KI-VO Compliance Tool - Two Towers Consulting

Hinweis

Dieser Fragebogen hiflt Ihnen dabei, zu beurteilen, ob Ihr System in den Anwendungsbereich der KI-VO fällt und welche Anforderungen Sie konkret erfüllen müssen. Füllen Sie den Fragebogen für jedes einzelne System aus.

Achtung: Dies ist eine unverbindliche Ersteinschätzung. Bitte ziehen Sie für eine verbindliche Bewertung einen Experten hinzu, oder kontaktieren Sie uns für eine detaillierte Prüfung.

Handelt es sich um ein KI-System?

Ja
Nein
Nicht sicher

„KI‑System“ ist ein maschinengestütztes System, das für einen in unterschiedlichem Grade autonomen Betrieb ausgelegt ist und das nach seiner Betriebsaufnahme anpassungsfähig sein kann und das aus den erhaltenen Eingaben für explizite oder implizite Ziele ableitet, wie Ausgaben wie etwa Vorhersagen, Inhalte, Empfehlungen oder Entscheidungen erstellt werden, die physische oder virtuelle Umgebungen beeinflussen können. Soweit Ihr System(-bestandteil) vom Hersteller als „KI“ bezeichnet wird, gehen Sie im Zweifel davon aus, dass es sich um ein KI-System handelt.

KI-VO nicht anwendbar

Ihre Anwendung fällt sehr wahrscheinlich nicht in den Anwendungsbereich der KI-VO. Bitte beachten Sie jedoch, dass ggf. andere regulatorische Vorgaben, z. B. die DSGVO, bei der Entwicklung und dem Betrieb der Anwendung beachtet werden müssen.

Welche Rolle nimmt Ihr Unternehmen in Bezug auf das KI-System ein?

Anbieter“ eine natürliche oder juristische Person, Behörde, Einrichtung oder sonstige Stelle, die ein KI‑System oder ein KI‑Modell mit allgemeinem Verwendungszweck entwickelt oder entwickeln lässt und es unter ihrem eigenen Namen oder ihrer Handelsmarke in Verkehr bringt oder das KI‑System unter ihrem eigenen Namen oder ihrer Handelsmarke in Betrieb nimmt, sei es entgeltlich oder unentgeltlich. „Betreiber“ eine natürliche oder juristische Person, Behörde, Einrichtung oder sonstige Stelle, die ein KI‑System in eigener Verantwortung verwendet, es sei denn, das KI‑System wird im Rahmen einer persönlichen und nicht beruflichen Tätigkeit verwendet. „Bevollmächtigter“ eine in der Union ansässige oder niedergelassene natürliche oder juristische Person, die vom Anbieter eines KI‑Systems oder eines KI‑Modells mit allgemeinem Verwendungszweck schriftlich dazu bevollmächtigt wurde und sich damit einverstanden erklärt hat, in seinem Namen die in dieser Verordnung festgelegten Pflichten zu erfüllen bzw. Verfahren durchzuführen. „Einführer“ eine in der Union ansässige oder niedergelassene natürliche oder juristische Person, die ein KI‑System, das den Namen oder die Handelsmarke einer in einem Drittland niedergelassenen natürlichen oder juristischen Person trägt, in Verkehr bringt. „Händler“ eine natürliche oder juristische Person in der Lieferkette, die ein KI‑System auf dem Unionsmarkt bereitstellt, mit Ausnahme des Anbieters oder des Einführers.

KI-VO nicht anwendbar

Ihre Anwendung fällt sehr wahrscheinlich nicht in den Anwendungsbereich der KI-VO. Bitte beachten Sie jedoch, dass ggf. andere regulatorische Vorgaben, z. B. die DSGVO, bei der Entwicklung und dem Betrieb der Anwendung beachtet werden müssen.

Geographischer Anwendungsbereich: Trifft eine der folgenden Bedingungen zu?

Mein Unternehmen ist in der EU ansässig
Der Output des KI-Systems wird in der EU genutzt
Nichts davon

KI-VO nicht anwendbar

Ihre Anwendung fällt sehr wahrscheinlich nicht in den Anwendungsbereich der KI-VO. Bitte beachten Sie jedoch, dass ggf. andere regulatorische Vorgaben, z. B. die DSGVO, bei der Entwicklung und dem Betrieb der Anwendung beachtet werden müssen.

