KI-Verordnung Compliance für Entwickler
Welche Pflichten der KI-Verordnung Entwicklerinnen und Entwickler in Hochrisiko-KI-Systeme einbauen, und drei Leitfäden zu Audit-Trails, CI/CD-Pipelines und regelbasiertem Scannen.
Anbieter von Hochrisiko-KI-Systemen müssen Protokollierung (Artikel 12), menschliche Aufsicht (Artikel 14), Genauigkeit und Cybersicherheit (Artikel 15) sowie aktuelle technische Dokumentation (Artikel 11) einbauen. Betreiber bewahren Protokolle auf (Artikel 26 Absatz 6).
Diese Pflichten gelten ab 2. Dezember 2027 (Anhang III) und ab 2. August 2028 (Anhang I). Artikel 2 nennt Ausnahmen. Geldbußen betragen bis zu 15 Mio. EUR oder 3 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist (Artikel 99 Absatz 4). Nächster Schritt: Wählen Sie unten den Leitfaden für Ihre Aufgabe.
Drei Leitfäden: Protokolle, Pipeline-Prüfungen und regelbasiertes Scannen
KI-Verordnung-Compliance in Ihrer CI/CD-Pipeline
Was die Verordnung verlangt und eine CI/CD-Pipeline belegen kann, drei Pipeline-Stufen, wie das GitHub Merge Gate von Scanara funktioniert und wo regelbasierte Scans enden.
Compliance as Code für KI-Systeme
Wie Compliance as Code für die Artikel 9 bis 15 funktioniert: was eine Regel prüfen kann, was bei einem Menschen bleibt und was die regelbasierten Scans von Scanara abdecken und was nicht.
Audit-Trail-Anforderungen der KI-Verordnung
Was die Artikel 12, 19 und 26 Absatz 6 an Protokollierung verlangen, was die Verordnung offenlässt und welche technischen Praktiken Protokolle als Beweismittel schützen.
KI-Verordnung Compliance-Checkliste
Eine Checkliste der Pflichten aus der Verordnung (EU) 2024/1689 nach Rolle und Risikoklasse, mit dem Artikel zu jedem Punkt.
Ausnahmen, ältere Systeme und Obergrenzen für Geldbußen
Die Verordnung gilt nicht für KI-Systeme, die ausschließlich für militärische Zwecke, Verteidigungszwecke oder Zwecke der nationalen Sicherheit verwendet werden (Artikel 2 Absatz 3). Sie gilt nicht für KI-Systeme, die eigens und allein für die wissenschaftliche Forschung und Entwicklung entwickelt und in Betrieb genommen werden (Artikel 2 Absatz 6), und nicht für Forschung, Tests und Entwicklung vor dem Inverkehrbringen oder der Inbetriebnahme, außer für Tests unter Realbedingungen (Artikel 2 Absatz 8). KI-Systeme unter freien und quelloffenen Lizenzen sind ausgenommen, außer wenn sie als Hochrisiko-KI-Systeme in Verkehr gebracht oder in Betrieb genommen werden oder unter Artikel 5 oder 50 fallen (Artikel 2 Absatz 12). Natürliche Personen, die ein System im Rahmen einer rein persönlichen und nicht beruflichen Tätigkeit verwenden, sind nicht als Betreiber gebunden (Artikel 2 Absatz 10). Für Hochrisiko-Systeme im Zusammenhang mit Produkten nach Rechtsvorschriften des Anhangs I Abschnitt B, etwa Kraftfahrzeugen, Luftfahrt, Eisenbahn, Schiffsausrüstung, land- und forstwirtschaftlichen Fahrzeugen und Maschinen, gelten nur Artikel 6 Absatz 1, Artikel 60a und die Artikel 102 bis 112. Die Artikel 57 bis 59 gelten nur, soweit diese Rechtsvorschriften die Anforderungen übernehmen (Artikel 2 Absatz 2).
Hochrisiko-Systeme, die vor dem Geltungstermin in Verkehr gebracht oder in Betrieb genommen wurden, erfasst die Verordnung erst nach erheblichen Konzeptionsänderungen. In jedem Fall treffen Anbieter und Betreiber von Hochrisiko-KI-Systemen, die bestimmungsgemäß von Behörden verwendet werden sollen, die erforderlichen Maßnahmen zur Einhaltung bis zum 2. August 2030 (Artikel 111 Absatz 2).
Bei KMU gilt für jede Geldbuße der niedrigere Prozentsatz oder Betrag als Obergrenze (Artikel 99 Absatz 6). Für kleine Midcap-Unternehmen (Artikel 3 Nummer 14b) gilt dieselbe Obergrenze für Geldbußen nach Artikel 99 Absätze 4 und 5 (Artikel 99 Absatz 6a). Die Stufe mit 15 Mio. EUR umfasst auch die Pflichten von Anbietern und Akteuren nach Artikel 25 Absätze 2 und 4 (Artikel 99 Absatz 4 Buchstabe da).
Scanara bereitet Nachweise aus Ihren Repositorien vor
Scanara liest Ihre verbundenen GitHub-Repositorien und führt regelbasierte Scans auf gängige KI- und Machine-Learning-Muster durch. Unübliche Codemuster kann es übersehen. Getrennt davon erzeugt es aus Vorlagen und Ihren Antworten in der Bewertung Dokumentationsentwürfe als Nachweise für Ihre Compliance-Arbeit. Die Einstufung entscheiden Sie.