KI-Audit im Unternehmen: So prüfen Sie den Einsatz von KI
Ein KI-Audit zeigt, wo ein Unternehmen beim Einsatz von KI steht: Welche Systeme laufen, ob Regeln eingehalten werden und wo Risiken oder unnötige Kosten liegen. Gesetzlich vorgeschrieben ist ein solches Audit für die meisten Unternehmen nicht. Es ist aber der zuverlässigste Weg, Pflichten aus KI-Verordnung und DSGVO im Blick zu behalten. Dieser Leitfaden ersetzt keine Rechtsberatung.
Interne Prüfung oder externe Prüfung?
Für die meisten Unternehmen genügt zunächst ein internes KI-Audit, durchgeführt von einer Person oder einem kleinen Team aus IT, Datenschutz und Fachbereich. Externe Prüfungen lohnen sich, wenn Kunden Nachweise verlangen, eine Zertifizierung etwa nach ISO/IEC 42001 geplant ist oder Hochrisiko-Systeme betroffen sind. Wichtig ist in beiden Fällen: Wer prüft, sollte nicht ausschließlich das eigene System bewerten.
Ablauf in sechs Schritten
- Umfang festlegen: alle KI-Systeme oder nur einen Bereich, etwa Kundenservice oder Personal.
- Bestandsaufnahme: Welche Werkzeuge werden tatsächlich genutzt, auch private Konten und eingebaute KI-Funktionen in bestehender Software? Befragungen und Auswertungen der Lizenzen helfen.
- Unterlagen sammeln: Verträge, Richtlinie, Schulungsnachweise, Datenschutzdokumente.
- Prüfen: anhand der Checkliste unten, mit Stichproben aus der Praxis.
- Bewerten: Abweichungen nach Dringlichkeit einstufen.
- Maßnahmen und Bericht: Verantwortliche und Termine festlegen, Nachprüfung planen.
Checkliste für das KI-Audit
| Bereich | Prüffrage |
|---|---|
| Inventar | Sind alle KI-Systeme erfasst? |
| Risikoklasse | Ist jedes System eingeordnet? |
| Verbote | Keine verbotene Praxis im Einsatz? |
| Kompetenz | Schulungen erfolgt und belegt? |
| Datenschutz | AVV, Verzeichnis, DSFA vorhanden? |
| Kennzeichnung | Chatbots und Deepfakes offengelegt? |
| Sicherheit | Zugänge, Schlüssel, Agentenrechte? |
| Qualität | Ergebnisse geprüft und getestet? |
| Kosten | Lizenzen genutzt, Limits gesetzt? |
Worauf Prüfer besonders achten sollten
- Schatten-KI: Beschäftigte nutzen Dienste, die nie freigegeben wurden. Das ist oft der größte Befund.
- Eingebaute KI: Neue KI-Funktionen in Office-Paketen, CRM oder Ticketsystemen werden manchmal per Update aktiviert, ohne dass jemand entschieden hat.
- Freigaben und Rechte: Assistenten mit Zugriff auf Unternehmensdaten finden auch Dokumente, die zu breit freigegeben sind. Für Microsoft 365 erklärt das der Ratgeber Copilot-Oversharing vermeiden.
- Agenten: Welche Aktionen dürfen sie ohne Bestätigung ausführen?
- Prompt Injection: Werden Eingaben aus E-Mails, Dokumenten oder Websites ungeprüft verarbeitet? Testtexte prüft der Prompt-Injection-Prüfer.
- Personalbereich: KI bei Bewerbungen oder Leistungsbewertung kann Hochrisiko-KI sein, mit Pflichten ab dem 2. Dezember 2027.
Stichproben statt nur Papier
Ein Audit, das nur Dokumente liest, übersieht die Praxis. Lassen Sie sich deshalb in einigen Fachbereichen zeigen, wie KI tatsächlich genutzt wird: Welche Daten landen in Prompts, wie werden Ergebnisse geprüft, wer gibt veröffentlichte Inhalte frei? Ein kurzes Gespräch mit zwei oder drei Beschäftigten pro Bereich bringt oft mehr ans Licht als jede Richtlinie. Fragen Sie auch nach Problemen: Wo hat die KI schon falsche Ergebnisse geliefert, und was ist dann passiert?
Ergebnis und Wiederholung
Am Ende steht ein kurzer Bericht mit Befunden, Bewertung und Maßnahmen. Wiederholen Sie das Audit mindestens jährlich und zusätzlich, wenn neue Systeme hinzukommen oder sich die Rechtslage ändert. Die Bestandsaufnahme wird bei der zweiten Runde deutlich schneller, wenn ein gepflegtes Verzeichnis existiert; der KI-Verzeichnis-Generator hilft beim Aufbau. Welche Unterlagen dauerhaft vorhanden sein sollten, beschreibt Dokumentation von KI-Systemen.
Erstellt mit Unterstützung von KI, geprüft und redaktionell verantwortet von Leon Blatz. Allgemeine Information, keine Rechts-, Steuer- oder Finanzberatung.