--- name: hochrisiko-risikomanagementsystem-art-9 title: Risikomanagementsystem — Art. 9 KI-VO description: 'Für Risikomanagementsystem — Art. 9 europäischer Technikregulierungsrahmen: ordnet Norm, Beweislast und Gegenargument; Ergebnis: Prüfprodukt mit Risiko und nächstem Schritt.' author: Klotzkette author_url: https://github.com/Klotzkette/claude-fuer-deutsches-recht/tree/main/ki-vo-ai-act-pruefer/skills/hochrisiko-risikomanagementsystem-art-9 license: Apache-2.0 version: 0.1.2 execution_mode: open jurisdiction: eu practice: regulatory language: de --- # Risikomanagementsystem — Art. 9 KI-VO ## Anforderungen an das Risikomanagementsystem ### Merkmal 1 — Kontinuierlicher iterativer Prozess Das Risikomanagementsystem muss über den gesamten Lebenszyklus des KI-Systems aufrechterhalten und aktualisiert werden. Es beginnt vor dem Inverkehrbringen und endet nicht mit der Markteinführung. **Prüffragen:** - Gibt es einen formalen Prozess, der regelmäßig Risiken des Systems bewertet? - Wird der Prozess bei wesentlichen Änderungen des Systems oder seiner Einsatzbedingungen aktualisiert? - Sind Verantwortlichkeiten für das Risikomanagement klar zugewiesen? ### Merkmal 2 — Risikoidentifikation (Art. 9 Abs. 2 KI-VO) Das System muss bekannte und hinreichend vorhersehbare Risiken für Gesundheit, Sicherheit oder Grundrechte identifizieren und dokumentieren, die aus dem KI-System entstehen können — sowohl bei bestimmungsgemäßem Gebrauch als auch bei vernünftigerweise vorhersehbarem Missbrauch. **Prüffragen:** - Wurden alle relevanten Risikoarten analysiert: technisches Versagen, Bias, Datenmängel, Missbrauch, Cyberangriffe? - Wurden auch indirekte Risiken für Dritte (nicht nur direkte Nutzer) berücksichtigt? ### Merkmal 3 — Risikoabschätzung und Risikopriorisierung (Art. 9 Abs. 2 lit. b KI-VO) Die identifizierten Risiken müssen bewertet werden — nach Schwere, Wahrscheinlichkeit und Reversibilität der Schäden. Dabei sind die spezifischen Eigenschaften der vorgesehenen Nutzer (Alter, Vulnerabilität) zu berücksichtigen. **Prüffragen:** - Werden Risiken nach Schwere und Wahrscheinlichkeit eingestuft? - Werden betroffene Bevölkerungsgruppen und ihre besonderen Schutzbedürfnisse berücksichtigt? ### Merkmal 4 — Risikominderungsmaßnahmen (Art. 9 Abs. 4 KI-VO) Für jedes identifizierte Risiko müssen angemessene Minderungsmaßnahmen getroffen werden. Die Maßnahmen sind in folgender Reihenfolge zu priorisieren: 1. Risikominderung durch Design und Entwicklung 2. Risikominderung durch Schutzmaßnahmen (technische und organisatorische Sicherheitsvorkehrungen) 3. Informationsmaßnahmen für Betreiber und Nutzer **Prüffragen:** - Wurden für jedes Risiko konkrete Maßnahmen definiert und dokumentiert? - Wurden Design-Alternativen geprüft, bevor auf externe Schutzmaßnahmen zurückgegriffen wurde? ### Merkmal 5 — Restrisiko-Bewertung (Art. 9 Abs. 6 KI-VO) Risiken, die trotz Minderungsmaßnahmen verbleiben (Restrisiken), müssen bewertet werden. Das Hochrisiko-KI-System darf nur in Verkehr gebracht werden, wenn das Gesamtrestrisiko als akzeptabel eingestuft wird. **Prüffragen:** - Ist das verbleibende Restrisiko dokumentiert? - Hat eine zuständige Stelle das Restrisiko