Kurze Antwort
Ein KI-Audit ist eine systematische Prüfung, mit der ein Unternehmen überprüft, wie es KI-Tools und KI-Systeme einsetzt – und ob dieser Einsatz nachvollziehbar, risikoarm und rechtlich sauber organisiert ist. Es geht dabei nicht in erster Linie um die Technik selbst, sondern darum, ob es klare Verantwortlichkeiten, dokumentierte Entscheidungen und belastbare Nachweise gibt. Für KMU ist das relevant, weil sowohl der EU AI Act als auch die DSGVO in bestimmten Fällen genau solche Nachweise verlangen.
Was bedeutet KI-Audit?
Ein KI-Audit ist eine strukturierte Bestandsaufnahme und Bewertung aller KI-Systeme, die ein Unternehmen einsetzt oder entwickelt – von einfachen KI-Assistenten über automatisierte Bewerbervorauswahl bis hin zu komplexeren Machine-Learning-Modellen. Geprüft wird typischerweise: Welche KI-Tools werden überhaupt genutzt? Welche Daten fließen hinein, insbesondere personenbezogene Daten? Wer trägt intern die Verantwortung für den Einsatz? Und gibt es Nachweise darüber, dass Risiken erkannt und Gegenmaßnahmen ergriffen wurden?
Der Begriff wird oft mit verwandten, aber rechtlich unterschiedlichen Instrumenten vermischt – eine Abgrenzung hilft: Ein KI-Audit im hier beschriebenen Sinn ist eine frei gestaltbare interne oder externe Prüfung. Für Hochrisiko-KI-Systeme schreibt der EU AI Act (KI-Verordnung) in Artikel 43 dagegen eine gesetzlich geregelte Konformitätsbewertung vor – ein eigenes, formalisiertes Verfahren für bestimmte Systeme und Anbieter, keine freiwillige Wahl. Der internationale Standard ISO/IEC 42001 ist ein davon unabhängiger, freiwilliger Managementsystem-Standard mit eigenen internen oder Zertifizierungs-Audits. Die DSGVO wiederum verlangt kein eigenständiges “KI-Audit”, sondern konkrete Nachweise wie Rechenschaftspflicht, Dokumentation und gegebenenfalls eine Datenschutz-Folgenabschätzung – mehr dazu im Abschnitt DSGVO-Relevanz. Ein KI-Audit kann intern durch eigene Mitarbeitende erfolgen oder extern durch spezialisierte Prüfstellen – je nachdem, wie hoch das Risiko des eingesetzten Systems eingeschätzt wird und ob eine Zertifizierung angestrebt wird.
Warum ist ein KI-Audit für mein Unternehmen wichtig?
Auch kleinere Unternehmen setzen heute oft mehrere KI-Tools gleichzeitig ein, ohne einen zentralen Überblick zu haben: ein Chatbot im Kundenservice, ein KI-gestütztes Recruiting-Tool, eine Textgenerierung im Marketing. Ohne Audit weiß häufig niemand genau, welche Daten wohin fließen und welche Risiken damit verbunden sind. Ein KI-Audit schafft hier Klarheit und ist die Grundlage dafür, gegenüber Kunden, Geschäftspartnern oder Behörden nachweisen zu können, dass der KI-Einsatz kontrolliert abläuft.
Konkret bringt ein KI-Audit für KMU meist drei Dinge: Erstens einen vollständigen Überblick über alle genutzten KI-Systeme (oft als “KI-Inventar” bezeichnet). Zweitens die frühzeitige Identifikation von Systemen, die unter den EU AI Act als Hochrisiko-KI fallen könnten und damit strengere Pflichten auslösen. Drittens eine bessere Verhandlungsposition gegenüber Auftraggebern, die zunehmend selbst Nachweise über den verantwortungsvollen KI-Einsatz ihrer Dienstleister verlangen.
