KI-Anbieter- und Drittparteien-Risikomanagement: Software für die Einhaltung der EU-KI-Verordnung

In diesem Artikel

1. Warum ist das KI-Anbieter-Risikomanagement nach der EU-KI-Verordnung wichtig?
2. KI-Anbieter-Risikomanagement-Software: Sind Sie Anbieter oder Betreiber?
3. Welche Anforderungen stellt die EU-KI-Verordnung an KI-Anbieter und ihre Kunden?
4. Artikel 25 Absatz 4: Schriftliche Vereinbarungen und technische Zusammenarbeit
5. Artikel 53 Absatz 1 Buchstabe b: Dokumentation von KI-Modellen mit allgemeinem Verwendungszweck
6. Artikel 26: Pflichten der Betreiber
7. Artikel 17: Qualitätsmanagementsysteme
8. Wie kann KI-Compliance-Software die Risikobewertung von Anbietern unterstützen?
9. Was leisten ISO 42001 und ISO 27001 für das KI-Lieferantenmanagement?
10. ISO/IEC 42001:2023 – Kontrollen für KI-Managementsysteme
11. ISO/IEC 27001:2022 – Kontrollen für Lieferanten in der Informationssicherheit
12. Wie sollten Unternehmen KI-Anbieter klassifizieren und priorisieren?
13. Was sollte eine Checkliste zur KI-Anbieterprüfung enthalten?
14. Technische und regulatorische Bewertung
15. Sicherheits- und Datenschutzbewertung
16. Vertragliche und Governance-Anforderungen
17. Wie sollten Unternehmen Compliance-Nachweise für KI-Anbieter verwalten?
18. Vier Fehler im KI-Anbieter-Risikomanagement, die Sie vermeiden sollten
19. Wie unterstützt die KI-Compliance-Software von AnnexOps die KI-Anbieter-Governance?
20. Entdecken Sie KI-Compliance-Software für die Governance gemäß EU-KI-Verordnung und DSGVO
21. Autor: Nitin Grover

KI-Anbieter werden zunehmend zu einem festen Bestandteil der täglichen Produktentwicklung. SaaS-Unternehmen integrieren externe Sprachmodelle in ihre Anwendungen, Entwickler nutzen KI-APIs von Drittanbietern und Unternehmen führen KI-gestützte Funktionen über bestehende Geschäftssoftware ein. Solche Integrationen beschleunigen die Entwicklung. Gleichzeitig entstehen dadurch regulatorische, betriebliche und datenschutzrechtliche Verantwortlichkeiten.

Nach der EU-KI-Verordnung wird die rechtliche Verantwortung nicht automatisch auf einen Anbieter übertragen, nur weil ein Unternehmen die KI-Entwicklung auslagert. Die Pflichten einer Organisation hängen von ihrer Rolle innerhalb der KI-Wertschöpfungskette, der konkreten Nutzung des Systems und der Frage ab, ob sie als Anbieter oder Betreiber einzustufen ist.

Ein wirksames KI-Anbieter-Risikomanagement erfordert daher mehr als einen einfachen Lieferantenfragebogen. Unternehmen benötigen einen Überblick über ihre KI-Systeme, einen strukturierten Risikobewertungsprozess, Zugang zu technischen Unterlagen und nachvollziehbare Compliance-Nachweise.

KI-Compliance-Software hilft dabei, diese Aktivitäten in einem zentralen Governance-Prozess zusammenzuführen. AnnexOps unterstützt KI-Produktteams, Entwickler und Compliance-Fachkräfte, indem die Erkennung von KI-Systemen, die regulatorische Risikoklassifizierung, die Zuordnung von Pflichten, die Dokumentationsverwaltung und die Nachweisverfolgung miteinander verbunden werden.

Dieser Leitfaden erklärt, wie Sie Ihre regulatorische Rolle bestimmen, welche Anforderungen die Verordnung (EU) 2024/1689 bei der Zusammenarbeit mit KI-Anbietern stellt und wie Sie ISO 42001 und ISO 27001 auf KI-Lieferantenbeziehungen anwenden. Zusätzlich erhalten Sie eine praktische Checkliste für die KI-Anbieterprüfung und Vertragsgestaltung.

