Was will ein Prüfer sehen, wenn im Betrieb KI läuft? Sechs Dinge: ein Inventar der Systeme, Protokolle der Anfragen, ein Zugriffskonzept, die Herkunft und Lizenz der Modelle, einen Nachweis über die Datenflüsse und benannte Verantwortliche. Wer diese sechs Punkte belegen kann, übersteht ein Kundenaudit, eine Datenschutzprüfung und die interne Revision ohne Hektik.
Stand: 2026-09-12
Der Anlass ist dabei seltener die KI-Verordnung selbst, als viele denken. Die Betreiberpflichten für Hochrisiko-Systeme aus Artikel 26 greifen für die meisten Anwendungen erst ab dem 2. Dezember 2027. Was heute prüft, sind andere: der Großkunde, der im Lieferantenaudit nach dem Umgang mit KI fragt, der Datenschutzbeauftragte, der wissen will, wohin Beschäftigtendaten fließen, die interne Revision, der Versicherer. Die Fragen dieser Prüfer ähneln sich erstaunlich, und genau daraus ist diese Checkliste gebaut.
1. Das Inventar: welche KI läuft überhaupt
Die erste Frage jedes Audits lautet: Welche KI-Systeme setzen Sie ein, und wozu? Wer hier zögert, hat schon verloren, denn alles Weitere hängt an dieser Liste. Ein brauchbares Inventar ist eine Tabelle mit einer Zeile je System: Name, Modell und Version, Zweck, betroffene Datenarten, Betriebsort, Verantwortlicher. Auch die Schatten-Nutzung gehört hinein, also das ChatGPT-Konto, das die Buchhaltung privat angelegt hat. Ein Inventar, das nur die offiziellen Systeme kennt, fällt beim ersten Interview mit einem Mitarbeiter auf.
Zum Inventar gehört die Rollenfrage: Sind Sie für jedes System Betreiber oder Anbieter? Für zugekaufte und selbst gehostete Systeme, die Sie unverändert nutzen, sind Sie Betreiber, und das sollte pro System notiert sein.
2. Protokollierung: wer hat wann was gefragt
Ein Prüfer will sehen, dass Anfragen an das System nachvollziehbar sind: Zeitstempel, Nutzer oder Rolle, welches Modell geantwortet hat. Bei einem lokal betriebenen Modell ist das eine Konfigurationsfrage, denn Gateway oder Serving-Schicht protokollieren ohnehin. Die Falle ist nicht die Technik, sondern die fehlende Regel: Wie lange werden Protokolle aufbewahrt, wer darf sie einsehen, wann werden sie gelöscht?
Eine allgemeine gesetzliche Frist existiert nicht. Als Richtwert hat sich die Vorgabe aus Artikel 26 der KI-Verordnung etabliert, die für Hochrisiko-Systeme mindestens sechs Monate verlangt. Wer diese sechs Monate als dokumentierte Hausregel übernimmt, hat eine Antwort, die jeder Prüfer akzeptiert, und zugleich eine Löschfrist, die dem Datenschutz standhält.
3. Zugriffskonzept: wer darf an welches Modell
Die dritte Frage zielt auf Berechtigungen. Wer darf das Modell nutzen, wer darf es konfigurieren, wer kommt an die angebundenen Daten? Spätestens bei einer Retrieval-Pipeline über interne Dokumente wird das kritisch: Wenn das Modell Verträge und Personalunterlagen durchsuchen kann, muss die Suche dieselben Berechtigungen respektieren wie die Dokumentablage selbst. Ein Audit prüft das mit einer einfachen Frage: Kann ein Lagermitarbeiter über den Chatbot Gehaltsdaten finden? Die Antwort muss belegbar Nein lauten, per Rollenkonzept in der Pipeline, nicht per Hoffnung.
4. Modellherkunft und Lizenz: was läuft da eigentlich
Bei lokal betriebenen offenen Modellen fragt der Prüfer nach Herkunft und Rechtsgrundlage: Welches Modell, welche Version, von welcher Quelle bezogen, unter welcher Lizenz? Das ist in fünf Minuten dokumentiert und wiegt schwer, denn es unterscheidet den geordneten Betrieb vom Bastelkeller. Zur Sorgfalt gehört der Blick in die Lizenz selbst: Nicht jedes offene Modell ist gleich frei. Llama steht unter einer eigenen Community-Lizenz mit Bedingungen, viele Qwen-Modelle unter Apache 2.0, einzelne Größen wieder unter eigener Lizenz. Notieren Sie Modellname, Version, Bezugsquelle, Prüfsumme und Lizenz je System, dann ist diese Frage in einer Zeile beantwortet.