KI-Audit in der Praxis: Ein Beispiel
Ein mittelständisches Unternehmen nutzt ein KI-Tool, um eingehende Bewerbungen vorzusortieren. Im Rahmen eines KI-Audits würde zunächst erfasst, welches Tool eingesetzt wird, welcher Anbieter dahintersteht und welche Bewerberdaten verarbeitet werden. Anschließend wird geprüft, ob das System als Hochrisiko-KI im Sinne des EU AI Act einzustufen ist – bei automatisierter Vorauswahl im Recruiting ist das häufig der Fall. Danach folgt eine Bewertung der Datenschutzseite: Gibt es eine Rechtsgrundlage für die Verarbeitung, wurde eine Datenschutz-Folgenabschätzung durchgeführt, und liegt gegebenenfalls ein Auftragsverarbeitungsvertrag mit dem Anbieter vor? Am Ende steht ein Prüfbericht mit konkreten Maßnahmen, etwa zusätzliche menschliche Kontrolle vor der endgültigen Absage einer Bewerbung.
DSGVO-Relevanz
Ein KI-Audit überschneidet sich in der Praxis oft stark mit dem Datenschutz, ist aber kein rein datenschutzrechtliches Instrument. Sobald ein KI-System personenbezogene Daten verarbeitet, dürfen diese Daten grundsätzlich nur verarbeitet werden, wenn die datenschutzrechtlichen Voraussetzungen erfüllt sind. Dazu gehört – sofern eine Auftragsverarbeitung vorliegt, etwa bei einem externen KI-Anbieter – insbesondere ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO. Bei Systemen mit voraussichtlich hohem Risiko für Betroffene, etwa bei automatisierten Entscheidungen über Menschen, kann zusätzlich eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich sein. Ein KI-Audit ist ein guter Anlass, genau diese Punkte systematisch zu prüfen und zu dokumentieren, ersetzt aber keine eigenständige rechtliche Prüfung im Einzelfall. Ob ein konkretes KI-System aus DSGVO-Sicht unbedenklich eingesetzt werden kann, sollte im Zweifel mit einer Datenschutzbeauftragten oder einem Datenschutzbeauftragten geklärt werden.
Weiterführendes
Mehr zu den rechtlichen Grundlagen findest du in den Lexikon-Einträgen zu Auftragsverarbeitungsverträgen, zur Datenschutz-Folgenabschätzung und zum EU AI Act. Einen Überblick über unsere Methodik findest du unter /methodik.
Häufige Fragen
Ist ein KI-Audit für mein Unternehmen gesetzlich vorgeschrieben?
Das hängt vom eingesetzten System ab. Für sogenannte Hochrisiko-KI-Systeme sieht der EU AI Act eine Konformitätsbewertung vor, die einem Audit sehr nahekommt. Für viele einfachere KI-Anwendungen gibt es aktuell keine explizite Audit-Pflicht, ein freiwilliges Audit ist aber trotzdem sinnvoll, um Risiken frühzeitig zu erkennen. Ob eine Pflicht besteht, solltet ihr im Zweifel individuell prüfen lassen.
Wer darf ein KI-Audit durchführen?
Ein internes KI-Audit können geschulte eigene Mitarbeitende durchführen, etwa aus der IT- oder Datenschutzabteilung. Für eine formale Zertifizierung nach einem Standard wie ISO/IEC 42001 oder für eine Konformitätsbewertung nach EU AI Act braucht es dagegen oft externe, akkreditierte Prüfstellen. Welche Variante passt, hängt vom Risiko des Systems und vom Ziel des Audits ab.
Was kostet ein KI-Audit für ein kleines Unternehmen?
Die Kosten hängen stark davon ab, wie viele KI-Systeme im Einsatz sind und ob intern oder extern geprüft wird. Ein einfaches internes Inventar mit Risikobewertung lässt sich oft mit wenig zusätzlichem Budget umsetzen, während eine externe Zertifizierung deutlich teurer werden kann. Aktuelle Preise solltet ihr direkt bei entsprechenden Prüfstellen oder Beratungen erfragen.
Wie oft sollte ein KI-Audit wiederholt werden?
Da sich sowohl eingesetzte KI-Tools als auch gesetzliche Vorgaben regelmäßig ändern, empfiehlt es sich, das KI-Audit mindestens einmal jährlich zu wiederholen oder immer dann, wenn ein neues KI-System eingeführt wird. So bleibt das KI-Inventar aktuell und neue Risiken werden frühzeitig erkannt.