KI-System einstufen | Entscheidungshilfe zur KI-Verordnung

1Was wird bewertet?

Bezeichnung des Systems

Hersteller bzw. Anbieter

Zweckbestimmung in einem Satz

Bearbeitet von

Datum

Über Ihr Haus

Wir sind ein Finanzunternehmen im Sinne von DORABank, Sparkasse, Versicherung, Zahlungs- oder Wertpapierinstitut, Kapitalverwaltungsgesellschaft u. a. Wir sind eine öffentliche Stelle oder erbringen als private Einrichtung öffentliche DiensteRelevant für die Grundrechte-Folgenabschätzung nach Art. 27 Das System wird am Arbeitsplatz eingesetzt und wirkt auf BeschäftigteRelevant für die Informationspflicht nach Art. 26 Abs. 7

2Ist es ein KI-System?

Art. 3 Nr. 1: ein maschinengestütztes System, das mit unterschiedlichem Grad an Autonomie betrieben wird und aus Eingaben ableitet, wie es Ausgaben wie Vorhersagen, Inhalte, Empfehlungen oder Entscheidungen erzeugt. Anpassungsfähigkeit nach dem Einsatz ist möglich, aber nicht Voraussetzung. Reine Regelwerke, die ausschließlich vom Menschen festgelegte Regeln ausführen, fallen nach den Leitlinien der Kommission regelmäßig nicht darunter.

Ja Nein Noch nicht abschließend beurteilbar

Begründung

3Welche Rolle hat Ihr Haus?

BetreiberWir verwenden das System in eigener Verantwortung (Art. 3 Nr. 4) AnbieterWir entwickeln es oder lassen es entwickeln und bringen es unter eigenem Namen in Verkehr oder nehmen es in Betrieb (Art. 3 Nr. 3) EinführerArt. 3 Nr. 6 HändlerArt. 3 Nr. 7

Werden Sie durch eigenes Handeln zum Anbieter? (Art. 25 Abs. 1)

Wir versehen ein Hochrisiko-System mit unserem Namen oder unserer Marke Wir verändern ein Hochrisiko-System wesentlich, und es bleibt hochriskant Wir ändern die Zweckbestimmung eines Systems so, dass es hochriskant wirdz. B. ein allgemeiner Chat-Assistent wird für die Bonitätsbeurteilung eingesetzt

Begründung

4Liegt eine verbotene Praxis vor? (Art. 5)

Kreuzen Sie an, was zutreffen könnte. Im Zweifel ankreuzen und rechtlich prüfen lassen.

Unterschwellige, manipulative oder täuschende Techniken, die Verhalten wesentlich verzerren und erheblichen Schaden verursachen können Ausnutzung von Schwächen aufgrund von Alter, Behinderung oder sozialer oder wirtschaftlicher Lage Bewertung von Personen nach sozialem Verhalten oder Persönlichkeitsmerkmalen mit ungerechtfertigter Schlechterstellung Risikobewertung, ob eine Person eine Straftat begehen wird, allein auf Grundlage von Profiling oder Persönlichkeitsmerkmalen Ungezieltes Auslesen von Gesichtsbildern aus dem Internet oder aus Videoüberwachung zum Aufbau von Gesichtserkennungsdatenbanken Emotionserkennung am Arbeitsplatz oder in Bildungseinrichtungenausgenommen aus medizinischen oder Sicherheitsgründen; z. B. Stimmungsanalyse von Beschäftigten im Kundenservice Biometrische Kategorisierung zur Ableitung von ethnischer Herkunft, politischer Meinung, Gewerkschaftszugehörigkeit, religiöser Überzeugung, Sexualleben oder sexueller Orientierung Biometrische Echtzeit-Fernidentifizierung in öffentlich zugänglichen Räumen zu Strafverfolgungszwecken Erzeugung von Darstellungen sexuellen Kindesmissbrauchs oder nicht einvernehmlicher intimer Inhalteneu durch VO (EU) 2026/1744, gilt ab 2. Dezember 2026; betrifft vor allem generative Bild-, Video- und Audiosysteme

Keine dieser Praktiken trifft zu

Begründung

5Ist es ein Hochrisiko-System? (Art. 6)

Anhang I: Sicherheitsbauteil eines regulierten Produkts

Etwa Maschinen, Medizinprodukte, Spielzeug, Aufzüge, Fahrzeuge. Für Finanzunternehmen in aller Regel nicht einschlägig.

Ja Nein

Anhang III: Einsatzbereich

Kreuzen Sie jeden Bereich an, in dem das System bestimmungsgemäß eingesetzt wird.

