Kostenlose Risikomanagement-Vorlage

Art. 9 Abs. 1 verpflichtet jeden Anbieter eines hochriskanten KI-Systems, ein Risikomanagementsystem einzurichten, umzusetzen, zu dokumentieren und zu pflegen. Dies gilt für hochriskante Systeme nach Art. 6 Abs. 1 (Sicherheitsbauteile von Produkten, die unter die Harmonisierungsrechtsakte gemäß Anhang I fallen) und nach Art. 6 Abs. 2 (in Anhang III gelistete Systeme). Betreiber hochriskanter Systeme haben eigene Pflichten nach Art. 26, sind aber nicht verpflichtet, selbst ein RMS nach Art. 9 für Systeme zu betreiben, die sie lediglich einsetzen.

Art. 9 Abs. 2 verlangt, dass das Risikomanagementsystem über den gesamten Lebenszyklus des hochriskanten KI-Systems läuft. Es ist keine einmalige Lieferung. Anbieter müssen das RMS vor dem Inverkehrbringen oder der Inbetriebnahme des Systems einrichten und es als kontinuierlichen iterativen Prozess weiterführen, solange das System verfügbar ist — einschließlich der Design-, Entwicklungs-, Einsatz- und Nachmarkt-Phasen.

Art. 9 Abs. 2 verlangt, dass das Risikomanagementsystem als kontinuierlicher iterativer Prozess mit regelmäßiger systematischer Überprüfung und Aktualisierung betrieben wird; Art. 9 Abs. 2 Buchst. c ergänzt die Bewertung von Risiken, die sich aus den Daten des Systems zur Beobachtung nach dem Inverkehrbringen nach Art. 72 ergeben. Eine feste Mindestfrequenz schreibt die Verordnung nicht vor; erwartet wird jedoch ein dokumentierter Überprüfungsrhythmus — typischerweise quartalsweise oder mindestens jährlich — kombiniert mit ereignisgesteuerten Aktualisierungen (neuer Vorfall, wesentliche Veränderung, neuer Einsatzkontext).

Ja. Art. 9 Abs. 2 Buchst. b verlangt ausdrücklich, dass Anbieter die Risiken schätzen und bewerten, die sowohl bei bestimmungsgemäßer Verwendung als auch unter Bedingungen vernünftigerweise vorhersehbarer Fehlanwendung auftreten können. Das Ignorieren von Fehlanwendungsszenarien ist eine häufige Ursache für Nichtkonformitätsfeststellungen. Anbieter sollten die berücksichtigten Fehlanwendungsszenarien, die Begründung ihrer vernünftigen Vorhersehbarkeit und die dafür vorgesehenen Maßnahmen dokumentieren.

Das Fehlen eines konformen Risikomanagementsystems ist ein Verstoß gegen Art. 9 und gegen die allgemeinen Anbieterpflichten nach Art. 16. Nach Art. 99 Abs. 4 können Verstöße gegen Anbieterpflichten Bußgelder bis zu 15.000.000 EUR oder, sofern höher, bis zu 3 Prozent des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres nach sich ziehen. Für KMU greift nach Art. 99 Abs. 6 die jeweils niedrigere der beiden Obergrenzen.

Nein. Die Vorlage ist ein strukturierter Ausgangspunkt im Einklang mit Art. 9. Die rechtliche Pflicht besteht darin, ein kontinuierliches iteratives Risikomanagementsystem nach Art. 9 Abs. 1 bis 9 über den gesamten Lebenszyklus des hochriskanten KI-Systems einzurichten, aufrechtzuerhalten und zu betreiben; die Nutzung gerade dieser Vorlage ist gesetzlich nicht vorgeschrieben. Witness garantiert nicht, dass das alleinige Ausfüllen dieser Vorlage ausreicht, um die Pflicht aus Art. 9 zu erfüllen.