Skip to main content

KI-Risikobewertung (AIRA): das Risikomanagementsystem nach Artikel 9

Anbieter von Hochrisiko-KI-Systemen müssen ein Risikomanagementsystem betreiben (Artikel 9). AIRA ist die geführte Bewertung von Scanara dafür.

Anbieter von Hochrisiko-KI-Systemen müssen über den gesamten Lebenszyklus des Systems ein Risikomanagementsystem betreiben (Artikel 9). AIRA ist der Name, den Scanara für seine geführte Bewertung dieser Pflicht verwendet; die Verordnung selbst kennt keine „KI-Risikobewertung“.

Die Pflicht gilt ab dem 2. Dezember 2027 für Systeme nach Anhang III. Gegen Anbieter können Geldbußen von bis zu 15 Mio. EUR oder 3 % des weltweiten Jahresumsatzes verhängt werden, je nachdem, welcher Betrag höher ist (Artikel 99 Absatz 4). Nächster Schritt: Prüfen Sie, ob Ihr System nach Artikel 6 ein Hochrisiko-KI-System ist, und starten Sie dann die Bewertung.

Artikel 9 beschreibt einen fortlaufenden Prozess in vier Schritten

Das Risikomanagementsystem ist ein kontinuierlicher, iterativer Prozess, der über den gesamten Lebenszyklus geplant und durchgeführt wird und regelmäßig systematisch überprüft und aktualisiert wird (Artikel 9 Absatz 2).

  1. 1

    Risiken ermitteln und analysieren

    Erfassen Sie die bekannten und vernünftigerweise vorhersehbaren Risiken für Gesundheit, Sicherheit oder Grundrechte bei bestimmungsgemäßer Verwendung des Systems (Artikel 9 Absatz 2 Buchstabe a).

  2. 2

    Risiken abschätzen und bewerten

    Beziehen Sie die Risiken ein, die bei vernünftigerweise vorhersehbarer Fehlanwendung entstehen können (Artikel 9 Absatz 2 Buchstabe b).

  3. 3

    Risiken bewerten, die nach der Markteinführung auftreten

    Ergänzen Sie die Risiken, die sich aus den Daten der Beobachtung nach dem Inverkehrbringen ergeben (Artikel 9 Absatz 2 Buchstabe c, Artikel 72).

  4. 4

    Gezielte Risikomanagementmaßnahmen ergreifen

    Ergreifen Sie geeignete und gezielte Maßnahmen gegen die in Schritt 1 ermittelten Risiken. Das verbleibende Risiko muss als vertretbar beurteilt werden (Artikel 9 Absatz 2 Buchstabe d und Absatz 5).

Maßnahmen folgen einer festen Reihenfolge, und Tests und schutzbedürftige Gruppen zählen

  • Risiken in fester Reihenfolge verringern

    Beseitigen oder verringern Sie Risiken zuerst durch Konzeption und Entwicklung. Ergreifen Sie danach Maßnahmen zur Minderung und Kontrolle. Geben Sie dann den Betreibern Informationen und, soweit angemessen, Schulungen. Das verbleibende Risiko muss vertretbar sein (Artikel 9 Absatz 5).

  • Gegen festgelegte Metriken testen

    Testen Sie während der Entwicklung und vor dem Inverkehrbringen anhand von Metriken und Wahrscheinlichkeitsschwellen, die vorab festgelegt wurden (Artikel 9 Absätze 6 und 8). Tests unter Realbedingungen sind nach Artikel 60 möglich (Artikel 9 Absatz 7).

  • Kinder und schutzbedürftige Gruppen berücksichtigen

    Prüfen Sie, ob das System voraussichtlich Personen unter 18 Jahren und gegebenenfalls andere schutzbedürftige Gruppen beeinträchtigt (Artikel 9 Absatz 9).

Was die AIRA-Bewertung von Scanara leistet

AIRA ist eine geführte Bewertung: Sie beantworten Fragen zu Ihrem System, und Scanara speichert die Antworten als Nachweis. Die Beurteilung der Risiken und die Entscheidung, welches verbleibende Risiko vertretbar ist, liegen bei Ihnen.

