Artikel 17 ist der Punkt, an dem das Qualitätsmanagement für Hochrisiko-KI zum operativen Recht wird. prEN 18286 überführt diesen Gesetzestext in klauselbasierte Umsetzungshinweise – doch das Mapping muss sorgfältig gelesen werden. Dieser Leitfaden erläutert, wie Compliance-Teams Abdeckungsangaben, Abhängigkeiten und Restrisiken vor Audits oder Konformitätsaktivitäten interpretieren sollten.
Annex ZA richtig lesen – ohne voreilige Konformitätsansprüche
Das Annex-ZA-Mapping ist ein wirkungsvolles Instrument, weil es gesetzliche Anforderungen mit Normenklauseln verknüpft, die Teams umsetzen und auditieren können. Doch Mapping ersetzt keine Nachweise. Sie benötigen weiterhin reale Umsetzungsdokumentation hinter jeder beanspruchten Maßnahme.
Ebenso wichtig ist es, die rechtliche und die normungstechnische Ebene nicht zu vermischen. Die Konformitätsvermutung hängt vom Harmonisierungsstatus und den abgedeckten Anforderungen ab – nicht allein von einem Mapping im Entwurfsstadium.
Die wichtigste Abhängigkeit: Artikel 17(1)(g)
Die Abhängigkeit vom Risikomanagement ist der entscheidende Dreh- und Angelpunkt für viele Anbieter. Die QMS-Umsetzung gemäß Artikel 17(1)(g) ist unmittelbar mit den Risikomanagement-Anforderungen nach Artikel 9 verknüpft.
In der Praxis sollten Teams die Implementierung des Risikomanagement-Rahmenwerks als zwingend erforderliche Begleitarbeit betrachten – nicht als optionale Ergänzung nach Abschluss der QMS-Dokumentation.
- Risikoverantwortung und Eskalationspfade je KI-System und Lebenszyklusphase festlegen
- Risikoereignisse mit Change-Governance und Release-Entscheidungen verknüpfen
- Sicherstellen, dass Post-Market-Signale in Risikoneubewertungsschleifen zurückfließen
Verbesserte Abdeckung seit früheren Entwürfen
Eine wesentliche Verbesserung in der Weiterentwicklung späterer Entwürfe ist die stärkere Behandlung der Bereiche Datenmanagement und Vorfallmeldung. Dies reduziert Unklarheiten für operative Teams.
Dennoch bleibt die Umsetzungsqualität das entscheidende Differenzierungsmerkmal. Oberflächliche Dokumentation ohne gelebte Prozessrealität ist ein häufiger Schwachpunkt bei Readiness-Reviews.
KMU-Verhältnismäßigkeit bleibt eine praktische Frage
Die Verhältnismäßigkeit nach Artikel 17(2) ist zentral für Start-ups und mittelständische Anbieter. Auch dort, wo die Entwurfshinweise noch unvollständig sind, sollten Teams die Verhältnismäßigkeitsbegründung explizit und konsistent über alle Verfahren hinweg dokumentieren.
Dies ist besonders wichtig für Organisationen, die in mehreren EU-Märkten tätig sind, in denen die Erwartungen der Bewertungsstellen im Detail voneinander abweichen können.
Auditstrategie: Nachweise entlang der Mapping-Zeilen aufbauen
Behandeln Sie jede Mapping-Zeile als Nachweisarbeitspaket: Verantwortlicher, Prozessartefakt, Prüfmethode und Aufbewahrungslogik. So wird eine abstrakte Compliance-Diskussion zu auditierbarer Umsetzung.
Für Teams, die den Anwendungsbereich noch definieren: Beginnen Sie mit der Hochrisiko-Klassifizierung, bevor Sie vollständige Kontrollmatrizen aufbauen.
- Einen Kontrollverantwortlichen und eine Stellvertretung für jede gemappte Anforderung benennen
- Mindestanforderungen an Nachweisartefakte und Überprüfungszyklen je Anforderung definieren
- Vierteljährliche interne Stichprobenprüfungen für Hochrisikosysteme und Releases durchführen
- Ungeklärte Mapping-Interpretationen in einem für die Aufsichtsbehörde einsehbaren Issue-Log nachverfolgen
Häufig gestellte Fragen
Macht das Annex-ZA-Mapping die rechtliche Interpretationsarbeit überflüssig?
Nein. Es reduziert Unklarheiten, ersetzt aber nicht die rechtliche und umsetzungsbezogene Interpretation. Anbieter benötigen weiterhin rollenspezifische Rechtsanalysen und nachweisgestützte Umsetzung.
Welche Mapping-Lücke birgt in der Praxis das größte Risiko?
In der Regel die Verknüpfung zwischen den QMS-Kontrollen nach Artikel 17 und dem operativen Risikomanagement nach Artikel 9. Viele Teams dokumentieren eine Seite gut und vernachlässigen die Integration.
Sollten KMU auf die endgültige Formulierung zur Verhältnismäßigkeit warten?
Nein. Bauen und dokumentieren Sie jetzt ein verhältnismäßiges Modell und verfeinern Sie es, wenn der endgültige Text und die Leitlinien vorliegen.
Die wichtigsten Erkenntnisse
Mapping ist nur dann wertvoll, wenn es zu operativen Nachweisen führt. Die stärksten Programme behandeln Annex ZA als lebendes Kontrollsystem – nicht als statische Tabelle in einer Compliance-Präsentation.