Können Sie nachweisen, was Ihre KI getan hat, und warum?

Führt das System eine verbotene Praxis aus?

Beispiele: schädigende Manipulation, Ausnutzung schutzbedürftiger Gruppen, verbotene biometrische oder emotionsbezogene Praktiken.

Art. 5 · Löst sofortigen Stopp oder Neugestaltung aus.

Handelt es sich um einen der gängigen KI-Anwendungsfälle mit hohem Risiko, etwa Personalauswahl, Bildung, Kredit, Versicherung, öffentliche Dienste, Strafverfolgung, Grenzkontrolle, Justiz oder kritische Infrastruktur?

Antworten Sie mit Ja, wenn das System in einem dieser sensiblen Entscheidungs- oder Sicherheitskontexte eingesetzt wird. Das ist, was der AI Act als Hochrisiko-Anwendungsfall nach Anhang III bezeichnet.

Art. 6, Anhang III · Wichtigster Auslöser für die Hochrisiko-Einstufung.

Könnte es die Gesundheit, Sicherheit oder grundlegende Rechte von Menschen erheblich beeinträchtigen?

Antworten Sie mit Ja, wenn die KI Entscheidungen, Zugang, Behandlung, Sicherheitsergebnisse, Datenschutz, Gleichbehandlung oder andere wichtige Auswirkungen auf Menschen maßgeblich beeinflusst.

Art. 6 · Bestätigt die Hochrisiko-Einstufung.

Unterstützt die KI Menschen nur in engem oder wirkungsarmem Umfang, ohne die menschliche Beurteilung zu ersetzen?

Antworten Sie nur dann mit Ja, wenn sie eindeutig auf unterstützende Aufgaben beschränkt ist, etwa die Verbesserung einer vorherigen menschlichen Tätigkeit, die Bearbeitung eines engen verfahrenstechnischen Schritts oder das Erkennen von Mustern, ohne die endgültige Entscheidung zu treffen.

Art. 6(3) · Kann eine mögliche Hochrisiko-Einstufung verringern.

Interagiert es mit Menschen, erzeugt es KI-Inhalte oder verwendet es biometrische oder emotionsbezogene Funktionen?

Beispiele: Chatbots, KI-generierter Text, Bilder, Audio oder Video, Gesichts- oder Stimmanalyse, biometrische Kategorisierung oder Emotionserkennung.

Art. 50 · Löst Transparenzpflichten aus.

Basiert dies auf einem KI-Modell für allgemeine Zwecke, das in vielen verschiedenen Anwendungsfällen genutzt wird, oder stellen Sie ein solches bereit?

Denken Sie an Basismodelle oder breit einsetzbare Modelle, die in vielen nachgelagerten Produkten wiederverwendet werden können, nicht an eine eng gefasste interne Regel-Engine oder ein Modell für einen einzelnen Zweck.

Art. 53-56 · Löst GPAI-spezifische Pflichten aus, sofern zutreffend.

Führen Sie ein klares Verzeichnis der KI-Systeme, ihres Zwecks und der Tatsache, ob Sie als Anbieter, Betreiber oder beides auftreten?

Woran gute Praxis erkennbar ist KI-Register mit benanntem Systemverantwortlichen und Rollenzuordnung.

Art. 3, 6, 26 · Gilt für Anbieter und Betreiber

Ist die KI-Compliance verantwortlichen Rollen in den Rechts-, Fach-, Technik- und Betriebsteams zugewiesen?

Woran gute Praxis erkennbar ist Benannte Verantwortliche, Eskalationspfad und Governance-Gremium.

Art. 17, 26 · Gilt für Anbieter und Betreiber

Enthalten Ihre bestehenden Managementsysteme ausdrücklich KI-spezifische Kontrollen und Prüfpunkte?

Woran gute Praxis erkennbar ist KI integriert in QMS, Compliance, Sicherheit und Change-Management.

Art. 17, 26 · Gilt für Anbieter und Betreiber

Gibt es einen dokumentierten Prozess zur Identifizierung und Überprüfung von KI-Risiken hinsichtlich bestimmungsgemäßer Verwendung, vorhersehbarer Fehlanwendung und betroffener Personen?

Woran gute Praxis erkennbar ist Risikoregister und Überprüfungszyklus, der Auswirkungen auf Sicherheit und Rechte abdeckt.

Art. 9 · Gilt für Hohes Risiko, ausgewähltes begrenztes Risiko

Sind Minderungsmaßnahmen für bekannte Risiken, einschließlich schutzbedürftiger Gruppen, definiert, getestet und kommuniziert?

Woran gute Praxis erkennbar ist Dokumentierte Kontrollen, Kommunikation des Restrisikos und gruppenspezifische Schutzmaßnahmen.

Art. 9 · Gilt für Hohes Risiko

Validieren Sie Leistung, Robustheit und Cybersicherheit unter Bedingungen, die den realen Einsatz widerspiegeln?

Woran gute Praxis erkennbar ist Testplan, Schwellenwerte, Resilienzprüfungen und Nachweise zur Sicherheitshärtung.

Art. 15 · Gilt für Hohes Risiko

Sind Datenquellen, Auswahlkriterien, Annahmen und Entscheidungen zum Modelldesign dokumentiert und gesteuert?

