Im KI-Compliance-Assistenten beurteilen Sie die Risiken Ihrer KI-Systeme im Kapitel Risiken & Folgenabschätzung auf sechs aufeinanderfolgenden Seiten: Sie legen je KI-Typ Risikoszenarien an, bewerten jedes Szenario für die Organisation und für die betroffenen Personen, prüfen die berechneten Risikostufen, legen je System die Kontrollen aus ISO/IEC 42001 Anhang A fest, bewerten das Restrisiko und schließen für Hochrisiko-Systeme und Systeme in eigener Anbieterrolle die Folgenabschätzung ab. Am Ende liegen das Risikoregister (KI), die Anwendbarkeitserklärung (KI), der Risikobehandlungsplan und je System die Folgenabschätzung als Aufzeichnungen in Cenedril.
Kapitel öffnen
Kapitel Risiken & Folgenabschätzung öffnen
Öffnen Sie in der Seitenleiste Assistenten und wählen Sie die Karte Künstliche Intelligenz. Die Übersicht KI-Compliance-Assistent (AIMS) zeigt die Kapitel als Liste; ein Klick auf die Zeile Risiken & Folgenabschätzung öffnet die Einstiegsseite. Sie erklärt, warum die Risikobeurteilung den Kern des KI-Managementsystems bildet, und zeigt die drei Schritte des Kapitels: Risiko-Identifikation, Analyse & Bewertung sowie Behandlung & Folgenabschätzung.
Zur ersten Eingabeseite wechseln
Klicken Sie unten auf Weiter. Die Fortschrittsleiste am Kopf jeder Seite führt die Schritte des Kapitels: KI-Risiken, Risikoanalyse, Risikobewertung, Risikobehandlung, Behandlungseffekte und Folgenabschätzung. Über die Leiste erreichen Sie jeden Schritt auch direkt.
Risikoszenarien anlegen
Bündel je KI-Typ durchgehen
Die Seite Risiko-Identifikation bündelt Ihre KI-Systeme nach dem KI-Typ aus dem Inventar, etwa Generative KI (LLM, Bild, Video, Audio) oder Rekrutierung & HR. Jedes Bündel ist eine aufklappbare Karte mit seinen Systemen samt Risikoklasse; der Kopf zählt die Szenarien. Systeme vom Typ Andere stehen einzeln mit dem vollständigen Katalog. Sind noch keine Systeme erfasst, führt der Link Zum KI-Inventar zur Inventarisierung.
Gefährdungen als Szenario aufnehmen
Unter Empfohlene Gefährdungen stehen die Gefährdungen, die zum KI-Typ passen; Weitere Gefährdungen klappt den Rest des Katalogs auf. Gefährdungen, die den Zugriff auf Training und Modell voraussetzen, werden nur in Bündeln mit einem System in Anbieterrolle empfohlen, bleiben aber überall wählbar. Jeder Klick auf einen Chip legt ein Szenario für alle Systeme des Bündels an; das Papierkorb-Symbol Szenario entfernen nimmt es wieder heraus. Nehmen Sie auf, wozu sich für diesen Typ eine plausible Schadensgeschichte erzählen lässt, und lassen Sie kein Bündel ohne Szenario.
Fehlanwendung und eigene Szenarien ergänzen
Der Block Vorhersehbare Fehlanwendung führt Muster, wie Menschen ein System anders benutzen als vorgesehen, etwa Ungeprüfte Übernahme der Ausgaben. Jedes gewählte Muster wird ein eigenes Szenario. Über Eigenes Szenario erfassen Sie ein Risiko außerhalb beider Kataloge mit Name und Beschreibung; ohne Bezeichnung lässt sich die Seite mit Speichern & Weiter nicht abschließen. Ein eigenes Szenario ist mit keiner Kontrolle aus Anhang A verknüpft; auf der Seite Behandlungseffekte bleibt die Liste der mindernden Kontrollen dort leer.
Szenario anreichern
Klappen Sie ein Szenario auf. Unter Verantwortliche Person wählen Sie, wer über den Einsatz des Systems entscheiden kann; nur Szenarien mit dieser Angabe erhalten später das Bestätigungskästchen für das Restrisiko. Betroffene KI-Ziele und Betroffene Kontextthemen sind freiwillig und greifen auf die KI-Ziele und den Organisationskontext zurück. Umfasst ein Bündel mehrere Systeme, nehmen Sie unter Gilt für folgende Systeme einzelne Systeme heraus, bei denen die Gefährdung nicht greift. Ein bernsteinfarbener Hinweis über der Auswahl nennt Datensätze mit Verzerrungsbefund und legt die Gefährdung Verzerrung und Diskriminierung (Bias) nahe.
