fachanwalt-it-recht-ki-vo-hochrisiko-konformitaetsbewertung

KI-VO High-Risk-System Konformitätsbewertung Art. 16–29

Kaltstart-Rückfragen

1. Welche Funktion hat das KI-System — was tut es, in welchem Kontext wird es eingesetzt (Einstellungsentscheidungen, Kreditbewertung, biometrische Erkennung, medizinische Diagnose)?
2. Ist der Mandant Anbieter (Inverkehrbringer, Art. 3 Nr. 3 KI-VO) oder Betreiber (Deployer, Art. 3 Nr. 4 KI-VO)? Begründung: Pflichtenkatalog unterscheidet sich erheblich.
3. In welchem Mitgliedstaat wird das System erstmalig in Verkehr gebracht oder in Betrieb genommen?
4. Handelt es sich um ein Altsystem (vor 2.8.2026) oder eine Neuentwicklung?
5. Liegt bereits ein ISO-13485- oder ISO-9001-zertifiziertes Qualitätsmanagementsystem vor (erleichtert Konformitätsbewertung)?
6. Soll eine Benannte Stelle (Notified Body) eingeschaltet werden (Pflicht bei Biometrik und Systemen für kritische Infrastruktur)?
7. Wie ist der Zeitplan bis Markteinführung — wann muss CE-Kennzeichnung vorliegen?
8. Gibt es bereits eine KI-Folgenabschätzung oder eine Datenschutz-Folgenabschätzung (Art. 35 DSGVO) im Zusammenhang mit dem System?
9. Was will der Mandant wirklich erreichen? (Nicht: was steht im Standardweg, sondern: welches Ergebnis ist fuer den Mandanten persoenlich/wirtschaftlich das beste? Manchmal ist der schnellere Vergleich besser als der formal "richtige" Weg.)

Rechtsgrundlagen

KI-VO (EU) 2024/1689

• Art. 3 — Begriffsbestimmungen: KI-System, Hochrisiko-KI-System, Anbieter, Betreiber, Inverkehrbringen.
• Art. 5 — Verbotene KI-Praktiken (Manipulation, Social Scoring, Real-Time-Biometrie im öffentlichen Raum); Verstöße: Bußgeld bis 35 Mio. EUR oder 7 % Umsatz (Art. 99 Abs. 3).
• Art. 6 i. V. m. Anhang III — Hochrisiko-Definition.
• Art. 9 — Risikomanagementsystem: kontinuierlich, dokumentiert, über gesamten Lebenszyklus.
• Art. 10 — Datensätze und Daten-Governance: Training-, Validierungs-, Testdatensätze; Relevanz, Vollständigkeit, Freiheit von Fehlern.
• Art. 11 i. V. m. Anhang IV — Technische Dokumentation.
• Art. 12 — Aufzeichnungspflichten (Logging, automatisch und unveränderbar).
• Art. 13 — Transparenz und Bereitstellung von Informationen an Betreiber; Benutzerhandbuch.
• Art. 14 — Menschliche Aufsicht: wirksame Eingriffs- und Überwachungsmöglichkeit.
• Art. 15 — Genauigkeit, Robustheit, Cybersicherheit: Stresstest, Fehlererkennung.
• Art. 16–22 — Anbieter-Pflichten: Konformitätsbewertung, EU-Konformitätserklärung, CE-Kennzeichnung, Registrierung, Ergreifung von Korrekturmaßnahmen.
• Art. 26–29 — Betreiber-Pflichten: technische und organisatorische Maßnahmen, Informationspflichten, Vorabfolgenabschätzung bei öffentlichen Stellen.
• Art. 43 — Konformitätsbewertungsverfahren: interne Kontrolle (Anhang VI) oder Bewertung durch Benannte Stelle (Anhang VII).
• Art. 47 — EU-Konformitätserklärung; Inhalt nach Anhang V.
• Art. 48 — CE-Kennzeichnung; Art. 49 — Registrierung EU-Datenbank.
• Art. 72–73 — Nachmarktüberwachung; Meldepflicht schwere Vorfälle binnen 15 Tagen.
• Art. 99 — Bußgelder.
• Art. 113 — Anwendungszeitpunkte.

Anwendungszeitpunkte (Art. 113 KI-VO)

| Kategorie | Anwendbar ab | |---|---| | Verbotene Praktiken Art. 5 | 2.2.2025 | | GPAI-Modelle (Anhang XII) | 2.8.2025 | | Hochrisiko-Systeme Anhang III | 2.8.2026 | | Hochrisiko-Systeme Anhang I (Sicherheitskomponenten) | 2.8.2027 | | Altsysteme (bereits in Betrieb vor 2.8.2026) | 2.8.2027 Übergangsfrist |

Ergänzende Rechtsquellen

• DSGVO Art. 35 — Datenschutz-Folgenabschätzung; häufig bei Hochrisiko-KI parallel Pflicht.
• NIS2UmsuCG — bei KI in kritischer Infrastruktur Meldepflichten.
• Produktsicherheitsverordnung (EU) 2023/988 — für KI in Produkten.
• MDR (EU) 2017/745 — bei KI in Medizinprodukten (eigenständiges Regime + KI-VO-Overlay).

