Methode
Fünf Schritte, in jedem Feld dieselben.
Jede Norm stellt im Kern dieselbe Frage: Woher wissen wir, dass dieses System tut, was es soll, und wie belegen wir es gegenüber jemandem, der uns nicht glauben muss? Die Methode beantwortet sie in fünf Schritten.
Schritt 01
Gegenstand bestimmen
Was genau ist der Gegenstand?
Systemgrenze, Inventar, Rolle im Rechtssinn. Der Schritt, der am häufigsten übersprungen wird und die meisten späteren Streitigkeiten verursacht.
Leitfragen
- Welche Systeme, Prozesse und Standorte gehören dazu, welche nicht?
- Welche Rolle hat das Unternehmen: Hersteller, Betreiber, Anbieter, Dienstleister?
- Wer verantwortet was, und wer entscheidet am Ende?
Zum Beispiel Ein KI-Inventar, das auch die KI in zugekaufter Software erfasst.
Systemgrenze und Inventar
Schritt 02
Einstufen
Wie kritisch ist es?
Eine belastbare Einstufung entscheidet über den gesamten Aufwand danach. Sie nimmt legitim Arbeit weg, statt alles gleich kritisch zu behandeln.
Leitfragen
- Was passiert, wenn das System falsch arbeitet oder ausfällt?
- Welche Regeln greifen dadurch, und welche ausdrücklich nicht?
- Wo genügt eine Basis-Absicherung, wo braucht es mehr?
Zum Beispiel Einstufung je KI-System nach EU AI Act, Schutzbedarf je Prozess, GAMP-Kategorie je System.
Einstufung mit Begründung
Schritt 03
Pflichten ableiten
Was folgt daraus, und was ausdrücklich nicht?
Ergebnis ist eine begründete Liste, keine Norm-Abschrift.
Leitfragen
- Was ist verpflichtend, was empfohlen, was entfällt mit Begründung?
- Was ist schon vorhanden und wird angerechnet?
- In welcher Reihenfolge, nach Dringlichkeit?
Zum Beispiel Eine Erklärung zur Anwendbarkeit nach ISO/IEC 42001 mit Begründung für jede Maßnahme.
Begründete Pflichtenliste
Schritt 04
Nachweise erzeugen
Was nimmt ein Prüfer in die Hand?
Spezifikationen, Tests, Protokolle, Nachvollziehbarkeit. Erst hier entsteht, was ein Prüfer in die Hand nimmt.
Leitfragen
- Welche Unterlage braucht der Prüfer, der Kunde, die Behörde?
- Wie hängen Anforderung, Test und Ergebnis zusammen?
- Wer prüft, wer gibt frei?
Zum Beispiel Eine Nachweiskette von der Zweckbestimmung eines KI-Systems bis zum Testergebnis.
Prüffeste Unterlagen
Schritt 05
Prüfbar halten
Wie bleibt es wahr?
Änderungsverfahren, Wirksamkeitsmessung, interne Audits, Maßnahmenverfolgung. Ohne diesen Schritt verfällt alles Vorherige innerhalb eines Jahres.
Leitfragen
- Wie werden Änderungen bewertet, bevor sie wirken?
- Woran lässt sich messen, dass Maßnahmen wirken?
- Wann wird intern geprüft, wann extern?
Zum Beispiel Ein Prüfzyklus, der erkennt, wenn sich Zweck, Daten oder Modell eines KI-Systems ändern, statt einer Aktion kurz vor dem Audit.
Prüfzyklus
Warum die Einstufung das Geschäft trägt
Die meisten Unternehmen machen einen von zwei Fehlern. Sie behandeln alles gleich kritisch, dann wird es teuer und niemand hält es durch. Oder sie tun nichts, dann steht die Geschäftsleitung im Risiko. Eine begründete, dokumentierte Einstufung vermeidet beides. Sie zeigt, was verpflichtend ist und was ausdrücklich nicht.
Dieselbe Prüfung, wechselnder Gegenstand
Eine Methode, vier Fachgebiete.
| Schritt | Künstliche Intelligenz | Informationssicherheit | Betriebskontinuität | Validierung in der Pharmaproduktion |
|---|---|---|---|---|
| 01Gegenstand | KI-Inventar, Rolle als Anbieter oder Betreiber, Zweckbestimmung | Anwendungsbereich und Strukturanalyse nach BSI 200-2 | Kritische Prozesse und ihre Abhängigkeiten | GxP-Relevanz und Systeminventar |
| 02Einstufen | Verbotene Praktiken (Art. 5), Hochrisiko (Art. 6, Anhang III) | Schutzbedarfsfeststellung | Ausfalltoleranzen (MTPD, RTO, RPO) | GAMP-Kategorie und Risikoklasse |
| 03Pflichten | Anforderungen und Qualitätsmanagement nach dem EU AI Act | Statement of Applicability, Maßnahmenplan | Notfallkonzept und Wiederanlaufstrategie | Umfang der Qualifizierung |
| 04Nachweise | Technische Dokumentation, Protokollierung, menschliche Aufsicht | Richtlinien, Protokolle, Aufzeichnungen | Wiederanlaufpläne, Notfallhandbuch, Alarmierungsmatrix | URS, Testfälle, Traceability-Matrix |
| 05Prüfbar halten | Beobachtung nach Inverkehrbringen, Schulungsnachweis | Wirksamkeitsmessung, internes Audit, Management-Review | Notfallübung, Aktualisierung der Auswirkungsanalyse | Change Control, Revalidierung |
Die Prüfung bleibt dieselbe. Nur der Gegenstand wechselt.
Beispiel
Wie wird ein KI-System nach dem EU AI Act eingestuft?
Sechs Fragen, in der Reihenfolge, in der ich sie auch im Mandat stelle. Das Ergebnis ist eine mögliche Einordnung, keine Rechtsberatung.
- Rolle
- Zweck
- Verbotene Praktiken
- Hochrisiko, erster Weg
- Hochrisiko, zweiter Weg
- Ausnahme begründen
Frage 1 von 6
Bringen Sie das KI-System unter eigenem Namen in Verkehr, oder setzen Sie ein zugekauftes System ein?
Dieses Beispiel ersetzt keine Prüfung im Einzelfall und keine Rechtsberatung. Ihre Antworten werden nicht gespeichert und nicht übertragen.