Kontext

Branche

Alle Branchen

Prozess

KI-Risikomanagement

Schutzgut

Rechenschaft Kontrolle Nachvollziehbarkeit

Ursachen

• Kein standardisiertes KI-Risikoverfahren
• Unklare Kritikalitaetskriterien
• Zeitdruck bei Einfuehrung
• Fehlende Beteiligung von Kontrollfunktionen

Auswirkungen

• Unentdeckte Hochrisiko-Anwendungen
• Fehlende Massnahmen
• Verzoegerte Audits
• Regulatorische Risiken

Praxisbeispiel

• Ein KI-System zur Priorisierung von Kundenanfragen wird eingefuehrt
• ohne Diskriminierungs-
• Datenschutz- und Sicherheitsrisiken zu bewerten.

Stakeholder

• AI Governance
• Risikomanagement
• Datenschutz
• Informationssicherheit
• Fachbereich

Massnahmen

Noch nicht hinterlegt.

Praeventive Massnahmen

• KI-Risikocheck als Pflichtschritt vor Go-live
• Kritikalitaetsmodell definieren
• Kontrollfunktionen in Freigaben einbinden

Detektive Massnahmen

• Portfolio-Review aktiver KI-Systeme
• Stichproben in Projekten
• Audit der Freigabeunterlagen

Korrektive Massnahmen

• Nachbewertung durchfuehren
• Massnahmenplan festlegen
• Nutzung bis zur Freigabe begrenzen

Pruefziele

• Pruefen
• ob jedes KI-System vor produktivem Einsatz risikobasiert bewertet und freigegeben wurde.

Auditfragen

• Liegt eine Risikobewertung vor?
• Welche Kriterien wurden genutzt?
• Sind Massnahmen und Restrisiken dokumentiert?

Normbezuege

• ISO/IEC 42001 ISO/IEC 23894 DSGVO Erwaegungsgrund 75

Normhinweise

• Quellenbezug: KI-Risikomanagement
• Bewertung moeglicher Schaeden und risikobasierte Steuerung.

Nachweise

• Risikobewertung
• Freigabeprotokoll
• Massnahmenplan
• Restrisikoentscheidung

Nachweistypen

• Bewertung
• Protokoll
• Managementfreigabe

Kontrollen

• KI-Risikobewertung als Go-live-Kriterium
• Eskalation fuer hohe und kritische KI-Risiken

Verwandte Risiken

• DAX-GOV-42001-003 - Fehlende Ueberwachung der KI-Leistung und Wirksamkeit von Massnahmen
  Verwandtes Risiko: Bewertete Risiken muessen im Betrieb weiter ueberwacht werden.