, ist relevant.

Ein KI-Modell für die interne Produktivität kann ein anderes regulatorisches Profil haben als ein KI-System, das in Beschäftigung, Bildung, Gesundheitswesen oder einem anderen regulierten Kontext eingesetzt wird.

Organisationen sollten daher die Umgebung und den Prozess dokumentieren, in dem jedes KI-System eingesetzt wird.

Wer könnte betroffen sein?

Berücksichtigen Sie die Personen, die potenziell von dem System betroffen sind.

Automatisiert das System lediglich eine administrative Aufgabe oder können seine Ergebnisse die Beschäftigung, den Zugang zu Dienstleistungen, die Bildung, die Sicherheit oder andere wichtige Chancen einer Person beeinflussen?

Das Verständnis der potenziellen Auswirkungen ist ein wichtiger Bestandteil der Risikobewertung.

Welche Rolle spielt die KI?

Organisationen sollten außerdem verstehen, ob die KI Empfehlungen liefert, Ergebnisse zur menschlichen Prüfung erzeugt oder eine bedeutendere Rolle in einem Entscheidungsprozess spielt.

Das Ausmaß der menschlichen Beteiligung und Aufsicht sollte klar dokumentiert werden.

Warum KI-Inventare vor der Risikoklassifizierung erstellt werden sollten

Eine der häufigsten Herausforderungen für Organisationen besteht darin, zunächst festzustellen, wo KI eingesetzt wird.

KI-Tools können von verschiedenen Abteilungen ohne einen zentralen Governance-Prozess eingeführt werden. Mitarbeitende können außerdem KI-gestützte Funktionen innerhalb einer Software nutzen, die bereits in der Organisation vorhanden ist.

Dadurch wird ein KI-Inventar zu einer wichtigen Grundlage für das KI-Risikomanagement.

Ein Inventar sollte relevante Informationen wie die folgenden erfassen:

• Name des KI-Systems
• Zweckbestimmung
• Verantwortlicher im Unternehmen
• Anbieter
• Abteilung
• Nutzer
• Verarbeitete Daten
• Einsatzkontext
• Risikoklassifizierung
• Governance-Status

Sobald diese Informationen verfügbar sind, können Organisationen mit der Anwendung einer einheitlichen Klassifizierungsmethodik beginnen.

Das Problem der manuellen KI-Risikoklassifizierung

Tabellenkalkulationen können hilfreich sein, wenn eine Organisation nur wenige KI-Systeme hat.

Mit zunehmender Nutzung von KI kann die manuelle Klassifizierung jedoch zunehmend schwer zu verwalten sein.

Organisationen können dadurch mit folgenden Problemen konfrontiert sein:

• Mehrere Versionen desselben KI-Inventars
• Uneinheitliche Klassifizierungsentscheidungen
• Fehlende Systeminformationen
• Veraltete Risikobewertungen
• Begrenzte Transparenz über Verantwortlichkeiten
• An verschiedenen Orten gespeicherte Compliance-Nachweise

Dies führt zu einem operativen Problem.

Die KI-Governance muss mit der zunehmenden KI-Nutzung Schritt halten.

KI-Risikoklassifizierung in die KI-Governance integrieren

Die Risikoklassifizierung sollte nicht als eigenständige Compliance-Maßnahme betrachtet werden.

Ein umfassenderer Ansatz verbindet die Klassifizierung mit dem gesamten KI-Governance-Lebenszyklus:

Identifizieren → Klassifizieren → Bewerten → Steuern → Überwachen → Überprüfen

Identifizieren Sie zunächst die KI-Systeme der Organisation.

Klassifizieren Sie sie anschließend anhand der anwendbaren regulatorischen Kriterien.

Bewerten Sie danach die Risiken und bestimmen Sie die relevanten Governance-Anforderungen.

Etablieren Sie anschließend Kontrollen, Dokumentation, Verantwortlichkeiten und Aufsicht.

Überwachen und überprüfen Sie das System schließlich, wenn sich seine Zweckbestimmung, Technologie oder Einsatzumgebung verändert.

Dieser Ansatz hilft Organisationen, Compliance als fortlaufenden Prozess und nicht als einmaliges Projekt zu behandeln.

Was passiert, nachdem ein KI-System als Hochrisiko-KI eingestuft wurde?

Die Identifizierung eines Hochrisiko-KI-Systems ist erst der Anfang.

Je nach anwendbaren Anforderungen müssen Organisationen möglicherweise Bereiche wie die folgenden berücksichtigen:

Risikomanagement

Etablieren Sie Prozesse zur Identifizierung, Analyse und Minderung von Risiken während des gesamten Lebenszyklus des KI-Systems.

Daten und Daten-Governance

Berücksichtigen Sie relevante Anforderungen an Datenqualität, Governance und Datenmanagement.

Technische Dokumentation

Führen Sie geeignete Dokumentationen, die das KI-System und relevante Compliance-Informationen beschreiben.

Protokollierung und Nachvollziehbarkeit

Führen Sie geeignete Aufzeichnungen, die Nachvollziehbarkeit und Überwachung unterstützen.

Menschliche Aufsicht

Stellen Sie geeignete Mechanismen für die menschliche Aufsicht sicher.

Überwachung und Compliance-Nachweise

Führen Sie Nachweise darüber, wie relevante Kontrollen und Governance-Aktivitäten verwaltet werden.

Deshalb ist eine genaue Klassifizierung wichtig: Die Klassifizierung hilft dabei, den anschließenden Compliance-Pfad zu bestimmen.