5. Datenflüsse: der Nachweis, dass nichts abfließt
Das stärkste Argument für lokale KI ist zugleich die Frage, an der Cloud-Aufbauten im Audit am meisten Zeit verlieren: Wohin gehen die Daten? Bei einem Cloud-Dienst besteht die Antwort aus Auftragsverarbeitungsvertrag, Standardvertragsklauseln und dem Vertrauen darauf, dass der Anbieter sich an seine eigene Richtlinie hält. Bei einem lokalen System besteht sie aus einem Beleg: einer Egress-Regel in der Firewall, die dem KI-Server ausgehende Verbindungen verbietet, oder einem dokumentierten Paketmitschnitt, der während der Inferenz null ausgehenden Verkehr zeigt.
Wichtig ist, den Beleg einmal sauber zu erstellen und zu datieren, statt ihn im Audit improvisieren zu müssen. Das ist der Kern von Datensouveränität: nicht das Versprechen, sondern die Nachweisbarkeit.
6. Verantwortlichkeiten und Kompetenz: wer trägt das
Zuletzt die organisatorische Ebene. Ein Prüfer will einen Namen je System: Wer betreibt es, wer entscheidet über Änderungen, wer greift ein, wenn es falsche Ausgaben liefert? Dazu kommt die Schulungsfrage. Artikel 4 der KI-Verordnung verlangt seit dem 2. Februar 2025 Maßnahmen zur Förderung der KI-Kompetenz beim Personal, als Bemühenspflicht ohne eigenen Bußgeldtatbestand, aber als Pflicht. Ein kurzer, dokumentierter Schulungsnachweis je Rolle beantwortet die Frage. Menschliche Aufsicht gehört in dieselbe Zeile: Für welche Ausgaben gilt Vier-Augen-Prinzip, welche dürfen nie automatisch nach außen?
Warum lokal im Audit leichter ist, aber nicht automatisch
Die sechs Bereiche gelten für jede KI, ob Cloud oder eigener Server. Der Unterschied liegt darin, wie die Belege entstehen. Beim lokalen Betrieb wissen Sie, welches Modell in welcher Version läuft, die Protokolle liegen im Haus, und der Datenfluss-Nachweis ist eine Firewall-Regel statt eines Vertragswerks. Was lokal nicht von selbst passiert, ist die Organisation: Inventar, Aufbewahrungsregel, Zugriffskonzept und Verantwortliche muss jemand aufschreiben. Ein lokales Modell ohne diese Dokumente ist im Audit kaum besser als ein Cloud-Konto ohne Vertrag.
Diese Darstellung ist unser Verständnis der gängigen Prüfpraxis und ersetzt keine Rechtsberatung im Einzelfall. Wenn Sie die sechs Punkte für Ihren Betrieb einmal sauber aufsetzen wollen, vom Inventar bis zum dokumentierten Datenfluss-Nachweis, ist genau das Teil unseres Pilotprojekts.
Häufige Fragen
Welche Unterlagen verlangt ein Prüfer bei lokal betriebener KI?
In der Praxis sechs Dinge: ein Inventar der eingesetzten KI-Systeme mit Zweck, die Protokollierung der Anfragen samt Aufbewahrungsregel, ein Zugriffskonzept, die Herkunft und Lizenz jedes Modells, einen Nachweis über die Datenflüsse und benannte Verantwortliche samt Schulungsnachweis.
Wie lange müssen Protokolle eines KI-Systems aufbewahrt werden?
Eine allgemeine gesetzliche Frist gibt es nicht. Artikel 26 der KI-Verordnung verlangt für Hochrisiko-Systeme mindestens sechs Monate, und diese Zahl hat sich als Richtwert etabliert, den auch Kunden- und Datenschutz-Audits akzeptieren. Wichtiger als die Dauer ist, dass eine dokumentierte Regel existiert.
Reicht die Aussage, dass bei lokaler KI keine Daten abfließen?
Als Behauptung nein, als Nachweis ja. Ein Prüfer will die Behauptung belegt sehen, etwa durch eine Firewall-Regel, die ausgehende Verbindungen des KI-Servers unterbindet, oder einen dokumentierten Mitschnitt, der während der Inferenz null ausgehenden Verkehr zeigt. Genau dieser Beleg ist bei lokalem Betrieb einfach zu erbringen.
Muss ein KMU für ein KI-Audit eine ISO-Zertifizierung haben?
Nein. ISO/IEC 42001 ist freiwillig und für die meisten KMU nicht nötig. Die sechs Bereiche der Checkliste decken ab, was Kundenaudits, Datenschutzprüfungen und die interne Revision heute tatsächlich abfragen. Eine Zertifizierung kann später darauf aufbauen, ersetzt die Grundlagen aber nicht.