KI-Register
Aus ISMS-Ratgeber WiKi
Zur Navigation springenZur Suche springen
Ein praxisorientiertes Musterdokument für ein KI-Register, das alle wesentlichen Angaben gemäß aktuellen regulatorischen Anforderungen (z.B. EU-KI-Verordnung, DSGVO, ISMS-Standards) enthält. Das Register kann als Tabelle geführt werden und sollte regelmäßig aktualisiert werden.
KI-Register der Organisation
| Nr. | Bezeichnung des KI-Systems | Verantwortliche Person/Abteilung | Zweck und Einsatzbereich | Risikokategorie (nach EU-KI-VO) | Hersteller/ Anbieter | Technische Beschreibung | Verwendete Datenarten | Personenbezug der Daten | Datenschutzfolgeabschätzung erforderlich (ja/nein) | Schnittstellen zu anderen Systemen | Maßnahmen zur Transparenz und Nachvollziehbarkeit | Maßnahmen zur IT-Sicherheit | Status (Pilot/Betrieb/Stillgelegt) | Letzte Überprüfung |
|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|
| 1 | Beispiel: CV-Screening-Tool | HR / Max Mustermann | Automatisierte Vorauswahl von Bewerbungen | Hochrisiko | KI Solutions GmbH | ML-Modell zur Textanalyse, Cloud-basiert | Bewerbungsdaten, Lebensläufe, Kontaktdaten | Ja | Ja | HR-Software, E-Mail | Information der Bewerbenden, Dokumentation der Entscheidungslogik | Zugriffskontrolle, Verschlüsselung, Monitoring | Betrieb | 01.03.2025 |
| 2 | ... | ... | ... | ... | ... | ... | ... | ... | ... | ... | ... | ... | ... | ... |
Erläuterungen zu den Spalten
- Nr.: Laufende Nummer zur eindeutigen Identifikation.
- Bezeichnung des KI-Systems: Name oder Bezeichnung des eingesetzten KI-Systems.
- Verantwortliche Person/Abteilung: Zuständige Ansprechperson oder Organisationseinheit.
- Zweck und Einsatzbereich: Beschreibung, wofür und in welchem Kontext das KI-System eingesetzt wird.
- Risikokategorie (nach EU-KI-VO): Einordnung als „minimales Risiko“, „begrenztes Risiko“, „hohes Risiko“ oder „verboten“.
- Hersteller/Anbieter: Name des Herstellers oder Anbieters des KI-Systems.
- Technische Beschreibung: Kurze technische Übersicht (z.B. ML-Modelltyp, Cloud/On-Premises, verwendete Frameworks).
- Verwendete Datenarten: Übersicht der für das Training und den Betrieb genutzten Daten (z.B. personenbezogene Daten, Bilddaten, Textdaten).
- Personenbezug der Daten: Gibt an, ob personenbezogene Daten verarbeitet werden.
- Datenschutzfolgeabschätzung erforderlich (ja/nein): Angabe, ob eine DSFA nach DSGVO notwendig ist.
- Schnittstellen zu anderen Systemen: Beschreibung der angebundenen IT-Systeme oder externen Schnittstellen.
- Maßnahmen zur Transparenz und Nachvollziehbarkeit: Dokumentierte Maßnahmen zur Erfüllung von Transparenzpflichten (z.B. Nutzerinformation, Protokollierung, Erklärbarkeit).
- Maßnahmen zur IT-Sicherheit: Übersicht der implementierten Sicherheitsmaßnahmen (z.B. Zugriffskontrolle, Verschlüsselung, Monitoring).
- Status (Pilot/Betrieb/Stillgelegt): Aktueller Lebenszyklusstatus des KI-Systems.
- Letzte Überprüfung: Datum der letzten Überprüfung/Aktualisierung der Angaben.
Hinweis:
Das KI-Register sollte regelmäßig gepflegt, bei Änderungen aktualisiert und im Rahmen von Audits oder auf Anforderung der Aufsichtsbehörden vorgelegt werden können. Bei Systemen mit hohem Risiko empfiehlt sich eine engmaschige Überprüfung und Dokumentation. Bei Bedarf kann das Register um weitere Spalten, z.B. für ethische Bewertungen, Lieferantenbewertungen oder spezifische Compliance-Anforderungen, erweitert werden.
