hochrisiko-bestaetigt-end-to-end-roadmap

Hochrisiko-KI bestätigt — die End-to-End-Roadmap

Zweck

Sie haben festgestellt: das System ist Hochrisiko nach Art. 6 Abs. 1 oder Abs. 2 i.V.m. Anhang I/III KI-VO. Die Rückausnahme nach Art. 6 Abs. 3 KI-VO greift nicht. Was jetzt?

Dieser Skill liefert den vollständigen Mandanten-Workflow von "Hochrisiko-Diagnose" bis "Marktreife mit CE-Kennzeichnung". Ziel ist Entdramatisierung: jeder Schritt ist mechanisch abarbeitbar.

PFLICHT-DISCLAIMER

Keine Rechtsberatung. Mechanischer Workflow. Die konkrete Umsetzung erfordert produkt-/branchen-spezifische Detailprüfung durch Fachpersonal (interne Compliance, externe Beratung, Konformitätsbewertungsstelle).

Vorbedingung — wer macht was?

| Akteur | Hauptpflichten | Roadmap relevant? | |---|---|---| | Anbieter (Art. 3 Nr. 3) | Art. 9-15, 16-21, 43-49 KI-VO | Alle 12 Schritte | | Betreiber (Art. 3 Nr. 4) | Art. 26-27 KI-VO | Schritt 11-12 + Folgenabschätzung | | Einführer (Art. 3 Nr. 6) | Art. 23 KI-VO | Schritt 7-9 (Verifikation) | | Händler (Art. 3 Nr. 7) | Art. 24 KI-VO | Schritt 10 (Verifikation vor Vertrieb) | | Bevollmächtigter (Art. 3 Nr. 5) | Art. 22 KI-VO | Schritt 1-12 stellvertretend |

→ Rollenzuordnung vorher klären über rolle-anbieter-pruefen-art-3-nr-3 bzw. rolle-betreiber-pruefen-art-3-nr-4.

Die zwölf Schritte für Anbieter

Schritt 1 — Risikomanagementsystem aufsetzen (Art. 9 KI-VO)

Was: kontinuierlicher iterativer Prozess über den gesamten Lebenszyklus.

Mindestelemente:

• Identifikation und Analyse bekannter und vernünftig vorhersehbarer Risiken
• Abschätzung möglicher Risiken bei bestimmungsgemäßer Verwendung und bei vernünftigerweise vorhersehbarer Fehlanwendung
• Bewertung anderer Risiken aus Post-Market-Daten
• geeignete und gezielte Risikomanagementmaßnahmen

Output: dokumentiertes RMS, Eingang in technische Dokumentation Anhang IV.

→ Detail-Skill: hochrisiko-risikomanagementsystem-art-9

Schritt 2 — Daten-Governance und Trainingsdaten-Qualität (Art. 10 KI-VO)

Was: Trainings-, Validierungs- und Testdaten müssen Qualitätskriterien erfüllen.

Mindestelemente:

• Datenerhebungsverfahren dokumentiert
• relevante Datenaufbereitung (Annotation, Labelling, Bereinigung, Aktualisierung, Anreicherung, Aggregation)
• Untersuchung auf mögliche Verzerrungen, die zu Diskriminierung führen
• Datensätze relevant, hinreichend repräsentativ, fehlerfrei, vollständig
• Berücksichtigung geographischer, kontextueller, verhaltensbezogener und funktionaler Besonderheiten

Output: Daten-Governance-Dokumentation, Bias-Bewertung.

→ Detail-Skill: hochrisiko-datenqualitaet-und-data-governance-art-10

Schritt 3 — Technische Dokumentation erstellen (Art. 11, Anhang IV KI-VO)

Was: vor Inverkehrbringen vollständig erstellt, aktuell gehalten.

Inhalte (Anhang IV) — neun Hauptblöcke:

1. Allgemeine Beschreibung des KI-Systems
2. Detaillierte Beschreibung der Elemente und Entwicklung
3. Detaillierte Informationen zur Überwachung, Funktionsweise und Kontrolle
4. Beschreibung der Eignung der Leistungskennzahlen
5. Detaillierte Beschreibung des Risikomanagementsystems
6. Beschreibung relevanter Änderungen
7. Liste der harmonisierten Normen
8. EU-Konformitätserklärung-Kopie
9. Detaillierte Beschreibung des Systems zur Bewertung der Leistung nach Inverkehrbringen

Output: Anhang-IV-Doku, mindestens zehn Jahre aufbewahren.

→ Detail-Skill: hochrisiko-technische-dokumentation-art-11-und-anhang-iv

Schritt 4 — Aufzeichnungspflichten / Logging einrichten (Art. 12 KI-VO)

Was: automatische Aufzeichnung von Ereignissen während des Betriebs.

Mindest-Loggings:

• Zeitpunkt der Verwendung
• Referenzdatenbank, gegen die Input-Daten geprüft
• Input-Daten, die zu einem Treffer führten
• Identifizierung beteiligter natürlicher Personen bei Ergebnisverifikation

Aufbewahrung: angemessene Dauer, mindestens sechs Monate, sofern Unionsrecht oder nationales Recht nicht längere Dauer vorschreibt.

