Einleitung
Mit dem EU AI Act (Verordnung (EU) 2024/1689) wird die Regulierung künstlicher Intelligenz in der Europäischen Union zunehmend zu einer konkreten Compliance- und Konformitätsanforderung. Besonders relevant ist dies für Anbieter von Hochrisiko-KI-Systemen, für die der AI Act detaillierte Anforderungen an Risikomanagement, Datenqualität, technische Dokumentation, Transparenz, menschliche Aufsicht, Genauigkeit, Robustheit und Cybersicherheit festlegt.
Ein zentraler Baustein ist dabei die Konformitätsbewertung von KI-Systemen. Sie dient dazu, nachzuweisen, dass ein unter den AI Act fallendes Hochrisiko-KI-System die hierfür geltenden Anforderungen erfüllt. Je nach Art des Systems und den angewendeten Normen kann dabei eine interne Konformitätsbewertung ausreichen oder die Einbindung einer unabhängigen notifizierten Stelle erforderlich sein.
Dieser Beitrag gibt einen fachlichen Überblick über den Ablauf, die beteiligten Rollen und die wesentlichen Dokumentationsanforderungen.
- Wann ist eine Konformitätsbewertung erforderlich?
Der erste Schritt besteht in der regulatorischen Einordnung des KI-Systems.
Der EU AI Act unterscheidet verschiedene Risikokategorien. Für die Konformitätsbewertung sind insbesondere Hochrisiko-KI-Systeme relevant. Nach Artikel 6 des AI Act können hierzu insbesondere KI-Systeme gehören, die als Sicherheitskomponente eines unter bestimmte EU-Harmonisierungsrechtsvorschriften fallenden Produkts eingesetzt werden oder selbst ein entsprechendes Produkt darstellen. Darüber hinaus enthält Anhang III eine Reihe weiterer Hochrisiko-Anwendungsbereiche.
Die Einstufung ist damit nicht allein eine Frage der verwendeten Technologie. Entscheidend sind unter anderem:
- der konkrete Verwendungszweck,
- die Funktion des KI-Systems,
- der Einsatzkontext,
- die Einordnung als eigenständiges KI-System oder als Bestandteil eines Produkts,
- die einschlägigen Rechtsvorschriften und
- gegebenenfalls die Auswirkungen auf Gesundheit, Sicherheit oder Grundrechte.
Der AI Act sieht zudem Fälle vor, in denen ein in Anhang III genanntes System unter bestimmten Voraussetzungen nicht als Hochrisiko-KI eingestuft wird. Eine solche Einstufung muss jedoch dokumentiert werden.
Die korrekte regulatorische Einordnung bildet somit die Grundlage für die weitere Konformitätsbewertung.
- Der grundlegende Ablauf einer KI-Konformitätsbewertung
Eine Konformitätsbewertung ist kein isolierter Einzeltest. Vielmehr steht sie im Zusammenhang mit einem umfassenderen System aus Anforderungen, Nachweisen und Dokumentation.
Vereinfacht lässt sich der Ablauf in mehrere Phasen gliedern:
- Regulatorische Einordnung → 2. Bestimmung der Anforderungen → 3. Risikomanagement und technische Nachweise → 4. Konformitätsbewertungsverfahren → 5. Konformitätserklärung → 6. Registrierung und Marktüberwachung
Dabei greifen technische, organisatorische und regulatorische Aspekte ineinander.
Für Hochrisiko-KI-Systeme verlangt der AI Act unter anderem ein Risikomanagementsystem, Anforderungen an Daten und Daten-Governance, technische Dokumentation, Aufzeichnungspflichten, Transparenz und Informationen für Betreiber, menschliche Aufsicht sowie Anforderungen an Genauigkeit, Robustheit und Cybersicherheit.
- Welche Rolle spielt die Konformitätsbewertung?
Artikel 43 des EU AI Act definiert die Verfahren für die Konformitätsbewertung von Hochrisiko-KI-Systemen.
Für bestimmte Hochrisiko-KI-Systeme nach Anhang III kann – sofern einschlägige harmonisierte Normen oder gegebenenfalls gemeinsame Spezifikationen angewendet werden – zwischen einer internen Kontrolle und einem Verfahren mit Beteiligung einer notifizierten Stelle gewählt werden. Wenn keine entsprechenden harmonisierten Normen oder gemeinsamen Spezifikationen verfügbar sind oder diese nicht beziehungsweise nur teilweise angewendet werden, sieht Artikel 43 das Verfahren nach Anhang VII vor.
Damit ist die Konformitätsbewertung nicht in jedem Fall identisch.
Je nach System können insbesondere folgende Elemente eine Rolle spielen:
- Bewertung des Qualitätsmanagementsystems,
- Bewertung der technischen Dokumentation,
- Prüfung der Einhaltung der einschlägigen Anforderungen,
- Bewertung der angewendeten Normen beziehungsweise Spezifikationen,
- Einbindung einer notifizierten Stelle,
- Ausstellung beziehungsweise Aufrechterhaltung der erforderlichen Konformitätsnachweise.
