7 Schritte für deine erste KI-Risiko-Analyse

Was ist das KI-System konkret? Welche Use-Cases, welche Daten, welche Nutzer? Stakeholder identifizieren: Daten-Owner, Compliance, Betriebsrat, Datenschutzbeauftragte.

Output: 1-Seiter-Scope mit Use-Case-Beschreibung + Stakeholder-Liste.

Workshop mit Stakeholdern (3h). Risiken in 5 Kategorien sammeln:

• Daten-Risiken: Qualität, Bias, Datenschutz-Verstoss.

• Modell-Risiken: Halluzination, Drift, Adversarial Attacks.

• Operational-Risiken: Verfügbarkeit, Skalierbarkeit, Wartung.

• Ethik-Risiken: Diskriminierung, Manipulation, Würde-Verletzung.

• Compliance-Risiken: EU-AI-Act, DSGVO, branchen-spezifische Regeln.

Jedes Risiko bekommen Score 1-5 für Eintritts-Wahrscheinlichkeit + Score 1-5 für Schaden-Höhe. Product = Risiko-Score 1-25.

Heatmap visualisiert. Top-10 Risiken (Score 12+) werden adressiert, Rest dokumentiert + akzeptiert.

Pro Top-10-Risiko: 1-3 konkrete Mitigations-Massnahmen. Beispiele:

• Bias-Risiko -> Fairness-Metriken implementieren + monitoring.

• Halluzinations-Risiko -> Confidence-Threshold + Human-in-the-Loop.

• Datenschutz-Risiko -> Anonymisierung + DSFA.

• Compliance-Risiko -> Konformitaetsbewertung-Vorbereitung.

Nach Mitigation: erneute Bewertung Likelihood x Impact. Restrisiko nach Mitigation ist oft 30-50 % des urspruenglichen Risikos.

Wenn Restrisiko zu hoch: weitere Mitigation. Wenn akzeptabel: dokumentieren + Go-Live-Freigabe.

Welche Metriken werden in Produktion monitored? Bias-Metriken, Drift-Detection, Confidence-Verteilung, Beschwerden-Rate.

Re-Assessment-Trigger: bei wesentlicher Änderung des Systems, neuer Use-Case, neuer Daten. Mindestens jährlich.

Vollständige Risiko-Analyse dokumentieren (10-30 Seiten). Wird Bestandteil der technischen Dokumentation (Anhang IV EU-AI-Act).

Jährliches Reporting an Geschäftsführung + Betriebsrat. Bei Datenpannen oder Bias-Vorfaellen: Incident-Reporting nach Art. 73 EU-AI-Act.