Was ist eine Konformitätsbewertung eines KI-Systems?
Eine Konformitätsbewertung gemäß dem Ai Act ist das formelle Verfahren zum Nachweis, dass ein Hoch-Risiko KI-Systeme die verbindlichen Anforderungen in Kapitel III Abschnitt 2 der Verordnung (Art. 3 (20)) erfüllt.
Wichtige Elemente, die bei der Konformitätsbewertung geprüft werden:
- Qualitätsmanagementsystem (QMS): Überprüfung, ob das QMS den Anforderungen von Art. 17 AI Act entspricht und wirksam umgesetzt wird.
- Risikomanagementsystem: Überprüfung, ob Risiken während des gesamten Lebenszyklus des KI-Systems systematisch identifiziert, analysiert, gemindert und überwacht werden.
- Daten-Governance: Bewertung der Qualität, Repräsentativität, Verringerung von Bias und Eignung von Trainings-, Validierungs- und Testdaten.
- Technische Dokumentation: Bewertung, ob die Dokumentation vollständig, aktuell und ausreichend ist, um die Konformität gemäß Anhang IV des AI Acts zu bewerten.
- Protokollierung und Rückverfolgbarkeit: Sicherstellung, dass das System Ereignisse während seines gesamten Lebenszyklus automatisch aufzeichnet.
- Transparenz und Maßnahmen zur menschlichen Überwachung: Bewertung von Designmerkmalen, die ein angemessenes Verständnis und eine angemessene Überwachung des Systems ermöglichen.
- Genauigkeit, Robustheit, Cybersicherheit: Bestätigung, dass das KI-System während seines gesamten Lebenszyklus die Leistungs- und Sicherheitsanforderungen erfüllt.
- Überprüfung der Anwendung harmonisierter Normen oder gemeinsamer Spezifikationen zum Nachweis der Konformität
Welche KI-Systeme müssen einer Konformitätsbewertung unterzogen werden?
Gemäß Art. 43 (1-2) ist eine Konformitätsbewertung für KI-Systeme mit hohem Risiko erforderlich, wie in Anhang III definiert.
Gemäß den in Teil A des Anhangs I des AI Acts genannten Harmonisierungsvorschriften müssen Anbieter von KI-Systemen mit hohem Risiko, wie z. B. Medizinprodukte oder Maschinen mit KI-Komponenten, die einschlägigen EU-Harmonisierungsvorschriften befolgen und sicherstellen, dass die KI-spezifischen Anforderungen in dieses Verfahren einbezogen werden (Art. 43 (3)). Benannte Stellen gemäß den jeweiligen sektoralen Rechtsvorschriften können diese Anforderungen ebenfalls bewerten.
Mittels eines delegierten Rechtsakts kann die Europäische Kommission das AI Act dahingehend ändern, dass auch KI-Systeme mit hohem Risiko aus anderen kritischen Bereichen einer Konformitätsbewertung durch Dritte unterzogen werden müssen, wenn keine harmonisierten Normen oder gemeinsamen Spezifikationen angewendet werden (Art. 43 (6)).
Wesentliche Änderungen
Wird ein KI-System mit hohem Risiko gemäß Art. 3 (23) wesentlich geändert, muss es einer neuen Konformitätsbewertung unterzogen werden, es sei denn, die Änderungen sind vom Anbieter vorab festgelegt und dokumentiert worden (Art. 43 (4)).
Welche Konformitätsbewertungsverfahren sind im AI Act vorgesehen?
Art. 43 sieht zwei Hauptverfahren vor, je nachdem, ob harmonisierte Normen oder gemeinsame Spezifikationen angewendet wurden.
Verfahren A – Interne Kontrolle (Anhang VI)
Gilt, wenn der Anbieter von biometrischen KI-Systemen (Anhang III Nr. 1) relevante harmonisierte Normen (Art. 40) oder gemeinsame Spezifikationen (Art. 41) angewandt hat, sowie generell für KI-Systeme, die in Anhang III Nr. 2-8 genannt sind.
Die interne Kontrolle erfolgt ohne Beteiligung einer Benannten Stelle, umfasst jedoch die folgenden Aufgaben:
- Durchführung interner Kontrollen und Überprüfung der Dokumentation
- Überprüfung der Einhaltung aller Anforderungen für hohe Risiken
- Führung einer vollständigen technischen Dokumentation
- Sicherstellung von Qualitätsmanagementprozessen über den gesamten Lebenszyklus
Verfahren B – Bewertung durch Dritte (Anhang VII)
Erforderlich, wenn keine relevanten harmonisierten Normen oder gemeinsamen Spezifikationen für die Anwendung durch Anbieter von KI-Systemen gemäß Anhang III Nr. 1 verfügbar sind.
Dieses Verfahren umfasst:
- Bewertung des Qualitätsmanagementsystems
- Bewertung der technischen Dokumentation
- Eine detaillierte Bewertung durch eine benannte Stelle
Rolle von prEN 18285
Die neue Norm prEN 18285 AI Conformity Assessment Framework unterstützt die Konformitätsbewertung, indem sie einen strukturierten Rahmen für die Bewertung nicht nur der technischen Dokumentation, sondern auch der QMS-Reife, der Prozesskontrollen und der Mechanismen zur Einhaltung des Lebenszyklus bietet. Sie hilft Benannten Stellen, die Anforderungen von Anhang VII umzusetzen und eine einheitliche Vorgehensweise bei den Bewertungen zu erreichen. Sie umfasst:
- Bewertungsphasen und Kontrollpunkte
- Erforderliche Nachweistypen für jede Anforderung des AI Acts
- Rollen und Verantwortlichkeiten zwischen Anbieter und Bewertungsstelle
- Leitlinien für Benannte Stellen zur Audit-Tiefe und Stichprobenentnahme
- Vorlagen für Konformitätsbewertungsberichte und Dokumentationsprüfungen
Fazit
Die Konformitätsbewertungsmechanismen gemäß Art. 43 schaffen einen robusten Sicherungsrahmen für Hoch-Risiko KI-Systeme. Anbieter müssen sorgfältig prüfen, welches Verfahren für ihr System gilt, alle erforderlichen technischen und organisatorischen Sicherheitsvorkehrungen treffen und eine umfassende Dokumentation erstellen, die mit dem AI Act und prEN 18285 im Einklang steht.
