Hochrisiko klingt nach Ausnahme, betrifft aber sehr gewöhnliche Anwendungen: Personalauswahl, Kreditwürdigkeit, Prüfungsbewertung, Sicherheitsbauteile in Maschinen.
Pflichten der Anbieter im Überblick
- Risikomanagementsystem über den gesamten Lebenszyklus (Art. 9)
- Data Governance: Relevanz, Repräsentativität, Fehlerfreiheit der Datensätze (Art. 10)
- Technische Dokumentation nach Anhang IV (Art. 11)
- Automatische Protokollierung von Ereignissen (Art. 12)
- Transparenz und Gebrauchsanweisung für Betreiber (Art. 13)
- Menschliche Aufsicht by Design (Art. 14)
- Genauigkeit, Robustheit, Cybersicherheit (Art. 15)
- Qualitätsmanagementsystem, Konformitätsbewertung, EU-Konformitätserklärung, CE-Kennzeichnung, Registrierung
Pflichten der Betreiber
Wer ein Hochrisiko-System einsetzt, trägt eigene Verantwortung – unabhängig davon, wie konform der Anbieter ist.
- Nutzung gemäß Gebrauchsanweisung
- Kompetente menschliche Aufsicht benennen und befähigen
- Geeignete, repräsentative Eingabedaten sicherstellen
- Betrieb überwachen, Logs mindestens sechs Monate aufbewahren
- Beschäftigte und Betroffene informieren
- Schwerwiegende Vorfälle an Anbieter und Behörde melden
Wann Betreiber zu Anbietern werden
Setzen Sie ein System unter eigenem Namen ein, verändern Sie den Zweckbestimmung wesentlich oder passen Sie das Modell substanziell an, gelten Sie rechtlich als Anbieter – mit allen Pflichten inklusive Konformitätsbewertung. Dieser Rollenwechsel ist der teuerste blinde Fleck in vielen Projekten.
Grundrechte-Folgenabschätzung
Bestimmte Betreiber – insbesondere öffentliche Stellen und Anbieter von Bank- und Versicherungsdienstleistungen – müssen vor der Inbetriebnahme eine Grundrechte-Folgenabschätzung durchführen: Prozesse, betroffene Personengruppen, Risiken, Schutzmaßnahmen, Aufsichtsmechanismen.
Häufige Fragen zu diesem Thema
Was gehört in die technische Dokumentation?
Systembeschreibung, Entwicklungsprozess, Datenherkunft, Trainings- und Testverfahren, Leistungskennzahlen, Risikomanagement, Änderungen und Aufsichtsmaßnahmen – strukturiert nach Anhang IV.
Braucht jedes Hochrisiko-System eine notifizierte Stelle?
Nein. Für viele Anhang-III-Systeme genügt eine interne Kontrolle; bei biometrischen Systemen und regulierten Produkten ist eine notifizierte Stelle einzubinden.
Wie lange müssen Logs aufbewahrt werden?
Betreiber bewahren automatisch erzeugte Logs mindestens sechs Monate auf, sofern keine längeren Fristen aus anderen Rechtsvorschriften gelten.