Fällt das KI-System in eine der folgenden Kategorien?

Das KI-System wird exklusiv für militärische Zwecke entwickelt und genutzt
Das KI-System wird ausschließlich für den alleinigen Zweck der wissenschaftlichen Forschung und Entwicklung entwickelt und in Betrieb genommen
Das KI-System wird von einer natürlichen Person ausschließlich für private Zwecke betrieben
Das KI-System wird ausschließlich für Forschungs-, Test- und Entwicklungstätigkeiten zu KI‑Systemen oder KI‑Modellen genutzt, bevor diese in Verkehr gebracht oder in Betrieb genommen werden
Nichts davon

KI-VO nicht anwendbar

Ihre Anwendung fällt sehr wahrscheinlich nicht in den Anwendungsbereich der KI-VO. Bitte beachten Sie jedoch, dass ggf. andere regulatorische Vorgaben, z. B. die DSGVO, bei der Entwicklung und dem Betrieb der Anwendung beachtet werden müssen.

Wird das System für einen der folgenden Zwecke genutzt?

Beeinflussung außerhalb des Bewusstseins einer Person oder absichtlich manipulative oder täuschende Techniken
Ausnutzung von Schutzbedürftigen Personen
Social Scoring
Vorhersage von Straftaten
Erweiterung von Datenbanken zur Gesichtserkennung
Ableitung von Emotionen einer Person am Arbeitsplatz oder in einer Bildungseinrichtung
Biometrische Kategorisierung
Biometrische Echtzeit-Fernidentifizierungssysteme in öffentlich zugänglichen Räumen zu Strafverfolgungszwecken
Nichts davon

Siehe Art. 5 KI-VO.

Unzumutbares Risiko

Das KI-System ist sehr wahrscheinlich der Kategorie „Verbotene Praktiken“ im Sinne von Art. 5 KI-VO zuzuordnen und darf in der EU nicht betrieben oder inverkehrgebracht werden.

Fällt das KI-System oder das Produkt, dessen Sicherheitsbauteil das KI-System ist, in eine der folgenden Kategorien gem. Anhang I Teil B zur KI-VO?

Sicherheit in der Zivilluftfahrt
Land- und forstwirtschaftlichen Fahrzeuge
Schiffsausrüstung
Interoperabilität des Eisenbahnsystems in der EU
Kraftfahrzeuge und Kraftfahrzeuganhänger
Nichts davon

„Sicherheitsbauteil“ ist ein Bestandteil eines Produkts oder KI‑Systems, der eine Sicherheitsfunktion für dieses Produkt oder KI‑System erfüllt oder dessen Ausfall oder Störung die Gesundheit und Sicherheit von Personen oder Eigentum gefährdet.

Hohes Risiko mit veringerten Pflichten

Das KI-System ist sehr wahrscheinlich ein Hochrisiko-System im Sinne von Art. 6 Abs. 1 KI-VO. Es fällt allerdings unter die Ausnahme des Art. 2 Abs. 2 KI-VO, sodass nur die Pflichten aus Artt. 102 bis 109 und Art. 112 KI-VO zu beachten sind.

Das bedeutet, Sie müssen den umfangreichen Pflichtenkatalog für Hochrisiko-KI-Systeme nach der KI-VO derzeit nicht umsetzen, aber

alle sonstigen anwendbaren Vorschriften einhalten und
Änderungen an in den Anhängen zur KI-VO und anderen einschlägigen Rechtsvorschriften beobachten.

Die EU-Kommission kann die Anhänge zur KI-VO ändern, sodass Ihr System künftig doch alle Pflichten für Hochrisiko-KI-Systeme erfüllen muss.

Prüfen Sie nun zusätzlich, ob das KI-System gemäß einer anderen Norm der KI-VO ein hohes Risiko in sich trägt.

Fällt das KI-System oder das Produkt, dessen Sicherheitsbauteil das KI-System ist, in eine der folgenden Kategorien gem. Anhang I Teil A zur KI-VO?

