KI-Risikobewertung (AIRA) — Methodik der EU-KI-Verordnung
Wie man eine KI-Risikobewertung (AIRA) für die EU-KI-Verordnung Compliance durchführt. 5-Schritte-Methodik, wer sie benötigt, und wie Scanara den Prozess automatisiert.
Eine KI-Risikobewertung (AIRA) ist der strukturierte Prozess, den Artikel 9 der KI-Verordnung für jedes Hochrisiko-KI-System vorschreibt. Sie identifiziert vorhersehbare Risiken, bewertet deren Wahrscheinlichkeit und Schwere und dokumentiert Minderungsmaßnahmen vor dem Einsatz. Alle Anbieter von Hochrisiko-KI-Systemen nach Anhang III müssen eine AIRA abschließen, bevor sie das System auf dem EU-Markt in Verkehr bringen — die Durchsetzung beginnt am 2. August 2026. Bei Verstößen drohen Geldbußen von bis zu 15 Mio. € oder 3 % des weltweiten Umsatzes.
Wer muss eine AIRA durchführen?
Artikel 9 gilt für Anbieter von Hochrisiko-KI-Systemen, die in Anhang III der Verordnung (EU) 2024/1689 aufgeführt sind. Die 8 Hochrisiko-Kategorien umfassen Biometrie, kritische Infrastruktur, Bildung, Beschäftigung, wesentliche Dienste, Strafverfolgung, Migration und Justiz. Fällt Ihr KI-System in eine dieser Kategorien, ist eine AIRA verpflichtend.
Biometrische Identifizierungssysteme
Management kritischer Infrastruktur
KI in Bildung & Berufsausbildung
KI für Beschäftigungs- & HR-Entscheidungen
KI für wesentliche öffentliche/private Dienste
KI-Systeme in der Strafverfolgung
KI für Migration & Grenzkontrolle
KI in der Rechtspflege
Die 5-Schritte-AIRA-Methodik
Die folgende Methodik bringt die Pflichten aus Artikel 9 in Einklang mit ISO/IEC 23894:2023 (Leitfaden für KI-Risikomanagement) und der iterativen Lebenszyklus-Anforderung der KI-Verordnung.
Risiken identifizieren
Erfassen Sie alle bekannten und vernünftigerweise vorhersehbaren Risiken über den gesamten Lebenszyklus des KI-Systems — Trainingsdaten, Modellausgaben, Einsatzkontext und Drittanbieter-Integrationen. Dokumentieren Sie den Verwendungszweck und vorhersehbare Missbrauchsszenarien gemäß Anhang IV §1.
Risikoschwere klassifizieren
Bewerten Sie jedes identifizierte Risiko nach Wahrscheinlichkeit und Schwere der Auswirkungen. Wenden Sie die Anhang-III-Klassifizierung an, um zu bestätigen, dass das System hochriskant ist. Die Bewertungskriterien liefert Artikel 9(2)(a): Schäden für Gesundheit, Sicherheit oder Grundrechte.
Minderungsoptionen bewerten
Identifizieren Sie für jedes wesentliche Risiko technische und prozedurale Minderungsmaßnahmen. Berücksichtigen Sie inhärente Schutzvorkehrungen, Qualitätskontrollen für Trainingsdaten (Art. 10), Mechanismen menschlicher Aufsicht (Art. 14) sowie Genauigkeits- und Robustheitsanforderungen (Art. 15).
Minderungsmaßnahmen umsetzen
Setzen Sie die ausgewählten Maßnahmen in Ihrer Codebasis und Ihren Prozessen um. Dokumentieren Sie Umsetzungsnachweise — Logging-Konfigurationen, Override-Mechanismen, Monitoring-Alarme — als Teil der technischen Dokumentation nach Anhang IV.
Kontinuierlich überwachen & aktualisieren
Artikel 9(3) verlangt, dass die AIRA über den gesamten Systemlebenszyklus aktualisiert wird. Etablieren Sie regelmäßige Prüfauslöser (Modellaktualisierungen, neue Einsatzkontexte, Vorfallsberichte) und führen Sie einen Audit-Trail aller Überarbeitungen.
ISO/IEC 23894 und die KI-Verordnung
ISO/IEC 23894:2023 bietet den international anerkannten Rahmen für KI-Risikomanagement und ergänzt Artikel 9. Die Einhaltung der Norm ist nach der Verordnung zwar nicht verpflichtend, doch als methodische Grundlage schafft sie eine prüffähige, normenkonforme AIRA, die nationale Marktüberwachungsbehörden zufriedenstellt. Zentrale Übereinstimmungen: Der iterative Risikobehandlungszyklus der Norm entspricht direkt Artikel 9(2), und ihre Dokumentationsanforderungen decken sich mit den Pflichten zur technischen Dokumentation nach Anhang IV.
Wie Scanara die AIRA automatisiert
Risikoerkennung auf Code-Ebene
Scanara scannt Ihr Repository mit Compliance-Regeln, die jeder Artikel-9-Pflicht zugeordnet sind — und meldet fehlende Implementierungen für Risikoidentifikation, -bewertung und -minderung.
Generierung der Anhang-IV-Dokumentation
Scan-Ergebnisse fließen direkt in automatisch generierte technische Dokumentation nach Anhang IV im PDF-, DOCX-, HTML- oder Markdown-Format — bereit zur Vorlage bei Behörden.
Kontinuierliche Überwachung
GitHub-Merge-Gates verhindern, dass nicht-konformer Code ausgeliefert wird. Jeder Commit wird gegen das vollständige AIRA-Regelwerk gescannt — so erfüllen Sie Ihre Lebenszykluspflicht aus Artikel 9(3).
Häufig gestellte Fragen
So hilft Scanara
Scanara automatisiert die EU AI Act Compliance vom Code bis zum Dossier. Verbinden Sie Ihre GitHub-Repos und erhalten Sie Compliance-Berichte in Minuten.