EU-KI-Verordnung für CTOs
Für CTOs von KI-Anbietern: die Pflichten der KI-Verordnung für die Entwicklung und was Scanara im Code prüft. Nächster Schritt: Beispielbericht öffnen.
Was die KI-Verordnung von der Entwicklung verlangt
Anbieter von Hochrisiko-KI-Systemen setzen die Artikel 8 bis 15 um
Sie betreffen Risikomanagement, Daten-Governance, Protokollierung, Gebrauchsanweisung, menschliche Aufsicht, Genauigkeit, Robustheit und Cybersicherheit. Sie gelten ab 2. Dezember 2027 (Systeme nach Anhang III) oder 2. August 2028 (Produkte nach Anhang I) (Artikel 113 Buchstabe c).
Dokumentation und Qualitätsmanagement gehören dazu
Anbieter führen außerdem die technische Dokumentation (Artikel 11, Anhang IV) und betreiben ein Qualitätsmanagementsystem (Artikel 17). Die Dokumentation bewahren sie 10 Jahre auf (Artikel 18).
Die Einstufung entscheidet, welche Pflichten gelten
Ein System ist nur über Anhang III oder Anhang I hochriskant (Artikel 6). Stufen Sie jedes System zuerst ein. Artikel 5 listet verbotene Praktiken auf, die seit 2. Februar 2025 gelten.
Was Scanara für Entwicklungsteams leistet
Ein Check bei jedem Pull Request
Scanara meldet bei jedem Pull Request einen GitHub-Check und verlinkt den vollständigen Bericht. Im Audit-Modus wird nur berichtet. Im Blocking-Modus schlägt der Check oberhalb Ihrer Schwellenwerte fehl.
Code-Scan gegen die Anforderungen der Verordnung
Aus dem Verordnungstext erzeugte Regeln suchen in Ihrem Code nach Standardmustern von ML-Frameworks. Eigene Wrapper und verschleierter Code können übersehen werden.
Entwurf der technischen Dokumentation
Scanara erzeugt aus Ihren Angaben und Bewertungsantworten einen Entwurf der Dokumentation nach Anhang IV. Ihr Team ergänzt und prüft ihn.
Inventar mit dokumentierter Einstufung
Sie erfassen jedes KI-System. Scanara hält die Risikoeinstufung und Ihre Begründung fest. Die Einstufung entscheidet Ihr Team.
Stichtag und Obergrenze der Geldbuße
2. Dezember 2027
Ab diesem Tag gelten die Hochrisiko-Regeln für Systeme nach Anhang III, für Produkte nach Anhang I ab 2. August 2028 (Artikel 113 Buchstabe c).
15 Mio. EUR oder 3 %
Obergrenze bei Verstößen gegen Anbieter- und Betreiberpflichten: bis zu 15 Mio. EUR oder, bei Unternehmen, bis zu 3 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist (Artikel 99 Absatz 4). Für KMU und kleine Midcap-Unternehmen gilt der niedrigere Betrag als Obergrenze (Artikel 99 Absätze 6 und 6a).
Fragen von CTOs
Welche Pflichten der KI-Verordnung betreffen mein Entwicklungsteam?
Das hängt von Ihrer Rolle ab und davon, ob das System hochriskant ist. Anbieter von Hochrisiko-KI-Systemen erfüllen die Artikel 8 bis 15 und Artikel 17 (Artikel 16). Betreiber folgen Artikel 26: Sie nutzen das System gemäß der Gebrauchsanweisung, übertragen die menschliche Aufsicht und bewahren die ihrer Kontrolle unterliegenden Protokolle mindestens sechs Monate auf, sofern nicht anderes Recht etwas anderes vorsieht.
Ab wann gelten die Hochrisiko-Regeln für unsere Systeme?
Ab 2. Dezember 2027 für Systeme nach Anhang III und ab 2. August 2028 für Produkte nach Anhang I (Artikel 113 Buchstabe c). Ein früher in Verkehr gebrachtes oder in Betrieb genommenes Hochrisiko-KI-System ist erst nach wesentlichen Konstruktionsänderungen erfasst. In jedem Fall treffen Anbieter und Betreiber von Hochrisiko-KI-Systemen, die bestimmungsgemäß von Behörden verwendet werden sollen, die erforderlichen Maßnahmen zur Einhaltung bis zum 2. August 2030 (Artikel 111 Absatz 2).
Gibt es das Merge-Gate im Free-Tarif?
Nein. Der Free-Tarif enthält kein Merge-Gate und erlaubt insgesamt 5 Scans, 1 KI-System und 2 Repositories. Der Team-Tarif enthält das Merge-Gate für 1 Repository, der Business-Tarif für alle Repositories.
Kann Scanara uns sagen, ob unser System hochriskant ist?
Nein. Scanara strukturiert die Einstufung und hält Ihre Begründung fest. Ihr Team entscheidet, bei hohem Risiko mit Rechtsberatung. Derselbe Code kann je nach Zweckbestimmung hochriskant sein oder nicht.
Bedeutet ein bestandener Scan, dass wir die Verordnung einhalten?
Nein. Ein Scan prüft Codemuster und erforderliche Dokumentinhalte. Er kann das tatsächliche Verhalten nicht bestätigen, und ein bestandener Scan erfüllt keine Pflicht.
Als Nächstes lesen
Sehen Sie einen Beispiel-Scanbericht
Die Demo zeigt einen echten, anonymisierten Compliance-Bericht und eine Produktführung.
Scanara bereitet Nachweise aus Ihren Repositorien vor
Scanara liest Ihre verbundenen GitHub-Repositorien und führt regelbasierte Scans auf gängige KI- und Machine-Learning-Muster durch. Unübliche Codemuster kann es übersehen. Getrennt davon erzeugt es aus Vorlagen und Ihren Antworten in der Bewertung Dokumentationsentwürfe als Nachweise für Ihre Compliance-Arbeit. Die Einstufung entscheiden Sie.