→ Detail-Skill: hochrisiko-aufzeichnungspflichten-logging-art-12

Schritt 5 — Transparenz und Informationen für Betreiber (Art. 13 KI-VO)

Was: Gebrauchsanweisung mit präzisen, vollständigen, korrekten Informationen.

Pflichtinhalte:

• Identität und Kontaktdaten des Anbieters
• Merkmale, Fähigkeiten und Leistungsgrenzen
• ggf. bekannte oder vernünftig vorhersehbare Umstände, die zu Risiken führen können
• ggf. technische Fähigkeiten und Kennwerte
• Leistung in Bezug auf spezifische Personen oder Personengruppen
• Anforderungen an Eingabedaten
• ggf. Informationen zur Datenverarbeitung durch das System

→ Detail-Skill: hochrisiko-transparenz-und-informationen-fuer-betreiber-art-13

Schritt 6 — Menschliche Aufsicht ermöglichen (Art. 14 KI-VO)

Was: Hochrisiko-KI muss so konzipiert sein, dass natürliche Personen wirksam beaufsichtigen können.

Befähigungen, die der Mensch haben muss:

• die Fähigkeiten und Grenzen des Systems vollständig verstehen
• die Tendenz zum Automatisierungsbias kennen und einkalkulieren
• die Ausgaben des Systems korrekt interpretieren
• die Verwendung des Systems ablehnen, dessen Verwendung übergehen, rückgängig machen
• in den Betrieb eingreifen oder den Betrieb durch Stopp-Taste unterbrechen

Bei biometrischer Fernidentifizierung: Vier-Augen-Prinzip nach Art. 14 Abs. 5 KI-VO.

→ Detail-Skill: hochrisiko-menschliche-aufsicht-art-14

Schritt 7 — Genauigkeit, Robustheit, Cybersicherheit (Art. 15 KI-VO)

Was: angemessene Genauigkeit, Robustheit und Cybersicherheit über den gesamten Lebenszyklus.

Pflichten:

• Genauigkeitsgrade und einschlägige Genauigkeitsmetriken in Gebrauchsanweisung
• Robustheit gegen Fehler, Störungen, Inkonsistenzen
• Resilienz gegen Versuche unberechtigter Dritter, Verwendung zu ändern (z.B. durch Ausnutzung von Schwachstellen)
• bei lernfähigen Systemen: Schutz gegen verzerrte Ausgaben (Feedback Loops) durch geeignete Maßnahmen
• Anfälligkeit gegen "Data Poisoning", "Model Poisoning", "Model Evasion", "Adversarial Examples", "Confidentiality Attacks" adressieren

→ Detail-Skill: hochrisiko-genauigkeit-robustheit-cybersicherheit-art-15

Schritt 8 — Qualitätsmanagementsystem (Art. 17 KI-VO)

Was: dokumentiertes QMS mit schriftlichen Vorschriften, Verfahren und Anweisungen.

Mindestelemente (Art. 17 Abs. 1 KI-VO):

• Strategie für die Einhaltung der Regulierung einschließlich Konformitätsbewertungsverfahren
• Verfahren für Design, Designkontrolle und Designverifikation
• Verfahren für Entwicklung, Qualitätskontrolle und Qualitätssicherung
• Untersuchung, Test- und Validierungsverfahren vor, während und nach Entwicklung
• anwendbare technische Spezifikationen einschließlich Normen
• Systeme und Verfahren für Datenverwaltung
• Risikomanagementsystem nach Art. 9
• Aufstellung und Umsetzung Post-Market-Monitoring-System nach Art. 72
• Meldeverfahren für schwerwiegende Vorfälle nach Art. 73
• Kommunikation mit zuständigen Behörden, notifizierten Stellen, Kunden
• Aufzeichnungssysteme und -verfahren
• Ressourcenmanagement einschließlich Versorgungssicherheit
• Rechenschaftsrahmen mit klaren Verantwortlichkeiten

Schritt 9 — Konformitätsbewertungsverfahren wählen (Art. 43 KI-VO)

Was: Vor Inverkehrbringen / Inbetriebnahme nachweisen, dass alle Anforderungen aus Art. 8-15 KI-VO erfüllt sind.

Verfahrenswahl je nach Systemart:

| Konstellation | Verfahren | Notifizierte Stelle? | |---|---|---| | Anhang-III-Hochrisiko (außer biometrisch) | Anhang VI — interne Kontrolle | nein | | Anhang-III-Bereich 1 (biometrische Identifizierung) ohne anwendbare Norm | Anhang VII — Bewertung durch notifizierte Stelle | ja | | Anhang-III-Bereich 1 mit anwendbarer Norm vollständig befolgt | Anhang VI — interne Kontrolle | nein, aber Norm verbindlich | | Anhang-I-Hochrisiko (Sicherheitsbauteil) | Verfahren des einschlägigen Sektor-Rechtsakts (z.B. Medizinprodukte: MDR-Verfahren mit KI-VO-Integrati