Die Europäische Kommission beschreibt notifizierte Stellen als unabhängige Stellen, die Konformitätsbewertungen vor dem Inverkehrbringen durchführen.
- Wer übernimmt welche Rolle?
Eine wesentliche Besonderheit des EU AI Act ist die klare Trennung verschiedener Verantwortlichkeiten.
Anbieter des KI-Systems
Der Provider beziehungsweise Anbieter trägt eine zentrale Verantwortung für die Konformität des Hochrisiko-KI-Systems. Nach Artikel 16 gehören hierzu unter anderem die Sicherstellung der Konformität, ein Qualitätsmanagementsystem, die technische Dokumentation, Aufzeichnungen, die Durchführung des relevanten Konformitätsbewertungsverfahrens und die EU-Konformitätserklärung.
Betreiber beziehungsweise Anwender
Auch Deployer, also Betreiber beziehungsweise Anwender von Hochrisiko-KI-Systemen, haben eigene Pflichten. Dazu gehören unter anderem die bestimmungsgemäße Verwendung des Systems, die menschliche Aufsicht und bestimmte Überwachungs- und Informationspflichten.
Damit ist die Konformitätsbewertung nicht mit sämtlichen Pflichten des Betreibers gleichzusetzen. Anbieter und Betreiber haben unterschiedliche Rollen im regulatorischen System.
Notifizierte Stelle
Wenn das jeweilige Konformitätsbewertungsverfahren die Einbindung einer notifizierten Stelle verlangt, übernimmt diese eine unabhängige Konformitätsbewertungsfunktion.
Dabei ist die Trennung zwischen Anbieter und bewertender Stelle von grundlegender Bedeutung. Die Aufgabe der Konformitätsbewertungsstelle besteht nicht darin, die Entwicklung oder Umsetzung eines KI-Systems zu beraten, sondern die Konformität im Rahmen des jeweils vorgesehenen Verfahrens zu bewerten.
Behörden
Neben Anbietern, Betreibern und Konformitätsbewertungsstellen spielen nationale zuständige Behörden und Marktüberwachungsbehörden eine weitere wichtige Rolle. Die Mitgliedstaaten müssen entsprechende Strukturen für Überwachung und Durchsetzung des AI Act vorhalten.
- Technische Dokumentation: Ein zentraler Bestandteil
Die technische Dokumentation ist einer der wichtigsten Nachweise im Zusammenhang mit der Konformitätsbewertung.
Sie muss die für die Bewertung relevanten Informationen über das KI-System nachvollziehbar dokumentieren. Dazu gehören – abhängig vom jeweiligen System und den geltenden Anforderungen – beispielsweise Informationen über:
- Zweckbestimmung und Einsatzbereich,
- Systemarchitektur und Funktionsweise,
- verwendete Methoden und Modelle,
- Daten und Daten-Governance,
- Risikomanagement,
- Tests und Validierung,
- Genauigkeit und Robustheit,
- Cybersicherheit,
- menschliche Aufsicht,
- Überwachung und Protokollierung,
- Änderungen am System und
- relevante Prozesse des Qualitätsmanagements.
Die technische Dokumentation ist dabei nicht als reine Formalität zu verstehen. Sie bildet einen wesentlichen Teil der Nachweisführung gegenüber den geltenden Anforderungen.
Darüber hinaus verlangt der AI Act für Hochrisiko-KI-Systeme ein Qualitätsmanagementsystem.
- Konformitätserklärung und Registrierung
Nach erfolgreicher Durchführung des jeweils erforderlichen Konformitätsbewertungsverfahrens ist die EU-Konformitätserklärung ein weiterer wichtiger Bestandteil des regulatorischen Prozesses.
Artikel 47 sieht vor, dass Anbieter von Hochrisiko-KI-Systemen eine schriftliche EU-Konformitätserklärung erstellen. Diese muss unter anderem die Identität des betreffenden KI-Systems und die Bestätigung seiner Konformität enthalten.
Darüber hinaus enthält der AI Act Anforderungen an die Registrierung von Hochrisiko-KI-Systemen in der EU-Datenbank.
Damit endet der Konformitätsprozess nicht zwangsläufig mit der erstmaligen Bewertung.
- Konformität ist ein Lebenszyklus-Thema
KI-Systeme verändern sich. Modelle können aktualisiert, Trainingsdaten verändert, Funktionen erweitert und Einsatzbedingungen angepasst werden.
Der EU AI Act berücksichtigt diese Dynamik. Bei wesentlichen Änderungen kann eine erneute Konformitätsbewertung erforderlich werden. Zudem verlangt der AI Act für Hochrisiko-KI-Systeme ein System zur Überwachung nach dem Inverkehrbringen (Post-Market Monitoring). Dieses soll Informationen über die Leistungsfähigkeit des Systems während seines Lebenszyklus erfassen und auswerten.
