Ist das schon KI?Is This Already AI?
Der Fall
Dieses Inserat ist echt. Ein Sonderpostenmarkt bewirbt einen Jura-Kaffeevollautomaten für 899.– Abhol-Barpreis — und mitten in der Aufzählung zwischen Wassertank und Bohnenbehälter steht, grün eingekringelt, das Verkaufsargument: «Künstliche Intelligenz: die am häufigsten bezogenen Produkte ordnen sich automatisch auf den Plätzen 1–4 an.» Man könnte darüber schmunzeln und weiterblättern. Oder man macht den Fehler, den ich gemacht habe: Artikel 3 des EU AI Act daneben zu legen.
Denn das ist keine Discounter-Übertreibung. Jura selbst bewirbt die ENA 8 offiziell damit, dass «künstliche Intelligenz anhand eines Algorithmus die persönlichen Genusspräferenzen erkennt» und den Startbildschirm automatisch anpasst. Der Hersteller meint es ernst. Prüfen wir also, ob er recht hat.
Die Mechanik
Der AI Act definiert ein KI-System in Artikel 3(1) über fünf Merkmale — legen wir die Maschine auf den Prüfstand. Maschinengestützt? Zweifellos. Mit unterschiedlichem Grad an Autonomie? Sie sortiert selbständig um, niemand gibt ihr den Befehl. Anpassungsfähig nach der Einführung? Genau das ist ihr Trick — sie lernt im Betrieb aus dem Nutzerverhalten. Leitet aus Eingaben ab, wie sie Ausgaben generiert? Eingabe Nutzungsdaten, Ausgabe sortiertes Menü. Beeinflusst die Umgebung? Sie beeinflusst, was Sie trinken — physischer wird es kaum. Fünf Kriterien, fünf Treffer. Willkommen im Anwendungsbereich, Jura 9000.
Die Übertragung
Die Pointe ist natürlich nicht, dass demnächst Kaffeemaschinen registriert werden müssen — für Fälle dieser Art kennt der AI Act die Kategorie des minimalen Risikos. Die Pointe ist unbequemer: Wenn schon eine Kaffeemaschine die Definition erfüllt, was ist dann mit der Tarifierungslogik, dem Ticket-Routing, dem Spamfilter, dem Empfehlungsalgorithmus im Intranet?
Die Definition entscheidet, was in Ihr KI-Inventar gehört. Das Inventar entscheidet, worauf sich Governance, Risikoklassifizierung und Prüfpflichten erstrecken. Wer die Definition dem Zufall überlässt, hat kein vollständiges Inventar — sondern eine Sammlung der Systeme, bei denen zufällig jemand «KI» ins Formular geschrieben hat. Die FINMA erwartet von Beaufsichtigten deshalb beides: eine eindeutige KI-Definition zur Abgrenzung von klassischer Software und ein vollständiges Inventar (Aufsichtsmitteilung 08/2024).
Der Prüferblick
- Existiert eine dokumentierte KI-Definition im Unternehmen — und ist sie gegen die relevanten Rechtsräume (EU AI Act, FINMA, ggf. US) abgeglichen?
- Wie stellt der Inventarisierungsprozess sicher, dass auch unscheinbare adaptive Systeme erfasst werden — inklusive Schatten-KI und Einkaufslösungen mit «eingebauter» KI?
- Wer entscheidet Zweifelsfälle der Einstufung, und ist dieser Entscheid nachvollziehbar dokumentiert?
The Case
This ad is real. A discount retailer advertises a Jura fully automatic coffee machine for 899.– cash-and-carry — and right in the middle of the feature list, between water tank and bean container, circled in green, sits the selling point: «Artificial intelligence: the most frequently ordered products automatically arrange themselves in positions 1–4.» You could smile and turn the page. Or you could make the mistake I made: putting Article 3 of the EU AI Act next to it.
Because this is not discounter hyperbole. Jura itself officially markets the ENA 8 with «artificial intelligence that uses an algorithm to recognise personal taste preferences» and adapts the start screen automatically. The manufacturer means it. So let us check whether it is right.
The Mechanics
Article 3(1) of the AI Act defines an AI system through five characteristics — let us put the machine on the test bench. Machine-based? Undoubtedly. Varying levels of autonomy? It re-sorts on its own; nobody instructs it. Adaptiveness after deployment? That is precisely its trick — it learns from user behaviour in operation. Infers from inputs how to generate outputs? Input usage data, output a sorted menu. Influences its environment? It influences what you drink — it hardly gets more physical. Five criteria, five hits. Welcome to the scope of application, Jura 9000.
The Transfer
The point is not, of course, that coffee machines will soon require registration — the AI Act has a minimal-risk category for cases like this. The point is more uncomfortable: if even a coffee machine meets the definition, what about the pricing logic, the ticket routing, the spam filter, the recommendation algorithm on the intranet?
The definition determines what belongs in your AI inventory. The inventory determines the reach of governance, risk classification and audit obligations. Leave the definition to chance and you do not have a complete inventory — you have a collection of systems where someone happened to write «AI» on the form. This is exactly why FINMA expects supervised institutions to have both: an unambiguous AI definition to distinguish AI from classic software, and a complete inventory (Guidance 08/2024).
The Auditor’s View
- Does a documented AI definition exist in the organisation — and has it been reconciled with the relevant jurisdictions (EU AI Act, FINMA, US where applicable)?
- How does the inventory process ensure that inconspicuous adaptive systems are captured — including shadow AI and procured solutions with «built-in» AI?
- Who decides borderline classification cases, and is that decision documented in a traceable way?