Weitere Informationen finden Sie in unseren ergänzenden Leitfäden:

• ISO 27001 und ISO 42001: So integrieren Sie beide Standards
• Anbieter oder Betreiber nach der EU-KI-Verordnung: Welche Rolle haben Sie? (Link nach Veröffentlichung ergänzen)
• Fragebogen zur KI-Anbieterprüfung: Welche Fragen sollten Sie stellen? (Link nach Veröffentlichung ergänzen)
• ISO 42001: Die Kontrollen aus Anhang A erklärt (Link nach Veröffentlichung ergänzen)

Warum ist das KI-Anbieter-Risikomanagement nach der EU-KI-Verordnung wichtig?

Die meisten Unternehmen entwickeln nicht jede KI-Funktion selbst. Sie integrieren möglicherweise ein allgemeines KI-Modell eines Drittanbieters, kaufen eine KI-gestützte Recruiting-Software oder führen einen externen Chatbot in ihre Kundenservice-Infrastruktur ein.

Jede dieser Integrationen kann Abhängigkeiten in Bezug auf Modellleistung, personenbezogene Daten, technische Dokumentation, Sicherheit und regulatorische Verantwortlichkeiten schaffen.

Die EU-KI-Verordnung regelt unterschiedliche Verantwortlichkeiten entlang der KI-Wertschöpfungskette. Ein Unternehmen, das ein KI-System mithilfe eines externen Modells entwickelt, kann anderen Pflichten unterliegen als ein Unternehmen, das lediglich eine fertige KI-Lösung eines Drittanbieters einsetzt.

Auch der regulatorische Zeitplan macht eine frühzeitige Vorbereitung wichtig:

Regulatorischer Meilenstein	Anwendungsdatum
Verbotene KI-Praktiken und Vorschriften zur KI-Kompetenz	2. Februar 2025
Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck (GPAI)	2. August 2025
Allgemeine Anwendbarkeit und relevante Durchsetzungsbestimmungen	2. August 2026
Hochrisiko-KI-Systeme nach Anhang III	2. Dezember 2027
Hochrisiko-KI-Systeme nach Anhang I	2. August 2028

Die verlängerten Anwendungsfristen für Hochrisiko-KI-Systeme ergeben sich aus der Verordnung (EU) 2026/1744, dem Digital Omnibus zur KI, die am 27. Juli 2026 in Kraft getreten ist.

Diese verlängerten Fristen beseitigen nicht die Notwendigkeit, die eigene KI-Lieferkette zu verstehen. Unternehmen müssen weiterhin feststellen, welche Systeme sie einsetzen, welche regulatorischen Rollen sie innehaben und wie sie Dokumentation sowie Änderungen bei Lieferanten verwalten.

Eine Compliance-Plattform für die EU-KI-Verordnung kann Unternehmen dabei unterstützen, diese Aktivitäten zu koordinieren, bevor die jeweiligen Pflichten anwendbar werden.

KI-Anbieter-Risikomanagement-Software: Sind Sie Anbieter oder Betreiber?

Die Auswahl der richtigen KI-Compliance-Management-Software beginnt mit dem Verständnis der regulatorischen Rolle Ihres Unternehmens.

Nach Artikel 3 der EU-KI-Verordnung ist ein Anbieter eine natürliche oder juristische Person, Behörde, Einrichtung oder sonstige Stelle, die ein KI-System entwickelt oder entwickeln lässt und es unter ihrem eigenen Namen oder ihrer Handelsmarke in Verkehr bringt oder in Betrieb nimmt. Ein Betreiber verwendet ein KI-System in eigener Verantwortung im Rahmen einer beruflichen Tätigkeit.

Ein Unternehmen kann innerhalb seines KI-Portfolios unterschiedliche Rollen einnehmen. Die Integration eines Drittanbietermodells in ein kommerzielles Produkt bedeutet nicht automatisch, dass das Unternehmen ausschließlich als Betreiber handelt.

