KI-Verordnung und Dokumenten-Outsourcing: Anbieter richtig prüfen
KI kann Erkennung, Klassifizierung und Routing von Dokumenten beschleunigen, überträgt die Verantwortung aber nicht auf den Algorithmus. So prüfen Sie den Anbieter vor dem Produktivbetrieb.
Seit dem 2. August 2026 setzen zuständige Behörden und das AI Office weitere Pflichten der EU-KI-Verordnung durch. Dadurch wird nicht jedes OCR-System, jede Sortierregel oder jeder Dokumentenklassifikator automatisch zum Hochrisiko-System. Unternehmen müssen jedoch wissen, wo KI eingesetzt wird, welche Aufgaben sie übernimmt, welche Daten sie nutzt und wer das Ergebnis kontrolliert.
Ausgelagerte Dokumentenprozesse können Scannen, Texterkennung, Datenextraktion, Klassifizierung, Routing und Antworterstellung verbinden. Diese Checkliste übersetzt regulatorische Grundsätze in operative Anforderungen und ersetzt keine rechtliche Einzelfallprüfung.
1. KI von klassischer Automatisierung trennen
Eine feste Regel arbeitet anders als ein Modell, das eine Kategorie vorhersagt. Verlangen Sie eine Technologiekarte mit Regeln, OCR, Machine-Learning-Modellen und menschlichen Freigabepunkten.
2. Daten, Ergebnisse und Fehlerfolgen abbilden
Erfassen Sie Dokumentbilder, OCR-Text, Metadaten, Vorgangshistorie und Daten zur Modellverbesserung. Dokumentieren Sie, ob ein Ergebnis nur empfiehlt oder automatisch eine Handlung auslöst. Eine Rechnungskategorie benötigt andere Kontrollen als eine automatische Ablehnung oder Entscheidung über eine Person.
3. Rollen eindeutig festlegen
Benennen Sie Prozesseigentümer, Technologieanbieter, Modellbetreiber, Ergebnisnutzer, Verantwortlichen und Auftragsverarbeiter. Rollen nach KI-Verordnung und DSGVO sind nicht immer identisch. Unterauftragnehmer und Verarbeitungsorte gehören in die Übersicht.
4. Begründete Risikoklassifizierung verlangen
Das Risiko hängt von der Verwendung ab, nicht vom Begriff „KI“. Beschäftigung, Kreditwürdigkeit und weitere genannte Bereiche können strengere Pflichten auslösen. Technische Postsortierung braucht auch ohne Hochrisiko-Einstufung Qualitäts-, Datenschutz- und Sicherheitskontrollen.
5. Modellqualität in das SLA aufnehmen
| Bereich | Frage | Nachweis |
|---|---|---|
| Genauigkeit | Wie werden Fehler gemessen? | Repräsentative Testmenge |
| Ausnahmen | Wann prüft ein Mensch? | Konfidenzschwellen und Warteschlange |
| Änderungen | Wer genehmigt neue Versionen? | Versionsregister und Regressionstest |
| Vorfälle | Wie werden Serienfehler erkannt? | Alarm, Eskalation und Ursachenbericht |
| Daten | Werden Kundendokumente trainiert? | Vertrag, Löschung und Rechtsgrundlage |
6. Wirksame menschliche Aufsicht gestalten
Human-in-the-loop darf kein formaler Bestätigungsknopf sein. Prüfer benötigen das Originaldokument, Verständnis der Grenzen, Korrekturrechte und eine klare Stoppregel. Niedrige Konfidenz, schlechte Scans, neue Dokumenttypen und folgenreiche Entscheidungen müssen eine Prüfung auslösen.
7. KI-Verordnung und DSGVO verbinden
Die KI-Verordnung ersetzt die DSGVO nicht. Zweck, Rechtsgrundlage, Datenminimierung, Aufbewahrung, Sicherheit und Betroffenenrechte bleiben erforderlich. Prüfen Sie, ob Kundendaten ein gemeinsames Modell trainieren und ob eine DSFA nötig ist.
8. Versionen und Regression kontrollieren
Verhalten kann sich nach Änderungen am Modell, Prompt, Wörterbuch, OCR-Anbieter oder Layout ändern. Jede wesentliche Änderung braucht Version, Umfang, Testergebnis und Rollback. Testen Sie typische, schwierige und ungewöhnliche Dokumente in allen Prozesssprachen.
9. Vorfall- und Exit-Plan vereinbaren
Definieren Sie, wann ein KI-Fehler zum Vorfall wird, wie automatische Aktionen gestoppt und manuelle Abläufe aktiviert werden. Der Exit-Plan muss Daten, Konfigurationen, Wörterbücher, Protokolle und Ausnahmelisten umfassen.
10. Mit einem messbaren Pilot starten
- Einen Dokumenttyp und begrenztes Volumen wählen.
- Manuell verifizierte Referenzmenge erstellen.
- Qualitätsschwellen und Prüfauslöser festlegen.
- Schlechte Scans, Sprachen und fehlende Felder testen.
- Zeit, Kosten und Korrekturen vergleichen.
- Erst nach Abnahme erweitern.
Quellen
FAQ
Fällt jedes OCR unter die KI-Verordnung?
Nein. Klassisches OCR oder feste Regeln können außerhalb des KI-Begriffs liegen. Funktion, Zweck und Folgen müssen geprüft werden.
Darf der Anbieter mit unseren Dokumenten trainieren?
Nur nach klarer Vereinbarung zu Zweck, Umfang, Rechtsgrundlage, Aufbewahrung, Vertraulichkeit und Ausschlussmöglichkeit.
Reicht menschliche Aufsicht aus?
Nur wenn sie wirksam ist: Prüfer sehen Quelldaten, kennen Grenzen, können Ergebnisse ändern und den Prozess stoppen.
Wo beginnt die Anbieterprüfung?
Bei der Karte der KI-Anwendungen, Daten, Unterauftragnehmer und Fehlerfolgen; danach folgen Kennzahlen, Prüfschwellen, Versionierung und Vorfälle.