Wenn Aufsichtsbehörden Ihre KI-Systeme prüfen, suchen sie nicht nur nach Dokumentation – sie verlangen Nachweise, dass Ihre Governance-Kontrollen tatsächlich funktionieren. Hier sind die 10 Fragen, auf die Sie vorbereitet sein sollten.
1. Wie klassifizieren Sie Ihre KI-Systeme nach Risiko?
Prüfer werden nach Ihrem KI-Systemverzeichnis und Ihrer Klassifizierungsmethodik fragen. Sie erwarten, dass Sie jedes System systematisch anhand regulatorischer Risikorahmenwerke bewertet haben.
- Vollständiges Verzeichnis aller KI-/ML-Systeme im Produktivbetrieb
- Risikoklassifizierung für jedes System mit dokumentierter Begründung
- Verfahren zur Neubewertung der Klassifizierung bei Systemänderungen
2. Wer hat die Inbetriebnahme dieses KI-Systems genehmigt?
Bevor ein Hochrisiko-System in den Produktivbetrieb geht, muss eine dokumentierte Freigabe durch die zuständigen Entscheidungsträger vorliegen – nicht nur eine technische Abnahme durch die Entwicklungsabteilung.
3. Wie wird die menschliche Aufsicht über KI-Entscheidungen sichergestellt?
An diesem Punkt scheitern viele Organisationen. Prüfer verlangen Nachweise über eine wirksame menschliche Aufsicht – nicht nur Richtlinien, die deren Existenz behaupten.
- Dokumentierte Aufsichtsverfahren
- Nachweise, dass Menschen eingreifen können und dies auch tun
- Aufzeichnungen über menschliche Freigaben und Korrekturen
4. Können Sie mir den Entscheidungspfad für diesen konkreten Fall zeigen?
Prüfer können Einzelfälle herausgreifen und verlangen, dass Sie die Entscheidung von der Eingabe bis zur Ausgabe nachvollziehen – einschließlich aller menschlichen Überprüfungen. Ihr Audit-Trail muss vollständig und zugänglich sein.
5. Wie erkennen und behandeln Sie KI-Fehler oder Fehlentscheidungen?
Was geschieht, wenn Ihr KI-System einen Fehler macht? Prüfer erwarten Monitoring, Alarmierung und Incident-Response-Verfahren.
6. Welche Trainingsdaten wurden verwendet und wie wurde deren Governance sichergestellt?
Daten-Governance ist ein zentraler Prüfungspunkt. Seien Sie darauf vorbereitet, Datenquellen, Qualitätskontrollen, Bias-Bewertungen und die Einhaltung datenschutzrechtlicher Vorgaben zu erläutern.
7. Wie verhindern und erkennen Sie Modelldrift?
KI-Systeme degradieren mit der Zeit. Zeigen Sie Ihren Monitoring-Ansatz, mit dem Sie erkennen, wenn Modelle eine Modelldrift vom erwarteten Verhalten aufweisen.
8. Wer hat Zugriff auf das KI-System und wer kann es verändern?
Zugriffskontrollen, Change-Management und Audit-Logs für Systemänderungen gehören zu den grundlegenden Erwartungen.
9. Wie lange bewahren Sie KI-Entscheidungsaufzeichnungen auf?
Aufbewahrungsrichtlinien müssen den regulatorischen Anforderungen entsprechen – in regulierten Branchen häufig 5–7+ Jahre.
10. Können Sie Nachweise zur unabhängigen Überprüfung exportieren?
Moderne Prüfer erwarten, Nachweise unabhängig verifizieren zu können, anstatt sich auf interne Berichte verlassen zu müssen. Ihre Nachweisexporte sollten eine Integritätsverifizierung (Prüfsummen, Signaturen) beinhalten.
Häufig gestellte Fragen
Wie weit im Voraus sollte ich mich auf ein KI-Audit vorbereiten?
Fangen Sie jetzt an. Der beste Zeitpunkt zur Vorbereitung war bei der Inbetriebnahme des Systems. Der zweitbeste ist heute. Probeaudits sollten mindestens vierteljährlich durchgeführt werden.
Welches Nachweisformat bevorzugen Prüfer?
Prüfer erwarten strukturierte, überprüfbare Nachweise – keine Rohdaten-Logs. Nachweispakete mit Manifesten, Prüfsummen und klarer Zuordnung zu regulatorischen Anforderungen machen Audits schneller und erfolgreicher.
Die wichtigsten Erkenntnisse
Der rote Faden über alle diese Fragen hinweg sind Nachweise. Richtlinien und Verfahren sind wichtig, doch Prüfer wollen letztlich den Beweis, dass Ihre Kontrollen in der Praxis funktionieren. Integrieren Sie die Nachweiserfassung von Anfang an in Ihre KI-Workflows.