Compliance-Lexikon · EU AI Act
Hochrisiko-KI – Praxis
Hochrisiko-KI wird von Auditoren nicht danach bewertet, ob das Thema bekannt ist, sondern ob eine belastbare, datierte Umsetzung nachweisbar ist. Dieser Artikel zeigt, was konkret vorzubereiten ist.
Was Auditoren konkret prüfen
Der Auditor erwartet keinen theoretischen Idealzustand, sondern einen nachvollziehbaren Prozess mit Verantwortlichkeiten, Fristen und Nachweisen. Wurde jedes eingesetzte oder entwickelte KI-System formal gegen die Hochrisiko-Kategorien in Anhang III des EU AI Act geprüft?
Häufige Fehler in der Praxis
- KI-Systeme werden eingesetzt, ohne die Hochrisiko-Klassifizierung zu prüfen
- Eingekaufte KI-Funktionen in Standardsoftware werden nicht als eigenes KI-System erkannt
- Klassifizierung wird einmalig vorgenommen, obwohl sich der Einsatzzweck später ändert
Praxis-Tipp
Hochrisiko-Einstufung hängt vom konkreten Einsatzzweck ab, nicht von der zugrundeliegenden Technologie. Dieselbe KI-Komponente kann je nach Anwendungsfall hochrisikorelevant sein oder nicht.
Pflichten bei Hochrisiko-Einstufung
Hochrisiko-KI-Systeme unterliegen umfangreichen Pflichten: Risikomanagementsystem, Datenqualitätsanforderungen an Trainingsdaten, technische Dokumentation, Aufzeichnungspflichten, Transparenz gegenüber Nutzern, menschliche Aufsicht (Human Oversight) sowie Genauigkeit, Robustheit und Cybersicherheit.
Evidence-Anforderungen im Audit
Vorzulegen sind in der Regel: Dokumentierte Klassifizierungsprüfung je KI-System, Begründung der Einstufung, Datum der Bewertung. Eine strukturierte Ablage dieser Nachweise erspart im Audit-Fall zeitraubende Nachrecherchen.
Nächster Schritt
Compliance-Stresstest starten
Kostenloser Stresstest auf Basis der BAM-Objekte – unverbindlich, 20 Minuten.
Die strategische Einordnung – warum Hochrisiko-KI über die technische Umsetzung hinaus Bedeutung hat – findet sich auf Ebene 3.