---
title: "Unabhängige KI-Prüfungen brauchen klare Mandate"
description: "OpenAI fordert tiefen Zugang für unabhängige KI-Prüfer. Was Unternehmen bei Umfang, Evidenz, Vertraulichkeit und Abhilfe regeln sollten."
date: 2026-09-28
lang: de
tags: [governance, ai-act, analyse]
author: "thinkai.at"
canonical: https://thinkai.at/blog/unabhaengige-ki-pruefungen-mandat/
---

# Unabhängige KI-Prüfungen brauchen klare Mandate

**Unabhängige KI-Prüfungen** werden erst belastbar, wenn Auftrag, Zugriff und Veröffentlichung vor dem Test geklärt sind. OpenAI hat dafür am 22. September Prinzipien vorgelegt; das NIST AI Risk Management Framework ordnet Evaluation als Teil eines laufenden Risikomanagements ein.

## Ein Prüfsiegel reicht nicht

OpenAI unterscheidet zwischen einer einzelnen Sicherheitsbehauptung und einem „Safety Case“: einem strukturierten Argument, das Behauptungen mit Evidenz, Annahmen, Unsicherheiten und verbleibenden Risiken verbindet. Externe Prüfer sollen diese Aussagen nicht nur nachvollziehen, sondern mit angemessenem Zugang zu Trainings-, Evaluations- und Betriebsinformationen eigenständig hinterfragen können.

Der Anbieter nennt dafür mehrere Bedingungen: einen vorab vereinbarten Umfang, transparente Methoden, fachliche Unabhängigkeit, Schutz vertraulicher Daten, konkrete Feststellungen und eine geregelte Veröffentlichung. Wo direkter Zugang aus rechtlichen, sicherheitsbezogenen oder IP-Gründen nicht möglich ist, kommen kontrollierte oder datenschutzwahrende Zugriffswege infrage.

## Die Prüfung beginnt im Vertrag

Für einkaufende Unternehmen liegt die wichtigste Konsequenz vor dem technischen Test. Ein Auftrag muss festlegen:

- **Prüfgegenstand:** Welche Modelle, Versionen, Schutzmaßnahmen und Einsatzbedingungen werden bewertet?
- **Evidenz:** Welche Logs, Testdaten, Systemkarten, Incident-Informationen und Ansprechpartner stehen bereit?
- **Unabhängigkeit:** Welche finanziellen oder organisatorischen Interessenkonflikte bestehen?
- **Vertraulichkeit:** Wo findet die Prüfung statt, wer darf Ergebnisse sehen und welche Daten dürfen den Raum verlassen?
- **Abhilfe:** Wie werden Findings priorisiert, behoben, erneut getestet und an Governance-Gremien berichtet?

Ohne diese Punkte kann ein formal unabhängiger Bericht methodisch eng bleiben oder wesentliche Annahmen ungeprüft übernehmen.

## Anschluss an das eigene Risikomanagement

NIST beschreibt den AI RMF als freiwilligen Rahmen, um Vertrauenswürdigkeit in Entwicklung, Nutzung und Evaluation von KI-Systemen einzubauen. Für DACH-Unternehmen heißt das: Ein externer Bericht ersetzt weder den internen Owner noch die Entscheidung über den konkreten Einsatz. Er liefert Evidenz für das eigene Risiko- und Freigabeverfahren.

Planen Sie unabhängige Prüfungen deshalb wie einen wiederkehrenden Kontrollprozess: bei wesentlichen Modellwechseln, neuen Datenklassen, zusätzlichen Werkzeugrechten oder relevanten Vorfällen. Der Wert entsteht nicht durch das Logo auf dem Bericht, sondern durch ein Mandat, das unbequeme Fragen, belastbare Belege und überprüfbare Abhilfe tatsächlich zulässt.

## Quellen

- [OpenAI — Priorities and principles for effective third party assessments](https://openai.com/index/priorities-principles-third-party-assessments/)
- [NIST — AI Risk Management Framework](https://www.nist.gov/itl/ai-risk-management-framework)