KI-Richtlinie (EU AI Act · ISO 42001)

1. Rechtsrahmen

Diese KI-Richtlinie richtet sich nach der Verordnung (EU) 2024/1689 des Europäischen Parlaments und des Rates (EU AI Act), die harmonisierte Regeln für künstliche Intelligenz in der gesamten Europäischen Union festlegt.

Wir richten unsere KI-Managementpraktiken außerdem an ISO 42001:2023 aus, dem internationalen Standard für KI-Managementsysteme, um einen strukturierten, risikobasierten und ethisch orientierten Ansatz bei der Entwicklung und dem Einsatz von KI zu gewährleisten.

Diese Richtlinie gilt für alle KI-Systeme, die wir im Rahmen unserer Dienstleistungen entwickeln, bereitstellen oder einsetzen.

2. Risikoklassifikation

Der EU AI Act klassifiziert KI-Systeme in vier Risikokategorien:

Unannehmbares Risiko — Vollständig verbotene KI-Anwendungen, wie soziales Scoring durch Behörden, biometrische Echtzeit-Überwachung im öffentlichen Raum oder Systeme, die psychologische Schwachstellen ausnutzen. Wir entwickeln und setzen keine solchen Systeme ein.

Hohes Risiko — KI-Systeme in kritischen Bereichen wie Beschäftigungsentscheidungen, Bildung, Zugang zu wesentlichen Dienstleistungen, Strafverfolgung oder Sicherheitskomponenten regulierter Produkte. Soweit unsere Dienste in diese Kategorie fallen, wenden wir alle in dieser Richtlinie beschriebenen Pflichten an.

Begrenztes Risiko — KI-Systeme, die mit Nutzern interagieren (z. B. Chatbots), unterliegen Transparenzpflichten. Wir stellen sicher, dass Nutzer immer darüber informiert werden, wenn sie mit einem KI-System interagieren.

Minimales Risiko — Die Mehrheit allgemeiner KI-Anwendungen. Wir wenden Best-Practice-Standards an, auch wo dies regulatorisch nicht erforderlich ist.

3. Governance-Grundsätze

Unsere KI-Governance basiert auf fünf Kernprinzipien:

Verantwortlichkeit — Wir benennen klar verantwortliche Personen für jedes KI-System, das wir betreiben. Entscheidungen, die mit KI getroffen wurden, lassen sich stets auf einen verantwortlichen Menschen in unserer Organisation zurückführen.

Transparenz — Wir kommunizieren offen über die Art, die Fähigkeiten und die Grenzen unserer KI-Systeme. Nutzer und betroffene Parteien werden informiert, wenn KI eine wesentliche Rolle bei einer sie betreffenden Entscheidung spielt.

Fairness — Wir arbeiten aktiv daran, Verzerrungen in KI-Systemen zu erkennen und zu minimieren. Wir erlauben keine KI-basierte Diskriminierung aufgrund von Rasse, Geschlecht, Alter, Behinderung, Religion oder anderen geschützten Merkmalen.

Menschliche Aufsicht — Alle Hochrisiko-KI-Entscheidungen unterliegen einer sinnvollen menschlichen Überprüfung. Automatisierte Ergebnisse gelten als Empfehlungen, nicht als endgültige Feststellungen.

Kontinuierliche Verbesserung — Wir verpflichten uns zur fortlaufenden Überwachung, Bewertung und Verbesserung unserer KI-Systeme auf der Grundlage neuer Erkenntnisse, regulatorischer Aktualisierungen und Stakeholder-Feedback.

4. Pflichten als KI-Dienstleistungsanbieter

Als Anbieter KI-gestützter Dienste erfüllen wir folgende Pflichten gemäß dem EU AI Act:

— Wir pflegen aktuelle technische Dokumentation für Hochrisiko-KI-Systeme.
— Wir führen Konformitätsbewertungsverfahren durch, bevor Hochrisiko-KI-Systeme in Betrieb genommen werden.
— Wir registrieren Hochrisiko-KI-Systeme in der EU-Datenbank, sofern erforderlich.
— Wir bringen die CE-Kennzeichnung an, wo anwendbar, und erstellen EU-Konformitätserklärungen.
— Wir etablieren und pflegen ein Marktüberwachungssystem zur Verfolgung der Leistung unter realen Bedingungen.
— Wir melden schwerwiegende Vorfälle oder Fehlfunktionen unverzüglich an die zuständigen nationalen Behörden.
— Wir kooperieren vollständig mit Marktüberwachungsbehörden auf Anfrage.

