EU AI Act · Annex III · Risiko-Evaluierung

Annex-III-Risiko Evaluierung

Wählen Sie das Screening-Profil für Ihren Sektor. Die Auswertung berücksichtigt die regulatorischen Überschneidungen des EU AI Act mit NIS2 und DORA und zeigt den Handlungsbedarf in Ihrer spezifischen Infrastrukturkonstellation.

1. Operiert Ihr Unternehmen in einer explizit regulierten Hochrisiko-Branche? Finanzdienstleistungen, Healthcare, HR, Kritische Infrastruktur und der Öffentliche Sektor gelten als regulatorische Kernbranchen des EU AI Act.
2. Setzen Sie KI-Systeme in operativen Entscheidungsprozessen ein? Kreditscoring, Bewerberselektion, Diagnose und Anlagensteuerung sind typische Anwendungsfälle mit erhöhter regulatorischer Relevanz.
3. Nutzen Sie externe Datenquellen für Ihre KI-Systeme? Web-Scraping, Drittanbieter-APIs, Newsfeeds und externe LLM-Inputs erhöhen die Anforderungen an die Datenquellen-Validierung.
4. Führen Sie ein vollständiges Inventar Ihrer KI-Systeme gemäß EU AI Act? Ein strukturiertes Inventar bildet die dokumentarische Grundlage für die Erfüllung der Meldepflichten.
5. Ist in Ihrem Unternehmen ein dedizierter AI-Act-Verantwortlicher benannt? Eine klare Zuweisung der internen Prüfprozesse stärkt die Governance-Struktur und erleichtert externe Audits.
6. Unterliegt Ihr Unternehmen den Richtlinien von NIS2 oder DORA? CERTavia bildet den infrastrukturellen Nachweis für die regulatorischen Schnittmengen dieser Anforderungsrahmen.
1. Setzen Sie KI für Kreditscoring, Fraud Detection oder Risikomodellierung ein? Diese Anwendungen sind im Gesetzestext explizit als Hochrisiko nach Annex III eingestuft.
2. Zieht Ihr System externe APIs, Marktdaten oder Newsfeeds heran? Jede externe Domain stellt eine relevante Datenquelle im Sinne der Art.-50-Anforderungen dar und erhöht den Validierungsbedarf.
3. Haben Sie bereits ein Inventar Ihrer Hochrisiko-KI-Systeme erstellt? Ein strukturiertes Inventar bildet die dokumentarische Grundlage für die Erfüllung der Meldepflichten.
4. Setzen Sie die Richtlinien von DORA und NIS2 parallel um? CERTavia bildet den infrastrukturellen Nachweis für diese regulatorischen Schnittmengen.
1. Setzt Ihr Unternehmen KI für Diagnostik, Patiententriagierung oder Bildauswertung ein? Diese Systeme fallen in den Anwendungsbereich von Annex III Nr. 2.
2. Werden externe Literaturdatenbanken, klinische Daten-APIs oder Klassifikationssysteme angebunden? ICD, SNOMED und vergleichbare medizinische Wissensdatenbanken erhöhen die Validierungsanforderungen an die Datenquellen.
3. Ist das Conformity Assessment Dossier für Annex III vorbereitet? Ein Auditor prüft die maschinenlesbare Evidenz zur Integrität der Datenquellen als zentralen Bestandteil der Konformitätsdokumentation.
4. Ist bereits ein interner oder externer Auditor für Art. 50 benannt? Eine klare Zuweisung der Prüfprozesse stärkt die Governance-Struktur und erleichtert externe Audits.
1. Unterstützt Ihr System Personalentscheidungen wie Bewerberselektion oder Mitarbeiterbewertung? KI-Systeme in diesem Bereich unterliegen der Klassifikation Annex III Nr. 4.
2. Nutzt der Matching-Algorithmus externe Datenquellen? LinkedIn, Job-Boards und externe Skills-Datenbanken erhöhen die Anforderungen an die Datenquellen-Validierung.
3. Fordern Enterprise-Kunden bereits Nachweise über Ihren AI-Act-Compliance-Status? Enterprise-Kunden prüfen nach Art. 28 den Compliance-Status aller Software-Zulieferer in ihrer Lieferkette.
4. Haben Sie Ihr Bewerbermanagement bereits offiziell als Hochrisiko-System klassifiziert? Eine vollständige Dokumentation bildet die auditfeste Grundlage für den Nachweis der Klassifikationsentscheidung.
1. Betreibt Ihr Unternehmen Anlagen oder Systeme, die unter die BSI-Kritisverordnung oder NIS2 fallen? Energie, Wasser, Transport, Gesundheit, Finanzen und digitale Infrastruktur sind klassische KRITIS-Sektoren mit erhöhten Sicherheitsanforderungen.
2. Steuern oder überwachen KI-Systeme in Ihrer Organisation operative Infrastruktur oder kritische Entscheidungsprozesse? Predictive Maintenance, Anomalieerkennung in Netzwerken und automatisierte Leitstellen-Unterstützung fallen in den Anwendungsbereich von Annex III Nr. 3.
3. Greifen Ihre Systeme auf externe Datenquellen, APIs oder Netzwerkdienste zu? Jede externe Domain ist eine potenzielle Angriffsfläche und relevante Datenquelle im Sinne von Art. 50.
4. Liegt ein aktuelles Informationssicherheitskonzept (ISMS) vor? NIS2 verpflichtet KRITIS-Betreiber zu einem dokumentierten ISMS. Der CERTavia-Nachweis ergänzt das ISMS um den maschinenlesbaren Infrastruktur-Beweis.
5. Wurden bereits Lieferanten oder Drittanbieter auf ihre Infrastruktur-Compliance geprüft? NIS2 Art. 21 und DORA verpflichten KRITIS-Betreiber zur Überprüfung der Lieferkette — einschließlich technischer Infrastruktur-Nachweise von Drittanbietern.
1. Bieten Sie KI-gestützte Funktionen in Ihrem SaaS-Produkt für Unternehmenskunden in der EU an? Als Provider tragen Sie nach Art. 28 EU AI Act eigene Pflichten — unabhängig davon, wo Ihr Unternehmen registriert ist.
2. Werden Ihre KI-Funktionen von Kunden in regulierten Hochrisiko-Bereichen eingesetzt (z. B. Finanz, HR, Healthcare)? Die Hochrisiko-Einstufung richtet sich nach dem Einsatzbereich beim Kunden — nicht nach Ihrer eigenen Branche.
3. Fordern Enterprise-Kunden oder Procurement-Teams bereits Nachweise über Ihren AI-Act-Compliance-Status? Ein kryptografisch signierter Infrastruktur-Nachweis beschleunigt Vendor-Assessment-Prozesse und verkürzt Sales-Zyklen.
4. Nutzt Ihr Produkt externe Datenquellen, Drittanbieter-APIs oder LLM-Dienste? Jede externe Domain ist eine validierungspflichtige Datenquelle nach Art. 50. Als Provider sind Sie für die Integrität dieser Quellen verantwortlich.
5. Haben Sie eine AI Policy oder Technical Documentation im Sinne von Art. 11 EU AI Act erstellt? Die technische Dokumentation belegt die Konformitätsentscheidung — CERTavia liefert den maschinenlesbaren Infrastruktur-Baustein dafür.
Häufige Fragen

