KI-Audit Vorbereitung: So gehen Sie gut vorbereitet ins Audit

Ein KI-Audit beginnt mit einer Bestandsaufnahme: Welche KI-Werkzeuge laufen im Unternehmen, mit welchen Daten, auf welcher vertraglichen Grundlage und wofür? Je mehr davon schon vor dem ersten Termin auf dem Tisch liegt, desto mehr Zeit bleibt in den Gesprächen für die Bewertung. Für die KI-Audit Vorbereitung lesen Sie hier, welche Unterlagen Sie sammeln, wen Sie einbinden, welche Fragen Sie vorab klären und was am Ende vorliegt.

Warum sich die KI-Audit Vorbereitung lohnt

Ein KI-Audit hat zwei Teile. Der Compliance-Teil ordnet jedem Werkzeug seine Pflichten aus KI-Verordnung und DSGVO zu, der Potenzial-Teil sucht Abläufe, in denen KI Zeit und Kosten spart. Beide Teile stützen sich auf dieselben Informationen: Software, Verträge, Datenflüsse und das Wissen der Teams.

Viele dieser Informationen liegen bereits im Haus, verteilt auf Einkauf, IT, Datenschutz und Fachbereiche. Die Vorbereitung bündelt sie. Lücken, die dabei sichtbar werden, sind kein Makel, sondern bereits ein erster Befund.

Welche Unterlagen Sie sammeln

Sie müssen nichts neu erstellen. Sammeln Sie, was es gibt, und vermerken Sie, was fehlt. Als Sammelstelle reicht eine Tabelle mit Spalten für Werkzeug, Abteilung, Vertrag und offene Fragen:

• Softwareliste und Lizenzen: alle Programme und Abonnements, auch die einzelner Abteilungen, die oft nur in Kreditkartenabrechnungen auftauchen. Markieren Sie, wo Sie KI-Funktionen kennen.
• Verträge mit Anbietern: Nutzungsbedingungen und Angaben dazu, wo die Daten verarbeitet werden und ob Eingaben ins Training fließen. Laut Datenschutzkonferenz sind Unternehmen für ihre Risikobewertung auf Informationen des Anbieters zur Funktionsweise des Systems angewiesen.
• Verträge zur Auftragsverarbeitung: Wer eine KI-Anwendung eines externen Anbieters als Cloud-Lösung nutzt, braucht nach Einschätzung der DSK häufig eine Vereinbarung nach Artikel 28 Absatz 3 DSGVO.
• Verzeichnis von Verarbeitungstätigkeiten: Die DSK beschreibt es als Summe der einzelnen Verfahrensbeschreibungen. Prüfen Sie, ob Verarbeitungen mit KI darin schon auftauchen.
• Vorabprüfungen und Datenschutz-Folgenabschätzungen: Ergibt die Vorabprüfung ein voraussichtlich hohes Risiko, ist eine Folgenabschätzung nach Artikel 35 DSGVO nötig, beim Einsatz von KI laut DSK vielfach.
• Richtlinien und Vereinbarungen: KI-Richtlinie, Dienstanweisungen, Betriebsvereinbarungen zur IT-Nutzung. Wie eine solche Regel aussehen kann, zeigt unsere Schwesterseite zur KI-Richtlinie.
• Nachweise zur KI-Kompetenz: Schulungen und Unterweisungen. Nach der Änderung durch den Digital Omnibus verlangt Artikel 4 der KI-Verordnung Maßnahmen zur Förderung der KI-Kompetenz, ein bestimmtes Niveau schreibt er nicht vor.
• Für den Potenzial-Teil: Beschreibungen der Abläufe, die viel Zeit binden, und Hinweise, wo Wissen heute liegt, etwa in Postfächern oder Ablagen.

