EU-VerordnungEU, extraterritorial
KI-Verordnung
KI-Verordnung (EU) 2024/1689
Die KI-Verordnung stuft KI-Systeme nach Risiko ein: verbotene Praktiken, Hochrisikosysteme mit Konformitätspflichten, Systeme mit begrenztem Risiko und Transparenzpflichten sowie KI-Modelle mit allgemeinem Verwendungszweck mit eigenem Regime. Sie tritt stufenweise von Februar 2025 bis August 2027 in Kraft.
Wen es erreicht
- Anbieter, die KI-Systeme auf den EU-Markt bringen, wo immer sie ihren Sitz haben.
- Betreiber, die KI-Systeme in der EU nutzen, vor allem in den Bereichen aus Anhang III: Beschäftigung, Kredit, Versicherung, Bildung, wesentliche Dienste, Biometrie, Strafverfolgung.
- Anbieter von KI-Modellen mit allgemeinem Verwendungszweck und alle, die darauf aufbauen.
Was das Audit prüft
- 01Hochrisikosysteme brauchen eine Konformitätsbewertung: Selbstbewertung gegen harmonisierte Normen für die meisten Systeme aus Anhang III, eine notifizierte Stelle für Produkte aus Anhang I und manche Biometrie.
- 02Bereitschaftsaudits prüfen die Einstufung, das Risiko- und Qualitätsmanagementsystem, Daten-Governance, technische Dokumentation, menschliche Aufsicht und die Beobachtung nach dem Inverkehrbringen.
- 03ISO/IEC 42001 ist das Managementsystem-Gerüst, gegen das die meisten Auditoren bewerten, solange die Normen noch fertiggestellt werden.
Ein typischer Auftrag
Die Dauern sind Spannen aus der Praxis für eine mittelgroße Organisation mit einer funktionierenden Sicherheitsfunktion; ein erstes Programm dauert länger, ein reifes kürzer.
| Phase | Wochen |
|---|---|
| KI-Inventar und Risikoeinstufung | 2 bis 6 |
| Lückenanalyse gegen das anwendbare Kapitel | 2 bis 4 |
| Risiko- und Qualitätsmanagement, Daten-Governance, Dokumentation | 12 bis 36 |
| Konformitätsbewertung, Registrierung, Erklärung | 4 bis 12 |
Nachweise, die bereitliegen sollten
- Inventar der KI-Systeme mit Begründung der Einstufung
- Programm zur KI-Kompetenz und Teilnahme
- Aufzeichnungen des Risikomanagementsystems (Artikel 9)
- Nachweise zur Daten-Governance für Trainings-, Validierungs- und Testdaten
- Technische Dokumentation nach Anhang IV
- Gebrauchsanweisungen und Maßnahmen zur menschlichen Aufsicht
- Dokumentation des Qualitätsmanagementsystems
- Plan zur Beobachtung nach dem Inverkehrbringen und Prozess für schwerwiegende Vorfälle
- Transparenzhinweise für Chatbots und generierte Inhalte
- Grundrechte-Folgenabschätzung, wo erforderlich
Termine
- Verbotene Praktiken und KI-Kompetenz gelten
- Pflichten und Sanktionen für KI mit allgemeinem Verwendungszweck gelten
- Allgemeine Anwendung, Hochrisikosysteme aus Anhang III
- In Produkte eingebettete Hochrisikosysteme aus Anhang I
Häufige Fragen
- Ab wann gilt die KI-Verordnung?
- Verbote und KI-Kompetenz seit dem 2. Februar 2025; Pflichten für KI mit allgemeinem Verwendungszweck seit dem 2. August 2025; der Großteil der Verordnung einschließlich der Hochrisikosysteme aus Anhang III ab dem 2. August 2026; in Produkte eingebettete Hochrisikosysteme aus Anhang I ab dem 2. August 2027. Ein Vorschlag von Ende 2025, die Hochrisiko-Termine zu verschieben, war zum Zeitpunkt des Schreibens kein geltendes Recht.
- Macht ISO 42001 mich konform mit der KI-Verordnung?
- Nein. Sie deckt den größten Teil dessen ab, was die Verordnung von Anbietern von Hochrisikosystemen an Managementsystem verlangt, ist aber keine Konformitätsvermutung und ersetzt die Konformitätsbewertung nicht.
- Wie hoch sind die Sanktionen?
- Bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Umsatzes für verbotene Praktiken, 15 Millionen Euro oder 3 Prozent für die meisten anderen Verstöße und 7,5 Millionen Euro oder 1 Prozent für falsche Angaben.