Geschäftssituation	Wahrscheinliche Rolle	Regulatorische Bedeutung
Einsatz eines fertigen KI-Tools eines Anbieters entsprechend seiner Zweckbestimmung	Betreiber	Betreiberpflichten können gelten, insbesondere bei Hochrisiko-KI-Systemen
Entwicklung einer kommerziellen KI-Anwendung mithilfe eines externen GPAI-Modells	Anbieter des KI-Systems	Das Unternehmen übernimmt Anbieterpflichten für sein eigenes KI-System
Inverkehrbringen eines bestehenden Hochrisiko-KI-Systems unter eigenem Namen	Anbieter	Artikel 25 kann zur Übertragung von Anbieterpflichten führen
Wesentliche Veränderung eines Hochrisiko-KI-Systems	Möglicherweise Anbieter	Artikel 25 gilt, wenn die entsprechenden Voraussetzungen erfüllt sind
Änderung der Zweckbestimmung eines Systems, sodass es zu einem Hochrisiko-KI-System wird	Anbieter	Neue Anbieterpflichten können nach Artikel 25 entstehen

Die genaue Einordnung hängt von den jeweiligen Umständen und den Voraussetzungen des Artikels 25 ab.

Für Technologieunternehmen ist diese Unterscheidung besonders wichtig, wenn sie Produkte auf Grundlage externer Modelle entwickeln. Die Dokumentation und Zertifizierung eines Lieferanten erfüllen nicht automatisch die nachgelagerten Pflichten des Unternehmens als Anbieter.

Ein KI-Risikoklassifizierungstool kann dabei helfen, den Überblick über KI-Systeme und ihren regulatorischen Kontext zu behalten. Unternehmen sollten die jeweilige Rolle für jedes System in ihrem KI-Inventar dokumentieren und erneut bewerten, wenn sich das System, das Einsatzmodell oder die Zweckbestimmung ändert.

Welche Anforderungen stellt die EU-KI-Verordnung an KI-Anbieter und ihre Kunden?

Mehrere Vorschriften sind für die KI-Anbieterprüfung und das Risikomanagement von Drittparteien besonders relevant.

Artikel 25 Absatz 4: Schriftliche Vereinbarungen und technische Zusammenarbeit

Artikel 25 Absatz 4 regelt die Zusammenarbeit zwischen Anbietern von Hochrisiko-KI-Systemen und Drittparteien, die KI-Systeme, Werkzeuge, Dienstleistungen, Komponenten oder Prozesse bereitstellen, die in diese Systeme integriert oder darin verwendet werden.

Die Parteien müssen eine schriftliche Vereinbarung schließen. Darin sind die Informationen, Fähigkeiten, der technische Zugang und die Unterstützung festzulegen, die der Anbieter benötigt, um seine Pflichten zu erfüllen.

Diese Anforderung hat eine wichtige praktische Konsequenz: KI-Lieferanten müssen ausreichend mit nachgelagerten Anbietern zusammenarbeiten, damit diese ihre regulatorischen Verantwortlichkeiten wahrnehmen können.

Die Vorschrift enthält eine besondere Ausnahme für bestimmte öffentlich zugängliche Werkzeuge, Dienstleistungen, Prozesse und Komponenten, die unter freien und Open-Source-Lizenzen veröffentlicht werden. Allgemeine KI-Modelle sind von dieser Ausnahme ausgenommen. Rechte an geistigem Eigentum, vertrauliche Geschäftsinformationen und Geschäftsgeheimnisse müssen ebenfalls geschützt werden.

Artikel 53 Absatz 1 Buchstabe b: Dokumentation von KI-Modellen mit allgemeinem Verwendungszweck

Anbieter von KI-Modellen mit allgemeinem Verwendungszweck müssen technische Dokumentationen erstellen und aktuell halten. Sie müssen nachgelagerten Anbietern, die ihre Modelle integrieren möchten, außerdem relevante Informationen zur Verfügung stellen.

