# EU KI-Gesetz: Frist für Hochrisiko-Systeme, 2. August 2027 > Das EU-KI-Gesetz schreibt vor, dass Hochrisiko-KI-Systeme gemäß Anhang III bis zum 2. August 2027 vollständig konform sein müssen. Dies erfordert ein robustes Framework für Risikomanagement, Daten-Governance und menschliche Aufsicht. Source: https://loopbackup.com/de/blog/eu-ai-act-high-risk-deadline-august-2027 Publisher: Loop Backup Content language: de --- ## Überblick * **Frist:** 2. August 2027 * **Betroffene:** Anbieter, Betreiber, Importeure und Händler von KI-Systemen, die gemäß Anhang III des EU-KI-Gesetzes als „Hochrisiko“ eingestuft werden. * **Erforderlich:** Volle Konformität mit den verbindlichen Anforderungen für Hochrisiko-Systeme, die den gesamten Lebenszyklus von Daten-Governance und Risikomanagement bis zur Überwachung nach dem Inverkehrbringen abdecken. * **Wesentliche Pflichten:** Implementierung eines Risikomanagementsystems, Gewährleistung einer hochwertigen Daten-Governance, Erstellung umfassender technischer Dokumentation, Ermöglichung einer robusten menschlichen Aufsicht und Sicherstellung eines hohen Maßes an Genauigkeit und Cybersicherheit. * **Pflicht des öffentlichen Sektors:** Betreiber, die öffentliche Behörden sind, müssen vor der Bereitstellung eines Hochrisiko-Systems eine Folgenabschätzung zu Grundrechten (Fundamental Rights Impact Assessment, FRIA) durchführen und veröffentlichen. ## Das EU-KI-Gesetz: Eine neue Regulierungslandschaft Das Gesetz der Europäischen Union über künstliche Intelligenz ist ein wegweisendes Gesetz, das einen umfassenden Rechtsrahmen für KI-Systeme schafft. Anfang 2024 fertiggestellt, verfolgt das Gesetz einen risikobasierten Ansatz und kategorisiert KI-Systeme in vier Stufen: inakzeptables Risiko (verboten), hohes Risiko, begrenztes Risiko (unterliegt Transparenzpflichten) und minimales Risiko (unreguliert). Obwohl die vollständige Anwendung der Verordnung über mehrere Jahre hinweg schrittweise erfolgt, rückt eine kritische Frist näher. Bis zum 2. August 2027 müssen alle KI-Systeme, die in die Kategorie **Hochrisiko** fallen, die strengen Anforderungen des Gesetzes vollständig erfüllen. Diese Frist stimmt mit dem Hauptanwendungsdatum der Verordnung überein, 36 Monate nach ihrem Inkrafttreten. Für Organisationen, die KI in kritischen Sektoren entwickeln oder einsetzen, ist dies kein weit entferntes Problem. Der Weg zur **KI-Konformität 2027** erfordert einen erheblichen Vorlauf, strategische Planung und eine tiefgreifende technische Umsetzung. Bis zur letzten Minute zu warten, ist keine praktikable Option. ## Ist Ihr KI-System „Hochrisiko“? Die Kategorien des Anhangs III Ein KI-System wird als Hochrisiko eingestuft, wenn es eine Sicherheitskomponente eines Produkts ist, das unter andere EU-Gesetzgebung fällt (aufgeführt in Anhang II), oder wenn es in eine der acht spezifischen Anwendungsfallkategorien fällt, die in **Anhang III** aufgeführt sind. Es ist diese zweite Gruppe, die von einer Vielzahl von Organisationen sorgfältige Beachtung erfordert. ### Die acht Hochrisiko-Kategorien des Anhangs III Das KI-Gesetz geht davon aus, dass Systeme, die in den folgenden Kontexten verwendet werden, ein hohes Risiko darstellen: 1. **Biometrische Identifizierung und Kategorisierung:** Dies umfasst sowohl Fern-Biometrische-Identifizierungssysteme als auch Systeme zur Kategorisierung von Personen anhand sensibler Merkmale. 