| name | hochrisiko-risikomanagementsystem-art-9 |
| title | Risikomanagementsystem — Art. 9 KI-VO |
| description | Anbieter von Hochrisiko-KI fragt: Wie setzen wir ein KI-VO-konformes Risikomanagementsystem auf und was muss es enthalten? Art. 9 KI-VO Risikomanagementsystem. Prüfraster: kontinuierlicher iterativer Prozess Risikoidentifikation Risikoabschaetzung Risikominderungsmassnahmen Restrisiko-Bewertung und -Akzeptanz Dokumentationspflicht. Typische Luecken fehlende Iterationszyklen unvollständige Risikolandkarte. Output: Risikomanagementsystem-Rahmenwerk und Vorlage Risikodokumentation. Abgrenzung zu hochrisiko-datenqualitaet-und-data-governance-art-10 und hochrisiko-konformitätsbewertung-art-43-bis-49. |
| author | Klotzkette |
| author_url | https://github.com/Klotzkette/claude-fuer-deutsches-recht/tree/main/ki-vo-ai-act-pruefer/skills/hochrisiko-risikomanagementsystem-art-9 |
| license | Apache-2.0 |
| version | 0.1.1 |
| execution_mode | open |
| jurisdiction | eu |
| practice | regulatory |
| language | de |
Risikomanagementsystem — Art. 9 KI-VO
Zweck
Art. 9 KI-VO verpflichtet Anbieter von Hochrisiko-KI-Systemen, ein Risikomanagementsystem einzurichten und zu betreiben. Es ist kein einmaliger Akt, sondern ein kontinuierlicher, iterativer Prozess, der den gesamten Lebenszyklus des KI-Systems begleitet.
Anforderungen an das Risikomanagementsystem
Merkmal 1 — Kontinuierlicher iterativer Prozess
Das Risikomanagementsystem muss über den gesamten Lebenszyklus des KI-Systems aufrechterhalten und aktualisiert werden. Es beginnt vor dem Inverkehrbringen und endet nicht mit der Markteinführung.
Prüffragen:
- Gibt es einen formalen Prozess, der regelmäßig Risiken des Systems bewertet?
- Wird der Prozess bei wesentlichen Änderungen des Systems oder seiner Einsatzbedingungen aktualisiert?
- Sind Verantwortlichkeiten für das Risikomanagement klar zugewiesen?
Merkmal 2 — Risikoidentifikation (Art. 9 Abs. 2 KI-VO)
Das System muss bekannte und hinreichend vorhersehbare Risiken für Gesundheit, Sicherheit oder Grundrechte identifizieren und dokumentieren, die aus dem KI-System entstehen können — sowohl bei bestimmungsgemäßem Gebrauch als auch bei vernünftigerweise vorhersehbarem Missbrauch.
Prüffragen:
- Wurden alle relevanten Risikoarten analysiert: technisches Versagen, Bias, Datenmängel, Missbrauch, Cyberangriffe?
- Wurden auch indirekte Risiken für Dritte (nicht nur direkte Nutzer) berücksichtigt?
Merkmal 3 — Risikoabschätzung und Risikopriorisierung (Art. 9 Abs. 2 lit. b KI-VO)
Die identifizierten Risiken müssen bewertet werden — nach Schwere, Wahrscheinlichkeit und Reversibilität der Schäden. Dabei sind die spezifischen Eigenschaften der vorgesehenen Nutzer (Alter, Vulnerabilität) zu berücksichtigen.
Prüffragen:
- Werden Risiken nach Schwere und Wahrscheinlichkeit eingestuft?
- Werden betroffene Bevölkerungsgruppen und ihre besonderen Schutzbedürfnisse berücksichtigt?
Merkmal 4 — Risikominderungsmaßnahmen (Art. 9 Abs. 4 KI-VO)
Für jedes identifizierte Risiko müssen angemessene Minderungsmaßnahmen getroffen werden. Die Maßnahmen sind in folgender Reihenfolge zu priorisieren:
- Risikominderung durch Design und Entwicklung
- Risikominderung durch Schutzmaßnahmen (technische und organisatorische Sicherheitsvorkehrungen)
- Informationsmaßnahmen für Betreiber und Nutzer
Prüffragen:
- Wurden für jedes Risiko konkrete Maßnahmen definiert und dokumentiert?
- Wurden Design-Alternativen geprüft, bevor auf externe Schutzmaßnahmen zurückgegriffen wurde?