Geführte Fragen

Ein Fragenkatalog führt Sie durch die Pflichten des Risikomanagements und nennt bei den meisten Fragen den zugrunde liegenden Artikel.

Antworten aus Scans vorausgefüllt

Wenn Sie ein Repository gescannt haben, füllt Scanara Antworten aus den Scan-Ergebnissen vor. Sie prüfen und korrigieren sie.

Grundlage für die Dokumentation nach Anhang IV

Anhang IV Nummer 5 verlangt eine Beschreibung des Risikomanagementsystems. Scanara entwirft die technische Dokumentation aus Ihren Antworten; Sie vervollständigen und prüfen sie.

Scanara-Demo öffnen

Mehr zu den Hintergründen dieser Bewertung

Häufige Fragen zur AIRA-Bewertung

Ist „AIRA“ ein Begriff der KI-Verordnung?

Nein. Artikel 9 verlangt ein Risikomanagementsystem. AIRA ist der Name, den Scanara für seine geführte Bewertung dieses Systems verwendet.

Wer ist für das Risikomanagementsystem verantwortlich?

Der Anbieter. Anbieter müssen sicherstellen, dass ihre Hochrisiko-KI-Systeme die Anforderungen von Abschnitt 2 erfüllen, einschließlich Artikel 9 (Artikel 16 Buchstabe a). Betreiber führen es nicht, müssen aber den Betrieb des Systems überwachen und gegebenenfalls die Anbieter informieren (Artikel 26 Absatz 5).

Gilt Artikel 9 für alle KI-Systeme?

Nein. Artikel 9 gilt für Hochrisiko-KI-Systeme, die Artikel 6 über Anhang III und Anhang I bestimmt. Er gilt ab dem 2. Dezember 2027 für Systeme nach Anhang III und ab dem 2. August 2028 für Systeme nach Anhang I (Artikel 113 Buchstabe c). Für Hochrisiko-KI-Systeme, die mit Produkten nach Rechtsvorschriften des Anhangs I Abschnitt B zusammenhängen, gelten nur Artikel 6 Absatz 1, Artikel 60a und die Artikel 102 bis 112; die Artikel 57 bis 59 gelten nur, soweit die Anforderungen an Hochrisiko-KI-Systeme in diese Rechtsvorschriften aufgenommen wurden (Artikel 2 Absatz 2).

Gilt Artikel 9 für Systeme, die bereits auf dem Markt sind?

Nur nach erheblichen Veränderungen der Konzeption. Ein Hochrisiko-KI-System, das vor dem Geltungsbeginn von Kapitel III in Verkehr gebracht oder in Betrieb genommen wurde, ist nur erfasst, wenn es ab diesem Zeitpunkt in seiner Konzeption erheblich verändert wird (Artikel 111 Absatz 2). In jedem Fall treffen Anbieter und Betreiber von Hochrisiko-KI-Systemen, die bestimmungsgemäß von Behörden verwendet werden sollen, die erforderlichen Maßnahmen zur Einhaltung bis zum 2. August 2030.

Schreibt die Verordnung eine bestimmte Methode oder Norm für das Risikomanagement vor?

Nein. Artikel 9 legt Schritte fest, keine Methode. Harmonisierte Normen, die im Amtsblatt veröffentlicht werden, begründen die Vermutung der Konformität mit den Anforderungen, die sie abdecken (Artikel 40).

Scanara bereitet Nachweise aus Ihren Repositorien vor

Scanara liest Ihre verbundenen GitHub-Repositorien und führt regelbasierte Scans auf gängige KI- und Machine-Learning-Muster durch. Unübliche Codemuster kann es übersehen. Getrennt davon erzeugt es aus Vorlagen und Ihren Antworten in der Bewertung Dokumentationsentwürfe als Nachweise für Ihre Compliance-Arbeit. Die Einstufung entscheiden Sie.