Skip to main content

Artikel 13 KI-Verordnung: Transparenz und Betriebsanleitung

Artikel 13 verlangt, dass Anbieter den Betreibern eine Betriebsanleitung mitgeben. Der Leitfaden listet auf, was sie enthalten muss und was Betreiber damit tun.

Anbieter von Hochrisiko-KI-Systemen müssen den Betreibern eine Betriebsanleitung und ein transparentes System bereitstellen (Artikel 13).

Das gilt für in der EU in Verkehr gebrachte oder in Betrieb genommene Systeme. Es gilt ab 2. Dezember 2027 (Anhang III) und ab 2. August 2028 (Anhang I). Betreiber (Organisationen, die das System einsetzen) müssen Ausgaben interpretieren können (Artikel 13 Absatz 1). Die Betriebsanleitung muss den Anbieter nennen, die getestete Genauigkeit und bekannte Risiken angeben und die menschliche Aufsicht beschreiben (Artikel 13 Absatz 3). Geldbußen betragen bis zu 15 Mio. EUR oder 3 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist (Artikel 99 Absatz 4). Nächster Schritt: Prüfen Sie Ihre Betriebsanleitung anhand von Artikel 13 Absatz 3.

Die Betriebsanleitung muss mindestens diese Angaben enthalten

Artikel 13 Absatz 3 listet den Mindestinhalt in den Buchstaben a bis f auf. Die Karten unten fassen diese Punkte zusammen. Die Betriebsanleitung muss präzise, vollständig, korrekt und eindeutig sein, in einem geeigneten digitalen Format oder auf andere Weise (Artikel 13 Absatz 2).

Name und Kontaktangaben des Anbieters

Geben Sie den Namen und die Kontaktangaben des Anbieters und, falls vorhanden, seines Bevollmächtigten an (Artikel 13 Absatz 3 Buchstabe a).

Zweckbestimmung und getestete Leistung

Geben Sie die Zweckbestimmung an. Nennen Sie das Maß an Genauigkeit, Robustheit und Cybersicherheit, für das das System getestet und validiert wurde und das zu erwarten ist, mit den Metriken. Ergänzen Sie die Umstände, die dieses Maß beeinflussen können (Artikel 13 Absatz 3 Buchstabe b Ziffern i und ii).

Bekannte Risiken und vorhersehbare Fehlanwendung

Beschreiben Sie bekannte oder vorhersehbare Umstände, auch bei vernünftigerweise vorhersehbarer Fehlanwendung, die zu Risiken für Gesundheit, Sicherheit oder Grundrechte führen können (Artikel 13 Absatz 3 Buchstabe b Ziffer iii).

Erläuterung, Personengruppen und Daten

Beschreiben Sie, soweit zutreffend oder angemessen, wie das System seine Ausgabe erläutert, wie es bei bestimmten Personen oder Personengruppen abschneidet, welche Spezifikationen die Eingabedaten haben und welche Trainings-, Validierungs- und Testdaten verwendet wurden (Artikel 13 Absatz 3 Buchstabe b Ziffern iv bis vii).

Vom Anbieter vorab bestimmte Änderungen

Führen Sie die Änderungen am System und seiner Leistung auf, die Sie bei der ersten Konformitätsbewertung (der Prüfung vor dem Start, ob das System die Verordnung erfüllt) vorab bestimmt haben, falls es sie gibt (Artikel 13 Absatz 3 Buchstabe c).

Maßnahmen zur menschlichen Aufsicht

Beschreiben Sie die Maßnahmen zur menschlichen Aufsicht nach Artikel 14, einschließlich der technischen Maßnahmen, die Betreibern die Interpretation der Ausgaben erleichtern (Artikel 13 Absatz 3 Buchstabe d).