Wie Technologie die KI-Risikoklassifizierung unterstützen kann

Die manuelle Verwaltung der KI-Governance kann zunehmend schwierig werden, wenn das KI-Portfolio einer Organisation wächst.

Eine Software für KI-Governance kann Organisationen dabei unterstützen, Informationen zu KI-Systemen zentral zu verwalten und die Risikoklassifizierung mit umfassenderen Compliance-Prozessen zu verbinden.

AnnexOps bietet einen operativen Ansatz für KI-Governance und die Compliance nach der EU-KI-Verordnung. Die Software unterstützt Organisationen dabei, KI-Systeme zu identifizieren, regulatorische Risiken zu klassifizieren, Compliance-Aktivitäten zu verwalten, Dokumentationen zu führen und sich auf Audits vorzubereiten.

Durch die Zusammenführung dieser Aktivitäten können Organisationen einen klareren Überblick über ihre KI-Landschaft und die mit jedem System verbundenen Governance-Aufgaben schaffen.

Best Practices für die KI-Risikoklassifizierung

Organisationen, die einen Prozess zur KI-Risikoklassifizierung entwickeln, sollten die folgenden Praktiken berücksichtigen:

Beginnen Sie mit einem KI-Inventar.
Sie können Systeme nicht zuverlässig klassifizieren, wenn Sie nicht wissen, dass sie existieren.

Dokumentieren Sie die Zweckbestimmung.
Die Klassifizierung sollte auf der tatsächlichen Nutzung und dem Kontext des KI-Systems basieren.

Legen Sie klare Verantwortlichkeiten fest.
Für jedes KI-System sollte ein verantwortlicher fachlicher oder operativer Verantwortlicher benannt sein.

Verwenden Sie einheitliche Bewertungskriterien.
Verschiedene Teams sollten ähnliche Systeme nicht anhand völlig unterschiedlicher Ansätze klassifizieren.

Dokumentieren Sie Klassifizierungsentscheidungen.
Halten Sie fest, wie und warum eine bestimmte Klassifizierung vorgenommen wurde.

Überprüfen Sie Klassifizierungen, wenn sich Systeme ändern.
Änderungen an Zweckbestimmung, Funktionalität, Einsatz oder Nutzung können eine erneute Bewertung erforderlich machen.

Verbinden Sie die Klassifizierung mit der Governance.
Die Risikoklassifizierung sollte Dokumentation, Kontrollen, Aufsicht, Überwachung und Compliance-Aktivitäten beeinflussen.

Häufige Fehler bei der KI-Risikoklassifizierung

Annehmen, dass jedes KI-System in einer regulierten Branche ein Hochrisiko-System ist

Die Branche allein bestimmt nicht zwangsläufig die Klassifizierung. Der konkrete Anwendungsfall und die anwendbaren regulatorischen Kriterien sind entscheidend.

Die Klassifizierung als einmalige Aufgabe behandeln

KI-Systeme entwickeln sich weiter. Ihre Zweckbestimmung und ihr Einsatzkontext können sich ändern.

Shadow AI ignorieren

Mitarbeitende können KI-Tools ohne formale Genehmigung oder zentrale Transparenz einsetzen.

Klassifizierungsentscheidungen nicht dokumentieren

Eine Klassifizierung ohne nachvollziehbare Begründung kann später nur schwer überprüft werden.

Risikoklassifizierung von der KI-Governance trennen

Die Klassifizierung sollte mit den anschließenden Compliance- und Governance-Aktivitäten verbunden sein.

Fazit

Die KI-Risikoklassifizierung ist eine der Grundlagen für eine wirksame Compliance nach der EU-KI-Verordnung.

Das Ziel besteht nicht lediglich darin, KI-Systeme als risikoarm oder risikoreich zu kennzeichnen. Organisationen müssen verstehen, warum ein System einer bestimmten Kategorie zugeordnet wird und welche Auswirkungen diese Klassifizierung auf die damit verbundenen Governance-Pflichten hat.

Ein strukturierter Prozess beginnt mit Transparenz.

Identifizieren Sie Ihre KI-Systeme. Verstehen Sie deren Zweckbestimmungen. Bewerten Sie den Kontext und die potenziellen Auswirkungen. Dokumentieren Sie Klassifizierungsentscheidungen. Verknüpfen Sie diese Entscheidungen anschließend mit Risikomanagement, Dokumentation, menschlicher Aufsicht, Überwachung und laufender Governance.

Mit zunehmender Verbreitung von KI können Organisationen, die diese Grundlage frühzeitig schaffen, einen besser handhabbaren und skalierbaren Ansatz für KI-Compliance entwickeln.

Möchten Sie Ihre KI-Governance stärken?

Erfahren Sie, wie AnnexOps Ihre Organisation dabei unterstützen kann, KI-Risikoklassifizierung, Governance, Dokumentation und Compliance nach der EU-KI-Verordnung über eine zentrale operative Software zu verwalten.

AnnexOps entdecken und den nächsten Schritt hin zu einer strukturierten, revisionsfähigen KI-Governance gehen.

Autor: Nitin Grover

Nitin Grover ist Strategieberater und Autor im Bereich KI-Compliance mit Schwerpunkt auf der Compliance nach der EU-KI-Verordnung, KI-Governance, Dokumentation nach Anhang IV, KI-Risikomanagement und KI-Compliance-Prozessen für KI-Start-ups, SaaS-Unternehmen und Enterprise-KI-Teams in Europa.