02 / Compliance und Zertifizierung
Die KI-Verordnung beginnt mit dem Wissen, welche KI Sie einsetzen
Wir helfen Ihnen, die KI-Systeme in Ihrer Organisation zu finden, sie nach dem Risiko einzuordnen, das die Verordnung vorsieht, und die Governance, Dokumentation und Sicherheit aufzubauen, die die höheren Stufen verlangen.
Überblick
Was die KI-Verordnung von Ihnen verlangt
Die Verordnung über künstliche Intelligenz (KI-Verordnung), Verordnung (EU) 2024/1689, folgt einem risikobasierten Ansatz. Eine kurze Liste von Praktiken ist verboten. Hochrisiko-KI-Systeme, etwa in bestimmten Bereichen von Beschäftigung, Kreditvergabe, Bildung oder kritischer Infrastruktur, tragen die schwersten Pflichten. Für manche Systeme wie Chatbots und Generatoren synthetischer Inhalte gelten Transparenzpflichten. Der Rest bleibt weitgehend unberührt. Für KI-Modelle mit allgemeinem Verwendungszweck gelten eigene Regeln.
Was Sie schulden, hängt von Ihrer Rolle ab. Anbieter, die ein System entwickeln oder in Verkehr bringen, tragen bei Hochrisiko-Systemen die meisten Pflichten: Risikomanagement, Daten-Governance, technische Dokumentation, Protokollierung, menschliche Aufsicht, Genauigkeit, Robustheit und Cybersicherheit sowie Konformitätsbewertung. Betreiber, die solche Systeme verwenden, haben eigene Pflichten. Die Pflichten gelten gestaffelt; prüfen Sie im aktuellen Text, was wann gilt.
Black Fox ist keine Kanzlei, keine benannte Stelle und keine Marktüberwachungsbehörde. Wir helfen bei Inventar, Einstufung, Governance und der Sicherheit der Systeme. Rechtliche Einstufungsfragen gehören zu Ihrer Rechtsberatung.
Für wen es gedacht ist
Organisationen, die KI-Systeme für den EU-Markt entwickeln, und solche, die KI bei Entscheidungen über Menschen einsetzen, etwa bei Einstellung, Kreditvergabe oder Zugang zu Leistungen. Außerdem Teams, die KI-Werkzeuge schnell eingeführt haben und jetzt wissen müssen, was sie haben.
Die Arbeit, von der Abgrenzung des Umfangs bis zu den Nachweisen.
Was wir tun
Inventar der KI-Systeme
Wir finden die KI, die in Ihrer Organisation im Einsatz ist, auch Funktionen in eingekauften Produkten, und halten fest, was jedes System tut, wem es gehört und welche Daten es berührt.
Unterstützung bei der Einstufung
Für jedes System gehen wir die Kategorien der Verordnung und Ihre Rolle durch und dokumentieren die Begründung, damit verbotene, Hochrisiko- und Transparenzfälle früh auffallen.
Governance
Rollen, Richtlinien und Freigabeschritte für Entwicklung, Einkauf und Änderung von KI-Systemen, bemessen an der KI, die Sie tatsächlich betreiben.
Dokumentation
Unterstützung bei Risikomanagement-Aufzeichnungen, technischer Dokumentation, Protokollierung und Betriebsanleitungen, wo das System als Hochrisiko gilt.
Sicherheit von KI-Systemen
Tests von KI-Systemen und den Anwendungen um sie herum, zum Beispiel auf Prompt Injection, Datenabfluss, unsichere Integrationen und Missbrauch von Modellausgaben.
KI-Managementsystem
Wenn Sie ein Managementsystem um all das wollen, richten wir die Arbeit an ISO/IEC 42001 aus, damit ein Aufwand beiden dient.
So läuft der Auftrag ab
Auftakt
Wir vereinbaren Umfang, Geschäftsbereiche und Beteiligte und unterzeichnen auf Wunsch vorab eine Vertraulichkeitsvereinbarung.
Inventar
Interviews, Fragebögen und ein Blick auf Ihre Systeme und Verträge, um die eingesetzte KI zu finden.