Anhang XII legt die erforderlichen Informationen fest. Dazu gehören unter anderem die Fähigkeiten und Grenzen des Modells, seine Architektur, Informationen zur Entwicklung und Anforderungen an die Integration.

KI-Produktteams sollten diese Dokumentation im Rahmen ihrer KI-Anbieterprüfung anfordern und aufbewahren.

Bestimmte frei zugängliche Open-Source-GPAI-Modelle können unter den Voraussetzungen des Artikels 53 Absatz 2 von bestimmten Pflichten ausgenommen sein. Dazu gehört auch die Ausnahme für Modelle mit systemischem Risiko.

Artikel 26: Pflichten der Betreiber

Unternehmen, die Hochrisiko-KI-Systeme einsetzen, müssen geeignete technische und organisatorische Maßnahmen ergreifen, damit die Systeme entsprechend den Gebrauchsanweisungen verwendet werden.

Abhängig von den jeweils geltenden Anforderungen müssen Betreiber außerdem:

• Die menschliche Aufsicht Personen übertragen, die über die erforderliche Kompetenz, Schulung und Befugnis verfügen.
• Den Betrieb des Systems überwachen und erkannte Risiken angemessen behandeln.
• Sicherstellen, dass die von ihnen kontrollierten Eingabedaten relevant und hinreichend repräsentativ sind.
• Automatisch erzeugte Protokolle, die ihrer Kontrolle unterliegen, mindestens sechs Monate aufbewahren, sofern das anwendbare Unionsrecht oder nationale Recht keine andere Regelung vorsieht.
• Den Anbieter und die zuständigen Behörden über schwerwiegende Vorfälle oder Risiken informieren, soweit dies vorgeschrieben ist.
• Vor dem Einsatz eines Hochrisiko-KI-Systems am Arbeitsplatz gegebenenfalls die Arbeitnehmervertretung und betroffene Beschäftigte informieren.

Artikel 26 behandelt außerdem die Nutzung relevanter Informationen des Anbieters für Datenschutz-Folgenabschätzungen nach der DSGVO, sofern diese erforderlich sind.

Artikel 17: Qualitätsmanagementsysteme

Anbieter von Hochrisiko-KI-Systemen müssen ein Qualitätsmanagementsystem einrichten und aufrechterhalten.

Dieses System umfasst unter anderem die Einhaltung regulatorischer Anforderungen, das Risikomanagement, die technische Dokumentation, die Überwachung und Korrekturmaßnahmen.

Drittanbieter können Teil der Prozesse sein, die der Anbieter kontrollieren muss. Lieferantendokumentation, Änderungsmitteilungen und technische Zusammenarbeit spielen deshalb eine wichtige Rolle innerhalb des übergeordneten KI-Managementsystems.

Diese Vorschriften zeigen gemeinsam, warum das KI-Anbieter-Risikomanagement einen dokumentierten Prozess benötigt und nicht mit einer einmaligen Lieferantenfreigabe abgeschlossen ist.

Wie kann KI-Compliance-Software die Risikobewertung von Anbietern unterstützen?

Anbieterbewertungen im KI-Bereich umfassen häufig Informationen aus den Bereichen Einkauf, Entwicklung, Informationssicherheit, Recht und Compliance. Wenn jede Abteilung separate Aufzeichnungen führt, kann der Überblick darüber verloren gehen, welche KI-Systeme tatsächlich eingesetzt werden und ob deren Dokumentation noch aktuell ist.

Eine KI-Compliance-Software kann Systemdaten, regulatorische Bewertungen und unterstützende Nachweise miteinander verbinden.

