Künstliche Intelligenz und Compliance - Sicher KI in Kan ... / 6.2 Allgemeine Sicherstellung von Compliance nach der KI-VO

Die Umsetzung einer rechtmäßigen KI-Compliance ist wesentlich von der Risikokategorisierung des KI-Systems und der Rolle im KI-Lifecycle (insb. Anbieter oder Betreiber) abhängig. So treffen härtere Compliance-Folgen Hochrisiko-KI-Systeme gegenüber KI-Systemen mit einem eingeschränkten oder niedrigen Risiko.

Diese weitreichenden Anforderungen an KI-Systeme gelten für viele Anbieter und Betreiber von KI-Systemen (s. Ziff. 3). Zwischen diesen Anforderungen und dem aktuellen technischen Verständnis sowie dem rechtlichen Umsetzungsstand bei Unternehmen und EU-Bürgern besteht eine Lücke. Dieser Lücke ist sich die KI-VO auch bewusst und möchte sie schließen, indem dezidiert sog. KI-Kompetenzen nach Art. 4 KI-VO gefordert werden. Dieser unbestimmte Begriff wird durch Art. 3 Nr. 56 KI-VO weiter konkretisiert und auch in Erwägungsgrund 20, bzw. für Hochrisiko KI-Systeme in Art. 26 KI-VO und Erwägungsgrund 91 ausgeformt. Im Ergebnis fordert Art. 4 KI-VO rechtliche und technische Grundkenntnisse sowie einen Überblick der eigenen verwendeten KI-Systeme und deren rechtliche Risikokategorisierung. Daraus leiten sich anschließend Compliance-Anforderungen und die Beaufsichtigung dieser KI-Systeme ab.^[1]

Neben der Etablierung von Basiskenntnissen zur Erfüllung des Art. 4 KI-VO ist der Aufbau eines KI-Verzeichnisses sinnvoll. Ähnlich einem Verarbeitungsverzeichnis nach Art. 30 DSGVO werden hier wesentliche Informationen bez. der KI-Systeme für eine bessere Übersicht geführt. Es existiert noch kein Standard für solche KI-Verzeichnisse, es kann aber z. B. die Bezeichnung des KI-Systems, wesentliche Eigenschaften und die Risikokategorisierung als sinnvolle Kriterien enthalten. Dies ist aber keine gesetzliche Notwendigkeit, sondern erleichtert lediglich die risikoorientierte Betrachtung und Kontr...