Fragen zum Schnelltest und Annex III

Was ist der Unterschied zwischen diesem Schnelltest und dem Domain-Scan?

Der Schnelltest prüft anhand von Sektorzugehörigkeit und Anwendungsfall, ob Ihr KI-System unter die Hochrisiko-Pflichten des EU AI Act (Annex III) fällt — das ist eine regulatorische Einordnung, keine technische Messung. Der Domain-Scan prüft die technische Infrastruktur Ihrer Domain gegen 80+ Parameter und liefert den kryptografisch signierten Nachweis für Art. 50 EU AI Act. Beide Tools ergänzen sich.

Ist das eine offizielle Zertifizierung?

Nein. Weder der Schnelltest noch der Domain-Scan ist eine offizielle Zertifizierung im Sinne des EU AI Act. Der Schnelltest liefert eine Einschätzung Ihrer regulatorischen Betroffenheit. Der Domain-Scan liefert einen technischen Infrastruktur-Nachweis — direkt verwendbar als Anlage zum Conformity Assessment Dossier. Mehr dazu im Glossar →

Was passiert, wenn sich mein KI-System oder meine Infrastruktur ändert?

Bei Änderungen am KI-System (neue Funktionen, neuer Sektor) sollten Sie den Schnelltest erneut durchführen — die regulatorische Einstufung kann sich ändern. Bei Infrastrukturänderungen (Hosting, DNS, TLS) empfehlen wir einen neuen Domain-Scan, da ein SOVP-Nachweis den Zustand zum Zeitpunkt der Prüfung dokumentiert.