Szenarien speichern
Als Entwurf speichern sichert ohne Prüfung. Zurück sichert ebenfalls und führt zum Kapiteleinstieg. Speichern & Weiter prüft die Szenarien, veröffentlicht sie, legt einen Abzug des Risikoregisters (KI) als Aufzeichnung an und öffnet die Risikoanalyse. Beim Speichern wird der ganze Stand ersetzt: Ein entferntes Szenario nimmt seine Bewertung mit. Szenarien, deren Bündel es nach einem Typwechsel im Inventar nicht mehr gibt, erscheinen unter Nicht mehr zugeordnete Szenarien und lassen sich dort über Entfernen löschen.
Szenarien bewerten
Maßstab festlegen
Oben auf der Seite Risikoanalyse steht der Kasten Risikoskala mit den Optionen Standard-KI-Matrix und ISMS-Maßstab. Die Standard-KI-Matrix bewertet mit je einer Auswahl für Schadensausmaß und Eintrittswahrscheinlichkeit auf fünf Stufen. Der ISMS-Maßstab übernimmt Schadensdimensionen, Aggregationsregel und Wahrscheinlichkeitsstufen aus Ihrer veröffentlichten ISMS-Risikopolitik; dieselbe Risikostufe bedeutet dann in beiden Managementsystemen dasselbe.
Für die Organisation bewerten
Die Szenarien sind nach KI-Typ gruppiert; ab zwei Szenarien filtern Sie nach KI-Typ, Gefährdung und Stand. In der linken Kartenhälfte Für die Organisation wählen Sie das Schadensausmaß und die Eintrittswahrscheinlichkeit, beim ISMS-Maßstab das Schadensausmaß je Schadensdimension. Beim ISMS-Maßstab ist die Eintrittswahrscheinlichkeit zweistufig: Sie schätzen die Gefährdungswahrscheinlichkeit und stellen mit dem Regler Wie wahrscheinlich greift die Gefährdung erfolgreich? ein, wie oft ein Versuch durchschlägt; das Feld Eintrittswahrscheinlichkeit (berechnet) zeigt das Ergebnis. Sobald beide Achsen gesetzt sind, erscheint im Kartenkopf die Risikostufe mit dem Risikowert.
Für die betroffenen Personen bewerten
In der rechten Hälfte Für die betroffenen Personen markieren Sie unter Art der Schädigung die zutreffenden Schadensarten und wählen die Schwere für die betroffenen Personen auf derselben Stufenskala; sie erscheint als Abzeichen Betroffene: … neben dem Risikowert. Beide Urteile stehen nebeneinander, weil ein Szenario für die Organisation tragbar und für die betroffenen Personen schwerwiegend sein kann. Ist ein System mit einer Datenschutz-Folgenabschätzung verknüpft, sind die Schadensarten beim ersten Öffnen daraus vorbelegt. Der Hinweis Berührt schutzbedürftige Gruppen erscheint, sobald die Folgenabschätzung eines beteiligten Systems eine solche Gruppe führt.
Matrix prüfen und speichern
Die Risikomatrix unter der Liste zeigt alle Szenarien, bei denen beide Achsen gesetzt sind; eine Lücke weist auf ein unbewertetes Szenario hin, das Sie über den Filter Noch nicht bewertet finden. Speichern & Weiter veröffentlicht die Bewertungen, legt einen Abzug des Risikoregisters (KI) an und öffnet die Einordnung der KI-Risiken. Zurück sichert still und führt zur Risiko-Identifikation.
Risikostufen prüfen
Gruppen von oben nach unten durchgehen
Die Seite Einordnung der KI-Risiken verteilt die Szenarien anhand Ihres Maßstabs in die Gruppen unter KI-Risikoszenarien nach Risikoniveau; darüber zeigt die Risikomatrix dieselben Szenarien als Punkte. Jede Karte trägt die Werte aus der Analyse, den Risikowert und das Farbetikett der berechneten Stufe. Prüfen Sie je Szenario, ob die berechnete Stufe zu dem passt, was Sie über System und Gefährdung wissen. Die Stufen hier sind Ihre Behandlungspriorität; die Risikoklasse aus der Einstufung bleibt davon unberührt.
