KI-Glossar

Die KI-Verordnung wirkt beim ersten Lesen sperrig, und das liegt weniger an den Regeln als an den Begriffen. Ist erst geklärt, wer Anbieter ist, was ein KI-System im Sinne der Verordnung überhaupt ausmacht und was hinter der Konformitätsbewertung steckt, wird der Rest deutlich zugänglicher. Dieses KI-Glossar erklärt die einundzwanzig Begriffe, die dafür genügen.

Jeder Eintrag verweist auf den Artikel, in dem der Begriff geregelt ist; den vollständigen Text finden Sie unter KI-Verordnung im Volltext.

Die Grundbegriffe

KI-System. Ein maschinengestütztes System, das mit einem gewissen Grad an Autonomie arbeitet und aus Eingaben Ergebnisse wie Vorhersagen, Empfehlungen oder Entscheidungen ableitet, die physische oder virtuelle Umgebungen beeinflussen können. Die maßgebliche Begriffsbestimmung steht in Art. 3. Entscheidend ist die Ableitungsfähigkeit: Eine Software, die nur festen Regeln folgt, ist kein KI-System.

Anbieter. Wer ein KI-System entwickelt oder entwickeln lässt und es unter eigenem Namen oder eigener Marke in Verkehr bringt oder in Betrieb nimmt – entgeltlich oder unentgeltlich. Die Pflichten der Anbieter stehen in Art. 16.

Betreiber. Wer ein KI-System in eigener Verantwortung verwendet, außerhalb einer rein persönlichen Tätigkeit. Das ist die Rolle der allermeisten Unternehmen. Die Pflichten stehen in Art. 26. Wichtig: Wer ein zugekauftes System wesentlich verändert oder unter eigenem Namen anbietet, wird zum Anbieter – mit erheblich größerem Pflichtenkreis, siehe Art. 25.

Kategorien von KI-Systemen. Die Verordnung stuft nach Risiko ab: verbotene Praktiken (Art. 5), Hochrisiko-Systeme (Art. 6), Systeme mit besonderen Transparenzpflichten (Art. 50) und alles Übrige, für das im Wesentlichen nur die KI-Kompetenz nach Art. 4 gilt. Die Einstufung entscheidet über den gesamten Aufwand.

KI-Modelle mit allgemeinem Verwendungszweck. Modelle, die eine breite Palette von Aufgaben erfüllen können und in verschiedene Systeme eingebettet werden – die großen Sprachmodelle gehören dazu. Für ihre Anbieter gelten eigene Regeln nach Art. 51 und Art. 53, verschärft bei systemischem Risiko (Art. 55).

Pflichten und Nachweise

Technische Dokumentation. Die Beschreibung eines Hochrisiko-Systems – Zweck, Architektur, Trainingsdaten, Leistungsgrenzen, getroffene Maßnahmen. Sie ist vor dem Inverkehrbringen zu erstellen und aktuell zu halten (Art. 11).

Qualitätsmanagementsystem. Der organisatorische Rahmen, mit dem ein Anbieter von Hochrisiko-Systemen die Einhaltung seiner Pflichten sicherstellt: Verfahren, Zuständigkeiten, Prüfungen, Änderungsmanagement (Art. 17).

Konformitätsbewertung. Das Verfahren, mit dem geprüft wird, ob ein Hochrisiko-System die Anforderungen erfüllt – je nach Fall durch den Anbieter selbst oder unter Einschaltung einer notifizierten Stelle (Art. 43).

EU-Konformitätserklärung. Das Dokument, mit dem der Anbieter erklärt, dass die Anforderungen erfüllt sind. Es ist auszustellen, aufzubewahren und den Behörden auf Verlangen vorzulegen (Art. 47).

Grundrechte-Folgenabschätzung. Für bestimmte Betreiber von Hochrisiko-Systemen – vor allem öffentliche Stellen und Anbieter bestimmter Dienstleistungen – ist vor dem Einsatz zu bewerten, wie sich das System auf die Grundrechte betroffener Personen auswirkt (Art. 27). Sie ist nicht dasselbe wie die Datenschutz-Folgenabschätzung, kann aber mit ihr verbunden werden.

