Aufbau eines Risikomanagementsystems nach der KI-VO (Artikel 9)

Was Artikel 9 vorschreibt

Artikel 9 des EU-KI-Gesetzes verpflichtet jeden Anbieter eines KI-Systems mit hohem Risiko, ein Risikomanagementsystem — ein kontinuierlicher, iterativer Prozess über den gesamten Lebenszyklus hinweg, der regelmäßig systematisch überprüft wird.

Es handelt sich hierbei nicht um eine einmalige Risikobewertung.

Die vier obligatorischen Schritte

1. Ermitteln und analysieren bekannte und vernünftigerweise vorhersehbare Risiken für Gesundheit, Sicherheit und Grundrechte.
2. Einschätzen und bewerten Risiken bei bestimmungsgemäßer Verwendung und bei vernünftigerweise vorhersehbarer unsachgemäßer Verwendung.
3. Weitere Risiken bewerten aus Daten der Überwachung nach dem Inverkehrbringen.
4. Geeignete und gezielte Maßnahmen zum Risikomanagement ergreifen.

Die Rangfolge der Maßnahmen (Artikel 9 Absatz 5)

• Beseitigen oder reduzieren Risiken durch eine angemessene Konzeption und Entwicklung.
• Falls dies nicht möglich ist, implementieren Sie Maßnahmen zur Risikominderung und -kontrolle.
• Bereitstellen Information und Schulung zwei Deployer.

Die Akzeptanz des Restrisikos muss dokumentiert werden.

Gefährdete Gruppen

Artikel 9 Absatz 9 schreibt vor, dass die Auswirkungen auf Personen unter 18 Jahren und andere schutzbedürftige Gruppen – das ist keine Option.

Ein praktikables Betriebsmodell

Risikoregister

Eine Zeile pro Risiko: Beschreibung, Art des Schadens, Eintrittswahrscheinlichkeit, Schweregrad, betroffene Gruppe, Verantwortlicher, Risikominderung, Restrisiko, Überprüfungsdatum.

Protokoll der Entwurfsentscheidungen

Jede getroffene Designentscheidung wegen ein Risiko, das auf den betreffenden Registereintrag zurückzuführen ist.

Nachweise aus Tests und Validierungen

Verzerrung, Robustheit, adversarische Tests mit dokumentierter Methodik.

Feed zur Überwachung nach dem Inverkehrbringen

Jeder schwerwiegende Vorfall (Artikel 73) führt zur Wiederaufnahme der Analyse.

Taktfrequenz

• Kontinuierlich ereignisgesteuerte Aktualisierungen.
• Vierteljährlich Register-Überprüfung.
• Jährlich umfassende Neubewertung, unterzeichnet auf Führungsebene.
• Ereignisgesteuert bei einer wesentlichen Änderung (Artikel 43).

Was Wirtschaftsprüfer verlangen werden

• Das schriftliche Verfahren.
• Das aktuelle Register mit Änderungshistorie.
• Nachweis der letzten jährlichen Überprüfung.
• Verfolgen Sie den Zusammenhang zwischen mindestens einem Vorfall und einer Registeraktualisierung nach.
• Nachweis einer Analyse der schutzbedürftigen Gruppen.

---

Siehe auch: Leitfaden für KI-Systeme mit hohem Risiko · Überblick über das EU-KI-Gesetz · Kostenlose Eignungsprüfung