Ein strukturierter Prozess zur KI-Anbieterbewertung sollte folgende Schritte umfassen:

1. Erkennung von KI-Systemen: Identifizieren Sie interne KI-Anwendungen, Modelle von Drittanbietern, externe APIs und KI-gestützte Geschäftsanwendungen.
2. Bewertung der regulatorischen Rolle: Stellen Sie fest, ob Ihr Unternehmen als Anbieter, Betreiber oder anderer relevanter Akteur handelt.
3. Risikoklassifizierung: Bewerten Sie die Zweckbestimmung, den Anwendungsfall und die relevanten Klassifizierungsanforderungen der EU-KI-Verordnung.
4. Prüfung der Lieferantendokumentation: Sammeln Sie technische Dokumentationen, Gebrauchsanweisungen, Modellinformationen und relevante Sicherheitsnachweise.
5. Zuordnung regulatorischer Pflichten: Verknüpfen Sie die Klassifizierung des Systems und die organisatorische Rolle mit den geltenden regulatorischen Anforderungen.
6. Laufende Überwachung: Prüfen Sie Änderungen an Modellen, Zweckbestimmungen, Lieferanten und Einsatzumgebungen.
7. Nachweisverwaltung: Bewahren Sie Bewertungsergebnisse, Freigaben, Vereinbarungen, Vorfallaufzeichnungen und unterstützende Dokumentationen auf.

Eine Compliance-Plattform für die EU-KI-Verordnung kann diese Aktivitäten über miteinander verbundene Arbeitsabläufe verwalten, anstatt sie auf getrennte Tabellen und Dokumentenablagen zu verteilen.

Unternehmen, die zusätzlich Datenschutzpflichten verwalten, können durch die Verbindung von KI-Governance und DSGVO-Prozessen doppelte Dokumentationsarbeit reduzieren. Außerdem lässt sich dadurch die Beziehung zwischen KI-Systemen und der Verarbeitung personenbezogener Daten leichter überprüfen.

Was leisten ISO 42001 und ISO 27001 für das KI-Lieferantenmanagement?

Regulatorische Compliance und die Zertifizierung eines Managementsystems verfolgen unterschiedliche Ziele. ISO-Normen bieten einen strukturierten Ansatz für das Lieferantenmanagement, ersetzen jedoch nicht die Anforderungen der EU-KI-Verordnung.

ISO/IEC 42001:2023 – Kontrollen für KI-Managementsysteme

Anhang A.10 der ISO/IEC 42001 behandelt Beziehungen zu Drittparteien und Kunden.

Die Kontrollen umfassen:

• A.10.2: Zuweisung von Verantwortlichkeiten.
• A.10.3: Lieferanten.
• A.10.4: Kunden.

Diese Kontrollen helfen Unternehmen dabei, Verantwortlichkeiten innerhalb KI-bezogener Geschäftsbeziehungen festzulegen und Lieferantendienstleistungen in ihren Ansatz für verantwortungsvolle KI-Governance einzubeziehen.

Eine Lösung für KI-Governance-Software kann dabei helfen, diese Anforderungen mit Lieferantendatensätzen, internen Verantwortlichkeiten und unterstützenden Nachweisen zu verbinden.

ISO/IEC 27001:2022 – Kontrollen für Lieferanten in der Informationssicherheit

ISO/IEC 27001:2022 umfasst die Kontrollen 5.19 bis 5.23. Sie behandeln Lieferantenbeziehungen, Lieferantenvereinbarungen, IKT-Lieferketten, die Überwachung von Lieferantendienstleistungen und die Sicherheit von Cloud-Diensten.

Diese Kontrollen sind besonders relevant, wenn KI-Anbieter personenbezogene Daten, vertrauliche Geschäftsinformationen oder andere sensible Unternehmensdaten verarbeiten.

Unternehmen mit einem bestehenden Informationssicherheitsmanagementsystem können ihre vorhandenen Lieferantenbewertungsprozesse als Grundlage für die KI-Anbieter-Governance nutzen.

Zusätzliche KI-spezifische Fragen bleiben jedoch notwendig. Dazu gehören die Herkunft des Modells, die Zweckbestimmung, technische Einschränkungen, menschliche Aufsicht und Änderungen am Modell.

Eine KI-Compliance-Management-Plattform, die mehrere Rahmenwerke unterstützt, kann dabei helfen, diese Anforderungen mit gemeinsamen Nachweisen zu verbinden.

