KI-Risikoanalyse

Bevor sich sagen lässt, welche Pflichten Sie treffen, muss feststehen, womit Sie arbeiten. Die KI-Risikoanalyse erhebt die eingesetzten Systeme, ordnet sie ein und macht daraus eine Liste dessen, was zu tun ist.

Erstgespräch vereinbaren

Das Problem ist die Bestandsaufnahme

Die Einordnung selbst ist nicht der schwierige Teil. Schwierig ist herauszufinden, was überhaupt läuft.

KI-Werkzeuge werden selten zentral beschafft. Sie entstehen in einzelnen Abteilungen: ein Übersetzungsdienst im Marketing, ein Assistenzsystem im Vertrieb, eine Funktion, die ein Anbieter still in eine bestehende Software eingebaut hat. Nichts davon durchläuft einen Beschaffungsprozess, und in keinem Verzeichnis taucht es auf.

Genau dort entsteht das Risiko. Die Pflichten der KI-Verordnung knüpfen nicht daran an, ob ein System bewusst eingeführt wurde, sondern daran, dass es eingesetzt wird.

Was die Analyse erhebt

Welche Systeme laufen. Erfasst wird, was tatsächlich genutzt wird – einschließlich der Werkzeuge, die niemand angemeldet hat, und der KI-Funktionen in Software, die aus anderen Gründen angeschafft wurde.

Wozu sie eingesetzt werden. Der Anwendungsfall entscheidet über die Einordnung, nicht das Produkt. Dasselbe Werkzeug kann harmlos oder heikel sein, je nachdem, worüber damit entschieden wird.

Welche Daten verarbeitet werden. Personenbezogene Daten lösen zusätzlich die Anforderungen der DSGVO aus – mit der Frage nach der Rechtsgrundlage und gegebenenfalls einer Folgenabschätzung.

Wer entscheidet. Trifft das System Entscheidungen mit Rechtswirkung oder erheblicher Auswirkung, greift Art. 22 DSGVO – unabhängig von der KI-Verordnung.

Die Einordnung

Die KI-Verordnung staffelt ihre Anforderungen nach dem Risiko der Anwendung. Am oberen Ende stehen verbotene Praktiken, darunter Systeme mit hohem Risiko, für die umfangreiche Pflichten gelten, und schließlich Anwendungen mit geringeren Anforderungen.

Für die Praxis heißt das: Der Aufwand verteilt sich sehr ungleich. Ein Großteil der Werkzeuge im Mittelstand fällt in die unteren Klassen – aber das lässt sich erst behaupten, wenn geprüft wurde. Die Einordnung ist zugleich der Beleg dafür, dass Sie geprüft haben.

Besondere Aufmerksamkeit verlangen Anwendungen, die über Menschen entscheiden: Vorauswahl von Bewerbungen, Bewertung von Kunden, Auswertung von Beschäftigtendaten. Dort liegt die Schwelle niedriger, als die meisten annehmen.

Was aus der Analyse folgt

Sie erhalten ein Verzeichnis Ihrer KI-Systeme mit Einordnung und den daraus folgenden Pflichten – geführt im Modul KI-Governance, damit es fortgeschrieben werden kann.

Daraus ergeben sich in aller Regel drei Arbeitsstränge: die Schulung nach Art. 4 KI-VO, die Dokumentation der eingesetzten Systeme und, wo nötig, Anpassungen an den Anwendungen selbst.

Wer neue Abläufe plant, sollte die Einordnung vorher vornehmen. Nachträglich ist sie teurer – siehe Integration und Automatisierung.

Kontakt

Sie vermuten, dass in Ihrem Haus mehr KI läuft, als offiziell bekannt ist? Diese Vermutung trifft fast immer zu.