Unvollständige KI-Inventarisierung und Risikoklassifizierung

Kontext

Branche

Alle

Prozess

Asset Management

Schutzgut

Verfügbarkeit

Ursachen

• Nicht definierte Prozesse zur Erfassung und Bewertung von KI-Anwendungen. Fehlende Verantwortlichkeiten und Ressourcen.

Auswirkungen

• Keine Übersicht über Risiken
• erschwerte Überwachung und Umsetzung von regulatorischen Vorgaben sowie erhöhte Ausfallwahrscheinlichkeit.

Praxisbeispiel

• Ein Konzern betreibt mehrere KI-Systeme
• die weder vollständig inventorisiert noch risikomäßig klassifiziert wurden
• wodurch Risiken nicht erkannt werden.

Stakeholder

• IT-Asset-Management
• Risikomanagement
• Fachbereiche
• Internal Audit

Maßnahmen

Noch nicht hinterlegt.

Präventive Maßnahmen

• Verbindlicher Prozess für Registrierung und Klassifizierung aller KI-Systeme.
• Regelmäßige Überprüfung und Aktualisierung des KI-Inventars.
• Zuweisung klarer Verantwortlichkeiten für die Pflege der Inventarliste.

Detektive Maßnahmen

• Stichprobenkontrollen des Inventars.
• Abgleich des Inventars mit realen Betriebsdaten.

Korrektive Maßnahmen

• Nacherfassung fehlender Systeme.
• Überarbeitung des KI-Inventarisierungsprozesses bei Lücken.

Pruefziele

• Es liegt eine vollständige und aktuelle Inventarisierung und Risikoeinstufung aller KI-Systeme vor.

Auditfragen

• Sind sämtliche eingesetzten KI-Systeme inventarisiert und risikoklassifiziert? Werden Aktualisierungen dokumentiert und nachgewiesen?

Normbezüge

• ISO/IEC 42001ISO/IEC 27001ISO/IEC 27701DSGVO Erwägungsgrund 75

Normhinweise

• ISO/IEC 42001 Abschnitt 8.2 zum Asset Management; ISO/IEC 27001 Anhang A.5.9; DSGVO Erwägungsgrund 75 hinsichtlich IT-gestützter Risikoquellen.

Nachweise

• KI-Inventarliste mit Klassifizierungsmerkmalen
• Protokolle von Aktualisierungen.

Nachweistypen

• dokumentiert

Kontrollen

• Inventarprozessregelung
• Verantwortlichkeitsmatrix
• Jahresreview

Verwandte Risiken

Noch keine Beziehungen hinterlegt.