diff --git a/admin-compliance/app/sdk/sdk-flow/flow-data.ts b/admin-compliance/app/sdk/sdk-flow/flow-data.ts index 41672ec..9a98e17 100644 --- a/admin-compliance/app/sdk/sdk-flow/flow-data.ts +++ b/admin-compliance/app/sdk/sdk-flow/flow-data.ts @@ -155,6 +155,27 @@ export const SDK_FLOW_STEPS: SDKFlowStep[] = [ isOptional: false, url: '/sdk/use-cases', }, + { + id: 'ai-registration', + name: 'EU AI Database Registrierung', + nameShort: 'EU-Reg', + package: 'vorbereitung', + seq: 350, + checkpointId: 'CP-REG', + checkpointType: 'CONDITIONAL', + checkpointReviewer: 'NONE', + description: 'Registrierung von Hochrisiko-KI-Systemen in der EU AI Database gemaess Art. 49 KI-Verordnung.', + descriptionLong: 'Fuer Hochrisiko-KI-Systeme (Annex III) ist eine Registrierung in der EU AI Database Pflicht. Ein 6-Schritte-Wizard fuehrt durch den Prozess: (1) Anbieter-Daten — Name, Rechtsform, Adresse, EU-Repraesentant. (2) System-Details — Name, Version, Beschreibung, Einsatzzweck (vorausgefuellt aus UCCA Assessment). (3) Klassifikation — Risikoklasse und Annex III Kategorie (aus Decision Tree). (4) Konformitaet — CE-Kennzeichnung, Notified Body. (5) Trainingsdaten — Zusammenfassung der Datenquellen (Art. 10). (6) Pruefung + Export — JSON-Download fuer EU-Datenbank-Submission. Der Status-Workflow ist: Entwurf → Bereit → Eingereicht → Registriert.', + legalBasis: 'Art. 49 KI-Verordnung (EU) 2024/1689', + inputs: ['useCases', 'companyProfile'], + outputs: ['euRegistration'], + prerequisiteSteps: ['use-case-assessment'], + dbTables: ['ai_system_registrations'], + dbMode: 'read/write', + ragCollections: [], + isOptional: true, + url: '/sdk/ai-registration', + }, { id: 'import', name: 'Dokument-Import', diff --git a/admin-compliance/migrations/wiki_domain_articles.sql b/admin-compliance/migrations/wiki_domain_articles.sql new file mode 100644 index 0000000..21369ee --- /dev/null +++ b/admin-compliance/migrations/wiki_domain_articles.sql @@ -0,0 +1,157 @@ +-- Wiki Articles: Domain-spezifische KI-Compliance +-- 4 Artikel fuer die wichtigsten Hochrisiko-Domains + +-- 1. KI im Recruiting +INSERT INTO compliance.compliance_wiki_articles (id, category_id, title, summary, content, legal_refs, tags, relevance, source_urls, version) +VALUES ('ki-recruiting-compliance', 'arbeitsrecht', +'KI im Recruiting — AGG, DSGVO Art. 22, AI Act Hochrisiko', +'Compliance-Anforderungen bei KI-gestuetzter Personalauswahl: Automatisierte Absagen, Bias-Risiken, Beweislastumkehr.', +'# KI im Recruiting — Compliance-Anforderungen + +## AI Act Einstufung +KI im Recruiting faellt unter **Annex III Nr. 4 (Employment)** = **High-Risk**. + +## Kritische Punkte + +### Art. 22 DSGVO — Automatisierte Entscheidungen +Vollautomatische Absagen ohne menschliche Pruefung sind **grundsaetzlich unzulaessig**. +Erlaubt: KI erstellt Vorschlag → Mensch prueft → Mensch entscheidet → Mensch gibt Absage frei. + +### AGG — Diskriminierungsverbot +- § 1 AGG: Keine Benachteiligung nach