Methodik

Wie CompliKI KI-Risiken einordnet.

CompliKI arbeitet regelbasiert und nachvollziehbar. Jede Bewertung lässt sich auf die zugrundeliegenden Antworten und Rechtsgrundlagen zurückführen. Auf dieser Seite zeigen wir transparent, wie das Verfahren funktioniert und wo seine Grenzen liegen.

Regelbasierte Logik Eingaben Rollenlogik Risikostufen Grenzen

01

Regelbasierte Einordnung statt Blackbox.

CompliKI nutzt für die Risikoeinordnung deterministische Regeln, keine generative KI. Eingaben werden über strukturierte Entscheidungspfade verarbeitet. Bei identischen Antworten ergibt sich auch das identische Ergebnis - und der Entscheidungsweg lässt sich Schritt für Schritt nachvollziehen.

Was das in der Praxis bedeutet

Deterministische Logik: Gleiche Eingaben führen zu gleichen Ergebnissen - reproduzierbar und prüfbar.
Strukturierte Entscheidungspfade: Jede Frage ordnet die Einordnung gezielt einer EU-AI-Act-Risikokategorie zu.
Sichtbare Begründung: Jede Bewertung enthält die Liste der Antworten, die zum Ergebnis geführt haben.
Regelbasiert statt generativ: Die Risikoeinordnung wird regelbasiert und nicht durch ein generatives Sprachmodell erzeugt.

02

Strukturierte Eingaben.

Der Klassifizierungs-Wizard arbeitet mit definierten Fragen über mehrere Kategorien. Statt Freitext und Keyword-Raten gibt es klar zugeordnete Antwortoptionen - jede mit Wirkung auf die Einordnung.

A

Zweck und Einsatzkontext

In welchem Bereich wird das KI-System eingesetzt? Welche Entscheidungen unterstützt es? Wer interagiert mit dem System?

B

Datenarten und Datenquellen

Welche Datenarten werden verarbeitet? Personenbezogene Daten, besondere Kategorien, anonyme Daten? Woher stammen sie?

C

Entscheidungswirkung

Hat das System Einfluss auf Zugang zu Beschäftigung, Bildung, Sozialleistungen, Kreditwürdigkeit, Strafverfolgung oder Migration?

D

Annex-III-Anwendung

Liegt einer der in Annex III des EU AI Act gelisteten Hochrisiko-Anwendungsbereiche vor? Falls ja, welcher?

03

Rolle bestimmt Pflichten.

Der EU AI Act unterscheidet vier Hauptrollen - jede mit eigenem Pflichtenkatalog. CompliKI führt durch die Abgrenzung und zeigt nur die Pflichten an, die für die festgestellte Rolle und Risikoeinordnung relevant sind.

Vier Rollen, vier Pflichtprofile

Provider: Wer ein KI-System entwickelt oder unter eigenem Namen in Verkehr bringt. Umfangreichste Pflichten bei Hochrisiko-Systemen.
Deployer: Wer ein KI-System im eigenen Verantwortungsbereich nutzt. Pflichten u.a. zu menschlicher Aufsicht, FRIA, Transparenz.
Importeur: Wer ein KI-System aus einem Drittland in die EU einführt. Sorgfaltspflichten u.a. zur Konformitätsprüfung.
Distributor: Wer ein KI-System auf dem EU-Markt bereitstellt, ohne Provider oder Importeur zu sein. Vorgelagerte Prüfpflichten.

Hinweis: Eine Organisation kann gleichzeitig in mehreren Rollen agieren. Bei eigenen Erweiterungen oder Anpassungen kann ein Deployer zum Provider werden. CompliKI unterstützt bei der Einordnung, ersetzt aber keine juristische Würdigung im Einzelfall.

04

Vier Risikokategorien nach EU AI Act.

Der EU AI Act unterteilt KI-Systeme in vier Risikoklassen. CompliKI ordnet jedes erfasste System in diese Stufen ein und zeigt die jeweils geltenden Pflichten.

I

Verbotene Praktiken (Art. 5)

KI-Anwendungen, die unter Art. 5 fallen, sind in der EU verboten - z.B. soziale Bewertung durch Behörden, manipulative Techniken mit erheblichem Schadenspotenzial.

II

Hochrisiko-Systeme (Art. 6, Annex III)

KI-Systeme in sensiblen Anwendungsbereichen wie Beschäftigung, Bildung, Strafverfolgung oder kritischer Infrastruktur. Umfassende Pflichten an Provider und Deployer.