Menschliche Aufsicht. Hochrisiko-Systeme sind so zu gestalten, dass Menschen ihren Betrieb wirksam überwachen, Ergebnisse richtig einordnen und im Zweifel eingreifen oder abschalten können (Art. 14). Ein Freigabeklick ohne Prüfmöglichkeit erfüllt das nicht.

Cybersicherheit. Hochrisiko-Systeme müssen gegenüber Manipulationsversuchen widerstandsfähig sein – auch gegenüber Angriffen, die auf die KI selbst zielen, etwa auf Trainingsdaten oder Eingaben (Art. 15). Die organisatorische Seite deckt ein Informationssicherheitsmanagementsystem ab.

Transparenzpflichten. Menschen müssen erkennen können, dass sie mit einer KI zu tun haben. Das betrifft Chatbots, Emotionserkennung, biometrische Kategorisierung und künstlich erzeugte oder veränderte Inhalte, die zu kennzeichnen sind (Art. 50).

Recht auf Erläuterung. Wer von einer Entscheidung betroffen ist, die auf der Grundlage eines Hochrisiko-Systems ergeht und rechtliche Wirkung entfaltet, kann eine Erklärung zur Rolle des Systems im Entscheidungsprozess verlangen (Art. 86).

Rollen, Aufsicht und Rechtsfolgen

KI-Beauftragter, auch AI Officer. Die Verordnung schreibt diese Rolle nicht vor. Sie verlangt aber Ergebnisse – Inventar, Einstufung, Schulung, Dokumentation –, die ohne eine zuständige Person selten entstehen. Zuschnitt und Aufgaben stehen unter KI-Beauftragter.

KI-Managementsystem. Der organisatorische Rahmen, in dem ein Unternehmen seine KI-Systeme führt: Inventar, Rollen, Bewertung, Freigaben, Überwachung. Es ist das Gegenstück zum Datenschutz- und Informationssicherheitsmanagementsystem und lässt sich in der KI-Governance-Software abbilden.

Zentrale Anlaufstelle. Jeder Mitgliedstaat benennt unter seinen Marktüberwachungsbehörden eine Stelle, die als Ansprechpartner nach außen dient (Art. 70). Davon zu unterscheiden ist die notifizierende Behörde, die für die Benennung der Konformitätsbewertungsstellen zuständig ist (Art. 28).

KI-Reallabor, auch Regulierungssandbox. Eine von Behörden bereitgestellte kontrollierte Umgebung, in der KI-Systeme vor dem Inverkehrbringen unter Aufsicht entwickelt und getestet werden können (Art. 57).

Verhaltenskodizes und Praxisleitfäden. Freiwillige Regelwerke, mit denen Anbieter und Betreiber die Anforderungen konkretisieren oder sich über die Pflichten hinaus binden (Art. 56 und Art. 95).

Bußgelder. Der Rahmen ist gestaffelt (Art. 99): Verstöße gegen die verbotenen Praktiken nach Art. 5 stehen an der Spitze, es folgen Verstöße gegen die übrigen Pflichten und schließlich unrichtige oder unvollständige Angaben gegenüber Behörden. Bemessen wird jeweils nach einem Höchstbetrag oder einem Anteil des weltweiten Jahresumsatzes – maßgeblich ist der höhere Wert.

Wie Sie das anwenden

Die Begriffe zu kennen ist der erste Schritt; der zweite ist die Bestandsaufnahme. Welche Systeme laufen im Unternehmen, in welcher Rolle setzen Sie sie ein, in welche Kategorie fallen sie? Dafür ist die KI-Risikoanalyse der Einstieg, der Zusammenhang steht unter KI-Compliance-Wissen.

Die Schulungspflicht aus Art. 4 lässt sich mit der KI-Grundschulung erfüllen.

Kontakt

Sie sind unsicher, ob Sie Anbieter oder Betreiber sind? Diese Frage entscheidet über alles Weitere – und lässt sich meist in einem Gespräch klären.