Was ist die Konformitätsbewertung von KI?
Bevor ein hochriskantes KI-System auf den Markt kommt, muss jemand es gegen die Regeln überprüfen. Die Konformitätsbewertung ist diese Überprüfung — und was sie benötigt, sind Nachweise.
Die Konformitätsbewertung ist die strukturierte Überprüfung, ob ein KI-System die geltenden regulatorischen Anforderungen erfüllt. Je nach System und Regime kann sie vom Anbieter unter innerer Kontrolle oder von einer unabhängigen Stelle durchgeführt werden. Sie prüft die technische Dokumentation, das Qualitätsmanagementsystem und Beweise dafür, wie das System tatsächlich funktioniert. Es wird erwartet, dass die in Entwicklung befindlichen Standards beeinflussen, wonach Gutachter fragen und wie sie dies bewerten.
Wer führt die Bewertung durch
Es hängt vom System ab. Viele Hochrisikosysteme werden vom Anbieter selbst im Rahmen eines internen Kontrollverfahrens bewertet, mit der Verpflichtung, vollständige Dokumentationen zu führen und diese auf Anfrage vorzulegen. Andere erfordern eine unabhängige Stelle. In jedem Fall ist der Inhalt ähnlich: ein definierter Satz von Anforderungen, Dokumentationen, die jede Anforderung ansprechen, und Nachweise, dass die Beschreibung mit der Realität übereinstimmt.
Was eine Bewertung untersucht
Im Großen und Ganzen drei Dinge. Dokumentation — beschreibt sie das System, seinen Zweck, seine Risiken und seine Kontrollen vollständig genug, damit jemand anderes es bewerten kann? Management — gibt es ein funktionierendes Qualitätssystem anstelle einer Ansammlung von Dateien? Beweise — entspricht das tatsächliche Verhalten des Systems dem, was beschrieben wurde, geprüft durch Aufzeichnungen spezifischer Fälle anstelle von Behauptungen über allgemeines Verhalten? Das Letzte davon ist der Bereich, in dem Compliance-Beweise ihre Arbeit leisten.
Bewertung ist kein einmaliges Ereignis.
Ein System, das sich nach der Bewertung wesentlich ändert, muss möglicherweise neu bewertet werden, und Verpflichtungen bestehen auch nach dem Markteintritt: Überwachung, Vorfallberichterstattung und Aufbewahrung von Unterlagen. Eine Bewertung stellt einen Zustand zu einem bestimmten Zeitpunkt fest; diesen Zustand aufrechtzuerhalten ist eine fortlaufende Pflicht, weshalb Praktiken zur Aufbewahrung von Unterlagen wichtiger sind als eine einzige erfolgreiche Überprüfung.
Warum Standards hier wichtig sind
Regulatorische Texte formulieren Anforderungen in allgemeinen Begriffen; Standards übersetzen sie in überprüfbare Details. Wo ein Standard formal anerkannt ist, kann die Befolgung eine Vermutung tragen, dass die entsprechende Anforderung erfüllt ist — was Standards zum praktischen Weg macht, den die meisten Organisationen einschlagen, und ihren Inhalt ungewöhnlich folgenschwer macht. Mehrere relevante Standards sind noch in der Entwurfsphase, sodass die Anforderungen, die Prüfer stellen werden, noch nicht vollständig festgelegt sind. Wie die Zertifizierung von Managementsystemen mit der Regulierung zusammenhängt, ist eine häufige Verwirrung, die in ISO 42001 vs dem EU AI Act aufgeklärt wird — und die umfassenderen Verpflichtungen finden sich im EU AI Act Leitfaden.
Was Bewertung verbraucht
Vier Eingaben, ungefähr in der Reihenfolge, in der ein Prüfer sie durchgeht.
Technische Dokumentation
Was das System ist, wofür es dient, wie es aufgebaut wurde, welche Risiken identifiziert wurden und welche Kontrollen diese adressieren.
Qualitätsmanagement
Evidenz, dass Entwicklung und Veränderung von einem funktionierenden Prozess und nicht von einem aspirationalen gesteuert werden.
Fallbezogene Aufzeichnungen
Aufzeichnungen individueller Entscheidungen, die verwendet werden, um zu überprüfen, ob das Verhalten der Beschreibung entspricht. Stichproben sind gängige Praxis.
Marktunterlagen
Überwachung, Vorfälle und Korrekturmaßnahmen, die zeigen, dass das System immer noch das System ist, das bewertet wurde.
Der dritte Input ist der Bereich, in dem die meisten Organisationen am schwächsten sind, da er nicht nachträglich erfasst werden kann — er muss erfasst worden sein, während das System lief.
Konformitätsbewertung: häufige Fragen
Ist die Konformitätsbewertung dasselbe wie die Zertifizierung?
Nein. Die Zertifizierung wird von einer akkreditierten Stelle gemäß einem bestimmten Standard ausgestellt. Die Konformitätsbewertung im Rahmen einer Verordnung ist ein umfassenderer Prozess und wird für viele Systeme vom Anbieter selbst durchgeführt. Die Bereitschaft für das eine führt nicht automatisch zum anderen.
