Wie passt das Modul „KI-Verordnung“ zum Lieferantenregister?

Zwei Register, eine Richtung.

Das Modul führt das KI-System. Name, Beschreibung, Art und die gesamte Einstufung — das Interview, die Risikostufe im Entwurf, die Checkliste der Pflichten, die Nachweise, das Compliance-Dossier — liegen im Modul „KI-Verordnung“. Dort bestätigen Sie eine Einstufung, und dort wird sie zu einer Feststellung mit Ihrem Namen.

Das Lieferantenregister führt alles darum herum. Sobald ein KI-System im Modul existiert, erscheint unter „Systeme und Dienste“ eine Zeile dafür, gekennzeichnet mit dem Namen des Moduls. Dort verknüpfen Sie die Lieferanten, von denen es abhängt — für das Modell, das Hosting, die Anmeldung —, werten ihre Dokumente aus, überwachen sie auf Änderungen, halten SLA-Stufen und Supportkontakte fest und exportieren das Ganze als PDF-Paket. Löschen Sie das KI-System im Modul, folgt seine Zeile; benennen Sie es um, wird die Zeile umbenannt. Das Lieferantenregister bearbeitet das KI-System selbst nie.

Warum es so gebaut ist. Die KI-Verordnung der EU verlangt von einem Betreiber, seine Anbieter zu kennen, und von einem Anbieter, seine eigene Lieferkette zu kennen (Art. 25 und die Dokumentation nach Anhang IV); Art. 28 DSGVO und Art. 21 der NIS-2-Richtlinie stellen dieselbe Frage zu jedem Lieferanten, ob KI oder nicht. Ein Register beantwortet sie alle, und das Modul fügt nur hinzu, was der Verordnung eigen ist. Module für DSGVO und NIS-2 werden auf derselben Grundlage aufbauen.