KI_D0014 – Incident Response Plan (IRP) ist ein vollständig ausgearbeitetes, auditfähiges Pflichtdokument, gemäß KIVO Art. 12/14/15, DSGVO Art. 33/34 und ISO 42001, für den sicheren, rechtskonformen und robusten Betrieb eines KI‑Systems.

Es definiert alle Prozesse, Rollen, Maßnahmen und Meldepflichten, die bei KI‑Fehlern, Bias‑Vorfällen, Sicherheitsvorfällen, Datenlecks, Fehlentscheidungen oder Modellversagen greifen müssen.

Das Dokument erfüllt alle regulatorischen Anforderungen aus:

•     KIVO Art. 12 (Logging)
•     KIVO Art. 14 (Oversight)
•     KIVO Art. 15 (Robustheit & Sicherheit)
•     DSGVO Art. 33/34 (Meldung von Datenpannen)
•     ISO 42001 Abschnitt 8.5 (Incident Management)
•     ISO 23894 (AI Risk Management)

Es ist sofort einsatzbereit, vollständig ausgefüllt und enthält alle Pflichtbestandteile, die Auditoren, Behörden und interne Governance‑Gremien verlangen.

Inhaltliche Leistungsbeschreibung

Das Dokument umfasst:

•     Definition aller KI‑bezogenen Incident‑Kategorien (A–D)
•     vollständigen Incident‑Response‑Prozess (Erkennung → Meldung → Analyse → Eindämmung → Behebung → Dokumentation → Review)
•     Rollenmodell (Incident Manager, Oversight, Data Science, IT‑Security, Datenschutz, Governance Board)
•     Reaktionszeiten gemäß Schweregrad
•     automatische Erkennung (Drift, Bias, Security‑Alerts, Anomalien)
•     Abschaltungskriterien gemäß KIVO Art. 15
•     technische und organisatorische Sofortmaßnahmen
•     Root‑Cause‑Analyse (RCA)
•     Incident‑Dokumentation (Ticket, Report, Residualrisiko)
•     Lessons Learned
•     Audit‑Hinweise für interne und externe Prüfungen
•     vollständiges ISO‑ und KIVO‑Mapping
•     Governance‑Freigaben

Damit ist der IRP ein Pflichtdokument für jeden KI‑Use‑Case, insbesondere für Hochrisiko‑KI.

Warum Unternehmen dieses Dokument zwingend benötigen

1. Gesetzliche Pflicht gemäß KIVO Art. 15 und DSGVO Art. 33/34  
Ohne Incident‑Response‑Plan ist der KI‑Betrieb nicht zulässig.

2. Pflicht zur Abschaltung bei kritischen Vorfällen  
KIVO Art. 16 verlangt die Fähigkeit, ein KI‑System sofort zu stoppen.

3. Pflicht zur Meldung von Datenpannen  
DSGVO verlangt Meldeprozesse innerhalb von 72 Stunden.

4. Pflicht zur Oversight‑Dokumentation  
Alle menschlichen Eingriffe müssen nachvollziehbar dokumentiert werden.

5. Pflicht zur Auditfähigkeit  
Auditoren verlangen vollständige Incident‑Reports, RCA, Maßnahmen und Governance‑Freigaben.