Die KI-Compliance von Drittanbietern prüft man, indem man deren KI-Systeme anhand eines strukturierten Fragebogens bewertet, die Risikoklasse nach dem EU AI Act bestimmt und die Ergebnisse vertraglich absichert. Unternehmen, die KI-Tools von externen Anbietern einsetzen, tragen Mitverantwortung für deren regelkonformen Betrieb und können bei Verstößen selbst haftbar gemacht werden. Die folgenden Abschnitte zeigen, welche Risiken konkret entstehen, was der EU AI Act fordert und wie eine systematische Prüfung in der Praxis aussieht.
Von Drittanbieter-KI gehen vor allem Risiken in den Bereichen Datenschutz, Datensicherheit, Diskriminierung, Fehlinformationen und regulatorische Haftung aus. Wer externe KI-Systeme in eigene Prozesse integriert, übernimmt faktisch einen Teil der Verantwortung für deren Verhalten, ohne die interne Kontrolle über Trainingsdaten, Modellarchitektur oder Entscheidungslogik zu haben.
Konkret lassen sich die Risiken in mehrere Kategorien einteilen:
Besonders problematisch ist, dass diese Risiken oft erst sichtbar werden, wenn ein Schaden eingetreten ist. Eine proaktive Prüfung vor der Einführung eines Drittanbieter-KI-Systems ist daher keine Formalität, sondern ein echtes Schutzinstrument.
Der EU AI Act verpflichtet Unternehmen als Betreiber von KI-Systemen dazu, sicherzustellen, dass eingesetzte Systeme den gesetzlichen Anforderungen entsprechen, auch wenn diese von einem Drittanbieter stammen. Die Verantwortung liegt nicht allein beim Anbieter, sondern wird zwischen Anbieter und Betreiber aufgeteilt.
Für Betreiber von Hochrisiko-KI-Systemen gelten laut EU AI Act unter anderem folgende Pflichten:
Darüber hinaus verlangt der EU AI Act von allen Betreibern, unabhängig von der Risikoklasse, dass sie KI-Kompetenz im Unternehmen sicherstellen (Art. 4 KI-VO). Das bedeutet: Wer ein KI-Tool eines Drittanbieters einsetzt, muss intern die Fähigkeit besitzen, dieses Tool zu verstehen, zu überwachen und kritisch zu hinterfragen. Eine strukturierte KI-Weiterbildung ist damit kein optionales Extra, sondern eine regulatorische Grundvoraussetzung.
Eine systematische Bewertung der KI-Compliance eines Anbieters erfolgt in vier Schritten: Risikoklassifizierung des Systems, Dokumentenprüfung, technische Sicherheitsbewertung und vertragliche Absicherung. Dieser Prozess sollte vor Vertragsabschluss beginnen und regelmäßig wiederholt werden.
Bevor man einen Anbieter bewertet, muss man verstehen, in welche Risikoklasse sein KI-System fällt. Der EU AI Act unterscheidet zwischen verbotenen Systemen, Hochrisiko-KI, Systemen mit begrenztem Risiko und Systemen mit minimalem Risiko. Je höher die Risikoklasse, desto strenger sind die Anforderungen an den Anbieter, und desto gründlicher muss die Prüfung ausfallen.
Seriöse KI-Anbieter stellen technische Dokumentation, Risikobewertungen und Konformitätsnachweise bereit. Fehlen diese Unterlagen oder sind sie unvollständig, ist das ein ernstes Warnsignal. Für Hochrisiko-Systeme ist eine vollständige technische Dokumentation nach EU AI Act Pflicht. Prüfe außerdem, ob der Anbieter Transparenzberichte veröffentlicht und mit nationalen Behörden zusammenarbeitet, wie es etwa der Digital Services Act für Plattformanbieter vorsieht.
KI-Tools sollten regelmäßig aktualisiert werden und nur von vertrauenswürdigen Anbietern bezogen werden. Prüfe, ob der Anbieter Stand-der-Technik-Maßnahmen implementiert, den Dienst gegen unbefugten Zugriff absichert und Quellenangaben für KI-generierte Inhalte bereitstellt. Automatisierte Entscheidungen sollten grundsätzlich nur nach menschlicher Überprüfung übernommen werden.
Die Compliance-Prüfung muss sich in der Vertragsgestaltung widerspiegeln. Dazu gehören klare Regelungen zur Datenverarbeitung, Haftungsverteilung, Meldepflichten bei Vorfällen und Auditrechten. Ohne vertragliche Grundlage bleibt die Compliance-Prüfung wirkungslos.