Szenario begründet umstufen
Ziehen Sie eine Karte in eine andere Gruppe. Der Dialog Risikoniveau überschreiben verlangt einen Grund für die Überschreibung aus fünf Optionen, etwa Bewertungsunsicherheit oder qualitative Akzeptanzkriterien, und einen Begründungskommentar (Pflichtfeld); Überschreibung bestätigen übernimmt die Umstufung. Die Karte erhält einen bernsteinfarbenen Rahmen und eine Zeile mit Original-Stufe und Umstufungsgrund; in der Matrix wird ihr Punkt orange. Ziehen Sie die Karte in ihre berechnete Gruppe zurück, entfällt die Überschreibung ohne Rückfrage.
Einordnung abschließen
Szenarien ohne vollständige Analyse sammelt die ausgegraute Gruppe Noch nicht bewertet (fehlende Analyse); ergänzen Sie deren Werte in der Risikoanalyse. Speichern & Weiter verlangt mindestens ein bewertetes Szenario, hält je Szenario das berechnete und das wirksame Niveau samt Begründung fest und öffnet die Risikobehandlung. Zurück führt hier ohne Zwischenspeichern zur Risikoanalyse; sichern Sie Umstufungen vorher mit Als Entwurf speichern.
Kontrollen je System festlegen
Vorbelegte Matrix prüfen
Die Seite KI-Risikobehandlung zeigt eine Matrix: Die Zeilen sind die zehn Kontrollen aus ISO/IEC 42001 Anhang A, die Spalten Ihre eingestuften KI-Systeme, mit den Abzeichen Hochrisiko oder Verboten im Spaltenkopf. Cenedril hat jede Kontrolle angewandt, die nach Rolle und Risikoklasse in Frage kommt. Die beiden Anbieterkontrollen Managementanleitung für die KI-Systementwicklung und Daten für KI-Systeme sind bei Systemen ohne Anbieterrolle als Nur für Anbieter relevant gesperrt; bei einem verbotenen System ist jede Zelle mit Einsatz verboten, System wird eingestellt gesperrt. Ein Klick auf den Kontrollnamen öffnet Zweck, Normbezug und Einzelkriterien der Kontrolle.
Kontrollen abwählen und begründen
Ein Klick auf den Haken einer Zelle nimmt die Kontrolle für dieses System heraus; darunter erscheint das Feld Grund auswählen mit Gründen wie Geringes Risiko, Trifft nicht zu oder Sonstiger Grund mit eigenem Text. Zwei Fälle färben die Zelle rot, ohne das Speichern zu sperren: Die Abwahl einer für Hochrisiko-Systeme geforderten Kontrolle bei einem als Hochrisiko geführten System zeigt Art. 27 gefordert, und die Abwahl von Information für interessierte Parteien bei einem System mit Transparenzpflicht zeigt den Hinweis, dass Artikel 50 für dieses System gilt. Beide Abwahlen stehen später samt Ihrer Begründung in der Anwendbarkeitserklärung.
Zeilenwerkzeuge nutzen
Neben jedem Kontrollnamen liegen zwei Schaltflächen. Auf alle Systeme anwenden setzt oder entfernt die Kontrolle in einem Zug für alle offenen Zellen der Zeile. Einzelkriterien anpassen öffnet die Einzelkriterien der Kontrolle; abgewählte Kriterien gelten für alle Systeme gemeinsam, und angewandte Zellen erscheinen dann schraffiert mit dem Hinweis Angewandt, einzelne Kriterien abgewählt.
Behandlung speichern
Die Fußzeile bietet Zurück (ohne Speichern zur Einordnung), Abbrechen (ohne Speichern zur Übersicht der Assistenten), Als Entwurf speichern und Speichern & Weiter. Letzteres prüft, dass jede abgewählte offene Zelle einen Grund trägt, veröffentlicht die Matrix und öffnet die Behandlungseffekte. Mit dem Veröffentlichen entstehen unter Dokumentation die Aufzeichnungen Anwendbarkeitserklärung (KI) und Risikobehandlungsplan.
Restrisiko bewerten
Mindernde Kontrollen prüfen
Die Seite Behandlungseffekte und Risikoneubewertung zeigt je Szenario im grauen Kasten Mindernde Kontrollen die Kontrollen, die der Gefährdung entgegenwirken und zugleich auf das betroffene System angewandt sind. Die Zeile Stufen nach Art. 9 Abs. 5: zählt sie je Stufe: Gestaltungsseitige Sicherheit, Technische Schutzmaßnahme, Information und Anweisung. Steht dort, dass noch keine mindernden Kontrollen angewendet wurden, wirkt für dieses Szenario derzeit nichts; ändern lässt sich das auf der Seite Risikobehandlung.