Geschlecht, Alter, Herkunft, Religion, Behinderung +- § 22 AGG: **Beweislastumkehr** — Arbeitgeber muss beweisen, dass KEINE Diskriminierung vorliegt +- § 15 AGG: Schadensersatz bis 3 Monatsgehaelter pro Fall +- Proxy-Merkmale vermeiden: Name→Herkunft, Foto→Alter + +### BetrVG — Mitbestimmung +- § 87 Abs. 1 Nr. 6: Betriebsrat muss zustimmen +- § 95: Auswahlrichtlinien mitbestimmungspflichtig +- BAG 1 ABR 20/21: Gilt auch fuer Standardsoftware + +## Pflichtmassnahmen +1. Human-in-the-Loop (echt, kein Rubber Stamping) +2. Regelmaessige Bias-Audits +3. DSFA durchfuehren +4. Betriebsvereinbarung abschliessen +5. Bewerber ueber KI-Nutzung informieren', +'["Art. 22 DSGVO", "§ 1 AGG", "§ 22 AGG", "§ 15 AGG", "§ 87 BetrVG", "§ 95 BetrVG", "Annex III Nr. 4 AI Act"]', +ARRAY['Recruiting', 'HR', 'AGG', 'Bias', 'Art. 22', 'Beweislastumkehr', 'Betriebsrat'], +'critical', +'["https://www.bundesarbeitsgericht.de/entscheidung/1-abr-20-21/"]', +1) +ON CONFLICT (id) DO UPDATE SET content = EXCLUDED.content, updated_at = NOW(); + +-- 2. KI in der Bildung +INSERT INTO compliance.compliance_wiki_articles (id, category_id, title, summary, content, legal_refs, tags, relevance, source_urls, version) +VALUES ('ki-bildung-compliance', 'branchenspezifisch', +'KI in der Bildung — Notenvergabe, Pruefungsbewertung, Minderjaehrige', +'AI Act Annex III Nr. 3: Hochrisiko bei KI-gestuetzter Bewertung in Bildung und Ausbildung.', +'# KI in der Bildung — Compliance-Anforderungen + +## AI Act Einstufung +KI in Bildung/Ausbildung faellt unter **Annex III Nr. 3 (Education)** = **High-Risk**. + +## Kritische Szenarien +- KI beeinflusst Noten → High-Risk +- KI bewertet Pruefungen → High-Risk +- KI steuert Zugang zu Bildungsangeboten → High-Risk +- Minderjaehrige betroffen → Besonderer Schutz (Art. 24 EU-Grundrechtecharta) + +## BLOCK-Regel +**Minderjaehrige betroffen + keine Lehrkraft-Pruefung = UNZULAESSIG** + +## Pflichtmassnahmen +1. Lehrkraft prueft JEDES KI-Ergebnis vor Mitteilung an Schueler +2. Chancengleichheit unabhaengig von sozioekonomischem Hintergrund +3. Keine Benachteiligung durch Sprache oder Behinderung +4. FRIA durchfuehren (Grundrechte-Folgenabschaetzung) +5. DSFA bei Verarbeitung von Schuelerdaten + +## Grundrechte +- Recht auf Bildung (Art. 14 EU-Charta) +- Rechte des Kindes (Art. 24 EU-Charta) +- Nicht-Diskriminierung (Art. 21 EU-Charta)', +'["Annex III Nr. 3 AI Act", "Art. 14 EU-Grundrechtecharta", "Art. 24 EU-Grundrechtecharta", "Art. 35 DSGVO"]', +ARRAY['Bildung', 'Education', 'Noten', 'Pruefung', 'Minderjaehrige', 'Schule'], +'critical', +'[]', +1) +ON CONFLICT (id) DO UPDATE SET content = EXCLUDED.content, updated_at = NOW(); + +-- 3. KI im Gesundheitswesen +INSERT INTO compliance.compliance_wiki_articles (id, category_id, title, summary, content, legal_refs, tags, relevance, source_urls, version) +VALUES ('ki-gesundheit-compliance', 'branchenspezifisch', +'KI im Gesundheitswesen — MDR, Diagnose, Triage', +'AI Act Annex III Nr. 5 + MDR: Hochrisiko bei KI in Diagnose, Behandlung