KI-Audit für KMU: Die 5-Punkte-Checkliste zur inneren Kontrolle

KI-Audit für KMU: Die 5-Punkte-Checkliste zur inneren Kontrolle

Das Wichtigste in Kürze

KI-Systeme sind wie jedes andere Geschäftssystem: Sie benötigen interne Kontrollen (Internal Controls). Ein KI-Audit ist ein strukturiertes Review, bei dem Sie überprüfen:

• Welche KI-Systeme setzen wir ein?
• Sind sie datenschutzkonform?
• Wer hat Zugang und warum?
• Funktionieren sie wie versprochen?
• Wie dokumentieren wir die Risiken?

Dieses Regelmappe-Audit gibt Ihnen eine 5-Punkte-Checkliste für eine schnelle, wirksame innere Kontrolle.

Warum KI-Audits für Schweizer KMU jetzt kritisch sind

Seit Januar 2024 ist das neue Schweizer Datenschutzgesetz (DSG 2024) in Kraft. Unternehmen, die KI-Systeme nutzen, müssen dokumentieren und nachweisen können, dass diese Systeme:

• Rechtssicher betrieben werden: DSG 2024 Artikel zu Datensicherheit, Transparenz und Verantwortlichkeit.
• Integriert sind: Wer nutzt welche KI-Tools? Sind sie alle erfasst?
• Überwacht werden: Es gibt keine wildwüchsige Shadow-AI ohne Kontrolle.

Ein KI-Audit ist nicht nur eine Compliance-Anforderung — es ist auch Risikomanagement. Ein unkontrolliertes KI-System kann zu Datenverlusten, fehlerhaften Entscheidungen oder rechtlichen Problemen führen.

Die 5-Punkte-KI-Audit-Checkliste

1. Inventar: Welche KI-Systeme nutzen wir?

Was zu prüfen ist:

• Liste aller KI-Tools und KI-gestützten Prozesse im Unternehmen aufstellen.
  • Beispiele: ChatGPT, Copilot, Google Gemini, generative Code-Tools, ML-basierte Datenanalyse, KI-Chatbots für Kundenservice, predictive-analytics-Systeme, Bilderkennungssoftware, automatisierte Prozessoptimierung.
• Für jedes Tool dokumentieren:
  • Name und Anbieter.
  • Nutzungskontext (z.B. "Marketingteam, Text-Generierung").
  • Benutzeranzahl und Zugriffsniveau.
  • Datenkategorie, die eingegeben wird (öffentlich, intern, sensibel).
  • Speicherort und Retention (Tage).
• Audit-Frage: "Können wir wirklich alle KI-Tools aufzählen, die Mitarbeitende nutzen?" Oft überrascht: DevOps-Team nutzt GitHub Copilot, Marketing nutzt Jasper AI, Controlling nutzt ChatGPT zur Datenanalyse — ohne zentrale Genehmigung.

Checkliste-Punkt 1:

2. Datenschutz: Sind die KI-Tools DSG-konform?

Was zu prüfen ist:

• Für jedes Tool überprüfen: Speichert der Anbieter Eingaben zu Trainingszwecken?
• Datenverarbeitungsvertrag (DPA) existiert?
• Datenfluss geklärt: Wo landen die Daten? EU, USA, China, andere?
• Sensible Daten werden nicht an öffentliche KI-Tools (ChatGPT kostenlos, Gemini kostenlos, Perplexity) übertragen.
• Falls Kundendaten in KI einfliessen: Kunde wurde informiert und hat zugestimmt (Transparenzpflicht).

Audit-Frage: "Wenn ein Mitarbeiter seine Email-Signaturen und Kundentelefonnummern in ChatGPT kopiert — wissen wir davon und ist das erlaubt?"

Checkliste-Punkt 2:

3. Zugriff und Authentifizierung

Was zu prüfen ist:

• Wer hat Zugriff auf welche KI-Tools?
• Accounts sind namentlich zugeordnet (nicht "Team@…"-Adressen ohne Tracking).
• Multi-Factor-Authentication (MFA) ist aktiviert, wo möglich.
• Inaktive Accounts werden gelöscht (Offboarding-Prozess).
• Passwörter sind sicher (Passwort-Manager, nicht "123456").

Audit-Frage: "Können wir nachweisen, wer diese ChatGPT-Frage gestellt hat und wann?"

Checkliste-Punkt 3:

4. Funktionalität und Output-Qualität

Was zu prüfen ist:

• Die KI erzeugt die erwarteten Outputs (zB. richtige Vorhersagen, gute Textqualität).
• KI-Fehler werden dokumentiert und verbesserbar (Feedback-Loop).
• Kritische Entscheidungen basieren NICHT nur auf KI-Output (zB. Kreditentscheidungen, Personalentscheidungen).
• Es gibt einen "KI ist falsch"-Plan: Wer überprüft die Outputs?

Audit-Frage: "Hat unsere predictive-analytics-KI schon mal 80% falsch gelegen? Wie haben wir reagiert?"

Checkliste-Punkt 4:

5. Dokumentation und Governance

Was zu prüfen ist:

• Es existiert eine KI-Governance-Richtlinie (schriftlich).
• Rollen sind klar: Wer genehmigt neue KI-Tools? Wer ist verantwortlich?
• Ein Risikoregister existiert (zB. "ChatGPT: Datenschutzrisiko wegen kostenlose Version").
• Audit-Trail: Wann wurde welche KI-Entscheidung getroffen?

Audit-Frage: "Falls ein Kunde klagt, weil die KI-generierte Empfehlung falsch war — können wir belegen, dass wir kontrollierbar vorgegangen sind?"

Checkliste-Punkt 5:

Rollen und Verantwortung beim KI-Audit

Zeitrahmen: Wie lange dauert ein KI-Audit?

• Schnell-Audit (1–2 Tage): Für KMU mit wenigen KI-Tools. Checklist durchgehen, Gespräche mit IT und Geschäftsleitung.
• Standard-Audit (1–2 Wochen): Tiefere Prüfung, Dokumenten-Review, Testläufe.
• Basis-Assessment (2–4 Wochen): Mit externer Hilfe, umfassend, inklusive Risikomodellierung.

Nächste Schritte nach dem Audit

1. Findings sammeln: Was funktioniert, was nicht? (Green/Yellow/Red)
2. Priorisieren: Welche Risiken sind kritisch?
3. Massnahmenplan: Wer macht bis wann was?
4. Nachverfolgung: In 3–6 Monaten nächstes Audit-Update.

Die wichtigsten Referenzen und Standards

• Schweizer Datenschutzgesetz (DSG 2024): Bundesrat DSG — Artikel 7 (Verantwortlichkeit), Artikel 22 (Sicherheit).
• EDÖB-Leitfaden zu KI und Datenschutz: Eidgenössischer Datenschutzbeauftragter.
• EU AI Act (relevant für Schweizer Unternehmen mit EU-Kundschaft): EUR-Lex AI Act.
• ISO/IEC 42001 (KI-Management-System): ISO Standard — Ein Framework für KI-Kontrollsysteme.
• NIST AI Risk Management Framework: NIST (USA) — Praktischer Leitfaden für KI-Risikomanagement.

Fazit: Ein KI-Audit ist Risikomanagement und Compliance in einem

KI-Systeme sind mächtig — aber ohne Kontrollen auch riskant. Ein strukturiertes Audit mit der 5-Punkte-Checkliste gibt Ihnen Sicherheit: Ihre Systeme sind dokumentiert, sicher und rechtskonform. Nutzen Sie diese Checkliste, um noch heute mit Ihrem KI-Audit zu beginnen.