KI-Verordnung-Fahrplan: von der Bestandsaufnahme zur Konformität

Kurze Antwort: Die Einhaltung der KI-Verordnung ist keine einmalige Maßnahme, sondern ein Weg in Schritten: wissen, welche KI Sie haben, Ihre Rolle und Risikoklasse bestimmen, die zugehörigen Pflichten erfüllen und das alles nachweisbar führen. Beginnen Sie mit einer Bestandsaufnahme; daran hängt alles Übrige.

Schritt 1 — Erfassen Sie Ihre KI-Systeme

Sie können nichts klassifizieren, was Sie nicht sehen. Erstellen Sie ein Verzeichnis aller KI-Systeme, die Sie entwickeln, beschaffen oder einsetzen, einschließlich Funktionalität, Anbieter, verwendeter Daten und Geschäftsprozess. Vergessen Sie "verborgene" KI nicht: Funktionen in Standardsoftware, eingebettete Modelle und Chatbots.

Schritt 2 — Bestimmen Sie Ihre Rolle

Die KI-Verordnung legt Pflichten je nach Rolle auf. Sie sind Anbieter, wenn Sie ein System entwickeln oder unter Ihrem eigenen Namen in Verkehr bringen, und Betreiber, wenn Sie es innerhalb Ihrer Organisation einsetzen. Wer ein bestehendes System wesentlich ändert oder seinen Namen darauf setzt, kann gleichwohl zum Anbieter werden. Die Rolle bestimmt die Pflicht.

Schritt 3 — Klassifizieren Sie das Risiko

Ordnen Sie jedes System in die Risikopyramide ein: verboten, hohes Risiko, begrenztes Risiko (Transparenz) oder minimales Risiko. Die schwersten Pflichten gelten für Hochrisiko-Anwendungen — siehe die Übersicht der Hochrisiko-Pflichten. Die meisten Systeme fallen niedriger aus, aber Sie müssen die Abwägung begründen können.

Schritt 4 — Erfüllen Sie die Pflichten

Zu jeder Risikoklasse gehört ein Maßnahmenpaket: Risikomanagement, Datenqualität, technische Dokumentation, Protokollierung, menschliche Aufsicht und Transparenz gegenüber den Nutzern. Bei begrenztem Risiko genügt oft ein Transparenzhinweis ("Sie sprechen mit KI"). Stimmen Sie den Schwerpunkt auf die tatsächliche Risikoklasse ab — nicht schwerer als nötig.

Schritt 5 — Verankern Sie Governance und laufende Aufsicht

Die Einhaltung ist kein einmaliges Projekt. Legen Sie Rollen, Entscheidungsfindung und Überwachung in einem KI-Governance-Rahmen fest. Berücksichtigen Sie die Zeitleiste der Pflichten: Die Regeln treten gestaffelt in Kraft, priorisieren Sie also nach Frist und Risiko.

Was zu tun ist

• Erstellen Sie ein KI-Verzeichnis und benennen Sie einen Verantwortlichen.
• Bestimmen Sie je System Ihre Rolle (Anbieter/Betreiber) und die Risikoklasse.
• Arbeiten Sie die Pflichten je Klasse aus; dokumentieren Sie die Abwägungen.
• Planen Sie nach Frist: siehe die KI-Verordnung-Readiness in 90 Tagen für einen konkreten Startsprint.
• Vermeiden Sie Fallstricke mit den häufigsten KI-Verordnung-Fehlern.

Ein Fahrplan macht einen großen Rahmen handhabbar: erst Überblick, dann Rolle und Risiko, dann Maßnahmen — und dauerhafte Aufsicht.