Woran gute Praxis erkennbar ist Dokumentierte Herkunft, Freigabeschritte und Modellbegründung.

Art. 10, Anhang IV · Gilt für Anbieter, datenverwaltende Betreiber

Bewerten Sie Daten hinsichtlich Qualität, Repräsentativität, Bias und Eignung für den beabsichtigten Zweck?

Woran gute Praxis erkennbar ist Qualitätskriterien, Bias-Überprüfung und Behebung von Datenlücken.

Art. 10 · Gilt für Hohes Risiko

Sind bei der Nutzung sensibler Daten die rechtlichen Garantien und technischen Schutzmaßnahmen klar definiert?

Woran gute Praxis erkennbar ist Eingeschränkter Zugriff, Begründung und DSGVO-konforme Schutzmaßnahmen.

Art. 10(5) · Gilt für Bedingt

Werden Nutzer, Betreiber und betroffene Personen klar informiert, wenn KI eingesetzt wird oder Entscheidungen KI-gestützt sind?

Woran gute Praxis erkennbar ist Klare Hinweise, nutzerseitige Offenlegungen und Anweisungen für Betreiber.

Art. 13, 50 · Gilt für Alle relevanten Systeme

Können verantwortliche Personen die Grenzen des Systems verstehen und es bei Bedarf übersteuern oder stoppen?

Woran gute Praxis erkennbar ist Aufsichtsverfahren, Stoppmechanismen und Übersteuerungswege.

Art. 14 · Gilt für Hohes Risiko

Sind Teams geschult, um eine übermäßige Abhängigkeit von KI zu vermeiden und das System nur innerhalb seines vorgesehenen Zwecks zu nutzen?

Woran gute Praxis erkennbar ist Schulungsnachweise, Nutzungsregeln und Schutzmaßnahmen gegen Automatisierungsbias.

Art. 14, 26 · Gilt für Anbieter und Betreiber

Führen Sie aktuelle technische und betriebliche Dokumentation, die Zweck, Design, Einschränkungen und erwartete Leistung abdeckt?

Woran gute Praxis erkennbar ist Technisches Kerndossier mit versionierten Aktualisierungen.

Art. 11, Anhang IV · Gilt für Hauptsächlich Anbieter

Lässt sich das Systemverhalten anhand von Aufzeichnungen oder Protokollen nachvollziehen, die zeigen, wie Ergebnisse erzeugt und verwendet wurden?

Woran gute Praxis erkennbar ist Nachvollziehbare Protokollfelder und zugängliche Betriebsaufzeichnungen.

Art. 12, 26(5) · Gilt für Hohes Risiko, relevante Betreiber

Werden Dokumentation und Protokolle für Audits, Vorfälle und Anfragen von Aufsichtsbehörden aufbewahrt, geschützt und zugänglich gehalten?

Woran gute Praxis erkennbar ist Aufbewahrungsregeln, Integritätsschutz und Abrufverfahren.

Art. 12, 17 · Gilt für Anbieter und Betreiber

Überwachen Sie Leistung, Drift, Missbrauch, Beschwerden und andere operative Signale nach der Bereitstellung?

Woran gute Praxis erkennbar ist Überwachungsplan, Feedbackkanäle und Überprüfungsrhythmus.

Art. 72 · Gilt für Hohes Risiko, GPAI soweit relevant

Verfügen Sie über Schwellenwerte und Workflows für Korrekturmaßnahmen, Rollback, Aussetzung oder erneutes Training?

Woran gute Praxis erkennbar ist Vorfall-Playbooks und Auslöser für Abhilfemaßnahmen.

Art. 72, 73 · Gilt für Hohes Risiko

Werden schwerwiegende Vorfälle und der Kontakt mit Aufsichtsbehörden über einen definierten Melde- und Eskalationsprozess abgewickelt?

Woran gute Praxis erkennbar ist Meldeprozess an die Behörde und Vorbereitung des Nachweispakets.

Art. 73 · Gilt für Hohes Risiko, GPAI soweit relevant

Wenn Sie KI mit hohem Risiko im öffentlichen Sektor oder bei öffentlichen Dienstleistungen einsetzen, haben Sie die Auswirkungen auf betroffene Gruppen bewertet und Schutzmaßnahmen festgelegt?

Woran gute Praxis erkennbar ist FRIA-Prozess, Analyse der betroffenen Gruppen und Minderungsmaßnahmen.

Art. 27 · Gilt für Bedingt

Wenn Systeme synthetische Inhalte erzeugen oder biometrische oder emotionsbezogene Funktionen nutzen, sind die zusätzlichen Transparenzpflichten operativ umgesetzt?

Woran gute Praxis erkennbar ist Kennzeichnung, Hinweise und operative Behandlung von Sonderfällen.

Art. 50 · Gilt für Bedingt

Wenn Sie GPAI bereitstellen oder darauf aufbauen, verwalten Sie die Modelldokumentation, nachgelagerte Informationen, Urheberrecht und Pflichten im Zusammenhang mit systemischen Risiken?

Woran gute Praxis erkennbar ist GPAI-Dokumentationspaket und Governance systemischer Risiken.

Art. 53-56 · Gilt für GPAI-Anbieter