Risikomanagementsystem: Definition und rechtliche Bedeutung (AI Act / Data Act)

Art. 9 Abs. 2 schreibt einen iterativen Prozess vor: Zuerst sind die bekannten und vernünftigerweise vorhersehbaren Risiken zu identifizieren, die das System für Gesundheit, Sicherheit und Grundrechte — auch der Grundrechte Dritter — verursachen kann. Dann sind diese Risiken bei beabsichtigter Verwendung und bei vernünftigerweise vorhersehbarer Fehlanwendung zu schätzen und zu bewerten. Darauf folgt die Bewertung weiterer möglicher Risiken auf Basis der Daten-Governance (Art. 10) und der Prüfverfahren. Schließlich sind angemessene und zielgerichtete Risikominderungsmaßnahmen zu ergreifen.

Risikominderung erfolgt nach dem Stand der Technik: durch inhärent sichere Gestaltung und Entwicklung, technische und organisatorische Maßnahmen sowie ggf. Informationen und Schulungen. Verbleibende Risiken müssen nach Art. 9 Abs. 5 akzeptabel sein. Wichtig: Beseitigt oder reduziert werden die Risiken aufgrund der Bedeutung für die Grundrechte angemessen; ein Restrisiko-null ist nicht gefordert, aber eine dokumentierte Begründung der Akzeptanz schon.

Das Risikomanagementsystem endet nicht mit dem Inverkehrbringen. Es ist über den gesamten Lebenszyklus aufrechtzuerhalten und mit der Marktüberwachung (Art. 72) und der Meldung schwerer Vorfälle (Art. 73) verbunden. Neue Erkenntnisse aus dem Feldeinsatz müssen in das System zurückfließen — das macht es zu einem iterativen Lern- und Dokumentationssystem, nicht zu einem einmaligen Audit.