Anhang III — Hochrisiko-Klassifikation

| Nr. | Bereich | Beispiele | |---|---|---| | 1 | Biometrische Identifikation und Kategorisierung | Gesichtserkennung, Emotionserkennung | | 2 | Kritische Infrastruktur | Steuerung Verkehr, Wasser, Energie, Gas | | 3 | Bildung / Berufsbildung | Zulassungssoftware, Prüfungsbewertung | | 4 | Beschäftigung / Personalauswahl | Recruiting-Algorithmen, Leistungsbewertung | | 5 | Wesentliche private und öffentliche Dienste | Kredit-Scoring, Lebensversicherung-Prüfung | | 6 | Strafverfolgung | Polygraph, Profiling, Risikobewertung | | 7 | Migration / Asyl / Grenzkontrolle | Dokumentenprüfung, Risikoklassifikation | | 8 | Justizverwaltung | Urteilsfindungs-Assistenz, Gefängnismanagement |

Prüfschema

| Nr. | Prüfschritt | Norm | Kernfrage | |---|---|---|---| | 1 | Verbotene Praxis (Art. 5) | Art. 5 KI-VO | Manipulation, Social Scoring, Real-Time-Biometrie? | | 2 | Hochrisiko-Klassifikation Anhang III | Art. 6 i. V. m. Anhang III | Welcher Tatbestand — Unternummern 1–8? | | 3 | Art. 6 Abs. 3 Ausnahmen | Art. 6 Abs. 3 KI-VO | Nebenleistung ohne eigenständige Risikowirkung? | | 4 | Anbieter vs. Betreiber | Art. 3 Nr. 3/4 KI-VO | Pflichtenzuordnung | | 5 | Risikomanagementsystem | Art. 9 KI-VO | Dokumentiert, kontinuierlich, Lebenszyklusansatz? | | 6 | Datensatz-Governance | Art. 10 KI-VO | Training/Validierung/Test — Qualitätskriterien? | | 7 | Technische Dokumentation | Art. 11 + Anhang IV KI-VO | Anhang IV vollständig? | | 8 | Logging-Anforderungen | Art. 12 KI-VO | Automatische Aufzeichnung tätigkeitsspezifisch? | | 9 | Transparenz | Art. 13 KI-VO | Benutzerhandbuch vorhanden? | | 10 | Menschliche Aufsicht | Art. 14 KI-VO | Eingriffsmöglichkeit technisch implementiert? | | 11 | Robustheit / Cybersicherheit | Art. 15 KI-VO | Stresstest, Fehlerresilienz, CVSS-Bewertung? | | 12 | Konformitätsbewertungsverfahren | Art. 43 KI-VO | Interne Kontrolle (Anhang VI) oder Benannte Stelle (Anhang VII)? | | 13 | EU-Konformitätserklärung | Art. 47 + Anhang V KI-VO | Inhalt vollständig? | | 14 | CE-Kennzeichnung | Art. 48 KI-VO | Korrekte Anbringung? | | 15 | Registrierung EU-Datenbank | Art. 49 KI-VO | Eintragung erfolgt? |

Strategische Optionen (vor dem Template entscheiden)

Bevor das Template eins-zu-eins gefuellt wird, ist zu pruefen welche Variante zur Mandantenkonstellation passt. Das Template ist eine moegliche Form — nicht die einzige.

| Konstellation | Empfohlener Weg | |---|---| | Standard — KI-VO Hochrisiko-Konformitaetsbewertung | Konformitaetsbewertungs-Protokoll; Template unten | | Variante A — Kein Hochrisiko-System | Vereinfachtes Compliance-Register; CE-Kennzeichnung entfaellt | | Variante B — Inverkehrbringen durch Drittanbieter | Importeur/Haendler-Pflichten Art. 23 ff. KI-VO pruefen | | Variante C — Open-Source-KI | Ausnahmen Art. 2 Abs. 10 KI-VO pruefen |

Wenn die Mandantenkonstellation nicht ins Standardschema passt, ist das Template anzupassen oder durch ein anderes Skill abzuloesen — nicht das Mandat in das Schema zu pressen.

Schriftsatzbausteine

EU-Konformitätserklärung (Musterstruktur, Art. 47 KI-VO)

EU-KONFORMITAETSERKLAERUNG
gemaess Art. 47 der Verordnung (EU) 2024/1689 (KI-Verordnung)

Nr.: [Erklaerungsnummer]
Datum: [Ausstellungsdatum]

1. Anbieter
   Name: [Unternehmen]
   Anschrift: [...]
   EU-Repraesentant (falls Nicht-EU): [...]

2. Beschreibung des KI-Systems
   Bezeichnung: [Systemname]
   Modell-Nummer / Version: [...]
   Beabsichtigter Zweck: [Funktion, Sektor]
   Hochrisiko-Tatbestand Anhang III Nr. [X]: [Beschreibung]

3. Erklaerung der Konformitaet
   Das oben beschriebene KI-System erfullt die Anforderungen der
   Verordnung (EU) 2024/1689, insbesondere:
   - Risikomanagementsystem Art. 9
   - Daten-Governance Art. 10
   - Technische Dokumentation Art. 11 (Anhang IV)
   - Logging Art. 12
   - Transparenz Art. 13
   - Menschliche Aufsicht Art. 14
   - Genauigkeit und Robustheit Art. 15

4. Konformitaetsbewertungsverfahren
   [X] Interne Kontrolle gemaess Anhang VI
   [ ] Benannte Stelle: [Name, Nummer] gemaess Anhang VII
   Zertifikatsnummer (falls Benannte Stelle): [...]

5. Harmonisierte Normen un