Artikel 9 verlangt ein Risikomanagementsystem über den gesamten Lebenszyklus. Hier ist es als Arbeitsregister: 18 vorformulierte, bewertete Szenarien, jeweils dem Artikel zugeordnet.
Delivered by email immediately after payment. Excel file, one named user.
Artikel 9 verlangt keine Risikobewertung. Er verlangt ein System: fortlaufend, dokumentiert, über den gesamten Lebenszyklus eines Hochrisiko-KI-Systems, das Risiken ermittelt, schätzt, nach dem Inverkehrbringen bewertet und Maßnahmen ergreift.
Zwischen diesen beiden Dingen liegt der Abstand, in dem die meisten Programme stecken. Eine einmalige Bewertung erzeugt ein Dokument. Artikel 9 will einen Prozess, der weiterhin Nachweise erzeugt.
Achtzehn bereits formulierte Risikoszenarien. Trainingsdaten, die die Einsatzpopulation nicht abbilden; historische Verzerrungen, die reproduziert werden; Drift nach dem Deployment; die Prüferin, die nur abnickt; der Betreiber, der nach Artikel 25 unbemerkt zum Anbieter wird; der Lieferant, der die Anhang-IV-Informationen verweigert; der schwerwiegende Vorfall ohne Weg zu Artikel 73. Jedes trägt den zugehörigen Artikel und eine Maßnahme als Ausgangspunkt.
Die erste Durchsicht wird damit zu einem Gespräch über Ihre Lage statt zu einem leeren Blatt mit Moderation.
Eintrittswahrscheinlichkeit × Auswirkung, wobei Auswirkung die Auswirkung auf Gesundheit, Sicherheit oder Grundrechte meint — Artikel 9 Absatz 2 fragt nicht nach Ihrer Ergebnisrechnung. Das Restrisiko wird nach der Maßnahme bewertet und mit dem Namen der Person erfasst, die es akzeptiert hat, denn genau das erwartet Absatz 2 Buchstabe d.
Ein Blatt zum Anwendungsbereich des Anhangs III mit den Ausnahmen, damit das Register nicht für ein System ausgefüllt wird, das nie hochriskant war.
Ein Dashboard, das sich neu berechnet: wie viele Risiken hoch sind, wie viele offen bleiben und wie sie sich auf die acht Themen verteilen.
Ein Register ohne ein einziges akzeptiertes Restrisiko hat seine Aufgabe nicht erfüllt. Die Datei sagt das im Dashboard. Artikel 9 nimmt an, dass Risiko verbleibt, und verlangt, es als vertretbar zu beurteilen und das auszusprechen — nicht, null zu erreichen.
Is your organisation subject to both the AI Act and DORA? The two regulations intersect on the operational resilience of financial AI systems. Our sister site regulation-dora.eu covers DORA in depth — including what the AI Act adds on top of an existing DORA programme.
The AI Act for financial institutions ↗ Explore regulation-dora.eu ↗Ein Risikomanagementsystem über den gesamten Lebenszyklus eines Hochrisiko-KI-Systems: Ermittlung und Analyse bekannter und vorhersehbarer Risiken, Schätzung der bei der Nutzung auftretenden Risiken, Bewertung von Risiken aus der Beobachtung nach dem Inverkehrbringen und Ergreifen geeigneter Maßnahmen. Ein fortlaufender Prozess, keine einmalige Bewertung.
Nein. Artikel 9 Absatz 2 betrifft Risiken für Gesundheit, Sicherheit und Grundrechte. Die finanzielle Auswirkung auf Ihre Organisation zu verfolgen ist legitim, aber nicht Gegenstand dieses Artikels.
Nein. Artikel 9 erwartet, dass ein Restrisiko verbleibt, und verlangt, es als vertretbar zu beurteilen und zu kommunizieren. Ein Register, in dem nichts akzeptiert wurde, hat die Übung nicht beendet.