und Triage.', +'# KI im Gesundheitswesen — Compliance-Anforderungen + +## Regulatorischer Rahmen +- **AI Act Annex III Nr. 5** — Zugang zu wesentlichen Diensten (Gesundheit) +- **MDR (EU) 2017/745** — Medizinprodukteverordnung +- **DSGVO Art. 9** — Gesundheitsdaten = besondere Kategorie + +## Kritische Szenarien +- KI unterstuetzt Diagnosen → High-Risk + DSFA Pflicht +- KI priorisiert Patienten (Triage) → Lebenskritisch, hoechste Anforderungen +- KI empfiehlt Behandlungen → High-Risk +- System ist Medizinprodukt → MDR-Zertifizierung erforderlich + +## BLOCK-Regeln +- **Medizinprodukt ohne klinische Validierung = UNZULAESSIG** +- MDR Art. 61: Klinische Bewertung ist Pflicht + +## Grundrechte +- Menschenwuerde (Art. 1 EU-Charta) +- Schutz personenbezogener Daten (Art. 8 EU-Charta) +- Patientenautonomie + +## Pflichtmassnahmen +1. Klinische Validierung vor Einsatz +2. Human Oversight durch qualifiziertes Fachpersonal +3. DSFA fuer Gesundheitsdatenverarbeitung +4. Genauigkeitsmetriken definieren und messen +5. Incident Reporting bei Fehlfunktionen', +'["Annex III Nr. 5 AI Act", "MDR (EU) 2017/745", "Art. 9 DSGVO", "Art. 35 DSGVO"]', +ARRAY['Gesundheit', 'Healthcare', 'MDR', 'Diagnose', 'Triage', 'Medizinprodukt'], +'critical', +'[]', +1) +ON CONFLICT (id) DO UPDATE SET content = EXCLUDED.content, updated_at = NOW(); + +-- 4. KI in Finanzdienstleistungen +INSERT INTO compliance.compliance_wiki_articles (id, category_id, title, summary, content, legal_refs, tags, relevance, source_urls, version) +VALUES ('ki-finance-compliance', 'branchenspezifisch', +'KI in Finanzdienstleistungen — Scoring, DORA, Versicherung', +'AI Act Annex III Nr. 5 + DORA + MaRisk: Compliance bei Kredit-Scoring, Algo-Trading, Versicherungspraemien.', +'# KI in Finanzdienstleistungen — Compliance-Anforderungen + +## Regulatorischer Rahmen +- **AI Act Annex III Nr. 5** — Zugang zu wesentlichen Diensten +- **DORA** — Digital Operational Resilience Act +- **MaRisk/BAIT** — Bankaufsichtliche Anforderungen +- **MiFID II** — Algorithmischer Handel + +## Kritische Szenarien +- Kredit-Scoring → High-Risk (Art. 22 DSGVO + Annex III) +- Automatisierte Schadenbearbeitung → Art. 22 Risiko +- Individuelle Praemienberechnung → Diskriminierungsrisiko +- Algo-Trading → MiFID II Anforderungen +- Robo Advisor → WpHG-Pflichten + +## Pflichtmassnahmen +1. Transparenz bei Scoring-Entscheidungen +2. Bias-Audits bei Kreditvergabe +3. Human Oversight bei Ablehnungen +4. DORA-konforme IT-Resilienz +5. Incident Reporting + +## Besondere Risiken +- Diskriminierendes Kredit-Scoring (AGG + AI Act) +- Ungerechtfertigte Verweigerung von Finanzdienstleistungen +- Mangelnde Erklaerbarkeit bei Scoring-Algorithmen', +'["Annex III Nr. 5 AI Act", "DORA", "MaRisk", "MiFID II", "Art. 22 DSGVO", "§ 1 AGG"]', +ARRAY['Finance', 'Banking', 'Versicherung', 'Scoring', 'DORA', 'Kredit', 'Algo-Trading'], +'critical', +'[]', +1) +ON CONFLICT (id) DO UPDATE SET content = EXCLUDED.content, updated_at = NOW();