Ressourcen, Lebensdauer, Wartung und Protokolle

Geben Sie die erforderlichen Rechen- und Hardware-Ressourcen, die erwartete Lebensdauer und die Wartung samt Häufigkeit und Software-Updates an (Artikel 13 Absatz 3 Buchstabe e). Beschreiben Sie, wo relevant, die Mechanismen, mit denen Betreiber Protokolle nach Artikel 12 erfassen, speichern und auswerten können (Artikel 13 Absatz 3 Buchstabe f).

Vier Wege, die Betriebsanleitung korrekt zu halten

Artikel 13 regelt den Inhalt, nicht den Ablauf. Diese vier Praktiken halten die Betriebsanleitung vollständig und aktuell.

Aus vorhandenen Unterlagen entwerfen

Übernehmen Sie Systemfakten aus Model Cards, Datenblättern und Evaluierungsberichten, und halten Sie die Betriebsanleitung neben dem Code in der Versionsverwaltung.

Grenzen und Änderungen nachhalten

Halten Sie jede bekannte Grenze und jeden Fehlermodus in einem Änderungsprotokoll fest. Aktualisieren Sie die Betriebsanleitung bei jeder Änderung des Systems.

Leistung je Personengruppe angeben

Geben Sie, soweit angemessen, die Leistung des Systems für die bestimmten Personen oder Personengruppen an, auf die es angewandt werden soll (Artikel 13 Absatz 3 Buchstabe b Ziffer v).

Erklären, wie Ausgaben zu lesen sind

Erklären Sie den Betreibern, wie sie Ausgaben interpretieren, zum Beispiel mit Konfidenzwerten oder Erklärungen, sofern das System sie liefert, und welche Maßnahmen zur menschlichen Aufsicht gelten (Artikel 13 Absatz 3 Buchstabe b Ziffer vii und Buchstabe d).

Betreiber nutzen die Betriebsanleitung, um ihre eigenen Pflichten zu erfüllen

Betreiber müssen geeignete technische und organisatorische Maßnahmen treffen, um das System entsprechend seiner Betriebsanleitung zu verwenden (Artikel 26 Absatz 1). Sie nutzen die Informationen nach Artikel 13 außerdem für ihre Datenschutz-Folgenabschätzung, wenn eine nötig ist (Artikel 26 Absatz 9). Ein Betreiber kann nur befolgen, was in der Betriebsanleitung steht.

Artikel 13 gilt nur für Hochrisiko-KI-Systeme

Ein System ist hochriskant, wenn es in einen Bereich von Anhang III fällt, sofern keine Ausnahme nach Artikel 6 Absatz 3 greift. Ein System, das natürliche Personen profiliert, ist immer hochriskant. Hochriskant ist ein System auch, wenn es ein Produkt aus Anhang I ist oder dessen Sicherheitsbauteil und eine Konformitätsbewertung durch Dritte braucht (Artikel 6). Anbieter sind erfasst, wenn sie ein System in der EU in Verkehr bringen oder in Betrieb nehmen, gleichgültig, wo sie niedergelassen sind (Artikel 2 Absatz 1 Buchstabe a). Anbieter und Betreiber in Drittländern sind auch erfasst, wenn die Ausgabe des Systems in der EU verwendet wird (Artikel 2 Absatz 1 Buchstabe c). Hochrisiko-Systeme, die zu Produkten nach den Rechtsvorschriften in Anhang I Abschnitt B gehören, fallen nicht unter Artikel 13 (Artikel 2 Absatz 2). Für Produkte nach Anhang I Abschnitt A können einzelne Anforderungen eingeschränkt werden (Artikel 2 Absatz 13). Das betrifft die Artikel 9 bis 15 und 17 bis 25, wenn das Fachrecht ein gleichwertiges oder höheres Schutzniveau bietet. Delegierte Rechtsakte, die bis zum 2. August 2027 erlassen werden, legen fest, welche. Ausgenommen sind militärische, Verteidigungs- und nationale Sicherheitszwecke, Systeme, die allein für die wissenschaftliche Forschung entwickelt wurden, sowie Forschung und Tests vor dem Inverkehrbringen (Artikel 2 Absätze 3, 6 und 8). Systeme, die schon vor dem Geltungsbeginn in Verkehr gebracht oder in Betrieb genommen wurden, sind nur nach erheblichen Konzeptionsänderungen erfasst. In jedem Fall treffen Anbieter und Betreiber von Hochrisiko-KI-Systemen, die bestimmungsgemäß von Behörden verwendet werden sollen, die erforderlichen Maßnahmen zur Einhaltung bis zum 2. August 2030 (Artikel 111 Absatz 2).