Ein ISO-27001- oder ISO-42001-Zertifikat eines Lieferanten sollte anhand seines Geltungsbereichs, seiner Gültigkeit, der ausstellenden Zertifizierungsstelle und der abgedeckten Dienstleistungen geprüft werden. Eine Zertifizierung allein belegt nicht, dass ein bestimmtes KI-System die EU-KI-Verordnung erfüllt.

Wie sollten Unternehmen KI-Anbieter klassifizieren und priorisieren?

Nicht jeder KI-Lieferant bringt dasselbe Risikoniveau mit sich. Ein praktisches Klassifizierungsverfahren hilft Unternehmen, ihre Bewertungsressourcen entsprechend der Nutzung, der geschäftlichen Bedeutung und der regulatorischen Risiken eines Systems einzusetzen.

Das folgende Modell ist ein vorgeschlagener betrieblicher Ansatz und keine gesetzlich vorgeschriebene Klassifizierung nach der EU-KI-Verordnung.

Anbieterkategorie	Typisches Beispiel	Empfohlene Bewertung
Kritisch	Externes Modell, das in ein kommerzielles KI-Produkt oder einen Hochrisiko-Anwendungsfall integriert ist	Detaillierte technische Bewertung, Prüfung der Dokumentation, vertragliche Schutzmaßnahmen und laufende Überwachung
Bedeutend	KI-Software, die personenbezogene Daten oder geschäftskritische Informationen verarbeitet	Sicherheits- und Datenschutzbewertung, Lieferantenfragebogen, Vertragsprüfung und regelmäßige Neubewertung
Begrenzt	KI-Produktivitätstool mit geringer Auswirkung und eingeschränktem Datenzugriff	Grundlegende Bewertung, Aufnahme in die Liste zugelassener Tools und Überprüfung bei Änderungen der Nutzung

Diese Klassifizierung ersetzt nicht die formelle Risikobewertung nach der EU-KI-Verordnung. Ein geschäftlich wichtiger Lieferant ist nicht automatisch ein Hochrisiko-KI-System. Ebenso ist ein kostengünstiges Tool nicht automatisch risikoarm.

Bewerten Sie Anbieter erneut, wenn sie neue Modelle einführen, Systemfunktionen ändern, Datenverarbeitungsvereinbarungen anpassen oder die Zweckbestimmung ihrer Dienstleistungen verändern.

Was sollte eine Checkliste zur KI-Anbieterprüfung enthalten?

Ein strukturierter Due-Diligence-Prozess für KI-Anbieter hilft Entwicklungs-, Einkaufs- und Compliance-Teams, relevante Informationen zu sammeln, bevor eine KI-Integration freigegeben wird.

Technische und regulatorische Bewertung

• Welche KI-Modelle, Systeme und externen APIs stellt der Anbieter bereit?
• Welche Zweckbestimmung ist dokumentiert?
• Welche Rolle hat der Anbieter nach der EU-KI-Verordnung?
• Hat der Anbieter die regulatorische Klassifizierung des Systems bewertet?
• Welche Drittanbieter-Modelle und Unterlieferanten sind beteiligt?
• Kann der Anbieter Gebrauchsanweisungen und relevante technische Dokumentationen bereitstellen?
• Ist bei GPAI-Modellen die erforderliche Dokumentation nach Anhang XII verfügbar?

Sicherheits- und Datenschutzbewertung

• Verarbeitet der Anbieter personenbezogene oder vertrauliche Geschäftsdaten?
• Welche Sicherheitskontrollen schützen Daten bei der Speicherung und Übertragung?
• Verwendet der Anbieter Kundendaten für das Modelltraining?
• Wo verarbeitet und speichert der Anbieter Daten?
• Wie verwaltet er Sicherheitsvorfälle und Datenschutzverletzungen?
• Welche Zertifizierungen oder unabhängigen Prüfberichte kann er vorlegen?