Angabe zu Artikel 9 Absatz 5 Buchstabe a festhalten
Unter Beseitigung oder Verringerung durch Konzeption und Entwicklung (Art. 9 Abs. 5 Buchst. a) wählen Sie, ob die Gefahr am System selbst beseitigt oder verringert wurde, ob das technisch nicht möglich war oder Anderes mit einem Satz. Trägt eine mindernde Kontrolle die Stufe Gestaltungsseitige Sicherheit, ist die Verringerung vorbelegt und als abgeleitet gekennzeichnet; Angabe zurücksetzen nimmt eine eigene Wahl zurück. Fehlt die Angabe, erscheint über der Fußzeile ein Hinweis mit Sprungliste; das Veröffentlichen bleibt möglich.
Restwerte eintragen und begründen
Tragen Sie Verbleibendes Schadensausmaß und Verbleibende Eintrittswahrscheinlichkeit ein; neben jedem Feld steht der ursprüngliche Wert, beim ISMS-Maßstab je Dimension und mit Gefährdungswahrscheinlichkeit und Regler. Das Feld Verbleibende Schwere für die betroffenen Personen erscheint, wenn die Analyse eine Schwere erfasst hat. Der Risikowert aktualisiert sich sofort, ebenso die Karte Risikomatrix vorher und nachher und die Zusammenfassung oben. Unter Begründung der Neubewertung halten Sie fest, welche Kontrolle welchen Faktor senkt; dieser Satz landet im Risikobehandlungsplan. Eine Stufe je Faktor ist der übliche Rückgang einer Kontrolle, die tatsächlich läuft.
Akzeptanz entscheiden und bestätigen lassen
Sobald ein Restwert steht, erscheint der Schalter Restrisiko liegt im akzeptablen Bereich. Seine Vorgabe folgt der Akzeptanzschwelle Ihres Maßstabs, der Obergrenze der untersten Risikostufe. Liegt der Restwert darüber, öffnet sich der bernsteinfarbene Block Restrisiko oberhalb der Akzeptanzschwelle mit einem Grund wie Befristet getragen, weitere Maßnahmen sind geplant und der Erläuterung, wer entschieden hat und was bis wann geplant ist. Das Kästchen am Kartenende, mit dem die verantwortliche Person das verbleibende Risiko bestätigt, erscheint nur bei Szenarien mit zugeordneter Person; festgehalten wird, wer den Haken wann gesetzt hat.
Jährlichen Risikodurchgang einrichten und speichern
Im Block Jährlicher Risikodurchgang legt Erinnerung setzen (jährlich) eine wiederkehrende Erinnerung für den gesamten Durchgang an; die Empfänger sind mit den Personen der KI-Rolle AIMS-Betrieb vorbelegt. Die Erinnerung entsteht sofort, unabhängig vom Speichern der Seite. Speichern & Weiter schließt den Schritt ab, ohne einen Restwert je Karte zu erzwingen, und öffnet die Folgenabschätzung; dabei entstehen der Risikobehandlungsplan und ein Abzug des Risikoregister (KI) als Aufzeichnungen. Zurück führt ohne Speichern zur Risikobehandlung.
Folgenabschätzung abschließen
Karten je System prüfen
Die Seite Folgenabschätzung für die Grundrechte führt unter Abschätzung je System eine Karte für jedes eingestufte System mit hoher Risikoklasse und für jedes System in eigener Anbieterrolle; der Grund steht rechts oben als Hohes Risiko oder Eigene Anbieterrolle. Das Kennzeichen Gesetzlich gefordert trägt ein System, bei dem die Einstufung die Grundrechte-Folgenabschätzung nach Artikel 27 als Rechtspflicht ausgelöst hat; solche Karten stehen zuoberst. Zwei graue Abschnitte sind abgeleitet: So wird das System eingesetzt aus dem KI-Verzeichnis und Aus der Risikoanalyse mit Schadensarten, Fehlanwendung und höchstem Schadensausmaß der Szenarien dieses Systems.