Macht eine ISO-Zertifizierung ein System konform?
Nein. Eine Zertifizierung des Managementsystems zeigt, dass Governance-Prozesse existieren und befolgt werden. Es ist nützliches unterstützendes Material, aber es behandelt andere Fragen als die Anforderungen einer Regulierung für ein spezifisches System.
Wer kann eine Bewertung durchführen?
Für viele Hochrisikosysteme liegt der Anbieter unter interner Kontrolle. Einige Kategorien erfordern eine unabhängige Stelle. Das anwendbare Regime bestimmt, welcher Weg gilt — dies ist eine Frage, die frühzeitig geklärt werden sollte, da sie beeinflusst, was Sie produzieren müssen.
Was löst eine Neubewertung aus?
Typischerweise handelt es sich um eine wesentliche Änderung des Systems oder seines vorgesehenen Zwecks. Routinemäßige Schulungen innerhalb der beschriebenen Parameter führen normalerweise nicht dazu; eine Änderung des Verwendungszwecks des Systems hingegen schon.
Wie weit zurück reicht eine Bewertung?
Weit genug, um die geltende Aufbewahrungsfrist abzudecken, die in Jahren gemessen wird. Deshalb müssen Aufzeichnungen aufbewahrt und vorlegbar sein, anstatt nur zu existieren.
Kann das Tool die Bewertung für uns durchführen?
Nein. Werkzeuge können die Beweise produzieren und organisieren, die eine Bewertung benötigt. Die Bewertung selbst ist ein Urteil, das von Menschen gefällt wird — dem eigenen qualifizierten Personal des Anbieters oder einer unabhängigen Stelle.
Was ist, wenn die Standards noch nicht fertig sind?
Dann werden die Anforderungen auf andere Weise erfüllt, dokumentiert und gerechtfertigt. Organisationen, die jetzt bauen, verfolgen in der Regel die Entwürfe, da die Entwürfe anzeigen, was die Prüfer letztendlich erwarten werden.
Verwandte Themen der KI-Governance
KI-Governance
Die Dachdisziplin: Wie Organisationen KI-Agenten zur Rechenschaft ziehen, beobachtbar und konform machen — starten Sie hier.
KI-Beobachtbarkeit
Sehen, was Ihre KI-Systeme in der Produktion tun — Metriken, Spuren und Protokolle.
LLM-Beobachtbarkeit
Überwachung von Prompts, Token, Latenz und Qualität von Anrufen großer Sprachmodelle.
KI-Nachvollziehbarkeit
Rekonstruktion der vollständigen Herkunft eines KI-Ausgabewerts — Eingaben, Schritte und Entscheidungen.
LLM-Nachvollziehbarkeit
End-to-End-Spuren von mehrschrittigen LLM- und Prompt-Ketten.
KI-Agenten-Beobachtbarkeit
Beobachtbarkeit für autonome, mehrschrittige Agenten — Werkzeugaufrufe, Pläne und Entscheidungen.
Agentische KI-Governance
Regierung von autonomen Agenten: Richtlinie, Aufsicht und rechenschaftspflichtige Autonomie.
KI-Prüfspur
Anhängige, manipulationsfesten Aufzeichnungen dessen, was ein KI-System entschieden und warum.
KI-Agenten-Überwachung
Echtzeit-Überwachung des Agentenverhaltens, Drift und Entscheidungsqualität.
Erklärbares KI (XAI)
Machen von KI-Entscheidungen verständlich für die Menschen, die dafür verantwortlich sind.
KI-TRiSM
Gartners Rahmenwerk für KI-Vertrauen, Risiko- und Sicherheitsmanagement.
Entscheidungsabruf
GraphRAG für Agenten — Abrufen vergangener Entscheidungen als begrenzte, überprüfbare Pakete.
Entscheidungsprotokoll
Das dauerhafte Dokument einer KI-Entscheidung — Begründung, Beweise, Richtlinien und Genehmigung in einer einzigen Datei.
KI-Konformitätsnachweis
Was Prüfer tatsächlich verlangen und warum Richtliniendokumente keine Beweise sind.
Entscheidungsnachverfolgung
Erfassung der strukturierten Argumentation hinter jeder KI-Entscheidung — Kategorie von AI Agentree.
KI-Präzedenzsysteme
Ermöglichen es Agenten, aus vergangenen Entscheidungen zu lernen als durchsuchbare Präzedenzfälle.
Entscheidungsprüfpfade
Wie menschliche Teams festhalten, warum eine Entscheidung getroffen wurde – das Überlegungsgegenstück zu einem KI-Prüfpfad.
Transparente KI
Die Modellbegründung prüfbar machen und was sich ändert, wenn mehrere Modelle miteinander verglichen werden.
Multi-Agenten-Simulation
Viele KI-Personas gegen ein Szenario laufen lassen, um Risiken zu erkennen, bevor eine Entscheidung getroffen wird.
Sei bereit für die Beweisfrage.
Die Dokumentation kann später geschrieben werden. Die Fallakten können das nicht — sie müssen existieren, bevor jemand fragt.
Erkunde die Plattform