Die einschlägigen Harmonisierungsvorschriften der Union können direkt dem Anhang I zur KI-VO entnommen werden.

Muss das Produkt, dessen Sicherheitsbauteil gemäß Buchstabe a das KI‑System ist, oder das KI‑System selbst als Produkt einer Konformitätsbewertung durch Dritte unterzogen werden?

Ja
Nein

Ob eine Konformitätsbewertung durch Dritte durchzuführen ist, ergibt sich aus den in Anhang I genannten Spezialgesetzen. Im Zweifel ziehen Sie zur Beantwortung der Frage einen Experten hinzu.

Hohes Risiko

Das KI-System ist sehr wahrscheinlich ein Hochrisiko-System im Sinne von Art. 6 Abs. 1 KI-VO.

Als Betreiber sind insbesondere die Pflichten aus Art. 26 KI-VO zu beachten.

Anbieter müssen zusätzlich die Pflichten aus den Artt. 16 ff. KI-VO umsetzen.

Weiterhin muss geprüft werden, ob die Transparenzpflichten aus Art. 50 KI-VO anwendbar sind.

Fällt das KI-System in eine der folgenden Kategorien gem. Anhang IIII zur KI-VO?

Kritische Infrastruktur: KI‑Systeme, die bestimmungsgemäß als Sicherheitsbauteile im Rahmen der Verwaltung und des Betriebs kritischer digitaler Infrastruktur, des Straßenverkehrs oder der Wasser-, Gas-, Wärme- oder Stromversorgung verwendet werden sollen.

Kein Hohes Risiko

Das KI-System ist sehr wahrscheinlich kein Hochrisiko-System.

Anbieter und Betreiber müssen prüfen, ob die Tansparenzpflichten aus Art. 50 KI-VO anwendbar sind.

Die Anbieter und Betreiber von KI‑Systemen ergreifen Maßnahmen, um nach besten Kräften sicherzustellen, dass ihr Personal und andere Personen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI‑Systemen befasst sind, über ein ausreichendes Maß an KI‑Kompetenz verfügen.

Fällt das KI-System unter die Ausnahme des Art. 6 Abs. 3 KI-VO?

Ja
Nein

Dies ist der Fall, wenn enn eine der folgenden Bedingungen erfüllt ist: das KI‑System ist dazu bestimmt, eine eng gefasste Verfahrensaufgabe durchzuführen; das KI‑System ist dazu bestimmt, das Ergebnis einer zuvor abgeschlossenen menschlichen Tätigkeit zu verbessern; das KI‑System ist dazu bestimmt, Entscheidungsmuster oder Abweichungen von früheren Entscheidungsmustern zu erkennen, und ist nicht dazu gedacht, die zuvor abgeschlossene menschliche Bewertung ohne eine angemessene menschliche Überprüfung zu ersetzen oder zu beeinflussen; oder das KI‑System ist dazu bestimmt, eine vorbereitende Aufgabe für eine Bewertung durchzuführen, die für die Zwecke der in Anhang III aufgeführten Anwendungsfälle relevant ist.

Dient das KI-System dem Zweck eines Profiling natürlicher Personen?

Ja
Nein

„Profiling“ ist jede Art der automatisierten Verarbeitung personenbezogener Daten, die darin besteht, dass diese personenbezogenen Daten verwendet werden, um bestimmte persönliche Aspekte, die sich auf eine natürliche Person beziehen, zu bewerten, insbesondere um Aspekte bezüglich Arbeitsleistung, wirtschaftliche Lage, Gesundheit, persönliche Vorlieben, Interessen, Zuverlässigkeit, Verhalten, Aufenthaltsort oder Ortswechsel dieser natürlichen Person zu analysieren oder vorherzusagen.

Kein Hohes Risiko

Das KI-System ist sehr wahrscheinlich kein Hochrisiko-System, da es unter die Ausnahme des Art. 6 Abs. 3 KI-VO fällt.

Anbieter, die dieser Auffassung sind, müssen aber diese Bewertung dokumentieren und das System gem. Art. 49 Abs. 2 registrieren lassen.