Ein KI-Compliance-Fragebogen für Lieferanten sollte Fragen zu Risikoklassifizierung, technischer Dokumentation, Datenschutz, Sicherheitsmaßnahmen, menschlicher Aufsicht und Zertifizierungen enthalten. Der Fragebogen dient als strukturiertes Werkzeug, um die Aussagen eines Anbieters objektiv und vergleichbar zu bewerten.
Konkret empfehlen sich folgende Fragenkategorien:
Ein Anbieter, der diese Fragen nicht oder nur ausweichend beantwortet, sollte mit besonderer Vorsicht betrachtet werden. Die Antworten bilden zudem die Grundlage für die vertragliche Risikoverteilung.
Die Tiefe und der Umfang der Compliance-Prüfung richten sich direkt nach der Risikoklasse des eingesetzten KI-Systems. Bei Hochrisiko-KI ist eine umfassende Prüfung mit technischer Dokumentation, Konformitätsnachweisen und Auditrechten erforderlich, während bei KI mit minimalem Risiko eine einfache Grundprüfung ausreicht.
Hier ist die Prüfung am aufwendigsten. Vom Anbieter sind vollständige technische Dokumentation, ein funktionierendes Qualitätsmanagementsystem, Nachweise über Datensätze und Trainingsverfahren sowie eine CE-Kennzeichnung zu verlangen. Als Betreiber muss man zusätzlich eigene Maßnahmen implementieren: menschliche Überwachung, Logdateiaufbewahrung, Datenschutz-Folgenabschätzung und Informationspflichten gegenüber Betroffenen. Ein ISO/IEC 42001-Audit kann dabei helfen, Lücken im eigenen KI-Managementsystem zu identifizieren, bevor ein Hochrisiko-System eingeführt wird.
Bei diesen Systemen stehen Transparenzpflichten im Vordergrund. Nutzer müssen wissen, dass sie mit einer KI interagieren, zum Beispiel bei Chatbots oder KI-generierten Inhalten. Die Prüfung konzentriert sich darauf, ob der Anbieter diese Transparenzpflichten erfüllt und entsprechende Kennzeichnungsmechanismen implementiert hat.
Für diese Kategorie gibt es keine verpflichtenden Zusatzanforderungen nach EU AI Act. Eine Grundprüfung auf Datenschutzkonformität und allgemeine Sicherheitsstandards ist dennoch sinnvoll. Anbieter können freiwillig einen Verhaltenskodex aufstellen, was als positives Signal für Seriosität gewertet werden kann.
Die Verantwortung für die Drittanbieter-KI-Prüfung liegt typischerweise beim KI-Compliance-Beauftragten, in Zusammenarbeit mit der IT-Leitung, dem Datenschutzbeauftragten und dem Einkauf. In der Praxis handelt es sich um eine Querschnittsaufgabe, die mehrere Fachbereiche einbezieht und eine klare interne Zuständigkeitsregelung erfordert.
Je nach Unternehmensgröße und eingesetzten KI-Systemen empfiehlt sich folgende Aufgabenteilung:
Entscheidend ist, dass die Prüfung nicht als einmaliges Ereignis verstanden wird. KI-Systeme entwickeln sich weiter, Anbieter aktualisieren ihre Modelle, und regulatorische Anforderungen ändern sich. Eine regelmäßige Überprüfung, mindestens einmal jährlich oder bei wesentlichen Änderungen des Systems, ist daher unerlässlich. Unternehmen, die noch keine klare Zuständigkeit für KI-Governance definiert haben, sollten dies als erste Maßnahme angehen, bevor weitere Drittanbieter-KI-Systeme eingeführt werden.
Die Prüfung von Drittanbieter-KI erfordert fundiertes Wissen über den EU AI Act, ISO/IEC 42001 und praktische Bewertungsmethoden. Genau hier setzt mITSM an. Als spezialisierter Bildungsanbieter mit über 20 Jahren Erfahrung in der IT-Weiterbildung bieten wir konkrete Unterstützung auf mehreren Ebenen:
Ob Sie gerade erst beginnen, KI-Governance im Unternehmen aufzubauen, oder bereits ein bestehendes System auf Konformität prüfen möchten: Sprechen Sie uns an. Informieren Sie sich jetzt über unser Schulungsangebot zu KI-Compliance oder vereinbaren Sie ein unverbindliches Erstgespräch, um den nächsten Schritt gemeinsam zu planen.
Dieser Inhalt wurde mithilfe von KI erstellt und kann Fehler enthalten.