Unzureichende Risikobewertung vor KI-Einsatz

Kontext

Branche

Alle Branchen

Prozess

KI-Risikomanagement

Schutzgut

Rechenschaft Kontrolle Nachvollziehbarkeit

Ursachen

• Kein standardisiertes KI-Risikoverfahren
• Unklare Kritikalitätskriterien
• Zeitdruck bei Einführung
• Fehlende Beteiligung von Kontrollfunktionen

Auswirkungen

• Unentdeckte Hochrisiko-Anwendungen
• Fehlende Maßnahmen
• Verzögerte Audits
• Regulatorische Risiken

Praxisbeispiel

• Ein KI-System zur Priorisierung von Kundenanfragen wird eingeführt
• ohne Diskriminierungs-
• Datenschutz- und Sicherheitsrisiken zu bewerten.

Stakeholder

• AI Governance
• Risikomanagement
• Datenschutz
• Informationssicherheit
• Fachbereich

Maßnahmen

Noch nicht hinterlegt.

Präventive Maßnahmen

• KI-Risikocheck als Pflichtschritt vor Go-live
• Kritikalitätsmodell definieren
• Kontrollfunktionen in Freigaben einbinden

Detektive Maßnahmen

• Portfolio-Review aktiver KI-Systeme
• Stichproben in Projekten
• Audit der Freigabeunterlagen

Korrektive Maßnahmen

• Nachbewertung durchführen
• Maßnahmenplan festlegen
• Nutzung bis zur Freigabe begrenzen

Pruefziele

• Prüfen
• ob jedes KI-System vor produktivem Einsatz risikobasiert bewertet und freigegeben wurde.

Auditfragen

• Liegt eine Risikobewertung vor?
• Welche Kriterien wurden genutzt?
• Sind Maßnahmen und Restrisiken dokumentiert?

Normbezüge

• ISO/IEC 42001 ISO/IEC 23894 DSGVO Erwägungsgrund 75

Normhinweise

• Quellenbezug: KI-Risikomanagement
• Bewertung möglicher Schäden und risikobasierte Steuerung.

Nachweise

• Risikobewertung
• Freigabeprotokoll
• Maßnahmenplan
• Restrisikoentscheidung

Nachweistypen

• Bewertung
• Protokoll
• Managementfreigabe

Kontrollen

• KI-Risikobewertung als Go-live-Kriterium
• Eskalation für hohe und kritische KI-Risiken

Verwandte Risiken

• DAX-GOV-42001-003 - Fehlende Überwachung der KI-Leistung und Wirksamkeit von Maßnahmen
  Verwandtes Risiko: Bewertete Risiken muessen im Betrieb weiter ueberwacht werden.