5. Risikomanagementprozess

Wir betreiben einen dokumentierten KI-Risikomanagementprozess, der sowohl am EU AI Act als auch an ISO 42001:2023 ausgerichtet ist. Dieser umfasst:

Identifikation — Katalogisierung aller verwendeten oder in der Entwicklung befindlichen KI-Systeme sowie Bewertung ihres vorgesehenen Zwecks, möglicher Verwendungen und vorhersehbaren Missbrauchs.

Bewertung — Beurteilung der Wahrscheinlichkeit und Schwere potenzieller Schäden für Einzelpersonen, Gruppen oder die Gesellschaft, einschließlich indirekter und kumulativer Auswirkungen.

Minderung — Anwendung technischer und organisatorischer Maßnahmen proportional zu den identifizierten Risiken, einschließlich Datensatz-Qualitätskontrollen, Erklärbarkeits-mechanismen und Zugriffsbeschränkungen.

Überwachung — Kontinuierliche Verfolgung des Systemverhaltens im Betrieb mit definierten Metriken und Eskalationsschwellen.

Überprüfung — Regelmäßige Neubewertung von Risikoprofilen als Reaktion auf Systemänderungen, neue regulatorische Hinweise oder neue Belege für Schäden.

6. Menschenrechte bei automatisierten Entscheidungen (DSGVO Art. 22)

Soweit unsere Dienste automatisierte Entscheidungsfindung umfassen, die rechtliche oder ähnlich bedeutende Auswirkungen auf Einzelpersonen hat, erfüllen wir vollständig Artikel 22 der Datenschutz-Grundverordnung (DSGVO).

Einzelpersonen haben das Recht, nicht einer Entscheidung unterworfen zu werden, die ausschließlich auf automatisierter Verarbeitung basiert. Wo eine solche Verarbeitung stattfindet, stellen wir sicher, dass betroffene Personen:

— Darüber informiert werden, dass eine automatisierte Entscheidungsfindung stattfindet.
— Das Recht haben, eine menschliche Überprüfung einer automatisierten Entscheidung zu verlangen.
— Ihren Standpunkt darlegen und die Entscheidung anfechten können.
— Eine aussagekräftige Erklärung der zugrunde liegenden Logik erhalten.

Wir setzen diese Rechte durch klare Benutzeroberflächen, zugängliche Kontaktkanäle und definierte interne Überprüfungsverfahren um.

7. Schulungsplan

Wir unterhalten ein fortlaufendes KI-Schulungsprogramm zur Förderung von KI-Kompetenz und Verantwortungsbewusstsein für alle Mitarbeiter, die an der Entwicklung, dem Einsatz oder dem Management von KI-Systemen beteiligt sind. Dieses Programm umfasst:

— Grundlegende Konzepte in KI und maschinellem Lernen.
— Anwendbare rechtliche und regulatorische Anforderungen, einschließlich EU AI Act und DSGVO.
— Ethische Grundsätze und verantwortungsvolle KI-Praxis.
— Erkennung von Verzerrungen, ungerechten Ergebnissen und Risiken.
— Verfahren zur Vorfallsmeldung und Eskalationswege.

Die Schulung wird mindestens jährlich sowie bei wesentlichen regulatorischen oder technischen Entwicklungen überprüft und aktualisiert. Abschlussunterlagen werden gepflegt und sind für Audits verfügbar.

8. Koordination mit der DSGVO

Unsere KI-Richtlinie funktioniert in enger Abstimmung mit unserer Datenschutzrichtlinie (DSGVO). Die beiden Rahmenwerke ergänzen sich:

— Personenbezogene Daten, die zum Training oder Betrieb von KI-Systemen verwendet werden, werden nur auf einer rechtmäßigen Grundlage und mit geeigneten Kontroll-mechanismen für Datensparsamkeit, Zweckbindung und Speicherbegrenzung verarbeitet.
— Datenschutz-Folgenabschätzungen (DSFA) werden für KI-Systeme durchgeführt, die voraussichtlich ein hohes Risiko für die Rechte und Freiheiten von Personen darstellen.
— Unser Datenschutzbeauftragter (DSB) ist in die Prüfung und Genehmigung aller Hochrisiko-KI-Initiativen eingebunden.
— Auskunftsersuchen, Löschanträge und andere Betroffenenrechte werden innerhalb der gesetzlich vorgeschriebenen Fristen gewahrt.

Für Fragen zum Zusammenspiel von KI und personenbezogenen Daten wenden Sie sich bitte an unser Team.

9. Kontakt

Für Fragen, Anliegen oder Anfragen zu unserer KI-Richtlinie, Risikomanagementpraktiken oder zur Ausübung Ihrer Rechte wenden Sie sich bitte an:

info@certitrue.com

Wir bemühen uns, alle Anfragen innerhalb von 15 Werktagen zu beantworten.