Der Auditor fragt nach der KI-Richtlinie: Was im Audit wirklich verlangt wird
Kurzantwort: Ein Auditor will keine Rechtsmeinung, sondern Belege. Für den KI-Teil reichen drei: eine aktuelle Liste der eingesetzten KI-Werkzeuge mit Verantwortlichen, eine datierte und freigegebene KI-Richtlinie und ein Schulungsnachweis je Person mit Art, Inhalt, Dauer, Datum, Teilnehmenden und Ergebnis. Wichtig ist nicht der Umfang, sondern dass die Unterlagen aktuell sind, zueinander passen und ein Datum tragen. Wie das zusammen aussieht, zeigt der Beispiel-Ordner als PDF.
Warum der KI-Teil überhaupt im Audit auftaucht
Seit Februar 2025 gilt die KI-Kompetenzpflicht nach Art. 4 der KI-Verordnung. Sie ist eine Bemühenspflicht, für die die Verordnung kein eigenes Bußgeld vorsieht. In Audits zählt sie trotzdem, und zwar aus einem anderen Grund: Bestehende Prüfschemata fragen längst nach Regelungen für neue Technologien, nach Schulung des Personals und nach dem Umgang mit vertraulichen Daten. KI fällt in alle drei Töpfe. Wer bei ISO 27001 die Schulung der Mitarbeitenden nachweisen muss, muss das seit dem Einzug der KI-Werkzeuge eben auch für diese tun. Bei TISAX und in Kundenaudits ist es dieselbe Bewegung.
Dazu kommt der einfache Praxisgrund: Der Auditor sitzt vor Leuten, die sichtbar mit KI arbeiten, und fragt, welche Regeln dafür gelten. Die Frage kommt, ob sie im Katalog steht oder nicht.
Was ein Auditor tatsächlich sehen will
| Nachweis | Was daran geprüft wird | Häufiger Mangel |
|---|---|---|
| KI-Inventar | Vollständigkeit und Aktualität, Verantwortliche je Werkzeug | Die kostenlosen Browser-Werkzeuge fehlen, die alle benutzen |
| KI-Richtlinie | Datum, Freigabe, Verständlichkeit, Bezug zu den Werkzeugen im Inventar | Richtlinie nennt Werkzeuge, die es nicht mehr gibt, oder umgekehrt |
| Schulungsnachweis je Person | Art, Inhalt, Dauer, Datum, Teilnehmende, Ergebnis | Eine Anwesenheitsliste ohne Inhalt und ohne Datum |
| Zuständigkeit | Eine benannte Person, erreichbar | Niemand oder alle |
| Meldeweg | Was passiert, wenn Daten in ein falsches Werkzeug geraten | Regel existiert, aber niemand kennt sie |
Das Hinweispapier der Bundesnetzagentur nennt für die Dokumentation drei Punkte: die Art der Maßnahme, ihren inhaltlichen und zeitlichen Umfang und die teilnehmenden Personen. Datum und Ergebnis ergänzen wir, weil ein Nachweis ohne Datum nicht zeigt, ob er noch gilt, und ohne Ergebnis nicht, ob jemand die Inhalte auch aufgenommen hat. Die KI-Servicestelle der RTR in Österreich empfiehlt zusätzlich eine Richtlinie und ein Schulungskonzept.
Warum eine Liste ohne Datum nichts wert ist
Der häufigste Befund ist nicht das Fehlen von Unterlagen, sondern ihr Alter. Eine Richtlinie ohne Datum kann niemand einer Schulung zuordnen. Ein Inventar, das ein Werkzeug nicht enthält, das im Audit auf einem Bildschirm zu sehen ist, wirkt schlechter als gar keins. Und ein Schulungsnachweis, der nur „KI-Schulung, 2 Stunden“ sagt, beantwortet die Frage nach dem Inhalt nicht.
Die Gegenprobe, die Auditoren gern machen: Sie greifen eine Person heraus und verlangen deren Nachweis. Wenn Sie den in einer Minute zeigen können, ist der Punkt erledigt.
Die Woche vor dem Termin
- Inventar aktualisieren. Im Team fragen, welche Werkzeuge wirklich benutzt werden. Auch die KI-Funktionen in bereits vorhandener Software gehören hinein.
- Richtlinie datieren und freigeben lassen. Eine Seite genügt, wenn sie die Werkzeuge aus dem Inventar nennt, sagt, welche Daten nicht hineindürfen, wer Ergebnisse prüft und wem ein Vorfall gemeldet wird. Unterschrift der Geschäftsführung darunter.
- Offene Schulungen nachholen. Eine kurze Grundschulung mit Lernkontrolle je Person, die mit den Werkzeugen arbeitet. Für Büroarbeit mit Textassistenten ist das eine Sache von zwanzig Minuten pro Person.
- Alles in einer Datei bündeln, in der Reihenfolge Status, Register, Inventar, Richtlinie. Dann suchen Sie im Termin nicht.
Die ehrliche Antwort auf die Frage nach Zertifizierung
Manche Fragebögen und Auditoren fragen nach ISO/IEC 42001, der Norm für KI-Managementsysteme. Für einen Betrieb mit fünf bis fünfzig Personen ist diese Zertifizierung weder vorgeschrieben noch verhältnismäßig. Art. 4 verlangt kein Zertifikat und keine bestimmte Kursform. Die belastbare Antwort lautet deshalb: kein zertifiziertes KI-Managementsystem, aber dokumentierte Maßnahmen nach Art. 4, und hier sind sie. Das ist in der Praxis genau das, was geprüft wird.
Vorlagen für Inventar, Richtlinie und Schulungsnachweis gibt es kostenlos. Wer den Ordner lieber erzeugen lässt, sieht unter So funktioniert es den Ablauf.
Dieser Text ist keine Rechtsberatung und ersetzt keine Prüfung Ihres konkreten Auditkatalogs.