Häufige Fragen: Format, Open Source, Model Cards und Geldbußen

Welches Format muss die Betriebsanleitung haben?

Die Verordnung schreibt kein Dateiformat vor. Artikel 13 Absatz 2 verlangt ein geeignetes digitales Format oder eine andere geeignete Form, mit präzisen, vollständigen, korrekten und eindeutigen Informationen, die für Betreiber zugänglich und verständlich sind. Ein PDF, eine Webseite oder eine mit der Software gelieferte Dokumentation kann das erfüllen, wenn sie vollständig und klar ist.

Gilt Artikel 13 für Open-Source-KI?

Nur, wenn das System als Hochrisiko-KI-System in Verkehr gebracht oder in Betrieb genommen wird (Artikel 2 Absatz 12). Dann muss der Anbieter eine Betriebsanleitung mitliefern, auch wenn der Code öffentlich ist.

Wie unterscheidet sich Artikel 13 von der technischen Dokumentation nach Artikel 11?

Die technische Dokumentation nach Artikel 11 wird vor dem Inverkehrbringen erstellt (Artikel 11 Absatz 1). Sie zeigt Behörden und notifizierten Stellen (unabhängigen Prüfstellen), dass das System die Anforderungen erfüllt. Die Betriebsanleitung nach Artikel 13 geht an die Betreiber, damit sie das System richtig verwenden.

Was gilt, wenn der Betreiber die Betriebsanleitung ignoriert?

Der Anbieter muss eine korrekte Betriebsanleitung liefern (Artikel 13), und der Betreiber muss das System entsprechend verwenden (Artikel 26 Absatz 1). Ein Betreiber, der das nicht tut, verletzt seine eigene Pflicht und kann mit Geldbußen bis zu 15 Mio. EUR oder 3 % des weltweiten Jahresumsatzes belegt werden, je nachdem, welcher Betrag höher ist (Artikel 99 Absatz 4).

Reicht eine Model Card als Betriebsanleitung?

Nur, wenn sie jeden Punkt aus Artikel 13 Absatz 3 abdeckt, einschließlich Kontaktangaben des Anbieters, Maßnahmen zur menschlichen Aufsicht und Wartung. Vergleichen Sie Ihre Model Card mit den Karten oben und ergänzen Sie, was fehlt.

Welche Geldbußen drohen, und gilt für KMU eine niedrigere Obergrenze?

Bei Anbietern (Artikel 16) und Betreibern (Artikel 26) betragen die Geldbußen bis zu 15 Mio. EUR oder 3 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist (Artikel 99 Absatz 4). Für KMU, einschließlich Start-ups, und kleine Midcap-Unternehmen gilt als Obergrenze der niedrigere der beiden Beträge (Artikel 99 Absätze 6 und 6a). Die Mitgliedstaaten legen die Sanktionsregeln fest (Artikel 99 Absatz 1).

Als Nächstes lesen: technische Dokumentation, menschliche Aufsicht und Betreiberpflichten

Scanara bereitet Nachweise aus Ihren Repositorien vor

Scanara liest Ihre verbundenen GitHub-Repositorien und führt regelbasierte Scans auf gängige KI- und Machine-Learning-Muster durch. Unübliche Codemuster kann es übersehen. Getrennt davon erzeugt es aus Vorlagen und Ihren Antworten in der Bewertung Dokumentationsentwürfe als Nachweise für Ihre Compliance-Arbeit. Die Einstufung entscheiden Sie.