Welche Risikoklasse hat unsere KI-Anwendung?

Das Problem

Ihr Anbieter nennt sein Produkt einen «smarten Assistenten». Im Büro soll es entweder Texte verbessern oder Bewerbungen vorsortieren. Frau Müller findet im Internet ein Schaubild mit Risikofarben, weiss aber nicht, ob sich die Farbe auf das Produkt, die Branche oder die konkrete Verwendung bezieht.

Die entscheidende Beschreibung lautet: Welche Aufgabe übernimmt die KI, welche Menschen sind betroffen und welchen Einfluss hat ihre Ausgabe? Eine einzelne technische Lösung kann in verschiedenen Abläufen unterschiedlich einzuordnen sein. Die nachfolgenden Schritte bereiten diese Beschreibung vor und ersetzen keine verbindliche Einstufung.

So lösen Sie es mit KI – Schritt für Schritt

1. Schreiben Sie den Zweck ohne Produktwerbung auf. Öffnen Sie ein Arbeitsblatt und beschreiben Sie die Tätigkeit mit einem Verb: formulieren, empfehlen, bewerten, auswählen oder steuern. Ergänzen Sie, was mit dem Ergebnis geschieht. «Unterstützt Personal» ist zu ungenau; «ordnet Bewerbungen nach Eignung» ist wesentlich aussagekräftiger.

1. Klären Sie Rolle und Geltungsbereich. Notieren Sie, ob Ihr Betrieb die Lösung nutzt, verändert oder unter eigenem Namen bereitstellt. Erfassen Sie auch den EU-Bezug. Eine Risikofarbe ohne diese Angaben sagt noch nicht, welche Pflichten gerade Ihrem Betrieb zukommen.

1. Prüfen Sie mögliche Verbote zuerst. Achten Sie etwa auf problematische Manipulation, bestimmte Personenbewertungen und biometrische Anwendungen. Biometrisch bedeutet hier, dass körperliche oder verhaltensbezogene Merkmale ausgewertet werden. Nutzen Sie die Checkliste zu verbotenen KI-Praktiken, bevor Sie einen Versuch freigeben.

1. Vergleichen Sie den Zweck mit Hochrisikofällen. Artikel 6 und die Anhänge erfassen bestimmte produktbezogene Systeme und sensible Verwendungsbereiche, etwa Beschäftigung oder Bildung. Die genaue Tätigkeit ist massgeblich. Lassen Sie prüfen, ob Ihr Fall die Voraussetzungen erfüllt und ob eng begrenzte Ausnahmen tatsächlich greifen.

1. Beschreiben Sie menschliche Kontrolle konkret. Wer sieht die Ausgabe, kann Fehler erkennen und darf ihr widersprechen? Notieren Sie, ob der Mensch noch alle entscheidenden Informationen erhält. Eine nachträgliche Unterschrift allein erklärt nicht, wie stark die KI eine Entscheidung schon vorgeprägt hat.

1. Prüfen Sie zusätzliche Transparenzfragen. Auch ausserhalb eines Hochrisikofalls können bestimmte Informations- oder Kennzeichnungspflichten zu prüfen sein, etwa bei direkter KI-Interaktion. Transparenz ist daher nicht einfach eine Alternative zur Hochrisikoeinstufung. Halten Sie beide Prüfstränge getrennt in Ihrer Liste fest.

1. Holen Sie eine begründete Einordnung ein. Fordern Sie vom Anbieter die Zweckbestimmung und passende Unterlagen an und legen Sie Ihre tatsächliche Nutzung daneben. Lassen Sie KI lediglich die offenen Unterschiede strukturieren. Dokumentieren Sie die fachliche Entscheidung und ihre Voraussetzungen, bevor Sie echte Fälle bearbeiten.

1. Verbinden Sie Einstufung und Umsetzung. Ordnen Sie bestätigte Anforderungen, Zuständigkeiten und Anwendungstermine zu. Eine andere Datenquelle oder eine neue Entscheidungsfunktion kann eine erneute Einstufung nötig machen. Benennen Sie, wer solche Änderungen erkennt und weiterleitet.

Einfach erklärt

Die Anwendung ist der konkrete Einsatz einer KI im Arbeitsablauf. Die Risikoeinstufung bezieht sich darauf und lässt sich nicht zuverlässig aus dem Produktnamen ablesen. Verschiedene Anforderungen können dabei gleichzeitig relevant sein.

Ein Beispiel: Ein Betrieb lässt eine öffentliche Stellenanzeige sprachlich glätten. Später soll dieselbe KI Bewerbungen bewerten und eine Auswahl vorbereiten. Der zweite Auftrag hat eine andere Wirkung auf Menschen und benötigt eine neue Prüfung, auch wenn niemand zusätzliche Software installiert.