Wen Sie für das KI-Audit im Unternehmen einbinden

Ein KI-Audit im Unternehmen braucht wenige, aber die richtigen Ansprechpartner. Benennen Sie vorab je Rolle eine Person und dazu jemanden, der die Vorbereitung koordiniert, Termine abstimmt und die Unterlagen an einer Stelle sammelt. Das kann die Person sein, die später das KI-Inventar pflegt:

Die Datenschutzkonferenz empfiehlt, betriebliche Datenschutzbeauftragte stets einzubinden, wenn Entscheidungen über KI-Anwendungen vorbereitet oder getroffen werden. Auch die Beteiligung des Betriebsrats sollten Sie prüfen, denn die Einführung einer KI-Anwendung kann ein Mitbestimmungsrecht auslösen.

Die Vorbereitung speist die ersten beiden Schritte, am Ende stehen KI-Inventar und Fahrplan.

Welche Fragen Sie vorab klären

Einige Fragen sollten vor dem Start beantwortet sein, weil sie den Umfang bestimmen:

• Ziel: Geht es zuerst um Pflichten, um Potenzial oder um beides? Sie können mit einem Teil beginnen und den zweiten später ergänzen.
• Umfang: Das ganze Unternehmen oder zunächst einzelne Standorte und Bereiche?
• Rolle: Nutzen Sie KI nur, oder bieten Sie eigene KI-Funktionen unter Ihrem Namen an? Davon hängt ab, ob Sie Betreiber oder Anbieter sind.
• Sensible Bereiche: Läuft KI etwa bei der Auswahl von Bewerbern? Für Hochrisiko-Systeme nach Anhang III gelten nach dem Digital Omnibus, der Verordnung (EU) 2026/1744, ab dem 2. Dezember 2027 Betreiberpflichten, etwa menschliche Aufsicht und die Aufbewahrung automatisch erzeugter Protokolle für mindestens sechs Monate.
• Eigenmächtige Nutzung: Die DSK geht davon aus, dass Beschäftigte in vielen Unternehmen KI-Anwendungen eigenmächtig nutzen. Klären Sie, ob Sie danach offen fragen wollen, damit auch private Konten im Inventar landen.
• Verantwortung danach: Wer pflegt das Ergebnis, wenn das Audit abgeschlossen ist?

Wer vorab einschätzen möchte, wie weit Daten, Prozesse, Menschen und Recht schon sind, kann mit dem KI Readiness Check beginnen.

Was am Ende des KI-Audits vorliegt

Am Ende steht ein KI-Inventar mit allen Werkzeugen und ihren Pflichten. Für jedes Werkzeug ist festgehalten, wofür es genutzt wird, welche Daten hineinfließen und was KI-Verordnung und DSGVO verlangen. Dazu kommt ein Fahrplan, welcher Anwendungsfall zuerst kommt. Der Fahrplan ordnet die Anwendungsfälle nach Nutzen und Aufwand. Fehlt etwa ein Vertrag zur Auftragsverarbeitung für ein Werkzeug, das breiter genutzt werden soll, lässt sich diese Lücke vor dem Ausbau einplanen. Befund und Fahrplan besprechen Sie gemeinsam mit uns.

Rechtliche Einzelfragen, die sich daraus ergeben, klären Sie mit Ihrer Kanzlei. Das Audit liefert dafür die vollständige Grundlage, und die Unterlagen aus der Vorbereitung bleiben als Bestand im Haus.

Checkliste zur KI-Audit Vorbereitung

• Softwareliste, Lizenzen und Abonnements zusammengetragen
• Verträge mit KI-Anbietern und Verträge zur Auftragsverarbeitung abgelegt
• Verzeichnis von Verarbeitungstätigkeiten und vorhandene Folgenabschätzungen bereit
• Richtlinien, Dienstanweisungen und Betriebsvereinbarungen gesammelt
• Nachweise zu Schulungen und Unterweisungen gesammelt
• Ansprechpartner aus Geschäftsführung, IT, Datenschutz, Fachbereichen und Einkauf benannt
• Ziel, Umfang und Rolle des Unternehmens geklärt

Mit dieser Liste starten Sie gut vorbereitet in das KI-Audit. Ziel, Umfang und Ansprechpartner legen wir im kostenlosen Erstgespräch gemeinsam fest, und die KI-Audit Vorbereitung beginnt damit, die ersten Punkte der Liste abzuhaken.

Mehr dazu: KI-Audit