Legalithm logo
Kapitel III, Abschnitt 2 — Anforderungen an Hochrisiko-KI-SystemeArtikel 9

Artikel 9: Risikomanagementsystem

Gilt ab 2. Aug. 2026ca. 744 WörterEUR-Lex geprüft Apr. 2026

Artikel 9 verpflichtet Anbieter von Hochrisiko-KI-Systemen, ein Risikomanagementsystem zu etablieren, zu dokumentieren, umzusetzen und zu pflegen—über den gesamten Lebenszyklus. Es umfasst bekannte und vorhersehbare Risiken, Fehlverwendung, geeignete Maßnahmen und die Beurteilung des Restrisikos nach Begrenzung; Tests mit Metriken und regelmäßige Überprüfung. Bei wesentlichen Änderungen ist das System zu aktualisieren (EUR-Lex Art. 9).

Kostenlose Bewertung startenAlle Artikel

Für wen gilt das?

  • -Anbieter von Hochrisiko-KI-Systemen nach Art. 6
  • -Qualitäts-, Sicherheits- und Regulatory-Teams, die Konformitätsnachweise und Benannte-Stellen-Anfragen vorbereiten
  • -Betreiber, die Risikoinformationen aus Art. 13 und Überwachungspflichten ergänzen

Szenarien

Ein Anbieter bringt medizinische Bildgebungs-KI ohne dokumentierte Gefahrenanalyse oder Akzeptanzkriterien für das Restrisiko in Verkehr.

Risiko eines Verstoßes gegen Art. 9; benannte Stellen oder Marktüberwachung können Korrekturmaßnahmen verlangen.
Ref. Art. 9

Nach Rollout treten neue Randfälle auf, die falsch negative Ergebnisse erhöhen; der Anbieter aktualisiert die Risikoakte und testet erneut.

Entspricht der Erwartung des Art. 9 an kontinuierliche Aktualisierung.
Ref. Art. 9(7)

Was das Risikomanagementsystem abdecken muss

Das System ist ein kontinuierlicher, iterativer Prozess über den gesamten Lebenszyklus des Hochrisiko-KI-Systems. Es soll:

  • bekannte und vorhersehbare Risiken für Gesundheit, Sicherheit und Grundrechte identifizieren und analysieren
  • Risiken bewerten, die bei bestimmungsgemäßer Nutzung und bei vorhersehbarer Fehlverwendung entstehen können
  • geeignete Risikomanagementmaßnahmen ergreifen
  • Restrisiko nach Begrenzung als akzeptabel beurteilen; wo das nicht möglich ist, sind besonders starke Gründe und zusätzliche Maßnahmen erforderlich

Tests nutzen Metriken, die zum Zweck passen, und anerkannte Methoden des Stands der Technik.

Tests und Daten

Art. 9 steht in engem Zusammenhang mit Art. 10 (Daten) und Art. 15 (Genauigkeit, Robustheit, Cybersicherheit). Die Risikoakte soll darlegen, wie Trainings-, Validierungs- und Testdaten die behauptete Leistung stützen und wie Cybersicherheit und Robustheit identifizierte Risiken senken.

Dokumentation und Aktualisierung

Ergebnisse des Risikomanagements fließen in die technische Dokumentation nach Anhang IV und die Überwachung nach Inverkehrbringen (Art. 72). Bei wesentlichen Änderungen Risiken neu bewerten und die Dokumentation aktualisieren, bevor erneut in Verkehr gebracht oder in Betrieb genommen wird.

Anschluss an Art. 7–8 und Einordnung

  • Art. 8 — Art. 8 Abs. 1 verlangt, das Risikomanagementsystem des Art. 9 bei der Einhaltung von Kapitel III, Abschnitt 2 einzubeziehen.
  • Art. 6 + Anhang III — Risikoanalyse an Anhang-III-Schäden und ggf. Art. 6 Abs. 3 anbinden.
  • Art. 7 — Wenn Anhang III durch delegierte Rechtsakte ändert, Gefahrenannahmen und Restrisiko-Akzeptanz neu öffnen.
  • Art. 11 + Anhang IV — Risikooutputs speisen die technische Dokumentation.
  • Art. 113 — Anwendungsdaten für das operative Risikosystem.

Amtlicher Wortlaut (Auszug): Art. 9 Abs. 1 und Einleitung Abs. 2 (englische Fassung)

Hinweis (Redaktion): Folgendes zitiert Art. 9 Abs. 1 und die Einleitung von Abs. 2 in der englischen konsolidierten Fassung der Verordnung (EU) 2024/1689. Art. 9 Abs. 2 lit. a bis d und Absätze 3–10 vollständig auf EUR-Lex Artikel 9. Maßgeblich für deutsche Behörden ist die deutsche Fassung.

1. A risk management system shall be established, implemented, documented and maintained in relation to high-risk AI systems.
2. The risk management system shall be understood as a continuous iterative process planned and run throughout the entire lifecycle of a high-risk AI system, requiring regular systematic review and updating. It shall comprise the following steps:

(a)–(d) und Absätze 3–10) — EUR-Lex.

Erwägungsgründe (Präambel) auf EUR-Lex

Die Erwägungsgründe im konsolidierten KI-Rechtsakt auf EUR-Lex ordnen Lebenszyklus-Risikomanagement, Tests und Verhältnismäßigkeit bei Hochrisiko-KI ein. Präambel EUR-Lex—keine inoffiziellen Listen ohne Abgleich.

Checkliste

  • Lebendes Risikoregister mit Schäden (Sicherheit + Grundrechte) führen.
  • Akzeptanzkriterien für das Restrisiko je Use Case festlegen und Freigaben dokumentieren.
  • Dokumentierte Tests mit Metriken; Datensätze und Modell-Checkpoints für Nachweise versionieren.
  • Vorhersehbare Fehl- und Missbrauchsszenarien abbilden; ggf. Prompt-Injection oder Datenmanipulation.
  • Risikokontrollen mit Logging (Art. 12) und Meldewesen (Art. 73) verknüpfen.
Offiziellen Text auf EUR-Lex lesen

Risiko gegen Anhang III spiegeln—kostenlose Einschätzung.

Kostenlose Bewertung starten

Verwandte Anhänge

  • Anhang IV — Technische Dokumentation

Häufige Fragen

Reicht ISO 42001 für Art. 9?

Ein Managementsystem-Zertifikat kann operativ helfen, ersetzt aber nicht die KI-VO-spezifischen Nachweise: Lebenszyklus-Risikoanalyse zu Anhang-III-Schäden, Metriken sowie Dokumentation nach Art. 11–15 und Anhang IV.

Wem gehört die Risikoakte beim Betreiber?

Anbieter tragen die primären Pflichten in der Entwurfsphase. Betreiber müssen Systeme nach Anweisung nutzen und können die Überwachung nach Art. 26 ergänzen; erhebliche Anpassungen können Verantwortlichkeiten entlang der Wertschöpfungskette verschieben (Art. 25).