Die Konformitätsbewertung von KI ist daher nicht ausschließlich als einmaliges Ereignis vor der Markteinführung zu betrachten. Vielmehr steht sie im Zusammenhang mit einem kontinuierlichen Lebenszyklus aus Entwicklung, Bewertung, Betrieb, Überwachung und gegebenenfalls erneuter Bewertung.
- Die Verbindung zwischen KI und Cybersicherheit
Ein besonders interessanter Aspekt für Unternehmen ist die Verbindung zwischen AI Compliance und Cybersecurity.
Artikel 15 des AI Act enthält Anforderungen an die Cybersicherheit von Hochrisiko-KI-Systemen. Der AI Act berücksichtigt dabei auch bestehende europäische Cybersicherheitszertifizierungssysteme. Für bestimmte zertifizierte Hochrisiko-KI-Systeme kann unter den in Artikel 42 genannten Voraussetzungen eine Vermutung der Konformität mit den entsprechenden Cybersicherheitsanforderungen entstehen, soweit das jeweilige Zertifikat oder die Konformitätserklärung die Anforderungen abdeckt.
Dies zeigt die zunehmende Verzahnung von:
Künstlicher Intelligenz + funktionaler Sicherheit + Cybersicherheit + regulatorischer Konformität.
Gerade bei KI-Systemen, die sicherheitskritische Funktionen übernehmen oder in regulierten Produkten eingesetzt werden, können diese Themen nicht vollständig isoliert voneinander betrachtet werden.
- Welche Normen spielen eine Rolle?
Harmonisierte Normen können bei der Konformitätsbewertung eine wichtige Rolle spielen. Artikel 40 des AI Act sieht vor, dass bestimmte harmonisierte Normen einen Weg darstellen können, die Einhaltung der Anforderungen des AI Act nachzuweisen. Daneben können unter bestimmten Voraussetzungen gemeinsame Spezifikationen nach Artikel 41 relevant sein.
Damit gewinnt die Entwicklung und Anwendung geeigneter Normen für die praktische Umsetzung des AI Act erheblich an Bedeutung.
Für Unternehmen entsteht daraus eine Schnittstelle zwischen Recht, Normung, Managementsystemen, technischer Entwicklung, Risikomanagement, funktionaler Sicherheit und Cybersecurity.
- Was bedeutet das für die Praxis der Konformitätsbewertung?
Die Konformitätsbewertung von KI-Systemen verbindet verschiedene Disziplinen. Neben der eigentlichen KI-Technologie spielen regulatorische Anforderungen, technische Dokumentation, Qualitätsmanagement, Risikomanagement, Softwareentwicklung, Datenmanagement, Cybersicherheit und gegebenenfalls funktionale Sicherheit eine Rolle.
Für die Bewertung eines KI-Systems sind daher nicht nur die Eigenschaften des verwendeten Modells relevant. Ebenso entscheidend sind dessen Zweckbestimmung, Einsatzumgebung, Systemgrenzen, Schnittstellen, Prozesse und Nachweise.
Aus regulatorischer Sicht entwickelt sich die KI-Konformitätsbewertung damit zu einem eigenständigen und zunehmend strukturierten Bereich innerhalb der europäischen Konformitätsbewertung.
Fazit
Der EU AI Act macht die Konformitätsbewertung von Hochrisiko-KI-Systemen zu einem zentralen Bestandteil des europäischen KI-Regulierungsrahmens. Der Prozess umfasst weit mehr als einen technischen Test: Regulatorische Klassifizierung, Risikomanagement, Qualitätsmanagement, technische Dokumentation, Cybersicherheit, Konformitätsbewertungsverfahren, Konformitätserklärung, Registrierung und Post-Market Monitoring greifen ineinander.
Für Unternehmen, die KI-Systeme entwickeln, anbieten, integrieren oder einsetzen, wird es deshalb zunehmend wichtig, die jeweiligen Rollen und Nachweisanforderungen klar voneinander zu unterscheiden.
intellcert GmbH bietet im Umfeld von Künstlicher Intelligenz unter anderem Schulungen, Audits, Inspektionen und Zertifizierungsdienstleistungen an. Im Mittelpunkt stehen dabei fachliche Themen wie AI Compliance, KI-Systeme, Cybersecurity und funktionale Sicherheit. Die jeweiligen Dienstleistungen werden entsprechend ihrem vorgesehenen Konformitätsbewertungs- bzw. Zertifizierungszweck durchgeführt.
Weitere Informationen zu den verfügbaren Leistungen und Schulungen finden Sie auf der Website von intellcert GmbH.
#KünstlicheIntelligenz;#KI;#ArtificialIntelligence;#EUAIAct;#AIAct;#AICompliance;#Konformitätsbewertung;#KIZertifizierung;#KIAudit;#HochrisikoKI;#Cybersecurity;#FunctionalSafety;#RegulatoryCompliance;#intellcert
