ai-act-art-6-hochrisiko-ki

1. Automatisierte Kredit- und Risikobewertung

1.1 Start mit dem konkreten System

Lies Zweckbeschreibung, Modell- und Datenfluss, Anbieterunterlagen, Entscheidungskette, menschliche Eingriffe, Protokolle und Betroffeneninformation. Bestimme, welche natürliche Person von welcher Kredit-, Bonitäts- oder Versicherungsentscheidung betroffen ist und welchen tatsächlichen Einfluss das System auf das Ergebnis hat.

1.2 Klassifikationsweiche

1. Prüfe zuerst Artikel 6 Absatz 2 in Verbindung mit Anhang III der Verordnung (EU) 2024/1689. Dort werden insbesondere Systeme zur Bewertung der Kreditwürdigkeit natürlicher Personen oder zur Ermittlung ihres Kreditscores sowie bestimmte Risiko- und Preisbewertungen in Lebens- und Krankenversicherungen erfasst.
2. Prüfe die Ausnahme des Artikels 6 Absatz 3 anhand der konkreten Funktion. Die Ausnahme greift nicht allein deshalb, weil ein Mensch formal auf das Ergebnis klickt.
3. Bestimme für jede Organisation die Rolle als Anbieter, Betreiber, Einführer, Händler oder Bevollmächtigter. Ein Unternehmen kann je nach Veränderung oder Zweckverschiebung die Rolle wechseln.
4. Prüfe verbotene Praktiken, Transparenzpflichten und Datenschutz unabhängig von der Hochrisikoeinstufung.
5. Trenne Produktklassifikation, datenschutzrechtliche Zulässigkeit, zivilrechtliche Entscheidung und sektorspezifische Kredit- oder Versicherungsregeln.

1.3 Geltungsbeginn live feststellen

1. Ermittle Bereitstellungs-, Inbetriebnahme- und Änderungsdatum des Systems.
2. Prüfe Artikel 113 und sämtliche bis zum Bearbeitungstag im Amtsblatt veröffentlichte Änderungsgesetze.
3. Der ursprüngliche Verordnungstext sah die allgemeine Anwendung ab 2. August 2026 und für Artikel 6 Absatz 1 samt zugehörigen Pflichten ab 2. August 2027 vor.
4. Im Jahr 2026 wurde ein unionsrechtliches Änderungsverfahren mit abweichenden Stichtagen beschlossen. Verwende einen neuen Stichtag erst, wenn Rechtsakt, Veröffentlichung und Inkrafttreten in der amtlichen Quelle verifiziert sind.
5. Liefere deshalb eine Tabelle mit Normfassung, Verkündungsstatus, Anwendungsdatum und Folge für das konkrete System.

1.4 Pflichtenkette

Bereich	Prüfpunkt	Nachweis
Risikomanagement	vorhersehbare Risiken und Maßnahmen über den Lebenszyklus	Risikoregister, Tests, Freigaben
Daten	Eignung, Repräsentativität, Fehler und Verzerrungen	Datenblatt, Qualitätsbericht
Dokumentation	Systemgrenzen, Version, Leistung und Änderungen	technische Dokumentation
Protokollierung	nachträgliche Rekonstruktion der Nutzung	unveränderbare Logs
menschliche Aufsicht	echte Befugnis, Kompetenz und Zeit zum Eingriff	Rollenplan, Arbeitsanweisung
Genauigkeit und Sicherheit	Messwerte, Fehlerraten, Robustheit	Validierungs- und Stresstest
Grundrechtsfolgen	Betroffene, Schwere, Eintritt und Abhilfe	Folgenabschätzung, Maßnahmenplan

1.5 Artikel 22 DSGVO gesondert prüfen

1. Bestimme, ob eine ausschließlich automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung vorliegt.
2. Ein menschlicher Prüfer verhindert die Ausschließlichkeit nur, wenn er das Ergebnis tatsächlich verstehen, hinterfragen und ändern kann.
3. Prüfe Ausnahmegrund, geeignete Garantien, Information, Eingriffsrecht und Anfechtungsmöglichkeit.
4. EuGH, Urteil vom 7. Dezember 2023 - C-634/21, SCHUFA Holding: Die automatisierte Erstellung eines Wahrscheinlichkeitswerts kann selbst eine automatisierte Entscheidung sein, wenn ein Dritter diesem Wert bei seiner Entscheidung eine maßgebliche Rolle beimisst.

1.6 Angriffs- und Freigabeprüfung

1. Rekonstruiere den einzelnen Entscheidungspfad mit Eingabedaten, Version, Score, Schwelle, menschlichem Schritt und Ergebnis.
2. Teste Datenfehler, Stellvertretermerkmale, Gruppenbenachteiligung, Drift und sachwidrige Ausschlussgründe.
3. Formuliere Gegenprobe und Abhilfe: manuelle Neubewertung, Datenberichtigung, Schwellenänderung, Aussetzung oder Rücknahme.
4. Gib keine Freigabe, solange Systemrolle, Geltungsbeginn, Datengrundlage oder Eingriffskompetenz ungeklärt sind.

1.7 Ausgabe

Liefere Rollenmatrix, Klassifikationsbegründung, Rechtsstandsblatt, Pflichtenlücken, Einzelfallrekonstruktion, Maßnahmenplan und Freigabeentscheidung. Trenne geltendes Recht, bereits beschlossene Änderung und bloßen Entwurfsstand ausdrücklich.