KI-VO

Kurzfassung unserer Position zur Verordnung (EU) 2024/1689 (KI-VO). Die ausführliche englische Darstellung steht unter EU AI Act, die Beschreibung der einzelnen Funktionen unter Features using AI.

Rollen

Rolle nach KI-VO	Wer
Anbieter des KI-Systems (Art. 3 Nr. 3)	Entropy Data. Wir bringen die Anwendung unter unserem Namen in der EU in Verkehr.
Betreiber des KI-Systems (Art. 3 Nr. 4)	Sie. Sie verwenden das System in eigener Verantwortung, bestimmen den Einsatzzweck und nutzen die Ausgaben.
Anbieter eines KI-Modells mit allgemeinem Verwendungszweck (Kapitel V)	Niemand von uns. Wir entwickeln, trainieren und feintunen keine Modelle, sondern binden ausschließlich Modelle Dritter über deren API an.

Dass wir die Anwendung als SaaS hosten, macht uns nicht zum Betreiber. Anknüpfungspunkt von Art. 3 Nr. 4 ist die Verwendung in eigener Verantwortung, nicht der technische Serverbetrieb. Für unseren eigenen, internen Mandanten sind wir Anbieter und Betreiber zugleich.

Betriebsmodelle

Die Einstufung nach KI-VO ist in allen drei Fällen dieselbe, und in allen dreien bleiben Sie Betreiber des KI-Systems. Unterschiedlich ist nur, wer das Modell betreibt, wohin die Prompts gehen und ob wir überhaupt Daten verarbeiten.

Betriebsmodell	Wer betreibt das Modell	Wohin gehen die Prompts	Unsere Rolle nach DSGVO
Cloud, Modell von Entropy Data (Managed)	Entropy Data	An das von uns betriebene Modell, unter unserem Vertrag	Auftragsverarbeiter (Art. 28)
Cloud, eigenes Modell (BYOM)	Sie	An Ihren Modell-Endpunkt, unter Ihrem Vertrag. Die Beziehung zum Modellanbieter sehen wir nie	Auftragsverarbeiter (Art. 28)
Self-hosted, eigenes Modell	Sie	An Ihren Modell-Endpunkt, aus Ihrer eigenen Infrastruktur. Die Prompts berühren unsere Systeme nie	Keine, wir verarbeiten keine Daten

Das von uns betriebene Modell läuft über Azure OpenAI in der EU. Wir trainieren es nicht und passen es nicht an; Prompts und Ausgaben werden nicht zum Training von Modellen verwendet.

Binden Sie stattdessen ein eigenes Modell an, verantworten Sie zusätzlich das Vertragsverhältnis zum Modellanbieter einschließlich Region und Datenaufbewahrung.

Beim Self-Hosting kommt hinzu, dass wir keinen Einblick in Ihre Instanz haben: Audit-Logging, Modellwahl und die Frage, welche KI-Funktionen aktiv sind, liegen vollständig bei Ihnen.

Risikoklasse

Begrenztes Risiko, also Transparenzpflichten nach Art. 50.

Verbotene Praktiken (Art. 5): liegen nicht vor.
Hochrisiko (Art. 6 in Verbindung mit Anhang III): liegt nicht vor. Die KI-Funktionen verwalten Metadaten über Datenprodukte und fallen unter keinen Anhang-III-Bereich, insbesondere nicht Biometrie, Beschäftigung, Kreditwürdigkeit, Versicherungs-Risikobewertung, Bildung oder Strafverfolgung.
Transparenz (Art. 50 Abs. 1): einschlägig für die dialogorientierten Komponenten, den Data Contract Assistant und Entropy Intelligence. Beide sind in der Oberfläche als KI gekennzeichnet. Auf die Offensichtlichkeits-Ausnahme stützen wir uns nicht.
Art. 50 Abs. 2 (Kennzeichnung synthetischer Inhalte): nach unserer Einschätzung nicht einschlägig. Die KI unterstützt den menschlichen Autor; jeder Vorschlag wird zur Prüfung vorgelegt, ist vor Übernahme editierbar, und die inhaltliche Verantwortung bleibt beim Autor.
Art. 50 Abs. 3 und 4: nicht einschlägig. Keine Emotionserkennung, keine biometrische Kategorisierung, keine Bild-, Ton- oder Videoerzeugung und damit keine Deepfakes.

Menschliche Aufsicht

Alle KI-Funktionen sind beratend. Ausgaben werden einem Menschen zur Prüfung vorgelegt und werden erst nach dessen Bestätigung wirksam.

Einzige Ausnahme ist Purpose-based Access Control, die zur Abfragezeit ohne menschliche Bestätigung entscheidet. Drei Eigenschaften begrenzen sie:

Sie kann Zugriff nur einschränken, nie erweitern. Sie läuft nach der regulären Berechtigungsprüfung.
Sie fällt geschlossen aus: Ist das Modell nicht verfügbar, wird die Abfrage abgelehnt statt zugelassen.
Sie ist inaktiv, solange KI für die Organisation nicht aktiviert ist.

Aktivierung

KI ist ohne konfiguriertes Modell inaktiv. Die KI-Funktionen werden über Organization Settings → AI als Gruppe aktiviert oder deaktiviert; einzelne Funktionen lassen sich dort nicht getrennt schalten. Entropy Intelligence ist die Ausnahme und benötigt eine eigene Freigabe unter Organization Settings → Intelligence, dazu einen zweiten Schalter für die SQL-Ausführung. Beide sind standardmäßig aus.

Ihre Pflichten als Betreiber

Aus Art. 26 und Art. 4 KI-VO folgen für Sie insbesondere:

Menschliche Aufsicht über die Funktionen, die Sie aktivieren.
Information Ihrer Nutzer, dass sie mit einem KI-System interagieren.
KI-Kompetenz der Personen, die das System einsetzen.