KI Systemklassifizierung: Praktischer Leitfaden fur SaaS Teams

KI Systemklassifizierung ist der operative Schritt, der entscheidet, welche Regeln, Kontrollen, Nachweise und Review Wege fur ein AI Feature, einen internen AI Workflow oder ein Drittanbieter Tool gelten. Fur SaaS Teams ist das Ziel nicht ein Memo mit einem Label wie niedriges Risiko oder hohes Risiko. Das Ziel ist eine dokumentierte Entscheidung, die Product, Engineering, Legal, Security und Compliance im Alltag verwenden konnen.

Nach dem EU AI Act ist Klassifizierung wichtig, weil unterschiedliche Kategorien von AI Systemen unterschiedliche Pflichten auslosen konnen. Bei Hochrisiko Systemen konnen Anforderungen an Risikomanagement, Daten Governance, technische Dokumentation, Logging, Transparenz, menschliche Aufsicht, Genauigkeit, Robustheit, Cybersecurity und Monitoring relevant werden. Deshalb sollte Klassifizierung als wiederholbarer Workflow behandelt werden.

Warum Klassifizierung praktisch wichtig ist

Ohne Klassifizierung weiss ein Team nicht zuverlassig, welche Kontrollen gelten, wer den Launch freigeben muss, welche Nachweise aufzubewahren sind oder was Kunden erklart werden kann. Das ist besonders relevant fur SaaS Unternehmen, weil AI oft schrittweise auftaucht: eine Zusammenfassung im Support Tool, ein interner Copilot, ein Vendor mit automatischer Bewertung oder ein Modell in einem bestehenden Workflow.

Klassifizierung hilft auch im Vertrieb. Enterprise Kunden fragen zunehmend, wo AI genutzt wird, welche Daten betroffen sind, ob Outputs Entscheidungen beeinflussen und welche Kontrollen unangemessene Automatisierung verhindern. Ein klassifiziertes System lasst sich aus Nachweisen erklaren, nicht aus Erinnerung.

Was SaaS Teams klassifizieren sollten

Beginnen Sie breit. Erfassen Sie Produktfeatures, interne Workflows, Vendor Services, Modellintegrationen, Automatisierungen und Entscheidungshilfen, die AI oder Machine Learning nutzen. Dazu gehoren sichtbare AI Funktionen, aber auch Klassifizierung, Empfehlungen, Priorisierung, Extraktion, Scoring, Vorhersage, Moderation, Personalisierung und Zusammenfassung.

Fur jedes System sollten Sie dokumentieren, was es tut, ob es intern gebaut oder von einem Vendor bereitgestellt wird, welche Daten es verarbeitet, wer betroffen ist, ob der Output informiert, empfiehlt oder entscheidet, ob Menschen prufen, wo es eingesetzt wird und ob es sensible oder regulierte Kontexte beruhrt.

Ein praktischer Workflow

Definieren Sie zuerst Review Ausloser. Eine Klassifizierung sollte stattfinden, wenn ein neues AI Feature eingefuhrt wird, ein bestehendes Feature einen neuen Zweck erhalt, neue Datenquellen verbunden werden, ein AI Vendor eingebettet wird, menschliche Prufung verandert wird, ein neuer Markt erschlossen wird oder Kundenfragen zeigen, dass die bisherige Einordnung nicht ausreicht.

Sammeln Sie dann die Mindestfakten mit einem kurzen Intake Formular. Fragen Sie nach Zweck, Daten, betroffenen Personen, Workflow, menschlicher Prufung, Vendor oder Modell, Geografie und verantwortlichem Product Owner. Danach erfolgt eine erste Einordnung: klar ausserhalb einer tieferen regulatorischen Route, normale Produktivitatshilfe oder vertiefte Prufung wegen sensibler Bereiche, betroffener Personen oder moglicher Hochrisiko Kontexte.

Dokumentieren Sie die Begrundung. Ein Label allein ist schwach. Eine gute Entscheidung erklart, welche Fakten gepruft wurden, wer reviewed hat, welche Quellen genutzt wurden und wann die Entscheidung erneut betrachtet wird. Verbinden Sie die Klassifizierung anschliessend mit Aufgaben wie Risikobewertung, Daten Governance, Vendor Review, menschlicher Aufsicht, Logging, Tests, Nutzerhinweisen, Kundendokumentation und Monitoring.

Wann eine Hochrisiko Prufung notig sein kann

Nicht jedes SaaS AI Feature ist hochriskant. Gleichzeitig sollte ein Team Hochrisiko Prufung nicht verwerfen, nur weil das Produkt Software ist. Artikel 6 des AI Act beschreibt Wege zur Hochrisiko Klassifizierung, unter anderem im Zusammenhang mit regulierten Produkten und den Bereichen aus Annex III. Aufmerksamkeit ist besonders angebracht bei Beschaftigung, Worker Management, Zugang zu wesentlichen Diensten, Bildung, Kreditwurdigkeit, Strafverfolgung, Migration, Justiz, demokratischen Prozessen, biometrischen Anwendungen oder Sicherheitskomponenten.

Die genaue Antwort hangt von System, Zweck, Kontext und Rolle der Organisation ab. Ein internes Drafting Tool unterscheidet sich von einem System, das Bewerber bewertet, Nutzer scoret oder Zugang zu wichtigen Leistungen beeinflusst. Die Klassifizierungsakte sollte auch festhalten, ob das Unternehmen Provider, Deployer, Importeur, Distributor, Produkthersteller oder Kaufer eines fremden Systems ist.

Welche Nachweise bleiben sollten

Bewahren Sie den AI Inventory Eintrag, die Intake Anfrage, die Klassifizierungsentscheidung, die Begrundung, Owner und Approver, konsultierte Quellen, verbundene Risikobewertungen, Vendor Reviews, ausgeloste Kontrollen und den nachsten Review Termin auf. Diese Nachweise helfen bei Kundenreviews, Audits, interner Verantwortung und spateren Aktualisierungen.

Haufige Fehler

Der erste Fehler ist zu spate Klassifizierung. Wenn ein Feature bereits ausgeliefert wurde, fehlen oft Dokumentation, menschliche Aufsicht, Tests oder Kundenerklarungen. Der zweite Fehler ist Vendor AI als fremdes Problem zu behandeln. Vendor Unterlagen sind wichtig, aber das SaaS Team muss wissen, wie das Tool im eigenen Produkt oder Betrieb genutzt wird.

Weitere Fehler sind zu breite Labels, fehlende Verbindung zu Change Management und ein isoliertes Spreadsheet, das nicht in Security Review, Privacy Review, Vendor Risk, Launch Approval, Incident Response und Customer Trust eingebunden ist.

FAQ

Was ist der praktische Zweck der KI Systemklassifizierung?

Sie entscheidet, welcher Governance Weg fur einen AI Use Case gilt und schafft Nachweise fur diese Entscheidung.

Wann gilt sie fur SaaS Teams?

Wenn ein SaaS Team ein AI System baut, einkauft, einbettet, verkauft oder wesentlich in Produkt oder Betrieb nutzt.

Was sollte zuerst dokumentiert werden?

Zweck, Daten, betroffene Personen, Entscheidungswirkung, menschliche Prufung, Vendor Beteiligung, Geografie, Owner, Ergebnis, Begrundung und ausgeloste Kontrollen.

Quellen

• Regulation (EU) 2024/1689 laying down harmonised rules on artificial intelligence.
• European Commission guidance on high-risk AI systems.
• NIST Artificial Intelligence Risk Management Framework.