Die KI-Bestandsaufnahme: Unterlagen für die rechtliche Klärung

Kurz gesagt

Ob und wie der EU AI Act ein Unternehmen betrifft, lässt sich nicht aus dem Gesetz allein beantworten, sondern nur zusammen mit den Anwendungen, die es tatsächlich einsetzt. Ein Zusatzblatt je KI-Anwendung hält fest, was dafür gebraucht wird: Zweck laut Anbieter und tatsächlicher Einsatz, Name und Veränderungen, Zeitpunkt des Einsatzes, Einfluss auf Entscheidungen über Personen, erzeugte Inhalte, Betroffene, Kompetenz der Nutzer und offene Fragen. Es ist keine Rechtsprüfung, sondern ihre Vorbereitung. Für Ihr Unternehmen heißt das: Die offenen Fragen sind benannt, bevor jemand sie prüft.

Was die Bestandsaufnahme leistet

Die KI-Verordnung knüpft an Tatsachen über ein System an: ob es ein KI-System im Sinne von Artikel 3 ist, wer es unter wessen Namen in Verkehr gebracht oder in Betrieb genommen hat, wofür es bestimmt ist, ob es Personen bewertet, welche Inhalte es erzeugt, und seit wann es im Einsatz ist. Diese Tatsachen liegen im Unternehmen, nicht im Gesetz.

Die Bestandsaufnahme trägt sie zusammen. Die Einordnung, also ob ein System unter die Verordnung fällt, welche Rolle das Unternehmen dazu hat und welches Kapitel einschlägig ist, bleibt einer rechtlichen Prüfung vorbehalten, sei es durch die eigene Rechtsabteilung, eine externe Beratung oder eine andere fachkundige Stelle. Deshalb enthält die Liste Tatsachen und offene Fragen, aber keine Einordnungen.

Die Angaben unten sind ein Vorschlag dieses Portals, keine Vorgabe des Gesetzes. Die rechte Spalte zeigt, an welcher Stelle der Verordnung eine Angabe eine Rolle spielen kann.

Ein Zusatzblatt zur Abhängigkeitsliste

Wer seine digitalen Abhängigkeiten nach Die eigenen digitalen Abhängigkeiten erfassen aufgenommen hat, hat die Grundlage: je Dienst eine Zeile mit Name, Zweck, Nutzern, Verantwortlichen, Vertrag, Daten und Herkunft der Angaben. Daran ändert sich nichts. Für jede KI-Anwendung kommt ein Zusatzblatt dazu, das über den Namen mit der Zeile verbunden ist. Ein Dienst mit mehreren KI-Anwendungen, etwa eine Bürosoftware, deren KI-Funktion in zwei Abteilungen für verschiedene Zwecke genutzt wird, hat eine Zeile und zwei Zusatzblätter.

Beim Finden gelten dieselben Regeln wie in da-02, mit drei Stellen, an denen KI-Anwendungen in keiner Rechnung auftauchen:

• KI-Funktionen in vorhandener Software, die ohne eigenen Vertrag mitkommen. Wie sich dort Wissen ansammelt, behandelt Den Kontext behalten: Wissen, Zugriff und Weiternutzung in einer eigenen häufigen Frage.
• Private Konten, über die Mitarbeitende Werkzeuge für ihre Arbeit nutzen. Wie Sie danach fragen, ohne dass es als Kontrolle ankommt, steht in Die eigenen digitalen Abhängigkeiten erfassen.
• Selbst gebaute Lösungen, bei denen jemand im Haus einen KI-Dienst mit eigenen Daten oder Abläufen verbunden hat.

Ob die Liste vollständig genug ist, prüfen Sie wie in da-02 an zwei unabhängigen Quellen, etwa Abrechnungen und Befragung. Aufgenommen wird dabei auch, was jemand nur für eine KI-Anwendung hält; ob es im Sinne der Verordnung ein KI-System ist, gehört zu den offenen Fragen.