2. **Verwaltung und Betrieb kritischer Infrastrukturen:** Zum Beispiel Systeme zur Steuerung von Wasser-, Gas-, Heizungs- oder Stromversorgungen sowie digitale Infrastruktur und Straßenverkehr. 3. **Bildung und Berufsausbildung:** KI, die verwendet wird, um den Zugang zu Bildungseinrichtungen zu bestimmen, Lernergebnisse zu bewerten oder Personen Programmen zuzuweisen. 4. **Beschäftigung, Personalmanagement und Zugang zur Selbstständigkeit:** Systeme, die für die Personalbeschaffung (z.B. CV-Sortierung), Entscheidungen über Beförderung oder Kündigung oder die Überwachung der Mitarbeiterleistung verwendet werden. 5. **Zugang zu und Inanspruchnahme wesentlicher privater und öffentlicher Dienstleistungen und Leistungen:** Umfasst KI, die bei der Kreditwürdigkeitsprüfung oder Risikobewertung für Kreditanträge verwendet wird, und Systeme, die die Berechtigung für Sozialleistungen bewerten. 6. **Strafverfolgung:** Systeme, die zur Bewertung des Risikos einer Person, eine Straftat zu begehen, zur Bewertung der Zuverlässigkeit von Beweismitteln oder zur Durchführung von Kriminalanalysen verwendet werden. 7. **Migration, Asyl und Grenzverwaltung:** KI, die für Risikobewertungen, die Überprüfung von Reisedokumenten oder die Prüfung von Asylanträgen verwendet wird. 8. **Justizverwaltung und demokratische Prozesse:** Systeme, die darauf abzielen, eine Justizbehörde bei der Erforschung und Auslegung von Fakten und Gesetzen zu unterstützen. Wenn Ihr Unternehmen ein KI-System für einen dieser Zwecke entwickelt oder verwendet, müssen Sie sich auf die vollständige Konformität vorbereiten. ## Der Weg zur Konformität: Kernanforderungen Die Einhaltung bis August 2027 erfordert einen vielschichtigen Ansatz, der auf einer Reihe von verbindlichen Pflichten für Hochrisiko-Systeme basiert. Diese sind in Kapitel 2 des Gesetzes detailliert beschrieben. ### KI-Konformitätsbewertung Bevor ein System auf den Markt gebracht wird, müssen Anbieter eine **KI-Konformitätsbewertung** durchführen. Für die meisten **Anhang III**-Systeme wird dies eine interne Bewertung (Selbstbewertung) anhand der Anforderungen sein. Wenn ein Anbieter jedoch die relevanten harmonisierten Normen (sobald sie von der EU veröffentlicht werden) nicht angewendet hat, ist eine Konformitätsbewertung durch Dritte, an der eine benannte Stelle beteiligt ist, erforderlich. Die Kernanforderungen, die erfüllt werden müssen, umfassen: #### 1. Risikomanagementsystem (Artikel 9) Anbieter müssen ein kontinuierliches Risikomanagementsystem einrichten, implementieren, dokumentieren und aufrechterhalten. Dieser Prozess muss über den gesamten Lebenszyklus des KI-Systems hinweg laufen. Er umfasst die Identifizierung, Analyse und Bewertung bekannter und vorhersehbarer Risiken, die die KI für Gesundheit, Sicherheit oder Grundrechte darstellen könnte. Er erfordert auch die Annahme geeigneter Risikomanagementmaßnahmen. #### 2. Daten und Daten-Governance (Artikel 10) Dies ist eine der datenintensivsten Anforderungen. Trainings-, Validierungs- und Testdatensätze müssen strenge Qualitätskriterien erfüllen. Dies beinhaltet die Sicherstellung, dass Daten relevant, repräsentativ und, soweit möglich, frei von Fehlern und Verzerrungen sind. Anbieter müssen geeignete Daten-Governance- und Managementpraktiken anwenden, einschließlich der Dokumentation der Datenherkunft. Die Integrität und Resilienz dieser Datensätze sind von größter Bedeutung; die Nutzung robuster, sicherer