1 Biometrie

Biometrische Fernidentifizierungausgenommen reine Verifizierung, ob eine Person die ist, die sie vorgibt zu sein Biometrische Kategorisierung nach sensiblen oder geschützten Merkmalen Emotionserkennung

2 Kritische Infrastruktur

Sicherheitsbauteil im Betrieb kritischer digitaler Infrastruktur, des Straßenverkehrs oder der Wasser-, Gas-, Wärme- oder StromversorgungFinanzmarktinfrastruktur und Zahlungssysteme sind hier nicht erfasst; deren Kritikalität ergibt sich aus DORA

3 Bildung

Zugang, Zulassung, Bewertung von Lernergebnissen, Einstufung des Bildungsniveaus oder Überwachung bei Prüfungen

4 Beschäftigung und Personalmanagement

Einstellung und Auswahlgezielte Stellenanzeigen, Sichtung und Filterung von Bewerbungen, Bewertung von Bewerbern Entscheidungen über Arbeitsbedingungen, Beförderung, Kündigung, Aufgabenzuweisung sowie Überwachung und Bewertung von Leistung und Verhalten

5 Zugang zu grundlegenden Diensten

Behördliche Prüfung des Anspruchs auf öffentliche Unterstützungsleistungen Kreditwürdigkeitsprüfung oder Bonitätsbewertung natürlicher Personenausdrücklich ausgenommen: Systeme zur Aufdeckung von Finanzbetrug Risikobewertung und Preisbildung für natürliche Personen in der Lebens- und Krankenversicherung Bewertung von Notrufen, Steuerung von Rettungsdiensten, Triage

6 bis 8 Öffentlicher Bereich

Strafverfolgung Migration, Asyl und Grenzkontrolle Rechtspflege und demokratische Prozesseeinschließlich Systemen zur Beeinflussung von Wahlen oder Abstimmungen Das System dient (auch) der Aufdeckung von FinanzbetrugHinweis für den Vermerk; begründet für sich keine Hochrisiko-Einstufung

Ausnahme nach Art. 6 Abs. 3

Ein Anhang-III-System ist nicht hochriskant, wenn es kein erhebliches Risiko für Gesundheit, Sicherheit oder Grundrechte birgt, weil eine der folgenden Bedingungen erfüllt ist. Die Ausnahme scheidet immer aus, wenn das System Profiling natürlicher Personen vornimmt.

Es führt eine eng gefasste Verfahrensaufgabe aus Es verbessert das Ergebnis einer zuvor abgeschlossenen menschlichen Tätigkeit Es erkennt Entscheidungsmuster oder Abweichungen davon, ohne die menschliche Bewertung ohne angemessene Überprüfung zu ersetzen oder zu beeinflussen Es führt eine vorbereitende Aufgabe für eine Bewertung nach Anhang III aus

Nimmt das System Profiling natürlicher Personen vor?

Ja Nein Offen

Begründung

6Bestehen Transparenzpflichten? (Art. 50)

Das System interagiert unmittelbar mit Menschenz. B. Chatbot, Sprachassistent im Kundenservice Das System erzeugt synthetische Audio-, Bild-, Video- oder Textinhalte

Das System wurde vor dem 2. August 2026 in Verkehr gebracht oder in Betrieb genommenKennzeichnungspflicht nach Art. 50 Abs. 2 dann erst ab 2. Dezember 2026

Das System erkennt Emotionen oder kategorisiert Personen biometrisch Wir veröffentlichen mit dem System erzeugte Deepfakes oder Texte zu Themen von öffentlichem Interesse

Begründung

7Beruht das System auf einem Modell mit allgemeinem Verwendungszweck?

Etwa große Sprachmodelle, die über eine Schnittstelle oder in einer Standardsoftware eingebunden sind.

Ja Nein Offen

Wir passen das Modell selbst in erheblichem Umfang an (z. B. Feinabstimmung)kann Sie selbst zum Anbieter eines GPAI-Modells machen

8Bezug zu DORA

Nur für Finanzunternehmen. Kreuzen Sie in Schritt 1 an, dass Sie ein Finanzunternehmen sind, um diese Fragen zu beantworten.

Das System wird von einem externen Anbieter bereitgestellt oder betriebenIKT-Drittdienstleister: Register, Vorabbewertung, Vertragsinhalte nach Art. 28 bis 30 DORA

Unterstützt das System eine kritische oder wichtige Funktion?

Ja Nein Offen

Für diese Frage gibt es die Entscheidungshilfe auf dora-manager.de.

9Ihre Entscheidung

Zusammenfassende Begründung

Welche Pflichten hat dieses KI-System?

1Was wird bewertet?

2Ist es ein KI-System?

3Welche Rolle hat Ihr Haus?

4Liegt eine verbotene Praxis vor? (Art. 5)

5Ist es ein Hochrisiko-System? (Art. 6)

Anhang I: Sicherheitsbauteil eines regulierten Produkts

Anhang III: Einsatzbereich

Ausnahme nach Art. 6 Abs. 3

6Bestehen Transparenzpflichten? (Art. 50)

7Beruht das System auf einem Modell mit allgemeinem Verwendungszweck?

8Bezug zu DORA

9Ihre Entscheidung

Ergebnis

Was daraus folgt

Vermerk

Drei Fehler, die regelmäßig auffallen

Betrugserkennung wird als Hochrisiko eingestuft

Die eigene Rolle wird nicht hinterfragt

Die Ausnahme nach Art. 6 Abs. 3 wird ohne Profiling-Prüfung genutzt

Häufige Fragen