Die Angaben je KI-Anwendung

Welche Unterlagen dazugehören

Das Zusatzblatt beschreibt, die Unterlagen belegen. Für jede Anwendung mit offenen Fragen legen Sie bereit, was davon vorhanden ist:

• Vertrag, Nutzungsbedingungen und Datenverarbeitungsvereinbarung des Anbieters, mit Datum.
• Produktbeschreibung, Betriebsanleitung oder technische Dokumentation. Sie zeigen die Zweckbestimmung, die nach Artikel 3 Nummer 12 auf den Informationen des Anbieters beruht.
• Interne Regeln zum Einsatz von KI, soweit es welche gibt.
• Unterlagen zu dem, was für die KI-Kompetenz getan wurde: Einweisungen, Materialien, Termine. Artikel 4 selbst nennt keine Form des Nachweises; die Unterlagen dienen hier dem Sachverhalt.
• Datenschutzunterlagen, soweit personenbezogene Daten verarbeitet werden: der Eintrag im Verzeichnis von Verarbeitungstätigkeiten und vorhandene Folgenabschätzungen.
• Beschlüsse und Vereinbarungen mit der Arbeitnehmervertretung, soweit es welche gibt.

Fehlt eine Unterlage, ist das ein Eintrag unter „Offene Fragen", kein Grund, die Anwendung wegzulassen.

Ein konstruiertes Beispiel

Das folgende Beispiel ist erfunden und beschreibt kein reales Unternehmen. Es setzt den Maschinenbauer fort, der im Leitfaden Digitale Abhängigkeiten erkennen und gestalten eingeführt wird: 180 Mitarbeitende, zwei Standorte. Die Geschäftsführerin lässt die KI-Anwendungen erfassen, bevor sie eine rechtliche Prüfung beauftragt. Die Einträge enthalten keine Einordnung; sie zeigen nur, was sich vorher klären lässt.

1. KI-Dienst der Geschäftsführung. Allgemeiner KI-Dienst mit Unternehmenskonto, seit Frühjahr im Einsatz, unverändert. Genutzt von der Geschäftsführerin und dem kaufmännischen Leiter, um Entscheidungen vorzubereiten: Briefings zusammenfassen, Gegenargumente sammeln. Zweck laut Anbieter: allgemeine Textverarbeitung und Analyse, belegt mit den Nutzungsbedingungen. Keine Entscheidungen über Personen, keine veröffentlichten Inhalte. Kompetenz: beide haben sich selbst eingearbeitet, eine Einweisung gab es nicht. Offen: keine Frage zum Sachverhalt; die Einordnung steht wie bei allen Einträgen aus.

2. KI-Funktion in der Konstruktionssoftware. Seit dem letzten Update schlägt die Software Varianten für Bauteile vor. Genutzt von vier Konstrukteuren, unverändert. Zweck laut Anbieter: steht in den Versionshinweisen, liegt vor. Offen: Die Bauteile gehen in Maschinen, die das Unternehmen herstellt. Ob die Funktion damit für die Sicherheit dieser Maschinen eine Rolle spielt, kann die Konstruktionsleitung beschreiben; was daraus nach der KI-Verordnung und der Maschinenverordnung folgt, ist eine Frage für die rechtliche Prüfung.

3. Textentwürfe im Vertrieb. Drei Vertriebsmitarbeiter nutzen einen KI-Dienst über private Konten, um Angebotstexte zu entwerfen. Kein Vertrag. Kundennamen und Preise gelangen in die Eingaben; welche Fragen das für den Umgang mit Kundenwissen aufwirft, behandelt Den Kontext behalten: Wissen, Zugriff und Weiternutzung. Die Texte gehen an Kunden, nicht an die Öffentlichkeit. Offen: Zweck laut Anbieter nicht bekannt, Nutzungsbedingungen nicht gelesen.