Backup-Lösungen, wie sie beispielsweise von **[Loop Backup](/)** angeboten werden, ist unerlässlich, um dieses kritische Compliance-Asset vor Verlust oder Beschädigung zu schützen. #### 3. Technische Dokumentation (Artikel 11) Anbieter müssen *vor* dem Inverkehrbringen des Systems eine umfassende technische Dokumentation erstellen und pflegen. Diese Dokumentation muss belegen, dass das KI-System alle Hochrisiko-Anforderungen erfüllt. Sie sollte detailliert genug sein, damit die nationalen Behörden die Einhaltung bewerten können, und muss Informationen über den Zweck des Systems, seine Kernkomponenten, Logik, Daten und vorbestimmte Änderungen enthalten. #### 4. Aufzeichnungspflicht (Artikel 12) Hochrisiko-Systeme müssen so konzipiert sein, dass sie im Betrieb automatisch Ereignisprotokolle generieren. Diese Protokolle müssen sicher, nachvollziehbar und manipulationssicher sein. Ziel ist es, ein Maß an Rückverfolgbarkeit der Funktionsweise des Systems über seinen gesamten Lebenszyklus hinweg zu gewährleisten, was für die Überwachung nach dem Inverkehrbringen und die Untersuchung von Vorfällen entscheidend ist. Die ordnungsgemäße Aufbewahrung und der Schutz dieser Protokolle, die oft strengen Aufbewahrungsfristen unterliegen, ist eine wichtige Überlegung für Ihre Datenmanagementstrategie. #### 5. Transparenz und Bereitstellung von Informationen (Artikel 13) Systeme müssen so konzipiert sein, dass Betreiber (Nutzer) die Ausgabe des Systems interpretieren und angemessen verwenden können. Anbieter müssen umfassende und klare Gebrauchsanweisungen bereitstellen. Diese Informationen müssen die Identität des Systems, seinen beabsichtigten Zweck, seine Genauigkeit, die Rolle der menschlichen Aufsicht sowie seine allgemeinen Fähigkeiten und Einschränkungen abdecken. #### 6. Menschliche Aufsicht (Artikel 14) Dies ist ein grundlegendes Prinzip des Gesetzes. Hochrisiko-Systeme müssen so konzipiert und entwickelt werden, dass eine effektive Aufsicht durch einen Menschen möglich ist. Dazu gehören die Implementierung von Maßnahmen, die es einer Person ermöglichen, die Funktionsweise des Systems zu verstehen und einzugreifen, das System zu übersteuern oder zu stoppen, wenn es sich unerwartet verhält oder ein Risiko darstellt. #### 7. Genauigkeit, Robustheit und Cybersicherheit (Artikel 15) Das KI-System muss ein angemessenes Maß an Genauigkeit, Robustheit und Cybersicherheit erreichen. Es sollte widerstandsfähig gegen Fehler, Störungen oder Inkonsistenzen sein, die innerhalb des Systems oder der Umgebung, in der es arbeitet, auftreten können. Es muss auch widerstandsfähig gegen böswillige Versuche sein, seine Nutzung oder Leistung zu verändern. ## Über die Einführung hinaus: Überwachung nach dem Inverkehrbringen und FRIA Die Konformität endet nicht, sobald ein Produkt auf dem Markt ist. ### Überwachung nach dem Inverkehrbringen Anbieter sind verpflichtet, ein System zur Überwachung nach dem Inverkehrbringen (Artikel 72) zu implementieren. Dieses System sammelt und analysiert proaktiv Leistungsdaten des Hochrisiko-KI-Systems über dessen gesamte Lebensdauer. Ziel ist es, die Einhaltung kontinuierlich zu überprüfen und aufkommende Risiken zu identifizieren, mit der Pflicht, schwerwiegende Vorfälle den zuständigen Behörden zu melden. ### Folgenabschätzung zu Grundrechten (FRIA) Für Betreiber, die öffentliche Stellen sind (oder private Stellen, die in deren Auftrag handeln), führt das