EU AI Act · Art. 26
AIACT-026-BETREIBER
KI-Risikomanagementsystem und Grundrechte-Folgenabschätzung für Hochrisiko-KI aufbauen
Anforderung
Betreiber von Hochrisiko-KI-Systemen müssen ein Risikomanagementsystem betreiben, eine DPIA durchführen (falls personenbezogene Daten) und fundamental rights assessments dokumentieren.
Fundstelle
EU AI Act Art. 26
Gap-Check
Ist für alle Hochrisiko-KI-Systeme ein dokumentiertes Risikomanagementsystem implementiert und eine Grundrechte-Folgenabschätzung durchgeführt?
Wenn ja
Folgenabschätzungen bei Systemänderungen und jährlich überprüfen.
Teilweise
Teils dokumentiert. Vollständige Folgenabschätzung nach Vorgabe erstellen.
Wenn nein
Risikomanagementsystem und Folgenabschätzung fehlen – Art. 26-Pflichtverletzung.
Maßnahme
- KI-Risikoregister für alle Hochrisiko-Systeme erstellen
- Grundrechte-Folgenabschätzung je Hochrisiko-System durchführen
- Bei personenbezogenen Daten: DPIA nach DSGVO Art. 35 ergänzen
- Risikominderungsmaßnahmen dokumentieren und umsetzen
Aufwand
hoch
Schätzung
6 bis 12 Personentage (Risikoregister + Grundrechte-Folgenabschätzung)
Zeithorizont
mittelfristig
Hilfsmittel
KI-Risikoregister, DPIA-Template, Grundrechte-Bewertungs-Template
Vertiefung
EU AI Act in der Praxis, Kap. 4.1 – Betreiberpflichten im Überblick
Risiko
Fehlende Folgenabschätzungen bei Hochrisiko-KI sind direkter Compliance-Verstoß mit Bußgeldrisiko.
Eintritt
3 von 5
Auswirkung
4 von 5
Bußgeldrahmen
35.000.000 EUR oder 7% Jahresumsatz
EU AI Act Art. 99 – für verbotene Systeme; 15 Mio./3% für Hochrisiko
Control und Nachweis
Control
KI-Risikomanagementsystem mit dokumentierter Grundrechte-Folgenabschätzung je Hochrisiko-System
Art
organisatorisch
Dringlichkeit
hoch
Nachweis
KI-Risikoregister + Folgenabschätzung + Maßnahmenplan
Vorlage
EU AI Act Grundrechte-Folgenabschätzung
Verknüpfungen
Querverweise
NIS-2 Art. 21 §2a, ISO 27001 A.6.1.2
ISO 27001:2022
A.6.1.2, A.8.2.1, A.18.1.1 (teilweise)
Diesen Bezeichner zitieren
Stabilitätszusage
BAM-IDs sind stabil und werden nicht wiederverwendet. Regulierungskürzel, Nummer und Slug sind Lesehilfen, keine Aussage über den aktuellen Inhalt. Die vollständigen Zusagen stehen in docs/IDENTIFIERS.md.
Maschinenlesbar: index.json