KI_D0014 – Incident Response Plan (IRP) ist ein ausgearbeitetes, auditfähiges Pflichtdokument, gemäß KI-VO Art. 12/14/15, DSGVO Art. 33/34 und ISO 42001, für den sicheren, rechtskonformen und robusten Betrieb eines KI‑Systems.

Es definiert die Prozesse, Rollen, Maßnahmen und Meldepflichten, die bei KI‑Fehlern, Bias‑Vorfällen, Sicherheitsvorfällen, Datenlecks, Fehlentscheidungen oder Modellversagen greifen müssen.

Das Dokument erfüllt die regulatorischen Anforderungen aus:

•     KI-VO Art. 12 (Logging)
•     KI-VO Art. 14 (Oversight)
•     KI-VO Art. 15 (Robustheit & Sicherheit)
•     DSGVO Art. 33/34 (Meldung von Datenpannen)
•     ISO 42001 Abschnitt 8.5 (Incident Management)
•     ISO 23894 (AI Risk Management)

Es ist sofort einsatzbereit, vollständig ausgefüllt und enthält die Pflichtbestandteile, die Auditoren, Behörden und interne Governance‑Gremien verlangen.

Das Dokument umfasst:

•     Definition aller KI‑bezogenen Incident‑Kategorien (A–D)
•     vollständigen Incident‑Response‑Prozess (Erkennung → Meldung → Analyse → Eindämmung → Behebung → Dokumentation → Review)
•     Rollenmodell (Incident Manager, Oversight, Data Science, IT‑Security, Datenschutz, Governance Board)
•     Reaktionszeiten gemäß Schweregrad
•     automatische Erkennung (Drift, Bias, Security‑Alerts, Anomalien)
•     Abschaltungskriterien gemäß KI-VO Art. 15
•     technische und organisatorische Sofortmaßnahmen
•     Root‑Cause‑Analyse (RCA)
•     Incident‑Dokumentation (Ticket, Report, Residualrisiko)
•     Lessons Learned
•     Audit‑Hinweise für interne und externe Prüfungen
•     ISO‑ und KI-VO‑Mapping
•     Governance‑Freigaben

Damit ist der IRP ein Pflichtdokument für jeden KI‑Use‑Case, insbesondere für Hochrisiko‑KI.

Warum Unternehmen dieses Dokument zwingend benötigen

1. Gesetzliche Pflicht gemäß KI-VO Art. 15 und DSGVO Art. 33/34  
Ohne Incident‑Response‑Plan ist der KI‑Betrieb nicht zulässig.

2. Pflicht zur Abschaltung bei kritischen Vorfällen  
KI-VO Art. 16 verlangt die Fähigkeit, ein KI‑System sofort zu stoppen.

3. Pflicht zur Meldung von Datenpannen  
DSGVO verlangt Meldeprozesse innerhalb von 72 Stunden.

4. Pflicht zur Oversight‑Dokumentation  
Alle menschlichen Eingriffe müssen nachvollziehbar dokumentiert werden.

5. Pflicht zur Auditfähigkeit  
Auditoren verlangen vollständige Incident‑Reports, RCA, Maßnahmen und Governance‑Freigaben.