KI-Wirkungsprüfungen brauchen klare Verantwortliche

KI-Wirkungsprüfungen werden mit ISO/IEC 42005:2025 zu einem strukturierten Prozess über den gesamten Lebenszyklus eines Systems. Ein aktueller AWS-Beitrag zeigt, wie sich der Standard mit bestehendem Enterprise Risk Management und einem KI-Managementsystem nach ISO/IEC 42001 verbinden lässt.

Mehr als ein Dokument vor dem Go-live

ISO beschreibt die Wirkungsprüfung als Verfahren, das mögliche Folgen für Einzelpersonen, Gruppen und die Gesellschaft identifiziert und behandelt. Der Blick reicht von der Planung und Entwicklung über Betrieb und Überwachung bis zur Stilllegung. Damit ist die Prüfung keine einmalige PDF-Freigabe, sondern ein wiederkehrender Kontrollprozess.

AWS hebt dabei zwei Rollen hervor: Ein Owner trägt die Verantwortung für die Prüfung und ihre Ergebnisse. Ein Facilitator organisiert Workshops, bindet Fachbereiche ein und dokumentiert Annahmen, Risiken, Nutzen und Maßnahmen. Beide Rollen können in kleinen Organisationen bei einer Person liegen; die Verantwortlichkeit sollte trotzdem ausdrücklich benannt sein.

Was Unternehmen festlegen sollten

Ein belastbarer Ablauf braucht mindestens fünf Entscheidungen:

• Auslöser: Welche neue Nutzung, Datenklasse oder Modelländerung startet eine Prüfung?
• Betroffene: Welche Personen, Gruppen und Geschäftsprozesse können Vor- oder Nachteile erfahren?
• Evidenz: Welche Tests, Beschwerden, Betriebsdaten und Experteneinschätzungen werden verwendet?
• Maßnahmen: Welche Kontrollen senken Risiken, und wer setzt sie bis wann um?
• Freigabe: Wer akzeptiert Restrisiken, überwacht Kennzahlen und kann den Einsatz stoppen?

Die EU-Kommission verweist zusätzlich auf die Grundrechte-Folgenabschätzung nach Artikel 27 des AI Act. Sie betrifft unter anderem öffentliche Stellen, Anbieter öffentlicher Dienste sowie bestimmte Hochrisiko-Anwendungen im Kredit- und Versicherungsbereich und muss vor der ersten Nutzung erfolgen.

Der DACH-Bezug liegt im Operating Model

Für DACH-Unternehmen ist entscheidend, vorhandene Prozesse nicht parallel zu duplizieren. Datenschutz-Folgenabschätzung, Informationssicherheit, Lieferantenprüfung, Betriebsrat und fachliche Freigabe liefern bereits Evidenz. Die KI-Wirkungsprüfung sollte diese Ergebnisse zusammenführen, Lücken sichtbar machen und eine eindeutige Geschäftsentscheidung erzeugen.

Beginnen Sie deshalb nicht mit einer langen Vorlage. Definieren Sie zuerst Owner, Auslöser, Entscheidungsgremium und Wiederholungszeitpunkt. Der Wert einer Wirkungsprüfung liegt nicht in der Seitenzahl, sondern darin, dass ein Unternehmen Risiken, Maßnahmen und Freigaben über den Betrieb hinweg nachvollziehbar steuern kann.