Gesetz einen spezifischen, entscheidenden Schritt ein: die **FRIA** (Artikel 29a). Bevor ein Hochrisiko-KI-System in Betrieb genommen wird, müssen diese Organisationen eine Folgenabschätzung durchführen, die Folgendes bewertet: * Den spezifischen Kontext und Zweck des Einsatzes. * Die potenziellen Auswirkungen auf Grundrechte, insbesondere für betroffene Gruppen. * Die zu ergreifenden Maßnahmen zur Minderung identifizierter Risiken. Die Zusammenfassung der FRIA muss veröffentlicht werden, um öffentliche Transparenz zu gewährleisten. ## Aktions-Checkliste: Vorbereitung auf die Frist 2027 Die Frist vom 2. August 2027 für **Hochrisiko-Systeme gemäß EU-KI-Gesetz** erfordert sofortiges Handeln. Die Komplexität und Tiefe der Anforderungen bedeuten, dass ein „Abwarten“-Ansatz zu Nicht-Konformität führen wird. Hier ist eine Checkliste, um Ihre Reise zu beginnen. * **Führen Sie ein Inventar Ihrer KI-Systeme durch:** Identifizieren und kartieren Sie alle KI-Systeme, die Sie derzeit entwickeln, bereitstellen oder beschaffen. Erstellen Sie ein zentrales Register, um deren Zweck, Status und Datenquellen zu verfolgen. * **Führen Sie eine Hochrisiko-Klassifizierung durch:** Führen Sie für jedes System in Ihrem Inventar eine formelle Bewertung durch, um festzustellen, ob es unter die Hochrisiko-Kategorien des Anhangs III fällt. Dokumentieren Sie die Begründung für Ihre Klassifizierung. * **Führen Sie eine Lückenanalyse anhand der Anforderungen durch:** Messen Sie Ihre aktuellen Entwicklungs- und Governance-Praktiken an den Kernanforderungen (Risikomanagement, Daten-Governance, Transparenz usw.), um Compliance-Lücken zu identifizieren und zu priorisieren. * **Etablieren Sie einen Risikomanagementrahmen:** Implementieren Sie einen kontinuierlichen, dokumentierten Risikomanagementprozess für Ihre KI-Systeme gemäß Artikel 9. Dies ist keine einmalige Aufgabe, sondern ein fortlaufender Prozess. * **Überprüfen Sie die Daten-Governance und -Herkunft:** Überprüfen Sie alle Trainings-, Validierungs- und Testdatensätze. Implementieren Sie robuste Verfahren zur Verwaltung der Datenqualität, zur Beseitigung von Verzerrungen und zur Sicherstellung der Integrität und Herkunft Ihrer Datenbestände. * **Beginnen Sie mit der Erstellung der technischen Dokumentation:** Warten Sie nicht bis 2027. Beginnen Sie jetzt mit der Ausarbeitung der umfangreichen technischen Dokumentation, die in Artikel 11 gefordert wird. Dies ist eine bedeutende Aufgabe, die den Input mehrerer Teams erfordert. * **Planen Sie die menschliche Aufsicht und FRIA:** Entwerfen Sie klare und effektive Mechanismen für die menschliche Aufsicht für jedes System. Wenn Sie eine öffentliche Stelle oder ein Lieferant einer solchen sind, beginnen Sie mit der Planung des Prozesses zur Durchführung einer Folgenabschätzung zu Grundrechten (FRIA). ## Fazit: Jetzt ist die Zeit zum Handeln Die Frist vom August 2027 mag weit entfernt erscheinen, aber die Grundlagen für die Konformität müssen heute gelegt werden. Die Einhaltung des EU-KI-Gesetzes ist nicht nur eine rechtliche Hürde; es ist eine strategische Notwendigkeit, die ein Engagement für vertrauenswürdige, ethische und robuste KI demonstriert. Indem Organisationen jetzt beginnen, können sie die Herausforderung der regulatorischen Compliance in einen Wettbewerbsvorteil verwandeln, widerstandsfähige Systeme aufbauen und das Vertrauen von Kunden und Regulierungsbehörden gleichermaßen gewinnen.