Notieren Sie für das Fachgespräch den Zweck, die betroffenen Personen, den Einfluss der Ausgabe und die tatsächliche menschliche Kontrolle. Fragen Sie ausserdem, welche Funktion der Anbieter vorgesehen hat und ob Ihr Betrieb davon abweicht. Diese Angaben bilden die Grundlage für die rechtliche Einordnung.

Was tun Sie mit widersprüchlichen Einstufungen?

Legen Sie die beiden Begründungen nebeneinander und vergleichen Sie zuerst die beschriebenen Aufgaben. Bezieht sich eine Aussage nur auf Textkorrektur, während die andere von einer automatischen Auswahl ausgeht, liegt möglicherweise kein Widerspruch zum selben Sachverhalt vor. Klären Sie die tatsächliche Verwendung, bevor Sie über die Bezeichnung streiten.

Stimmen die Aufgabenbeschreibungen überein, notieren Sie die unterschiedlichen Voraussetzungen und Quellen. Eine zuständige Fachperson sollte den Punkt auflösen; eine zusätzliche KI-Abstimmung schafft keine verlässliche Entscheidung. Bis dahin grenzen Sie den Einsatz so ein, dass die ungeklärte Funktion nicht mit echten Fällen arbeitet.

Worauf Sie achten müssen

• Die Regeln zur Hochrisikoeinstufung enthalten Voraussetzungen und Ausnahmen. Eine pauschale Einstufung allein nach Abteilung oder Berufsgruppe reicht deshalb nicht.
• Eine bloss vorbereitende Tätigkeit ist nicht automatisch ausgenommen. Entscheidend sind tatsächliche Funktion und Einfluss; die genaue Ausnahmeprüfung sollte dokumentiert werden.
• «Geringes Risiko» bedeutet nicht fehlerfrei oder datenschutzfrei. Auch ein alltäglicher Assistent kann vertrauliche Inhalte offenlegen oder irreführende Aussagen erstellen.
• Übernehmen Sie die Selbsteinstufung des Anbieters nicht blind, wenn Sie das System für einen anderen Zweck einsetzen. Beschreiben Sie jede solche Abweichung ausdrücklich.
• Lassen Sie offene Rechtsfragen anhand Ihres konkreten Falls fachlich prüfen. Eine KI kann Informationen ordnen, aber auch Regeln, Quellen und Schlussfolgerungen erfinden.

Ein Beispiel aus der Praxis

Ein erfundenes Beispiel: Ein Unternehmen in St. Gallen verwendet KI zunächst, um Stellenanzeigen sprachlich zu verbessern. Später möchte eine Führungskraft damit Bewerbungen nach vermuteter Eignung ordnen. Frau Müller erkennt, dass sich die Aufgabe trotz desselben Werkzeugs verändert hat.

Sie erstellt für die geplante Bewertung einen neuen Steckbrief mit betroffenen Personen und Entscheidungswirkung. Die Anwendung wird vor einem Einsatz fachlich abgeklärt. Der bisherige Freigabevermerk für Textentwürfe wird nicht auf Bewerberbewertungen ausgedehnt. Das Team kann dadurch nachvollziehen, weshalb eine neue Funktion eine neue Prüfung auslöst.

So hilft Ihnen Alpasana

Linup vermittelt Grundregeln zum Umgang mit Daten, zur Prüfung von KI-Ergebnissen und zum Erkennen von Betrugsversuchen. Der Online-Kurs richtet sich auch an Menschen ohne Technikkenntnisse. Für Teams stehen Einladungen, Fortschrittsübersicht und eine Nachweismappe mit Kursinhalt und Abschlussangaben zur Verfügung. Das Angebot finden Sie unter Linup: KI sicher am Arbeitsplatz.

Linup vermittelt Grundregeln zu Daten und Ergebniskontrolle und hilft bei der Schulungsdokumentation. Die rechtliche Einstufung einer konkreten Anwendung muss gesondert erfolgen. Eine Weiterbildung und ihr Nachweis ersetzen keine rechtliche Einzelfallprüfung und garantieren keine vollständige Erfüllung gesetzlicher Pflichten.

Häufige Fragen

Ist jede KI im Personalbereich automatisch Hochrisiko-KI?

Die Branche oder Abteilung allein ist keine ausreichende Begründung. Entscheidend ist die konkrete Funktion im Verhältnis zu den gesetzlichen Tatbeständen und möglichen eng begrenzten Ausnahmen.

Kann dieselbe Anwendung mehrere Anforderungen auslösen?

Ja, verschiedene Prüfstränge können nebeneinander relevant sein. Dokumentieren Sie daher nicht nur ein Etikett, sondern die einzelnen bestätigten Pflichten und ihre Begründung.

Reicht eine KI-generierte Risikotabelle als Nachweis?

Sie kann ein hilfreiches Arbeitsblatt sein, aber die Inhalte müssen fachlich geprüft werden. Bewahren Sie die tatsächlichen Anbieterunterlagen und die begründete Entscheidung der zuständigen Personen auf.