Hohes Risiko

Das KI-System ist sehr wahrscheinlich ein Hochrisiko-System im Sinne von Art. 6 Abs. 1 KI-VO.

Als Betreiber sind insbesondere die Pflichten aus Art. 26 KI-VO zu beachten.

Anbieter müssen zusätzlich die Pflichten aus den Artt. 16 ff. KI-VO umsetzen.

Weiterhin muss geprüft werden, ob die Transparenzpflichten aus Art. 50 KI-VO anwendbar sind.

Wird das KI-System für einen der folgenden Zwecke verwendet?

Direkte Interaktion mit natürlichen Personen
Erzeugung von synthetische Audio-, Bild-, Video- oder Textinhalten
Emotionserkennung oder biometrische Kategorisierung
Erzeugung oder Manipulation von Bild-, Ton- oder Videoinhalten. die ein Deepfake sind
Nichts davon

Transparenzpflichten für Interaktion mit Personen

Anbieter müssen die Transparenzpflichten aus Art. 50 Abs. 1 KI-VO einhalten.

Die betreffenden Personen müssen informiert werden, dass sie mit einem KI‑System interagieren, es sei denn, dies ist aus Sicht einer angemessen informierten, aufmerksamen und verständigen natürlichen Person aufgrund der Umstände und des Kontexts der Nutzung offensichtlich.

Transparenzpflichten für Biometrie und Emotionserkennung

Betreiber müssen die Transparenzpflichten aus Art. 50 Abs. 3 KI-VO einhalten.

Diese informieren die davon betroffenen natürlichen Personen über den Betrieb des Systems und verarbeiten personenbezogene Daten gemäß den Verordnungen (EU) 2016/679 und (EU) 2018/1725 und der Richtlinie (EU) 2016/680. Diese Pflicht gilt nicht für gesetzlich zur Aufdeckung, Verhütung oder Ermittlung von Straftaten zugelassene KI‑Systeme, die zur biometrischen Kategorisierung und Emotionserkennung im Einklang mit dem Unionsrecht verwendet werden, sofern geeignete Schutzvorkehrungen für die Rechte und Freiheiten Dritter bestehen.

Transparenzpflichten für synthetisch erstellte Inhalte

Anbieter müssen die Transparenzpflichten aus Art. 50 Abs. 2 KI-VO einhalten.

Diese stellen sicher, dass die Ausgaben des KI‑Systems in einem maschinenlesbaren Format gekennzeichnet und als künstlich erzeugt oder manipuliert erkennbar sind. Die Anbieter sorgen dafür, dass – soweit technisch möglich – ihre technischen Lösungen wirksam, interoperabel, belastbar und zuverlässig sind und berücksichtigen dabei die Besonderheiten und Beschränkungen der verschiedenen Arten von Inhalten, die Umsetzungskosten und den allgemein anerkannten Stand der Technik, wie er in den einschlägigen technischen Normen zum Ausdruck kommen kann. Diese Pflicht gilt nicht, soweit die KI‑Systeme eine unterstützende Funktion für die Standardbearbeitung ausführen oder die vom Betreiber bereitgestellten Eingabedaten oder deren Semantik nicht wesentlich verändern oder wenn sie zur Aufdeckung, Verhütung, Ermittlung oder Verfolgung von Straftaten gesetzlich zugelassen sind.

Transparenzpflichten für Deepfakes

Betreiber müssen die Transparenzpflichten aus Art. 50 Abs. 4 KI-VO einhalten.

Diese müssen offenlegen, dass die Inhalte künstlich erzeugt oder manipuliert wurden. Diese Pflicht gilt nicht, wenn die Verwendung zur Aufdeckung, Verhütung, Ermittlung oder Verfolgung von Straftaten gesetzlich zugelassen ist.

Ist der Inhalt Teil eines offensichtlich künstlerischen, kreativen, satirischen, fiktionalen oder analogen Werks oder Programms, so beschränken sich die in diesem Absatz festgelegten Transparenzpflichten darauf, das Vorhandensein solcher erzeugten oder manipulierten Inhalte in geeigneter Weise offenzulegen, die die Darstellung oder den Genuss des Werks nicht beeinträchtigt.