Vorbereitung auf den AI Act: Wie die ISO 42001 helfen kann

Inhaltsverzeichnis

Der AI Act wirft noch viele Fragen zu den aus ihm folgenden Anforderungen und Pflichten auf. Den Großteil der Regularien bilden die Vorschriften zu Hochrisiko-KI-Systemen, die zum Teil bereits ab dem 2. August 2026 gelten. Dabei könnte es sich schon als schwierig erweisen, KI-Systeme korrekt in die Risikokategorie "hoch" einzuordnen. Bis Februar 2026 hat die EU-Kommission noch Zeit, eine Liste mit konkreten Merkmalen dafür vorzulegen. Diese Liste soll dann auch die bisher noch etwas unklare Betroffenheitsprüfung durch Beispiele für Hochrisiko-KI-Systeme erleichtern.

Auch die Regeln für "Hochrisiko-KI" muss der Gesetzgeber noch konkretisieren. Anders als den Transparenzpflichten für sogenannte "bestimmte KI-Systeme", die relativ klar darauf abzielen, KI-Erzeugnisse und KI-Kommunikationssysteme als solche zu kennzeichnen, fehlt es den neuen Regeln zu Hochrisiko-KI-Systemen an Klarheit. Ein hilfreiches Werkzeug, um den AI Act nachzuvollziehen und diesem Artikel zu folgen, ist der AI Act Explorer.

iX-tract

• Zwar verlangt der AI Act besondere Sorgfalt bei Hochrisiko-KI, doch die Richtlinie lässt im Detail Spielraum für Interpretationen.
• Der AI Act unterscheidet zwischen Anforderungen und Pflichten für Hochrisiko-KI-Systeme, wobei Anbieter und Betreiber unterschiedliche Verantwortlichkeiten tragen.
• Die Anforderungen umfassen Data Governance, technische Dokumentation, Risikomanagement und Transparenz.
• Mit der ISO 42001 gibt es bereits eine internationale Norm, die sich in vielen Anforderungen wie Qualitätsmanagement und Data Governance mit dem AI Act deckt.
• Die Norm hilft dabei, frühzeitig ein zertifizierungsfähiges KI-Managementsystem einzurichten, das sich später vergleichsweise einfach an den AI Act anpassen lässt.

Kapitel III des AI Act befasst sich mit den Hochrisiko-KI-Systemen und unterscheidet zwischen Anforderungen (Abschnitt 2) und Pflichten (Abschnitt 3) – die Anforderungen gelten für jedes Hochrisiko-KI-System als Beschaffenheitsvorgabe. Bei den Pflichten unterscheidet der AI Act zwischen Anbietern und Betreibern der Systeme. Abhängig von der eigenen Rolle im Zusammenhang mit dem entsprechenden Hochrisiko-KI-System fallen die Pflichten unterschiedlich aus, wobei sich Unklarheiten hauptsächlich für Anbieter ergeben.

Das war die Leseprobe unseres heise-Plus-Artikels "Vorbereitung auf den AI Act: Wie die ISO 42001 helfen kann". Mit einem heise-Plus-Abo können sie den ganzen Artikel lesen und anhören.