Compliance-Lexikon · EU AI Act
KI-System – Praxis
KI-System wird von Auditoren nicht danach bewertet, ob das Thema bekannt ist, sondern ob eine belastbare, datierte Umsetzung nachweisbar ist. Dieser Artikel zeigt, was konkret vorzubereiten ist.
Was Auditoren konkret prüfen
Der Auditor erwartet keinen theoretischen Idealzustand, sondern einen nachvollziehbaren Prozess mit Verantwortlichkeiten, Fristen und Nachweisen. Existiert ein vollständiges Inventar aller im Unternehmen eingesetzten oder entwickelten KI-Systeme, einschließlich in Standardsoftware integrierter KI-Funktionen?
Häufige Fehler in der Praxis
- Nur selbst entwickelte KI-Systeme werden erfasst, eingekaufte KI-Funktionen (Shadow AI) bleiben unsichtbar
- Rolle als Anbieter oder Betreiber wird nicht für jedes System einzeln bestimmt
- KI-Funktionen in bestehender Software werden bei Updates nicht erneut auf KI-Charakter geprüft
Praxis-Tipp
Der Begriff KI-System nach Art. 3 EU AI Act ist bewusst technologieneutral und weit gefasst. Auch regelbasierte Systeme mit gewissem Autonomiegrad können darunterfallen, nicht nur Machine-Learning-Modelle.
Anbieter versus Betreiber
Der EU AI Act unterscheidet zentrale Rollen: der Anbieter entwickelt oder lässt ein KI-System entwickeln und bringt es in Verkehr, der Betreiber setzt ein KI-System in eigener Verantwortung ein. Beide Rollen tragen unterschiedliche, aber jeweils konkrete Pflichten, die von der Rolle im Einzelfall abhängen.
Evidence-Anforderungen im Audit
Vorzulegen sind in der Regel: Aktuelles KI-System-Inventar mit Rollenklassifizierung (Anbieter/Betreiber), Zweckbeschreibung je System. Eine strukturierte Ablage dieser Nachweise erspart im Audit-Fall zeitraubende Nachrecherchen.
Nächster Schritt
Compliance-Stresstest starten
Kostenloser Stresstest auf Basis der BAM-Objekte – unverbindlich, 20 Minuten.
Die strategische Einordnung – warum KI-System über die technische Umsetzung hinaus Bedeutung hat – findet sich auf Ebene 3.