Für wen KI-Anbieter und Entwicklungsteams
Sie entwickeln KI-Systeme, integrieren Modelle oder passen bestehende Anwendungen an. Hier erfahren Sie, wie Sie Ihre Rolle nach der KI-Verordnung klären, technische Risiken untersuchen und die Anforderungen an Dokumentation, Konformitätsbewertung und Betrieb prüfen können.
Die Anbieterrolle entsteht nicht nur beim Entwickeln von Grund auf. Nach Art. 25 Abs. 1 genügt es, ein zugekauftes System unter eigenem Namen anzubieten, es wesentlich zu verändern oder seine Zweckbestimmung zu ändern. Wer ein Modell in ein eigenes Produkt einbaut, prüft diese drei Punkte deshalb zuerst.
Der Unterschied ist erheblich. Für Betreiber führt der Kompass 24 Pflichten, für Anbieter 32, darunter das Risikomanagementsystem nach Art. 9, die technische Dokumentation nach Anhang IV, das Qualitätsmanagementsystem nach Art. 17, die Konformitätsbewertung nach Art. 43 und die Registrierung in der EU-Datenbank.
Es genügt, ein zugekauftes System unter eigenem Namen anzubieten. Damit gilt der volle Anbieterkatalog: 32 statt 24 Pflichten.
Die Schritte verlinken direkt auf die passenden Funktionen und Informationen.
Antworten mit Quellen und Verweisen zur weiteren Prüfung.
Anbieter ist, wer ein System entwickelt und in Verkehr bringt oder in Betrieb nimmt. Nach Art. 25 Abs. 1 wird auch ein Betreiber zum Anbieter, wenn er ein System unter eigenem Namen anbietet, es wesentlich verändert oder seine Zweckbestimmung ändert. Das Feinabstimmen eines zugekauften Modells für einen anderen Zweck fällt darunter.
Sie folgt Anhang IV und ist vor dem Inverkehrbringen zu erstellen. Sie führt den Nachweis, dass das System die Anforderungen erfüllt, und ermöglicht Behörden und notifizierten Stellen die Beurteilung. Sie wächst mit jeder Version mit und ist zugleich die Grundlage der Konformitätsbewertung und der spätere Beleg gegenüber der Marktüberwachung.
Für die meisten Systeme nach Anhang III genügt die interne Kontrolle nach Anhang VI. Bei biometrischen Systemen kann eine notifizierte Stelle erforderlich werden. Klären Sie das früh und rechnen Sie deren Kapazität ein; bei wesentlichen Änderungen ist die Bewertung erneut zu durchlaufen.
Vor dem Inverkehrbringen oder der Inbetriebnahme, in der von der Kommission geführten EU-Datenbank, nach Art. 49 Abs. 1 und Anhang VIII. Die Einträge sind öffentlich einsehbar: Prüfen Sie die Angaben vorher auf Betriebs- und Geschäftsgeheimnisse und darauf, dass sie zur Konformitätserklärung passen.
Zu melden ist er der Marktüberwachungsbehörde des betroffenen Mitgliedstaats, unmittelbar nach Feststellung des Zusammenhangs mit dem System, spätestens 15 Tage nach Kenntnis. In schweren Fällen verkürzt sich die Frist auf zwei Tage. Legen Sie vorab fest, wer meldet, an welche Behörde und mit welchem Formular; zwei Tage sind kurz.
Sieben der 52: drei aus der Lieferkette, also Infrastruktur, Modelle und Datensätze, und vier aus der Entwicklung, nämlich Vergiftung der Trainingsdaten, gezielte Label-Vergiftung, Hintertür im Modell und zeitgesteuerte verdeckte Anweisungen. Diese sieben sind im Betrieb kaum noch zu erkennen und deshalb vorher zu behandeln.
Art. 15 verlangt Genauigkeit, Robustheit und Cybersicherheit auf angemessenem Niveau, über den Lebenszyklus gehalten. Dazu kommen die Protokollierung nach Art. 12, die Betriebsanleitung für Betreiber nach Art. 13, die konstruktive Ermöglichung menschlicher Aufsicht nach Art. 14 und die Daten-Governance nach Art. 10.
Ausgaben sind maschinenlesbar als künstlich erzeugt zu kennzeichnen, nach Art. 50 Abs. 2. Prüfen Sie, ob Ihre Ausgabekette die Markierung erhält: Wasserzeichen und Metadaten gehen häufig verloren, sobald Inhalte konvertiert, zugeschnitten oder über Dritte weitergegeben werden. Bestehende generative Systeme sind bis zum 2. Dezember 2026 nachzurüsten.
Gestaffelt. Konformitätsbewertung, Registrierung, Beobachtung nach dem Inverkehrbringen und Vorfallmeldung gelten seit dem 2. August 2026. Die Anforderungen an Hochrisiko-Systeme nach Anhang III greifen ab dem 2. Dezember 2027, nach Anhang I ab dem 2. August 2028. Zwei neue Verbote gelten ab dem 2. Dezember 2026.
Ja. Wer ein Modell mit allgemeinem Verwendungszweck anbietet, trägt einen eigenen Katalog von 14 Pflichten, unabhängig davon, ob daraus ein Hochrisiko-System wird. Dazu gehören die technische Dokumentation des Modells nach Anhang XI, eine Strategie zur Einhaltung des Urheberrechts und eine öffentliche Zusammenfassung der Trainingsinhalte. Übersteigt der kumulierte Trainingsaufwand zehn hoch fünfundzwanzig Gleitkommaoperationen, greift zusätzlich die Anzeige des systemischen Risikos an die Kommission.
Ja, den 2. August 2027. Bis dahin sind Bestandsmodelle mit allgemeinem Verwendungszweck auf die Pflichten des Kapitels V zu bringen. Der Aufwand liegt meist in der rückwirkenden Dokumentation von Trainingsdaten und Rechenaufwand. Beginnen Sie mit der Zusammenfassung der Trainingsinhalte, weil sie veröffentlicht wird und deshalb die längste Abstimmung braucht.
Sie erstellt keine technische Dokumentation und füllt Anhang IV nicht aus. Sie führt keine Konformitätsbewertung durch und ersetzt keine notifizierte Stelle. Sie meldet nichts an Behörden und registriert nichts in der EU-Datenbank. Sie testet kein Modell und misst keine Genauigkeit.
Diese Aufgaben erfordern zusätzliche Werkzeuge oder eine fachliche Prüfung.
Aufgaben außerhalb der Anwendung
Für die regelmäßige Bewertung mehrerer KI-Systeme: Berichte als PDF und Arbeitsmappe, maschinenlesbare Ausgaben, erweiterte Nachweispakete.
ÖffnenDie vollständige Community Edition mit Beispieldaten, direkt im Browser und ohne Anmeldung. Zum Ausprobieren der Methode; die eigene Arbeit im Unternehmen oder in der Behörde deckt die Community-Lizenz nicht ab.
ÖffnenVergleichen Sie Funktionen, Lizenzbedingungen und Preise der Community, Professional und Enterprise Edition. Editionen vergleichen
Informationen für weitere Aufgabenbereiche in Ihrer Organisation oder bei Ihren Auftraggebern.