KI-Risikoeinstufung

Was ist KI-Risikoeinstufung?

Die EU-KI-Verordnung unterteilt Systeme in vier Risikoklassen, und die Klasse entscheidet über die Pflichten. Bei einer falschen Einstufung bringen Sie entweder etwas Verbotenes auf den Markt oder verbringen Monate mit Compliance-Aufwand, den ein Tool mit minimalem Risiko nie gebraucht hätte. Sie klassifizieren reale Anwendungsfälle über alle Risikoklassen hinweg und ermitteln, welche völlig verboten sind, welche ein hohes Risiko darstellen und strenge Pflichten mit sich bringen, welche nur Transparenz erfordern und welche ohne besondere Auflagen betrieben werden dürfen.

Was Sie lernen in KI-Risikoeinstufung

• Die vier Risikoklassen der EU-KI-Verordnung erkennen
• KI-Systeme anhand von Funktion und Wirkung in die richtige Risikoklasse einstufen
• Verbotene KI-Praktiken nach Artikel 5 erkennen
• Die Hochrisiko-Kategorien aus Anhang III einschließlich Beschäftigung und Kreditwürdigkeit verstehen
• Transparenzpflichten bei begrenztem Risiko von Compliance-Anforderungen bei Hochrisiko unterscheiden

KI-Risikoeinstufung — Trainingsschritte

1. Die vier Risikoklassen

   Die EU-KI-Verordnung verfolgt einen risikobasierten Ansatz, der üblicherweise in vier Risikoklassen dargestellt wird; die Einstufung bestimmt alle weiteren Pflichten: Unannehmbares Risiko (verboten) — nach Artikel 5 verbotene KI-Praktiken. Sie dürfen in der EU weder auf den Markt gebracht noch in Betrieb genommen oder verwendet werden, abgesehen von den eng gefassten Ausnahmen, die Artikel 5 vorsieht. Hohes Risiko — Hochrisiko-KI-Systeme in sensiblen Bereichen wie Beschäftigung, Kreditwürdigkeitsprüfung und Strafverfolgung. Sie sind zulässig, unterliegen aber strengen Compliance-Pflichten. Begrenztes Risiko — KI-Systeme, die mit Menschen interagieren. Die zentrale Pflicht ist Transparenz: Nutzerinnen und Nutzer müssen wissen, dass sie mit einem KI-System interagieren. Minimales Risiko — die große Mehrheit der KI-Systeme. Es gelten keine spezifischen Pflichten über allgemeine Pflichten wie die KI-Kompetenz hinaus.

2. E-Mail vom CCO

   Eine E-Mail vom Chief Compliance Officer mit einer dringenden Einstufungsaufgabe trifft ein.

3. Bewertungsportal öffnen

   Alice klickt auf den Link in der E-Mail und öffnet das Velox GRC Portal, in dem die sechs KI-Systeme zur Einstufung bereitstehen.

4. Referenz zu den Risikoklassen prüfen

   Die Startseite des Portals fasst die vier Risikoklassen zusammen, anhand derer Alice jedes KI-System einstufen wird. Jede Klasse bringt unterschiedliche Compliance-Pflichten mit sich; die korrekte Einstufung bestimmt die folgenden Aufgaben.

5. Bewertung starten

   Um mit der Einstufung zu beginnen, muss sich Alice mit ihren Velox-Zugangsdaten im GRC-Portal anmelden.

6. Im GRC-Portal anmelden

   Alice meldet sich mit ihren Unternehmenszugangsdaten an. Nach der Authentifizierung lädt das Portal die sechs KI-Systeme, die zur Einstufung anstehen.

7. Fall 1: E-Mail-Spam-Filter

   Das erste einzustufende KI-System ist ein E-Mail-Spam-Filter. Er nutzt Machine Learning, um Spam anhand von Inhaltsmustern und Absenderreputation zu erkennen und zu filtern.

8. Fall 2: Lebenslauf-Screening-Tool

   Das nächste System bewertet und sortiert Lebensläufe von Bewerberinnen und Bewerbern und filtert Kandidatinnen und Kandidaten automatisch heraus, bevor jemand sie überhaupt sieht.

9. Fall 3: Mitarbeiter-Emotions-Monitor

   Dieses System nutzt Webcam-Videos und die Stimmlage bei Gesprächen, um die Emotionen jeder Mitarbeiterin und jedes Mitarbeiters (Stress, Frustration, Engagement) abzuleiten. Führungskräfte erhalten für jede Mitarbeiterin und jeden Mitarbeiter einen wöchentlichen Engagement-Score, und die Scores fließen in Leistungsbeurteilungen ein. Der Mitarbeiter-Emotions-Monitor ist eines dieser Systeme, die wie ein vernünftiges Führungsinstrument klingen, aber nach der EU-KI-Verordnung eine rechtliche Grenze überschreiten.

10. Warum der Emotions-Monitor verboten ist