Vertragliche und Governance-Anforderungen

• Sind die Verantwortlichkeiten der einzelnen Parteien dokumentiert?
• Liegen die erforderlichen Vereinbarungen nach Artikel 25 Absatz 4 vor?
• Werden Änderungen an Modellen und Zweckbestimmungen kommuniziert?
• Sind Verfahren zur Meldung von Vorfällen festgelegt?
• Kann das Unternehmen auf relevante Protokolle und technische Dokumentationen zugreifen?
• Sind Prüf- und Nachweiszugriffsrechte geregelt?
• Werden Unterauftragnehmer und zugrunde liegende Modelle offengelegt, soweit dies angemessen ist?
• Sind Regelungen für Vertragsende, Datenlöschung und Übergabe dokumentiert?

Lassen Sie Vertragsbedingungen vor der Unterzeichnung von qualifizierten Rechtsberatern prüfen. Ein Due-Diligence-Fragebogen unterstützt den Entscheidungsprozess, ersetzt jedoch keine rechtliche Prüfung.

Wie sollten Unternehmen Compliance-Nachweise für KI-Anbieter verwalten?

Das Risikomanagement für KI-Anbieter endet nicht, sobald ein Lieferant die erste Bewertung bestanden hat. Unternehmen müssen Aufzeichnungen aufbewahren, aus denen hervorgeht, warum ein Anbieter freigegeben wurde, welche Risiken festgestellt wurden und wie diese Risiken überwacht werden.

Eine zentrale KI-Inventarisierung und eine Lösung für das Compliance-Nachweismanagement können die Verwaltung folgender Informationen unterstützen:

• Datensätze zu KI-Anbietern und KI-Systemen.
• Bewertungen der Anbieter- und Betreiberrolle.
• Ergebnisse der Risikoklassifizierung.
• Lieferantenfragebögen und Bewertungsdaten.
• Unterzeichnete Vereinbarungen und Änderungsmitteilungen.
• Technische Dokumentationen und Gebrauchsanweisungen.
• Sicherheitszertifizierungen und unterstützende Prüfberichte.
• Überwachungsaufzeichnungen und Vorfalldokumentationen.
• Freigabeentscheidungen und Korrekturmaßnahmen.

Die Verbindung dieser Informationen mit einer KI-Compliance-Management-Plattform kann es erleichtern, fehlende Nachweise zu erkennen und sich auf interne Überprüfungen oder externe Audits vorzubereiten.

Das Ziel besteht nicht darin, lediglich mehr Dokumente zu sammeln. Vielmehr soll die Rückverfolgbarkeit zwischen KI-Systemen, regulatorischen Pflichten, Kontrollen und den Nachweisen gewährleistet werden, auf denen Governance-Entscheidungen beruhen.

Vier Fehler im KI-Anbieter-Risikomanagement, die Sie vermeiden sollten

1. Davon ausgehen, dass der Anbieter sämtliche regulatorischen Verantwortlichkeiten übernimmt.

Die Pflichten eines Unternehmens hängen von seiner Rolle nach der EU-KI-Verordnung ab. Eine Lieferantenvereinbarung kann gesetzliche Verantwortlichkeiten nicht automatisch aufheben.

2. Eine ISO-Zertifizierung als Nachweis für die Einhaltung der EU-KI-Verordnung betrachten.

ISO 27001 und ISO 42001 bieten eine Absicherung im Rahmen ihrer jeweiligen Geltungsbereiche. Sie belegen nicht eigenständig, dass ein bestimmtes KI-System sämtliche anwendbaren Anforderungen der EU-KI-Verordnung erfüllt.

3. Anbieter nur einmal bewerten.

Modelle, APIs, Datenverarbeitungsvereinbarungen und Zweckbestimmungen können sich ändern. Anbieterbewertungen sollten deshalb Auslöser für eine Neubewertung und eine laufende Überwachung enthalten.

4. KI-Systeme von Drittanbietern nicht im KI-Inventar erfassen.

KI-Systeme, die über externe APIs und Geschäftsanwendungen integriert werden, dürfen für die Governance-Teams nicht unsichtbar bleiben. Ohne ein vollständiges Inventar können Unternehmen relevante Risiken und Pflichten übersehen.

Wie unterstützt die KI-Compliance-Software von AnnexOps die KI-Anbieter-Governance?