4. Übersetzungsdienste in der Angebotserstellung. Die zwei Dienste aus der Abhängigkeitsliste. Offen: ob sie KI-Systeme im Sinne der Verordnung sind; die Produktbeschreibungen liegen vor, beantworten es aber nicht.

5. Vorsortierung von Bewerbungen. Die Personalabteilung testet seit einem Monat ein Werkzeug, das eingehende Bewerbungen nach Passung zur Stelle sortiert. Genutzt von zwei Personen. Das Werkzeug trifft keine Entscheidung, bestimmt aber, welche Bewerbungen zuerst gelesen werden. Betroffene: Bewerberinnen und Bewerber. Offen: Zweck laut Anbieter, Umgang mit den Bewerberdaten und ob das Werkzeug unter eine Vorschrift der Verordnung fällt.

Das Ergebnis nach einer Woche: fünf Einträge. Einer hat keine Frage zum Sachverhalt, einer Fragen, die sich im Haus beantworten lassen (Nutzungsbedingungen lesen, Anbieter anfragen), und drei haben Fragen, die nur eine rechtliche Prüfung beantworten kann. Die Geschäftsführerin gibt die Zusatzblätter mit den Unterlagen weiter und stellt die Vorsortierung der Bewerbungen bis zur Antwort zurück. Das ist ihre unternehmerische Entscheidung, keine Folgerung aus dem Gesetz.

Wann die rechtliche Prüfung dazukommt

Die Bestandsaufnahme ist fertig genug, wenn jede gefundene Anwendung ein Zusatzblatt hat, die Suche an zwei Quellen abgeglichen ist und jede offene Frage aufgeschrieben ist. Beantwortet sein müssen die Fragen nicht; sie sind das Material der Prüfung.

Als Anlässe, die Blätter vorzulegen, schlagen wir die Stellen vor, an denen die Verordnung ansetzt. Das ist eine Arbeitsregel, keine Vorgabe des Gesetzes:

• ein neuer Einsatz, der Entscheidungen über Beschäftigte, Bewerber oder Kunden vorbereitet oder beeinflusst;
• ein System, das im Haus verändert, unter eigenem Namen weitergegeben oder für einen anderen Zweck eingesetzt werden soll als den, für den der Anbieter es bestimmt hat;
• Inhalte, die mit KI erzeugt und veröffentlicht werden sollen;
• eine Anwendung, die in eigene Produkte eingeht.

Was die Kapitel regeln, steht in Verbote, Hochrisiko, Transparenz: wie der AI Act KI ordnet, die Begriffe in Anbieter, Betreiber, KI-System: die Begriffe des AI Act, alle Zeitpunkte in EU AI Act: Fristen und Änderungen im Überblick.

Die Bestandsaufnahme aktuell halten

KI-Funktionen können mit Software-Updates hinzukommen, und ein Test kann in den Alltag übergehen. Eine Möglichkeit ist, die Zusatzblätter bei jeder Durchsicht der Abhängigkeitsliste mitzuprüfen und neue Anwendungen vor dem ersten Einsatz einzutragen. Jedes Blatt bekommt ein Datum, damit erkennbar bleibt, für welchen Stand es gilt. Den Überblick über das Thema gibt der Leitfaden EU AI Act: was gilt, ab wann, und was Sie klären müssen.

Häufige Fragen

Braucht jede eingebaute KI-Funktion ein eigenes Zusatzblatt?

Nach dem Vorschlag dieses Portals: jede Funktion, die im Arbeitsalltag genutzt wird, besonders wenn sie Entscheidungen über Personen berührt oder Inhalte erzeugt, die das Haus verlassen. Funktionen, die niemand nutzt, bekommen einen Sammelvermerk je Produkt. Die Zeile in der Abhängigkeitsliste bleibt dabei eine je Dienst, wie in da-02 beschrieben; das Zusatzblatt ergänzt sie, es teilt sie nicht auf. Ob eine bestimmte Funktion rechtlich eine Rolle spielt, ist eine Frage für die Prüfung, nicht für die Erfassung.