III

Begrenztes Risiko

Systeme mit Transparenz-Pflichten - z.B. Chatbots, Deepfakes, Emotionserkennung. Pflicht zur Information der Nutzer und zur Kennzeichnung.

IV

Minimales Risiko

Die große Mehrheit der KI-Systeme. Keine spezifischen Pflichten nach EU AI Act, weiterhin gelten allgemeine Regeln wie DSGVO, Produktsicherheit, Haftung.

Zusätzlich gelten für General-Purpose-AI (GPAI) eigene Transparenz- und Dokumentationspflichten. CompliKI unterstützt diese Sicht in den Workflow-Strecken.

05

Versionierte Rechtsgrundlage.

Jede Bewertung wird mit der Version der zugrundeliegenden Rechtsgrundlage gespeichert. So bleibt nachvollziehbar, auf welchem Stand eine Einstufung beruht - und wann eine Re-Prüfung sinnvoll ist.

Was die Versionierung umfasst

Versionsstempel pro Bewertung: An jeder Klassifizierung steht der Rechtsgrundlagen-Stand, der ihr zugrunde liegt.
Re-Klassifizierungs-Hinweise: Wenn sich die rechtliche Lage ändert, weist CompliKI auf möglicherweise zu überprüfende Bewertungen hin.
Historie bleibt erhalten: Ältere Bewertungen werden nicht überschrieben, sondern als historisch markiert.
Rechtsstand der Anwendung: Stand der Inhalte ist im Produkt und auf dieser Website sichtbar (aktuell: Juni 2026).

06

KI-Co-Pilot als Unterstützung, nicht als Entscheider.

Der optionale KI-Co-Pilot hilft beim Formulieren von Texten und beim Strukturieren von Eingaben. Die Risikoeinordnung selbst trifft er nicht. Sie bleibt regelbasiert und reproduzierbar.

Wo der Co-Pilot eingesetzt wird

Formulierungshilfe: Vorschläge für die Beschreibung von KI-Systemen, Risiken, Maßnahmen.
Strukturierung von Eingaben: Hinweise auf Stellen, an denen Eingaben unscharf oder unvollständig sind.
Erklärungen zu Begriffen: Kontext zu Rechtsbegriffen aus dem EU AI Act im Glossar-Stil.
Kennzeichnung generierter Inhalte: Vom Co-Piloten generierte Texte sind als solche markiert und stets fachlich zu prüfen.

Der KI-Co-Pilot nutzt die Anthropic-API. Eingaben können dabei auf US-Server übertragen werden. Details und Opt-out in der Datenschutzerklärung sowie auf der Seite Sicherheit und Datenschutz.

07

Grenzen der Automatisierung.

Eine ehrliche Aufstellung, wo CompliKI hilft - und wo eine individuelle fachliche oder juristische Prüfung sinnvoll oder erforderlich ist.

Was CompliKI nicht leistet

Keine Rechtsberatung: CompliKI ersetzt keine anwaltliche Prüfung im Einzelfall.
Keine verbindliche Einstufung: Die Risikoeinordnung ist eine strukturierte Erstbewertung, keine behördliche Feststellung.
Keine Konformitätsbescheinigung: Die Konformitätsbewertung erfolgt durch zuständige Stellen, nicht durch die Software.
Kein lückenloser Annex IV: Zentrale Inhalte werden unterstützt, eine prüfungsfeste Dokumentation erfordert ergänzende fachliche Arbeit.
Keine Garantie auf Aktualität: Rechtsgrundlagen werden laufend gepflegt, eine Garantie auf jederzeitige Vollständigkeit besteht nicht.

Bekannte Abdeckungsgrenzen

General-Purpose-AI (GPAI): Inhalte werden laufend ergänzt. Spezielle Anforderungen an systemische Risiken sind nicht vollständig automatisiert prüfbar.
Branchen-spezifische Regulierung: Anforderungen aus z.B. MDR, IVDR, Finanzaufsicht ergänzen den EU AI Act und sind nicht abgebildet.
Internationale Regulierungen: Anforderungen außerhalb der EU (UK, USA, andere) sind nicht abgebildet.
Harmonisierte Normen: Sobald harmonisierte Normen vorliegen, werden sie sukzessive aufgenommen.

Erste Bewertung, keine Rechtsberatung. CompliKI liefert eine strukturierte Erstbewertung und Dokumentation. Bei besonders sensiblen Fällen, harten Hochrisiko-Anwendungen und vor wichtigen Entscheidungen empfiehlt sich eine individuelle fachliche und juristische Begleitung.