Das Management von KI-Anbieterrisiken erfordert, dass Unternehmen technische Systeme mit regulatorischen Verantwortlichkeiten, Risikobewertungen und unterstützenden Dokumentationen verbinden.

AnnexOps ist eine KI-Compliance-Software, die für KI-Produktteams, Entwickler und Compliance-Fachkräfte entwickelt wurde, die Governance-Aktivitäten nach der EU-KI-Verordnung und der DSGVO verwalten.

Anstatt jede Compliance-Anforderung als separate Dokumentationsaufgabe zu behandeln, führt AnnexOps miteinander verbundene Governance-Funktionen in einer zentralen Umgebung zusammen.

Die folgenden Arbeitsabläufe unterstützen die Überwachung von KI-Anbietern:

KI-Systeminventar und Erkennung

Führen Sie ein strukturiertes Inventar Ihrer KI-Systeme, einschließlich Anwendungen, die Modelle und Dienstleistungen von Drittanbietern nutzen. Dadurch erhalten Governance-Teams einen besseren Überblick über die gesamte KI-Landschaft.

KI-Risikoklassifizierung

Nutzen Sie die AnnexOps Risk Classification Engine, um KI-Systeme anhand relevanter Anforderungen der EU-KI-Verordnung zu bewerten. Dazu gehören die acht Hochrisikokategorien aus Anhang III. Klassifizierungsentscheidungen sollten anhand der tatsächlichen Zweckbestimmung des Systems und der anwendbaren rechtlichen Kriterien überprüft werden.

Zuordnung regulatorischer Pflichten

Verbinden Sie die Rollen und Risikoklassifizierungen von KI-Systemen mit den relevanten regulatorischen Pflichten und Kontrollen. Dadurch können Teams erkennen, welche Governance-Aktivitäten besondere Aufmerksamkeit benötigen.

Verwaltung von Compliance-Dokumentationen

Erstellen und organisieren Sie unterstützende Compliance-Dokumentationen, einschließlich relevanter Aufzeichnungen zur EU-KI-Verordnung und DSGVO. So können Teams die Dokumentation über regulatorische Anforderungen und Managementsysteme hinweg koordinieren.

Manipulationsnachweisbare Nachweisverwaltung

Verwalten Sie unterstützende Aufzeichnungen im AnnexOps Evidence Vault. Die schreibgeschützte, hashverkettete Speicherung hilft dabei, unbefugte Änderungen erkennbar zu machen und die Rückverfolgbarkeit von Nachweisen zu unterstützen.

Governance über mehrere Rahmenwerke hinweg

Die AnnexOps Common Control Library verbindet gemeinsame Kontrollen über verschiedene Rahmenwerke hinweg. Nach aktuellen Produktinformationen sind 50 der 211 gemeinsamen Kontrollen mit Anforderungen der ISO 42001 verknüpft. Dadurch können Unternehmen relevante Nachweise innerhalb ihrer Governance-Aktivitäten wiederverwenden.

Für Unternehmen, die Datenschutz und KI-Governance gemeinsam verwalten, unterstützt das AnnexOps DPO Command Center außerdem die Koordination von DSGVO- und EU-KI-Verordnungsaktivitäten.

AnnexOps unterstützt Unternehmen dabei, einen stärker vernetzten Ansatz für KI-Governance aufzubauen, Dokumentationen zu verwalten und Lücken innerhalb relevanter Rahmenwerke zu erkennen. Die Abdeckungsindikatoren dienen der Unterstützung von Compliance-Prozessen. Sie stellen keine Zertifizierung der rechtlichen Konformität dar und sagen kein Auditergebnis voraus.

Autor: Nitin Grover

Nitin Grover ist KI-Compliance-Stratege und Autor. Seine Schwerpunkte sind die Einhaltung der EU-KI-Verordnung, KI-Governance, die Dokumentation gemäß Anhang IV, KI-Risikomanagement und KI-Compliance-Prozesse für KI-Start-ups, SaaS-Unternehmen und KI-Teams in europäischen Unternehmen.