Einstufung
Jedes System wird gegen die Risikokategorien und Ihre Rolle bewertet, offene Fragen gehen an Ihre Rechtsberatung.
Gap-Analyse
Für Systeme der höheren Stufen eine Prüfung von Governance, Dokumentation und Maßnahmen gegen die Pflichten, am Ende eine priorisierte Liste.
Tests und Begleitung der Behebung
Sicherheitstests der wichtigsten Systeme und Arbeit mit Ihren Verantwortlichen an den Lücken.
Übergabe
Empfehlungen, ein Management-Bericht mit Risikobewertung und ein technischer Bericht, danach ein Abschlussgespräch für Ihr Feedback.
Was Sie erhalten
- Inventar der KI-Systeme mit Verantwortlichen und Datenflüssen
- Einstufungsprotokoll mit Begründung je System
- Gap-Analyse für Hochrisiko- und Transparenzfälle
- KI-Governance-Richtlinie und Freigabeprozess
- Sicherheitstestbericht für ausgewählte KI-Systeme
- Priorisierter Maßnahmenplan
Black Fox bereitet Sie vor und unterstützt Sie, stellt aber selbst keine Zertifikate, Testate oder offiziellen Bewertungen aus. Ist ein Zertifikat oder Bericht das Ziel, koordinieren wir das Audit mit unseren langjährigen Zertifizierungspartnern oder einer Stelle Ihrer Wahl, sodass die Arbeit in einem Auftrag von Anfang bis Ende läuft.
Fragen
Gilt die KI-Verordnung für uns, wenn wir KI nur nutzen?
Das kann sein. Betreiber haben eigene Pflichten, vor allem bei Hochrisiko-Systemen und in einigen Transparenzfällen. Das Modell eines Anbieters zu verwenden, nimmt Sie nicht aus dem Anwendungsbereich. Ein Inventar ist der erste Schritt, um zu wissen, welche Pflichten Sie treffen.
Wer entscheidet, ob ein System als Hochrisiko gilt?
Die Einstufung folgt den Regeln der Verordnung, und der Anbieter ist dafür verantwortlich, sie richtig vorzunehmen. Wir helfen, die Kriterien durchzugehen und die Begründung festzuhalten. Wo die Antwort von der rechtlichen Auslegung abhängt, sollte Ihre Rechtsberatung das letzte Wort haben.
Wie hängt ISO/IEC 42001 mit der KI-Verordnung zusammen?
ISO/IEC 42001 ist eine zertifizierbare Norm für ein KI-Managementsystem. Sie ist nicht gleichbedeutend mit Konformität zur KI-Verordnung, aber ein funktionierendes Managementsystem macht die Governance- und Dokumentationspflichten deutlich leichter tragbar.
Testen Sie KI-Systeme auf Sicherheit?
Ja. Wir testen KI-Systeme und die Anwendungen um sie herum wie andere Software, mit Blick auf KI-spezifische Angriffe, und berichten mit Proofs of Concept.
Verwandte Leistungen
- Compliance und ZertifizierungISO/IEC 42001ISO/IEC 42001 mit Black Fox Security: Geltungsbereich des KI-Managementsystems, KI-Risiken und Folgenabschätzung, Maßnahmen aus Anhang A und Zertifizierungsvorbereitung.
- Compliance und ZertifizierungDSGVODSGVO mit Black Fox Security: Verarbeitungsverzeichnis, Datenschutz-Folgenabschätzung, Sicherheit der Verarbeitung, Auftragsverarbeitung und Datenpannen.
- Beratung und ReaktionDevSecOps und sichere EntwicklungDevSecOps von Black Fox Security: sichere Entwicklung, Bedrohungsmodellierung, Code-Review, Sicherheit in CI/CD, Abhängigkeits- und Secret-Scans, Schulung.
- Governance und RisikoRisikobewertungRisikobewertung von Infrastruktur, Netzwerk und Anwendungen durch Black Fox Security: Wahrscheinlichkeit gegen Schadensausmaß, Risikoregister und Behandlungsoptionen.
Beginnen Sie mit dem Inventar
Sagen Sie uns, wo Sie KI entwickeln oder nutzen. Wir helfen Ihnen, den Rest zu finden und zu klären, was die Verordnung erwartet.