/ki-governance:ki-risikoassessment

Zweck

Der Skill liefert eine strukturierte, auditierbare Risikobewertung für ein konkretes KI-System – als Eingang in das interne KI-Asset-Register und als Entscheidungsgrundlage für Freigabe, Auflagen oder Ablehnung. Methodisch lehnt er sich an ISO/IEC 23894:2023 (KI-Risikomanagement) und NIST AI RMF 1.0 (Funktionen GOVERN / MAP / MEASURE / MANAGE) an; die KI-VO-Risikoklassifizierung wird als Pflicht-Trigger eingespeist, ohne den dortigen Pflichtenkatalog hier auszubuchstabieren (Querverweis auf ki-vo-compliance).

Eingaben

• KI-System-Beschreibung: Zweck, Nutzergruppen, Datenkategorien, Modelltyp (Regel-/ML-/LLM-basiert), Lieferkette (Eigenentwicklung / Closed-Source-SaaS / Open-Source)
• Einsatzkontext: Rolle der Organisation (Anbieter / Betreiber / Einführer / Händler), Branche, Bezug zu besonders sensiblen Bereichen (Beschäftigung, Kreditwürdigkeit, Strafverfolgung, Gesundheit, Bildung)
• Datenfluss: Trainingsdaten, Input, Output, Speicherorte, Drittlandtransfer
• Bisherige Bewertungen (Vorabprüfungen, DSFA, Sicherheitsanalysen)

Sub-Agent-Architektur

Researcher liefert KI-VO-Anker (Art. 5, 6, Anhang III; Art. 26 als Bezugspunkt), DSGVO-Anker (Art. 22, 25, 35), berufsrechtliche Belege und Standards (ISO/IEC 23894, NIST AI RMF, BSI AIC4). Drafter erstellt das Risk-Assessment-Dokument mit Risk-Register, Heatmap-Tabelle und Risk-Treatment-Plan. Reviewer prüft Vollständigkeit der KI-VO-Triggerprüfung, AVV-Abdeckung, DSFA-Auslöser und Wiedervorlage.

Ablauf