Grundlage der Abschätzung festlegen
Im Block Grundlage der Abschätzung tragen Sie Erste Verwendung am ein und wählen unter Stützt sich auf, ob die Abschätzung Eigenständig durchgeführt wird, sich auf die Folgenabschätzung des Anbieters stützt (mit Fundstelle) oder auf eine Abschätzung zu einem eigenen System mit gemeinsamen Einsatzzwecken; im letzten Fall übernimmt die Karte dessen Angaben in noch leere Felder und meldet, was übernommen wurde. Unter Datenschutz-Folgenabschätzung (Art. 27 Abs. 4) sehen Sie, was das Datenschutzmodul zu diesem System führt, und verbinden über Mit einer Verarbeitungstätigkeit verbinden weitere Tätigkeiten.
Betroffene Personengruppen, Folgen und Nutzen bewerten
Unter Wer kann von der Verwendung betroffen sein? ist der Katalog nach den Einsatzzwecken des Systems vorbelegt; Weitere Personengruppe hinzufügen ergänzt, was der Katalog nicht kennt. Je gewählter Gruppe entsteht unter Folgen und Nutzen je Gruppe ein Block mit Berührte Folgenbereiche und Nutzen für diese Gruppe. Gruppen mit dem Abzeichen Besonders schutzbedürftig erscheinen anschließend bei jedem Risikoszenario dieses Systems. Ein Verzerrungsbefund an einem verknüpften Datensatz schlägt den Folgenbereich Fairness vor.
Umstände und gesellschaftliche Felder festhalten
Die Frage Unter welchen bekannten oder vorhersehbaren Umständen kann dieses System bei bestimmungsgemäßer Verwendung zu Risiken für Gesundheit, Sicherheit oder die Grundrechte führen? zielt auf den regelkonformen Einsatz unter erschwerenden Bedingungen; Anderes öffnet ein Textfeld. Die Frage Hat der Einsatz des Systems einen Einfluss auf gesellschaftliche Felder als Ganzes? beantworten Sie mit Ja oder Nein; erst bei Ja erscheint der Katalog der Wirkungsfelder. Nein ist eine zulässige Antwort und leert die Auswahl.
Abschluss: Mitteilung und Unterschrift
Im Block Abschluss der Folgenabschätzung zeigt eine Karte mit Gesetzlich gefordert den Abschnitt Mitteilung an die Marktüberwachungsbehörde (Art. 27 Abs. 3). Empfängerin ist die Behörde aus den Vorfall-Einstellungen des KI-Compliance-Assistenten; der Stand der Mitteilung reicht von Noch nicht mitgeteilt über Mitgeteilt mit Datum und Aktenzeichen bis zu den beiden Fällen, in denen keine Mitteilung erforderlich ist. Bei allen Karten wählen Sie unter Durchgeführt und verantwortet durch die Person, die die Abschätzung fachlich verantwortet, und setzen Abgeschlossen am. Die Unterschrift gilt für alle Angaben der Karte, auch für bewusst leer gelassene.
Wiederholung festlegen und abschließen
Der Block Wiederholung der Folgenabschätzung unter den Karten gilt für alle Systeme: Wählen Sie unter Wie oft wird die Folgenabschätzung wiederholt? zwischen Jährlich, Alle zwei Jahre und Nur anlassbezogen; der Rhythmus steht zugleich im Kapitel zur Folgenabschätzung der KI-Politik. Die Erinnerung Folgenabschätzung wiederholen folgt dem gespeicherten Rhythmus: Erinnerung setzen (jährlich) oder Erinnerung setzen (alle 2 Jahre) legt sie an, bei Nur anlassbezogen entfällt sie; Empfänger sind die Personen der KI-Rolle Risiko & Folgenabschätzung. Speichern & Weiter schreibt je Karte eine versionierte Aufzeichnung fest, Grundrechte-Folgenabschätzung oder Folgenabschätzung mit dem Systemnamen, und öffnet das Kapitel Regeln, Kompetenz & Umsetzung. Schlägt das Festschreiben fehl, bricht die Freigabe ab und die Eingaben bleiben als Entwurf erhalten.
Ergebnis: Alle Szenarien des Kapitels sind bewertet, eingeordnet und mit Restwert versehen. In Cenedril liegen das Risikoregister (KI), die Anwendbarkeitserklärung (KI), der Risikobehandlungsplan und je Hochrisiko-System oder eigenem Anbietersystem die Folgenabschätzung als Aufzeichnungen unter Dokumentation, und die Kapitelzeile Risiken & Folgenabschätzung in der Übersicht zeigt die Anzahl der Szenarien, der Folgenabschätzungen und die Verteilung der Risikostufen.