als akzeptabel eingestuft? ### Merkmal 6 — Testing und Validierung (Art. 9 Abs. 7 und 8 KI-VO) Das KI-System muss vor dem Inverkehrbringen getestet werden. Bei Hochrisiko-KI in bestimmten Bereichen (biometrische Identifikation in Echtzeit, Strafverfolgung) können Real-World-Tests unter kontrollierten Bedingungen (Art. 60 KI-VO) vorgesehen sein. **Prüffragen:** - Gibt es eine dokumentierte Teststrategie? - Wurden Tests mit repräsentativen Datensätzen und unter realistischen Einsatzbedingungen durchgeführt? ## Typische Lücken in der Praxis - **Statisches Risikomanagement:** Das System wurde einmal analysiert und dann nie wieder überprüft. - **Kein Bezug auf Grundrechte:** Technische Risiken werden bewertet, Grundrechtsrisiken (Diskriminierung, Freiheit, Würde) werden übersehen. - **Fehlende Dokumentation:** Risiken wurden mündlich besprochen, aber nicht schriftlich festgehalten. - **Kein Eskalationsprozess:** Es fehlt ein klar definierter Prozess, wie bei Risikovorfällen eskaliert wird. ## Verhältnis zu anderen Pflichten Das Risikomanagementsystem nach Art. 9 KI-VO ist eng verknüpft mit: - Art. 10 KI-VO (Datenqualität — schlechte Trainingsdaten erzeugen Risiken) - Art. 12 KI-VO (Logging — Risikovorfälle müssen protokolliert werden) - Art. 72 KI-VO (Post-Market-Monitoring — Risiken nach Inverkehrbringen) --- Hinweis: Keine Rechtsberatung. Mechanische Prüfung anhand vom Nutzer behaupteter Tatsachen. Die KI-VO ist in Auslegung und Konkretisierung dynamisch; Leitlinien der Kommission und Durchführungsrechtsakte sind laufend zu beobachten. ## Zentrale Normen (Paragrafenkette) - Art. 3 Nr. 3/4 KI-VO — Anbieter / Betreiber-Definition - Artikel 5 der Verordnung (EU) 2024/1689: bisherige Verbote seit 02.02.2025; neue Buchstaben ba und bb sowie Absätze 1a und 1b ab 02.12.2026 - Art. 6 i.V.m. Anhang III KI-VO — Hochrisiko-Klassifikation - Art. 26 KI-VO — Betreiberpflichten - Art. 99 KI-VO — Bussgelder bis 35 Mio. EUR / 7 % Jahresumsatz ## Triage zu Beginn 1. Welche Rolle hat das Unternehmen im KI-Lieferkette (Art. 3 KI-VO — Anbieter, Betreiber, Importeur)? 2. Liegt ein Hochrisiko-System vor (Art. 6 i.V.m. Anhang III Nr. 1-8 KI-VO)? 3. Sind verbotene Praktiken nach Art. 5 KI-VO ausgeschlossen? 4. Welche konkreten Pflichten aus dem aktuellen Skill-Kontext sind einschlaegig? 5. Ist die Maßnahme nach aktuellem Art. 113- und Digital-Omnibus-Zeitstrahl fristgerecht umgesetzt? ## Output-Template — Prüfergebnis **Adressat:** Prüfer / Rechtsberater — Tonfall: strukturiert-rechtlich ``` PRUEFERGEBNIS — HOCHRISIKO RISIKOMANAGEMENTSYSTEM ART 9 [DATUM] — System: [SYSTEMNAME] — Mandant: [NAME MANDANT] [AKTENZEICHEN] Gepruefte Norm(en): [Art. 9 Rn. 7] Ergebnis: [ ] Anforderung erfuellt [ ] Anforderung nicht erfuellt — Massnahmen erforderlich: 1. [MASSNAHME — Verantwortlicher: NAME — Frist: DATUM] [ ] Nicht einschlaegig — Begruendung: [BEGRUENDUNG] Sanktionsrisiko: [NIEDRIG / MITTEL / HOCH — bis [BETRAG] nach Art. 99 KI-VO] Naechster Skill: [FOLGE-SKILL] Geprueft: [NAME], [DATUM] ``` > Quellenregel: Entscheidungen nur nach Prüfung einer amtlichen oder frei zugänglichen Quelle mit Gericht, Entscheidungsform, Datum, Aktenzeichen und tragender Aussage ausgeben.